网络安全等级保护测评服务采购项目采购需求(用户需求书).docVIP

【精选】网络安全等级保护测评服务采购项目采购需求（用户需求书）

第X部分采购内容及需求

前提：本部分采购需求中标注“★”号的条款为本次采购项目的实质性要求，供应商应全部满足。

一、项目概述

1.1、某某单位依据《中华人民共和国网络安全法》和的相关要求，对本单位的信息系统进行网络安全等级保护测评工作。

1.2、本次信息安全等级保护测评涵盖安全技术内容包括：安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等五个方面的安全测评。安全管理测评：包括安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个方面的安全测评。依据相关的测评准则，结合系统的构成特点，确定具体的测评对象，制定测评方案，通过访谈、检查、测评和系统分析等方式判断其安全技术和安全管理的各方面是否达到了相应等级的国家信息系统等级保护要求，找出信息系统中存在的安全隐患，对安全性进行整体评估，制定相关的信息安全整体安全策略和中长期的安全规划，以便对被测系统进行安全方面的调整和改进，确保其安全防护水平达到信息系统安全等级保护相应能力的要求。

二、项目清单：

包号

品目号

标的名称

所属行业

数量

是否允许进口产品

是否属于优先采购节能产品

是否属于强制采购节能产品

是否属于优先采购环境标志产品

01包

1-1

网络安全测评服务

软件和信息技术服务业

1批

否

否

否

否

★三、项目要求

1、适用范围

本技术规范提出的是最低限度的技术要求。凡本技术规范中未规定，但在相关国家标准中有规定的规范条文，应按相应标准的条文进行服务供应说明。

如果没有以书面形式对本技术规范的条文提出异议，则认为提供的服务完全符合本技术规范。

本技术规范所建议使用的标准如与所执行的标准不一致，应按更严格标准的条文执行或按双方商定的标准执行。

2、标准和规范

下列文件中的条款通过本规范的引用而成为本规范的条款，除本技术规范书特别规定外，所提供的测评标准均应遵循公安部相关文件要求和的相关文件要求，所用的标准必须是其最新版本；如果这些标准内容矛盾时，应按最高标准的条款执行或按双方商定的标准执行。

《中华人民共和国网络安全法》

《信息安全等级保护管理办法》（公通字[2007]43号）

《GB/T22239-2019信息安全技术网络安全等级保护基本要求》

《GB/T22240-2019信息安全技术网络安全等级保护定级指南》

《GB/T25058-2010信息安全技术信息系统安全等级保护实施指南》

《GB/T28448-2019信息安全技术网络安全等级保护测评要求》

《GB/T28449-2018信息安全技术网络安全等级保护测评过程指南》

3、服务范围

系统名称

安全保护等级

测评地点

电子病历（EMR）

三级

HIS

三级

门户网站

三级

HRP

二级

OA

二级

安全运维及巡检服务

/

4、技术规范

4.1、测评及评估原则

保密性原则：项目实施方应与采购人签订保密协议，对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据侵害采购人及相关权利人的权益，否则有权追究的责任。

标准性原则：测评及评估方案的设计与实施应依据国家的相关标准进行。

规范性原则：项目实施方工作中的过程和文档，应具有规范性，便于项目跟踪和控制。

可控性原则：项目的进度应符合进度安排，保证对测评工作的可控性。

整体性原则：测评及评估的范围和内容应系统、全面、规范，满足等级保护的相关基本要求。

最小影响原则：技术测评及评估工作应尽可能小的影响在线系统和网络的正常运行，不能对现有运行系统造成影响。在线测评及评估应在许可的条件下进行。

4.2、实施要求

应详细描述信息系统安全等级保护测评的整体实施方案，包括项目概述、等保测评方案、项目实施方案、时间安排、阶段性文档提交和验收标准等。应详细描述测评及评估人员的组成、资质及各自职责的划分。应配置经验丰富的测评及评估人员进行信息系统安全等级保护测评工作。

4.3、测评及评估方法

测评及评估方法包括访谈、检查和测试三种方法，可细化为文档审查、配置检查、工具测试和实地察看等多种方法。

如需对系统安全等级保护测评实施过程中采用在线测评工具，各种工具软件由成交供应商推荐，经采购人确认确认后由成交供应商提供并在工作中使用。

安全测评工具软件运行可能需要的硬件平台（如笔记本电脑、PC、工作站等）和操作系统软件等由成交供应商推荐，经采购人确认后由成交供应商提供并在测评中使用。

4.4、等级保护测评内容

根据国家等级保护相关标准，本次项目的安全等级保护测评应包括以下内容：

安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等五个方面的安全测评；

安全管理测评：包括安全管理制度、安全管理机构