您現(xiàn)在的位置: 首頁 > 學(xué)校信息 > 校務(wù)公開校務(wù)公開
福建省郵電學(xué)校信息安全等級保護技術(shù)咨詢服務(wù)采購招標(biāo)公告
發(fā)布時間:2019-12-19 //echo ;?> 來源:總務(wù)科點擊:
我校需采購信息安全等級保護技術(shù)咨詢服務(wù),現(xiàn)進行公開招標(biāo),歡迎具備相關(guān)資質(zhì)的投標(biāo)公司于2019年 1月 3 日8:30—10:30攜帶投標(biāo)文件到福建省郵電學(xué)校(福州市倉山區(qū)上渡路李厝山60號)行政辦公樓總務(wù)科204室投標(biāo)。聯(lián)系人:陳老師,聯(lián)系方式:0591-83597259,F(xiàn)將有關(guān)事項公告如下:
一、本項目最高控制價為人民幣70000元。
二、投標(biāo)材料
1.投標(biāo)人有效的營業(yè)執(zhí)照復(fù)印件;
2.投標(biāo)代表應(yīng)執(zhí)有企業(yè)法人代表的授權(quán)書原件;
3.售后服務(wù)的承諾;
4.投標(biāo)代表有效身份證復(fù)印件(注明聯(lián)系電話);
5.信息安全等級保護技術(shù)咨詢服務(wù)報價表;
注:上述復(fù)印文件需注明與原件一致、并加蓋公章。
三、投標(biāo)保證金
投標(biāo)保證金:3500元人民幣,于2019年1月2日15:00 前以銀行轉(zhuǎn)帳方式交給福建省郵電學(xué)校財務(wù)科(備注:福建省郵電學(xué)校信息安全等級保護技術(shù)咨詢服務(wù)投標(biāo)保證金),帳戶(名稱:福建省郵電學(xué)校開戶行:工行福州市倉山支行帳號1402024109008921255),時間以銀行業(yè)務(wù)日戳為準(zhǔn)(節(jié)假日不順延),聯(lián)系人:林老師、程老師,聯(lián)系電話:83597445。送投標(biāo)文件時,現(xiàn)場提供繳交投標(biāo)保證金的并有加蓋銀行業(yè)務(wù)日戳的轉(zhuǎn)賬回單復(fù)印件一份給總務(wù)科陳老師(不必密封),未交保證金的投標(biāo)不予受理。中標(biāo)人未按規(guī)定時間到招標(biāo)方簽訂合同的,投標(biāo)保證金不予退還。未中標(biāo)人的投標(biāo)保證金在中標(biāo)人簽定協(xié)議之日起10個工作日內(nèi)無息退還。中標(biāo)人的投標(biāo)保證金直接轉(zhuǎn)為履約保證金,項目完成經(jīng)驗收合格后無發(fā)現(xiàn)質(zhì)量或售后服務(wù)問題一次性無息退還。
四、投標(biāo)文件份數(shù)、樣品說明
投標(biāo)人應(yīng)將投標(biāo)文件正本一份、副本一份和報價文件分別單獨密封在3個內(nèi)封套內(nèi),再同時密封在一個外封套中;在內(nèi)層、外層封套口處均應(yīng)加貼密封條并加蓋投標(biāo)人公章及法定代表(或授權(quán)委托人)簽章。內(nèi)層封套上應(yīng)標(biāo)明正本、副本,并寫明項目名稱和投標(biāo)人名稱。外層封套上應(yīng)寫明項目名稱、投標(biāo)人的名稱、地址、聯(lián)系電話、郵政編碼并注明“開標(biāo)時間以前不得開封”。
五、開標(biāo)方式、評標(biāo)方法
投標(biāo)人完全實質(zhì)性響應(yīng)招標(biāo)文件內(nèi)容和招標(biāo)人提供的現(xiàn)場技術(shù)交底要求,采用最低價評標(biāo)辦法(最低價不作為中標(biāo)保證);若至投標(biāo)截止期,投標(biāo)人不足三家,則重新招標(biāo)。若采購工作小組認(rèn)為投標(biāo)人的報價明顯低于其他通過符合性審查投標(biāo)人的報價,使得其投標(biāo)報價可能低于其個別成本的,有可能影響本項目工程質(zhì)量或不能誠信履約的,投標(biāo)人應(yīng)按采購工作小組要求作出書面說明并提供相關(guān)證明材料,不能合理說明或不能提供相關(guān)證明材料的,采購工作小組可將其作無效投標(biāo)處理。
六、投標(biāo)貨物規(guī)格、數(shù)量、質(zhì)量標(biāo)準(zhǔn)
采購貨物數(shù)量、技術(shù)要求一覽表:
|
序號 |
類別 |
名稱 |
數(shù)量 |
單位 |
|
1 |
信息安全服務(wù) |
信息安全等級保護技術(shù)咨詢服務(wù) |
1 |
項 |
技術(shù)要求:
