2025年健康管理系统等保测评合同协议.docxVIP

2025年健康管理系统等保测评合同协议

甲方（委托方）：[甲方全称]

法定代表人/授权代表：[姓名]

注册地址：[地址]

统一社会信用代码：[代码]

乙方（服务方）：[乙方全称]

法定代表人/授权代表：[姓名]

注册地址：[地址]

统一社会信用代码：[代码]

鉴于甲方拥有并运营健康管理系统（以下简称“系统”），该系统处理包含个人健康信息的重要数据，根据《中华人民共和国网络安全法》、《信息安全等级保护管理办法》等国家相关法律法规的要求，甲乙双方在平等、自愿、协商一致的基础上，就由乙方对甲方系统进行2025年度国家信息安全等级保护测评（以下简称“等保测评”）事宜，达成如下协议：

第一条测评依据与范围

1.1本次测评依据的国家标准主要包括：《信息安全技术等级保护基本要求》（GB/T22239）、《信息安全技术等级保护测评要求》（GB/T28448）、《信息安全技术等级保护安全设计规范》（GB/T35248）、《信息安全技术等级保护安全运维指南》（GB/T39726）及相关补充要求。如国家标准更新，则按更新后的标准执行。

1.2甲方确认，其健康管理系统已按照国家要求完成定级，安全保护等级为[等级]，并已完成等级保护备案，备案编号为[备案编号]。

1.3测评范围包括但不限于：

(1)系统的物理环境、网络环境及安全边界；

(2)操作系统、数据库管理系统、应用软件等基础软件平台的安全配置；

(3)系统的访问控制、身份认证、安全审计功能；

(4)数据的加密存储、加密传输措施；

(5)防火墙、入侵检测/防御系统等安全防护设备配置与有效性；

(6)应急响应预案的制定与演练情况；

(7)甲方制定的信息安全管理制度（包括策略、规程、指南等）及其执行情况；

(8)针对个人健康信息（PHI）保护所采取的技术和管理措施符合性；

(9)其他根据等保标准及测评方案涉及的内容。

1.4甲方承诺，本合同约定的测评范围是双方一致同意的，并覆盖了系统当前主要的安全相关方面。

第二条双方权利与义务

2.1甲方的权利与义务：

(1)有权要求乙方按照合同约定及国家标准开展测评工作，并对乙方的工作过程进行监督；

(2)有权审阅乙方提交的测评方案，并提出合理化建议；

(3)应及时向乙方提供开展测评工作所需的系统信息、网络拓扑图、安全策略文档、管理制度文件、操作手册、人员信息、应急预案等资料，并保证所提供资料的真实性、准确性和完整性；

(4)应指定一名或多名接口人，负责与乙方就测评事宜进行沟通、协调，并安排必要的工作场所和设施支持乙方现场测评工作；

(5)应配合乙方进行现场访谈、配置核查、工具测试、模拟攻击等测评活动，并根据乙方要求提供必要的技术支持；

(6)应确保在测评期间，系统运行环境及数据状态基本稳定，非乙方原因造成的系统重大变更，应及时告知乙方；

(7)应对乙方在测评过程中接触到的甲方商业秘密、技术秘密以及系统中的个人健康信息承担保密义务，未经乙方同意，不得向任何第三方泄露；

(8)应根据乙方提交的测评报告，结合自身实际情况，制定并落实安全整改计划；

(9)按照本合同约定向乙方支付等保测评服务费用。

2.2乙方的权利与义务：

(1)有权要求甲方按照合同约定提供必要的资料、工作条件及配合；

(2)有权按照国家等保标准和本合同约定的方案、流程开展测评工作；

(3)应具备国家认可的、在有效期内的等保测评资质，并指派具备相应资质和经验的测评工程师组成测评团队；

(4)应在合同生效后[]个工作日内，根据甲方提供的信息和等保要求，编制详细的测评方案，并提交甲方审核确认；

(5)应按照经甲方确认的测评方案，在约定的期限内完成现场测评工作，包括但不限于访谈、文档查阅、技术检测、渗透测试等；

(6)应客观、公正地分析测评结果，按照国家标准要求编写等保测评报告，报告内容应完整、准确，明确指出系统存在的安全风险及其严重程度，并给出针对性的整改建议；

(7)应按照本合同约定的时间和要求，将最终版的等保测评报告正式提交给甲方；

(8)应对在测评过程中接触到的甲方商业秘密、技术秘密以及系统中的个人健康信息承担保密义务，不得用于合同约定之外的目的；

(9)有权按照本合同约定收取等保测评服务费用。

第三条测评流程与时间安排

3.1乙方应在合同生效后[]个工作日内完成初步调研，并向甲方提交《测评方案》。

3.2甲方应在收到《测评方案》后[]个工作日内完成审核确认，并书面通知乙方。