****省广播电视局****等级保护测评
服务项目采购方案
*、项目概况
近年来，国家对网络与信息安全的重视程度不断加强，网络与信息安全相关的政策、法规、标准接连出台，在风险评估、等级保护、保密要求等各个方面均提出了越来越明确的要求。通过****等级保护测评各阶段工作，识别出信息系统存在的各种安全隐患以及风险发生的可能性，确保测评中发现的问题及时得到解决，切实提高单位的网络与信息安全建设水平。
为进*步掌握本单位网络与信息安全现状，发现和解决安全隐患，建立健全管理制度，增强信息系统安全，在等保测评的基础上进行安全监测及防御措施，****省广播电视局现通过电子卖场采购的方式对****省广播电视局****等级保护测评服务项目的供应商进行选择。
*、项目内容
****省广播电视局****等级保护测评服务项目包含局数字化综合办公系统。该系统部署在****省信息中心政务云平台。为了做好年度****工作，需采购****等级保护测评服务、安全演练技术支撑服务、培训服务、迎检支撑服务，技术服务地点为****市区内。详见项目需求附件。
*．涉及系统：
局数字化综合办公系统。
*．技术服务内容及标准：
严格遵循《信息安全技术****等级保护基本要求》（**/******-****）、《信息安全技术****等级保护测评要求》（**/******-****)和《信息安全技术****等级保护测评过程指南》（**/******-****）等技术标准，从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等层面进行测评，从安全控制间、层面间、区域间和系统结构间的综合分析进行整体测评，最终提交****等级保护测评报告，同时提供安全演练技术支撑服务、培训服务、迎检支撑服务。
*.供应商资格要求
*.*.基本资格条件
*.*.*.具有独立承担民事责任的能力。
*.*.*.具有良好的商业信誉和健全的财务会计制度。
*.*.*.有履行合同所必需的设备和专业技术能力。
*.*.*.有依法缴纳税收和社会保障资金的良好记录。
*.*.*.参加****活动前*年内，在经营活动中没有重大违法记录。
*.*.法律、法规规定的****条件及项目特殊要求
*.*.*.单位负责人为同*人或者存在直接控股、管理关系的不同供应商，不得参加同*合同项下的采购活动。
*.*.*.供应商被“信用中国”网站列入失信被执行人和重大税收违法案件当事人名单的、被“中国****网”网站列入****严重违法失信行为记录名单（处罚期限尚未届满的），不得参与本项目的****活动。
*.*.*.供应商须提供公安部第*研究所颁发的《****等级测评与检测评估机构》服务认证证书，且该证书在有效期内，提供证书复印件并加盖供应商公章。
*、本项目最高限价******整，服务期自签订合同之日起*年内。
*、评标办法
本项目评标办法：采用最低评价法。
*、报价文件提交
*、采购人不组织现场勘查，由供应商自行考察。
*、供应商应登录****省网上中介服务超市提交报价文件。逾期提交的报价文件，采购人不予受理。
*、合同
本项目合同价款采用总价合同方式。
合同签订之日起*个工作日内，中标人向采购人提交合同总金额**%和**%的履约保函,采购人向中标人支付合同总金额的***%。中标人需提供相应发票。
签订合同后中标人按采购人要求出具****等级保护测评报告。出具报告后*个工作日内，采购人向中标人返还合同总金额**%的履约保函。
服务期满后，采购人向中标人返还合同总金额**%的履约保函。
*、联系方式
采购人：****省广播电视局
地址：****市红谷滩区翠林路***号
邮编：******
联系人：涂鹏
电话：************
****省广播电视局
****等级保护测评
项
目
需
求
****年*月
目录
第*章项目背景*
第*章需求分析*
第*章建设方案*
*.*建设准则*
*.*参考依据*
*.*建设内容*
*.*实施步骤及内容*
第*章项目清单*
*.项目背景
****省广播电视局（以下简称：省广播电视局）为提升数字化政务水平建设了门户网站和数字化综合办公系统，而随着信息化发展,系统面临的****考验也更大。为进*步提高省广播电视局信息系统的业务连续性、稳定性、安全性，不因偶然的或者恶意的原因而使业务遭受到破坏、更改或中断，更好地履行****法及****义务，计划通过技术服务，委托第*方对信息系统进行****等级保护测评，及时发现信息系统存在的****隐患，尽量在问题发生之前捕捉到问题苗头，减少问题所产生的影响，避免因****问题导致业务的中断或瘫痪。
*.需求分析