1.資產(chǎn)分析:對參與安全等級保護的系統(tǒng)進行資產(chǎn)信息調(diào)查、網(wǎng)絡(luò)結(jié)構(gòu)調(diào)查、安全系統(tǒng)調(diào)查等,形成最終的資產(chǎn)報告。
。1)資產(chǎn)調(diào)查:調(diào)查和統(tǒng)計服務(wù)范圍內(nèi)的信息資產(chǎn),其中必須包括但不限于物理環(huán)境、網(wǎng)絡(luò)設(shè)備、主機、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、人員、標(biāo)準(zhǔn)流程等,明確其現(xiàn)有狀況、配置情況和管理情況,并對所有信息資產(chǎn)按照一定標(biāo)準(zhǔn)進行資產(chǎn)賦值,繪制各業(yè)務(wù)系統(tǒng)的數(shù)據(jù)流圖。正式開展調(diào)查時調(diào)查內(nèi)容須經(jīng)過單位審核后方可實施。
。2)網(wǎng)絡(luò)調(diào)查:包括對所有網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)進行調(diào)查,并按統(tǒng)一標(biāo)準(zhǔn)繪制成圖。
。3)安全系統(tǒng)調(diào)查:包括但不限于明確現(xiàn)有安全設(shè)備包括防火墻、防病毒系統(tǒng)、入侵檢測系統(tǒng)等)的部署情況和使用情況,編制安全區(qū)域圖。
提交成果:《信息系統(tǒng)資產(chǎn)調(diào)查表》
2.定級咨詢:在招標(biāo)方信息系統(tǒng)自行定級的基礎(chǔ)上,中標(biāo)方參照國家和地方對信息系統(tǒng)安全等級保護定級的有關(guān)要求,對信息系統(tǒng)開展摸底調(diào)查工作,掌握信息系統(tǒng)的基本情況,了解信息系統(tǒng)(包括信息網(wǎng)絡(luò))的業(yè)務(wù)類型、應(yīng)用或服務(wù)范圍、用戶數(shù)量、系統(tǒng)結(jié)構(gòu)、部署方式、安全策略、內(nèi)控制度等信息,撰寫信息系統(tǒng)定級報告,明確信息系統(tǒng)的邊界和安全保護等級,說明定級的方法和理由。并收集整理定級系統(tǒng)參與福建省網(wǎng)絡(luò)與信息安全測評中心安全等級測評所需的資料和文檔。
提交成果:《信息系統(tǒng)安全等級保護定級報告》
3.協(xié)助備案:根據(jù)《信息安全等級保護管理辦法》,信息系統(tǒng)安全保護等級為第二級以上的信息系統(tǒng)運營使用單位或主管部門,應(yīng)到公安部網(wǎng)站下載《信息系統(tǒng)安全等級保護備案表》,中標(biāo)方需要協(xié)助招標(biāo)方填寫《信息系統(tǒng)安全等級保護備案表》,同時協(xié)助到公安機關(guān)完成備案工作。如需反復(fù)多次修改,須按照單位和市公安局要求修正。
提交成果:《信息系統(tǒng)安全等級保護備案表》
4.風(fēng)險評估:
(1)根據(jù)《信息系統(tǒng)安全等級保護定級報告》和信息系統(tǒng)安全等級保護要求,采用的技術(shù)手段、人工方法和使用的工具,明確評估的具體內(nèi)容,制訂《安全評估方案》,《安全評估現(xiàn)場計劃》,《安全評估作業(yè)指導(dǎo)書》,方案和作業(yè)指導(dǎo)書中必須明確采用的技術(shù)手段、人工方法和使用的工具,明確評估的具體內(nèi)容。方案和作業(yè)指導(dǎo)書須經(jīng)過單位批準(zhǔn)后方可實施。
。2)根據(jù)信息系統(tǒng)安全等級保護基本要求,開展物理環(huán)境、網(wǎng)絡(luò)安全、服務(wù)器安全、應(yīng)用系統(tǒng)安全現(xiàn)狀評估。
(3)通過現(xiàn)場評估、脆弱性評估以及滲透測試等技術(shù)手段進行信息系統(tǒng)安全風(fēng)險評估分析,編制風(fēng)險評估報告。
進行網(wǎng)絡(luò)入侵檢測,在入侵預(yù)警日志中能夠明確定位入侵事件類別等。
對信息系統(tǒng)進行安全風(fēng)險評估,評估系統(tǒng)的漏洞與脆弱性,采用的服務(wù)工具應(yīng)提供網(wǎng)站風(fēng)險列表和漏洞信息等功能。
進行滲透測試,采用工具掃描+手工驗證的方式,模擬黑客攻擊的方法進行非破壞性質(zhì)的攻擊性測試。滲透測試的內(nèi)容包括但不限于以下幾個方面:
a.偽造跨站請求
b.跨站腳本
