工业互联网安全漏洞信息检测合同.docVIP

工业互联网安全漏洞信息检测合同

工业互联网安全漏洞信息检测合同

甲方（委托方）：

统一社会信用代码：_________________________

法定代表人：_____________________职务：________

地址：_________________________联系方式：________

乙方（服务方）：

统一社会信用代码：_________________________

资质证书编号：_____________________（网络安全等级保护测评机构资质/工业互联网安全服务能力认证等）

法定代表人：_____________________职务：________

地址：_________________________联系方式：________

鉴于

1.甲方为工业企业，需对其工业互联网系统开展安全漏洞检测，以符合《网络安全法》《数据安全法》《工业互联网安全防护指南（试行）》等法规要求；

2.乙方具备工业互联网安全漏洞检测的专业资质、技术能力及合规经验，可提供符合国家相关标准的检测服务；

3.双方经平等协商，就甲方委托乙方开展工业互联网安全漏洞信息检测事宜达成一致，签订本合同。

第一条服务内容与范围

1.1检测对象（甲方确认清单见附件1）

包括但不限于：

-工业控制设备：PLC、DCS、SCADA服务器、现场总线（PROFINET、Modbus等）终端；

-工业互联网平台：云化MES、工业APP、边缘计算网关、数据采集与监控系统；

-网络架构：工业控制网络（OT层）、信息网络（IT层）、跨层交互链路；

-数据传输：工业数据加密通道、远程运维链路、第三方接入接口。

1.2检测方法与标准

-方法：漏洞扫描（自动化工具+人工验证）、渗透测试（模拟攻击者入侵）、配置审计（设备/系统安全配置核查）、协议分析（工业控制协议漏洞排查）；

-标准：GB/T20281-2022《信息安全技术网络安全漏洞管理规范》、GB/T36333-2018《工业控制系统安全防护能力评估指标体系》、《工业互联网安全检测技术要求》（工信部相关规范）。

1.3检测深度

-高危漏洞：100%覆盖检测对象，优先验证；

-中危漏洞：抽样检测（抽样比例≥80%）；

-低危/一般漏洞：全量扫描+关键设备验证。

1.4交付成果

乙方应在服务期限内交付《工业互联网安全漏洞检测报告》（以下简称“检测报告”），内容包括：

-检测对象清单、检测过程记录；

-漏洞清单（含漏洞ID、位置、风险等级、影响范围、验证方法）；

-漏洞成因分析、处置建议（含临时防护、修复方案、验证步骤）；

-合规性评估（是否符合等保2.0、工业互联网安全相关要求）。

第二条服务期限

1.启动时间：本合同生效后5个工作日内，甲方完成检测环境隔离及权限授权后，乙方启动检测；

2.检测周期：自启动之日起20个工作日内完成现场检测及报告初稿编制；

3.报告交付：初稿交付后，甲方3个工作日内反馈修改意见，乙方2个工作日内完成定稿交付；

4.复评期限：甲方完成漏洞处置后，书面通知乙方，乙方10个工作日内完成复评并交付《漏洞处置验证报告》。

第三条费用及支付

3.1总费用

人民币______元（大写：_____________________），含检测费、复评费、报告编制费，不含甲方配合产生的设备调试、网络隔离等成本。

3.2支付方式

-第一期：合同生效后5个工作日内，甲方支付总费用的30%，即______元；

-第二期：检测报告定稿交付后5个工作日内，甲方支付总费用的60%，即______元；

-第三期：复评报告交付后5个工作日内，甲方支付总费用的10%，即______元。

3.3发票要求

乙方应在每期付款前，向甲方开具对应金额的增值税专用发票（税率______%），甲方凭发票付款。

第四条双方权利义务

4.1甲方权利义务

权利：

-要求乙方按本合同约定标准、期限完成检测；

-对检测报告提出修改意见，要求乙方补充验证；

-要求乙方对检测过程中发现的高危漏洞立即预警。

义务：

-提供准确的检测对象清单、网络拓扑图、设备配置说明（见附件1）；

-配合乙方完成检测环境隔离（确保测试环境与生产环境物理/逻辑隔离），提供非生产时段测试权限（不得直接操作生产设备控制端口）；

-按时支付合同费用；

-对检测报告及乙方提供的技术资料保密。

4.2乙方权利义务

权利：

-要求甲方提供必要的检测配合（含权限、环境、资料）；

-按约定收取服务费用；

-对甲方未配合导致的检测延误，有权顺延服务期限。

义务：

-确保具备本合同约定的检测资质，检测人员持有相关从业资格；

-检测过程中不得破坏甲方生产系统、泄露生产数据，测试结束后删除所有测试数据；

-发现高危漏洞（CVSS评分≥7.0），应在24小时内书面通知甲方；中危漏