按照****法，第***条国家实行****等级保护制度，网络运营者应当按照****等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。安全等级保护体现了“谁主管、谁负责、谁使用、谁负责、谁运营、谁负责”的****责任制。依照****省广播电视局****年*月**日关于转发《关于加强****等级保护工作的通知》的通知，国家广电总局《广播电视安全播出管理规定》明确提出要开展信息系统等级保护工作。
*.建设方案
*.*.建设准则
（*）保密性：对项目过程中获知的任何省广播电视局系统信息均属秘密信息，不得泄露给第*方单位或个人，不得利用这些信息进行任何侵害省广播电视局系统的行为。
（*）规范性：项目的实施必须由专业的网络、云计算、****技术服务人员依照规范的操作流程进行，对操作过程和结果要有相应的记录，提供完整的服务报告。
（*）可控性：服务的工具、方法和过程要在双方认可的范围之内，保证省广播电视局对于服务过程的可控性。
（*）最小影响：服务工作不能对现有业务的正常运行产生显著影响。（包括系统性能明显下降、服务中断等）。
*.*.参考依据
（*）《中华人民共和国****法》；
（*）《信息安全技术****等级保护基本要求》（**/******-****）
（*）《信息安全技术****等级保护测评要求》（**/******-****)
（*）《信息安全技术****等级保护测评过程指南》（**/******-****）
（*）《广播电视****等级保护定级指南》（**/****-****）
（*）《信息安全技术信息安全风险评估规范**/******-****》
（*）《信息安全技术信息安全风险评估实施指南**/******-****》
（*）关于转发《关于加强****等级保护工作的通知》的通知(****省广播电视局****年*月**日发)
*.*.建设内容
根据系统安全建设现状及信息系统的重要程度，并结合行业定级指南对****省广播电视局的业务系统开展等级保护测评工作，具体范围和内容如下：
| 序号 |
系统名称 |
安全保护等级 |
| * |
数字化综合办公系统 |
*级 |
严格遵循《信息安全技术****等级保护基本要求》（**/******-****）、《信息安全技术****等级保护测评要求》（**/******-****)和《信息安全技术****等级保护测评过程指南》（**/******-****）等技术标准，从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等**个层面进行测评，从安全控制间、层面间、区域间和系统结构间的综合分析进行整体测评，测评报告内容及格式严格遵照《****等级保护测评报告模版（****年版）》。
过程文件及交付成果（包括但不限于）：《****等级保护测评报告》，安全演练技术支撑服务（不少于*次），培训服务（不少于*次），迎检支撑服务（不少于*次）。
交付要求：纸质版*份（加盖测评机构公章）及电子版
*.*.实施步骤及内容
*.*.*****等级保护测评过程概述
****等级保护测评工作过程包括*个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。而测评相关方之间的沟通与洽谈应贯穿整个测评过程。每*项活动有*定的工作任务。如下。
*.基本工作流程
*.测评准备活动
本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。测评准备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。
*.方案编制活动
本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。
*.现场测评活动
本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单****测评和整体测评*个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。
*.分析与报告编制活动
