招标项目内容-广东妇幼保健院.docVIP

广东省妇幼保健院计算机信息安全等级保护测评项目 用户需求书 〈一〉、投标人资格： 1、投标人必须是来自中华人民共和国（以下简称“合格来源国”）的法人； 2、投标人只允许为独立法人，且在经营范围内投标，不接受联合投标体投标； 3、投标人应具有广东省计算机信息系统安全服务等级证书或备案证； 4、非广东省内注册的投标人应在广东省内设有经有效工商注册的营业场所和固定的售后服务队伍。 〈二〉、用户需求书： 信息安全等级保护测评项目 一、项目概述 伴随着广东省妇幼保健院业务的高速增长，信息化建设得到了很大的发展，信息系统不断增多，对信息系统依赖性越来越大，同时信息系统面临的来自系统外部和内部风险也不断增多，信息安全风险可能对单位业务产生不可估量的影响，信息安全问题的全局性影响日益增强。要求加强信息系统的安全等级保护工作，规范信息系统的建设和管理,确定和排除信息系统的安全隐患。并且各监管机构对信息系统的安全等级保护工作也提出了明确的要求。 依据中央办公厅、国务院办公厅下发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中发办[2003]27号），公安部与国家保密局、密码管理局、国务院信息办联合会签并印发了《信息安全等级保护管理办法》（公通字[2007]43 号），四部委联合会签并下发了《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861 号）加强信息安全建设，广东省妇幼保健院拟开展信息安全等级保护工作，通过聘请专业的信息安全服务公司完成信息安全等级保护工作，达到监管部门的要求，提升单位信息安全的防范能力和水平。 本次广东省妇幼保健院等级保护受评的信息系统和测评等级为： 医院信息管理系统（HIS）：三级 广东省妇幼平台项目信息系统：三级 办公自动化系统（OA）：二级 本项目包含上述系统等保测评和验收的费用，中标公司完成测评后并且院方整改完成后，由中标方聘请具有验收资质的专业公司对测评的系统进行验收，协助完成公安机关的备案与检查工作，完成等保工作。 中标方须对广东省妇幼保健院信息系统安全等级保护状况进行测评，包括几个方面的内容： 1、安全技术测评， 主要包括：物理安全技术测评、网络安全技术测评、主机安全技术测评、应用安全技术测评、数据安全与备份恢复技术测评等五个层面上的测评； 2、安全管理测评，主要包括：安全管理机构测评、人员安全管理测评、系统建设管理测评、系统运维管理测评等四个层面上的测评； 3、系统整体测评，主要包括：安全控制间安全测评、层面间安全测评、区域间安全测评、系统结构安全测评等四个层面上的测评 4、中标人按照国家信息安全等级保护的管理规范和技术标准，对招标人已经完成等级保护建设的信息系统进行等级测评。 5、中标人协助招标人接受和完成信息安全等级测评机构的验收工作，确保招标人等级保护工作符合和通过信息安全等级测评及完成相关报告的备案工作。 在广东省妇幼保健院信息系统等级保护测评项目的设计和建设过程中，必须遵循和贯彻信息技术的国际、国内标准，制定一系列满足信息网络和应用系统正常运行的管理规程。中标方应对每个定级系统从安全管理、安全技术方面给出其等保指标体系，根据所定义的指标体系为每个系统进行差距分析，并依据等级保护差距分析情况，出具详细的《广东省妇幼保健院信息系统等级测评差距分析报告》。《广东省妇幼保健院信息系统等级测评安全整改建议书》应对信息系统中存在的风险予以明确，并提出合理建议。终出具《广东省妇幼保健院信息系统等级测评报告》，并协助甲方单位向广东省公安厅网络警察总队完成本项目备案工作，以拿到《信息系统备案证明》为基准。 设计依据及参考规范如下： GB17859-1999计算机信息系统安全保护等级划分准则 GB/T22239—2008信息系统安全等级保护基本要求 GB/T22240—2008信息系统安全等级保护定级指南 信息系统安全等级保护测评过程指南（国标报批稿） 信息系统安全等级保护测评要求（国标报批稿） GB/T25058-2010信息系统安全等级保护实施指南 GB/T25070-2010信息系统等级保护安全设计技术要求 国家信息化领导小组关于加强信息安全保障工作的意见（中办发[2003]27号） 2004年9月四部委局联合签发的《关于信息安全等级保护工作的实施意见》 广东省深化信息安全等级保护工作方案(粤公通字[2010]45号) 计算机信息系统安全等级保护管理要求 计算机信息系统安全等级保护通用技术要求 《信息安全技术 信息系统通用安全技术要求》（GB/T20271-2006） 《信息安全技术 网络基础安全技术要求》（GB/T20270-2006） 《信息安全技术 操作系统安全技术要求》（GB/T20272-2006） 《信息安全技术 数据库管理系统安全技术要求