c.注入攻擊測試:SQL注入、指令注入
d.惡意文件執(zhí)行:文件包含、上傳漏洞
e.直接對象不安全:參數(shù)分析、越權(quán)訪問
f.信息泄漏或錯誤處理不當(dāng):應(yīng)用錯誤消息、目錄遍歷
g.加密存儲不安全:HTML中的敏感數(shù)據(jù)、敏感信息存儲、鑒別信息加密傳輸
h.認(rèn)證和會話管理不完善:會話令牌的質(zhì)量、鑒別旁路、缺省帳號、口令重置、鑒別失敗鎖定功能、空口令
i.通信不安全
j.URL強力瀏覽
k.應(yīng)用層DOS
l.工具掃描測試
提交成果:《安全評估方案》、《信息系統(tǒng)安全等級保護風(fēng)險分析報告》
5.差距分析:在安全評估和信息系統(tǒng)定級的基礎(chǔ)上,根據(jù)《信息系統(tǒng)安全保護等級基本要求》將定級信息系統(tǒng)安全等級保護的各項基本要求與信息安全現(xiàn)狀進行比較分析,從管理和技術(shù)兩個層面找出存在的問題并進行分析。
對于需要增加投資,部署新的信息安全產(chǎn)品和技術(shù)的整改措施,雙方根據(jù)整改方案另行協(xié)商和實施。
。1)進行安全差距分析,從物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全以及安全管理深入識別現(xiàn)狀與指標(biāo)庫之間的差距情況。
。2)進行網(wǎng)絡(luò)安全域分析,將運維管理、開發(fā)測試、辦公網(wǎng)絡(luò)以及生產(chǎn)區(qū)域進行邏輯劃分和訪問控制策略。
。3)進行安全管理制度分析,從信息安全方針、管理體系、安全管理機構(gòu)的設(shè)立、人員管理、重要區(qū)域訪問控制、信息系統(tǒng)建設(shè)管理、產(chǎn)品采購、系統(tǒng)運維管理、惡意代碼、備份恢復(fù)策略、應(yīng)急響應(yīng)等深入識別安全管理制度與指標(biāo)庫的差距情況。
。4)安全建設(shè)規(guī)劃:根據(jù)上述風(fēng)險評估結(jié)果,結(jié)合信息系統(tǒng)安全等級保護要求,等保規(guī)劃方案和整改方案。
a)確立保護對象b)保護計算環(huán)境c)保護區(qū)域邊界d)保護通信網(wǎng)絡(luò)e)建設(shè)安全管理體系。
提交成果:《信息系統(tǒng)安全等級保護差距分析報告》
6.管理制度輔助建設(shè):
安全管理制度建設(shè),主要包括但不限于信息安全工作職責(zé),信息安全監(jiān)督、檢查機制;輔助用戶編寫方針、制度、各類記錄表格模板在內(nèi)的三層結(jié)構(gòu)的安全管理制度。管理制度包括但不限于:《信息系統(tǒng)安全策略管理》、《安全制度制訂流程規(guī)定》、《操作系統(tǒng)維護規(guī)程》、《數(shù)據(jù)庫系統(tǒng)維護規(guī)程》、《機安全管理員崗位職責(zé)》、《信息系統(tǒng)安全培訓(xùn)管理》、《安全管理日常維護細則》、《安全審計管理制度》、《第三方人員管理制度》、《防病毒緊急響應(yīng)流程》、《機房監(jiān)控與管理流程》、《機房運行管理規(guī)范》、《服務(wù)器運維管理規(guī)范》、《軟件開發(fā)環(huán)境使用管理要求》、《系統(tǒng)交付管理規(guī)范》、《資產(chǎn)安全管理規(guī)范》、《安全事件報告和處置管理規(guī)范》、《信息系統(tǒng)安全應(yīng)急處理體系》、《人員安全管理規(guī)范》、《信息系統(tǒng)安全運維管理規(guī)范》……等。
7.策略復(fù)查:
。1)派遣專業(yè)工程師到現(xiàn)場針對加固前后的系統(tǒng)脆弱性進行復(fù)查,復(fù)查手段包括但不限于協(xié)議分析、漏洞掃描、漏洞驗證以及配置核查等方法。
。2)復(fù)查范圍包括:1)技術(shù)層面:物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全;2)管理層面:安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理。
。3)復(fù)查結(jié)束后,形成加固前后對比復(fù)查報告。
8.等保測評現(xiàn)場輔助:在服務(wù)期內(nèi),招標(biāo)人如有申請測評,則必須協(xié)助測評方完成測評數(shù)據(jù)采集等工作,直至備案系統(tǒng)通過等級測評。
服務(wù)要求:
1.投標(biāo)人或者所投服務(wù)廠商應(yīng)具備等級保護建設(shè)的能力,具備公安部信息安全等級保護安全建設(shè)服務(wù)機構(gòu)能力評估合格證;提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
2.投標(biāo)人或者所投服務(wù)廠商應(yīng)具備風(fēng)險評估的能力,需具有信息安全服務(wù)資質(zhì)認(rèn)證證書(風(fēng)險評估一級資質(zhì))、國家信息安全測評信息安全(風(fēng)險評估二級);提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
3.投標(biāo)人或者所投服務(wù)廠商應(yīng)具備一定的應(yīng)急響應(yīng)能力,并能快速響應(yīng);投標(biāo)人或者所投服務(wù)廠商需為省級或省級以上網(wǎng)絡(luò)與信息安全信息通報中心技術(shù)支撐單位以及省級或省級以上網(wǎng)絡(luò)安全應(yīng)急服務(wù)支撐單位,提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
4.投標(biāo)人或者所投服務(wù)廠商需具備完善的售后支撐服務(wù)體系,能夠為招標(biāo)人提供較好的信息安全服務(wù)、解決方案設(shè)計服務(wù),需獲得ISO20000服務(wù)管理體系認(rèn)證證書,認(rèn)證范圍需覆蓋“向外部客戶提供整體安全解決方案、安全相關(guān)的SaaS及運營服務(wù)”,提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
5. 投標(biāo)人或者所投服務(wù)廠商應(yīng)具有WEB應(yīng)用安全測試的能力,須為互聯(lián)網(wǎng)安全研究中心應(yīng)用安全聯(lián)盟成員,提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
6.檢測過程所采用服務(wù)工具如配置核查系統(tǒng)、漏洞掃描工具或遠程安全評估系統(tǒng)應(yīng)是投標(biāo)人或者所投服務(wù)廠商自主開發(fā),為了保證所使用的漏洞掃描工具不具有所有權(quán)和知識產(chǎn)權(quán)糾紛,需提供計算機軟件著作權(quán)登記證書作為佐證。
其他要求:
。1)本項目最高控制價為人民幣70000元,報價超過控制價的為廢標(biāo)。
。2)投標(biāo)報價包含安裝、運輸、裝卸、搬運、整理、衛(wèi)生、稅金等一切費用。
(3)按上表制作報價文件,需寫清單價項目合計金額、總合計報價。材料及制作要求如與招標(biāo)文件不符需在技術(shù)規(guī)格和商務(wù)偏離表注明差異。
七、結(jié)算及付款方式
中標(biāo)人按招標(biāo)人要求到貨安裝后,經(jīng)檢驗合格,按中標(biāo)價憑正式發(fā)票結(jié)算,招標(biāo)人在一個月內(nèi)以轉(zhuǎn)賬方式一次性支付全部貨物款。中標(biāo)人投標(biāo)時繳交的投標(biāo)保證金叁仟伍佰元整(¥3500元)一并一次性無息退還。
八、售后服務(wù)要求
投標(biāo)人應(yīng)對本次采購的貨物按招標(biāo)文件要求提供產(chǎn)品質(zhì)量保證服務(wù),確保提供的產(chǎn)品符合招標(biāo)文件要求。
九、不正當(dāng)競爭與紀(jì)律監(jiān)督:
1.嚴(yán)禁投標(biāo)人向參與招標(biāo)、評標(biāo)工作的有關(guān)人員行賄,使其泄露一切與招標(biāo)、評標(biāo)工作有關(guān)的信息。在招標(biāo)、評標(biāo)期間,不得邀請與招標(biāo)、評標(biāo)工作有關(guān)的人員到投標(biāo)人單位參觀考察或出席投標(biāo)人主辦或贊助的任何活動。
2.投標(biāo)人在投標(biāo)過程中嚴(yán)禁互相串通、結(jié)盟或以其他方式損害招標(biāo)的公正性和競爭性,或以任何手段影響其他投標(biāo)人參與正當(dāng)投標(biāo)。
3.如發(fā)現(xiàn)投標(biāo)人有上述不正當(dāng)競爭行為,將取消其投標(biāo)資格或中標(biāo)資格并沒收其投標(biāo)保證金。
十、開標(biāo)時間、地點:
時間:將以短信形式另行通知,請投標(biāo)企業(yè)派代表于指定時間到達開標(biāo)現(xiàn)場,遲到視為放棄投標(biāo)。
地點:第二會議室。
福建省郵電學(xué)校
2019年12月19日