本活动是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。本活动的主要任务是根据现场测评结果和《信息安全技术****等级保护测评要求》**/******-****的有关要求，通过单项测评结果判定、单****测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。
*.工方法作
****等级保护测评主要工作方法包括访谈、文档审查、配置检查、工具测试和实地察看。
访谈是指测评人员与被测系统有关人员(个人/群体)进行交流、讨论等活动，获取相关证据，了解有关信息。访谈的对象是人员，访谈涉及的技术安全和管理安全测评的测评结果，要提供记录或录音。典型的访谈人员包括：****主管、信息系统安全管理员、系统管理员、网络管理员、资产管理员等。
文档审查主要是依据技术和管理标准，对省广播电视局的安全方针文件，安全管理制度，安全管理的执行过程文档，系统设计方案，网络设备的技术资料，系统和产品的实际配置说明，系统的各种运行记录文档，机房建设相关资料，机房出入记录。检查信息系统建设必须具有的制度、策略、操作规程等文档是否齐备，制度执行情况记录是否完整，文档内容完整性和这些文件之间的内部*致性等问题。
配置检查是指利用上机验证的方式检查****、主机安全、应用安全、数据安全的配置是否正确，是否与文档、相关设备和部件保持*致，对文档审核的内容进行核实(包括日志审计等)，并记录测评结果。配置检查是衡量*家测评机构实力的重要体现。检查对象包括数据库系统、操作系统、中间件、网络设备、****设备。
工具测试是利用各种测试工具，通过对目标系统的扫描、探测等操作，使其产生特定的响应等活动，通过查看、分析响应结果，获取证据以证明信息系统安全保护措施是否得以有效实施的*种方法。
实地查看根据被测系统的实际情况，测评人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况，测评其是否达到了相应等级的安全要求。
*.*.*****等级保护测评工作流程
*.测评准备活动阶段
首先，省广播电视局在选定测评机构后，双方需要先签订《测评服务合同》，合同中对项目范围(系统数量)、项目内容(差距测评、验收测评、协助整改)、项目周期(什么时间进场?项目计划做多长时间?)、项目实施方案(测评工作的步骤)、项目人员(项目实施团队人员)、项目验收标准、付款方式、违约条款等等内容逐*进行约定。
签订《测评服务合同》同时，测评机构应签署《保密协议》。《保密协议》*般分*种，*种是测评机构与省广播电视局(公对公)签署，约定测评机构在测评过程中的保密责任;*种是测评机构项目组成员与省广播电视局之间签署。
①项目启动会
在双方签完委托测评合同之后，双方即可约定召开项目启动会时间。项目启动会的目的，主要是由省广播电视局对测评方内部涉及的部门进行动员、提请各相关部门重视、协调内部资源、介绍测评方项目实施人员、计划安排等内容，为整个等级测评项目的实施做基本准备。
②系统情况调研
启动会后，测评方开展调研，通过填写《信息系统基本情况调查表》，掌握被测系统的详细情况，为编制测评方案做好准备。测评项目组进场前，应熟悉被测定级对象，调试测评工具，准备各种表单。
*.方案编制活动阶段
方案编制活动的目的是整理测评准备活动中获取的定级对象资料，为现场测评活动提供最基础文档和测评方案。
方案编制活动包括测评对象确定、测评指标确定、测评内容确定、工具测试方法确定、测评指导书开发、测评方案编制*项主要任务。
①确定测评对象。根据系统调查结果，分析整个被测定级对象业务流程、数据流程、范围、特点确定测评对象，*般采用抽查的方法，即：抽查信息系统中具有代表性的组件作为测评对象。
②确定测评指标及测评内容。根据被测定级对象结果确定测评的基本指标，根据测评委托单位（即省广播电视局）定级对象业务自身需求确定特殊测评指标。
③确定测评工具接入点。*般来说，测评工具的接入采取从外到内，从****网络到本地网段的逐步逐点接入，即：测评工具从被测系统边界外接入、在被测系统内部与测评对象不同网段及同*网段内接入等几种方式。从被测系统边界外接入时，测评工具*般接在系统边界设备(通常为交换设备)上。在该点接入漏洞扫描器，扫描探测被测系统的主机、网络设备对外暴露的安全漏洞情况;从系统内部与测评对象不同网段接入时，测评工具*般接在与被测对象不在同*网段的内部核心交换设备上;在系统内部与测评对象同*网段内接入时，测评工具*般接在与被测对象在同*网段的交换设备上;结合网络拓扑图，采用图示的方式描述测评工具的接入点、测评目的、测评途径和测评对象等相关内容。
④确定测评内容与方法。将测评对象与测评指标进行映射构成测评内容，并针对不同的测评内容合理地选择测评方法形成具体的测评实施内容。
⑤确定测评指导书。测评指导书是指导和规范测评人员现场测评活动的文档，包括测评项、测评方法、操作步骤和预期结果等*部分。在测评对象和指标确定的基础上，将测评指标映射到各测评对象上，然后结合测评对象的特点，选择应采取的测评方法并确定测评步骤和预期结果，形成不同测评对象的具体测评指导书。
⑥确定测评方案。综合以上结果内容以及测评工作计划形成测评方案，测评方案主要内容包括测评概述、目标系统概述、定级情况、网络结构、主机设备情况、应用情况、测评方法与工具、测评内容、时间安排、风险揭示与规避等。
*.现场测评活动
现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。
现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还*项主要任务。
①现场测评准备
为保证测评机构能够顺利实施测评，测评准备工作需要包括以下内容：
●测评委托单位签署现场测评授权书;
●召开测评现场首次会;
●测评双方确认现场测评需要的各种资源，包括测评委托单位的配合人员和需要提供的测评条件等，确认被测系统已备份过系统及数据;
●测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。
②现场测评和结果记录
现场测评覆盖到被测系统安全技术的*个层面和安全管理的*方面。安全技术的*个层面具体为：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心;安全管理的*方面具体为：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。
③结果确认和资料归还
现场测评结束时，需要做好记录和确认工作，并将测评的结果征得评测双方认同确认。主要包括测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进*步验证的内容实施补充测评;召开测评现场结束会，测评双方对测评过程中发现的问题进行现场确认。测评机构归还测评过程中借阅的所有文档资料，并由测评委托单位文档资料提供者签字确认。
*.报告编制活动
测评人员在初步判定单项测评结果后，还需进行单****测评结果判定、整体测评、系统安全保障评估等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。
*.*.*测评委托单位需要配合的工作
*.测评准备阶段：
①被测方成立项目组，并任命项目经理;
②向测评机构介绍本单位的信息化建设状况与发展情况;
③准备测评机构需要的资料，比如系统定级报告、备案表、自查或上次测评报告、联系方式等;
④为测评人员的信息收集提供支持和协调;
⑤准确填写信息系统基本信息调查表;
⑥根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议;
*.方案编制阶段：
①为测评机构完成测评方案提供有关信息和资料;
②评审和确认测评方案文本。
*.现场测评阶段：
①此阶段工作测评方人员需要在省广播电视局现场完成。需要省广播电视局提供办公位(基本的办公环境)。
②备案单位需要机房管理员、网络管理员、安全主管、系统管理员、系统开发人员、运维人员等进行配合。
③测评前备份系统和数据，并确认被测设备状态完好;
④协调被测系统内部相关人员的关系，配合测评工作的开展;
⑤相关人员回答测评人员的问询，对某些需要验证的内容上机进行操作;
⑥相关人员确认测试前协助测评人员实施工具测试并提供有效建议，降低安全测评对系统运行的影响;
⑦相关人员对测评结果进行确认;
⑧相关人员确认工具测试后被测设备的状态完好。
*.项目清单
| 序号 |
类别 |
名称 |
简要技术要求 |
单位 |
数量 |
| * |
等级保护测评服务 |
****等级保护测评*.*服务 |
提供（数字化综合办公系统）*级系统****等级保护测评*.*服务。 |
个 |
* |
功能介绍
换一批
潜在投标单位
放大
缩小
公告内容：
您当前为:
招标采购
询价订单
分包项目
直采订单
拟在建项目
业主委托
