网络安全风险信息评估合同.docVIP

网络安全风险信息评估合同

委托方（甲方）：________________________

统一社会信用代码：________________________

地址：____________________________________

法定代表人/授权代表：____________________

受托方（乙方）：________________________

统一社会信用代码：________________________

地址：____________________________________

法定代表人/授权代表：____________________

资质证明：□CISP认证□等保测评机构资质□其他（需提供证明文件）

鉴于

1.甲方为保障自身网络系统安全，需对指定范围内的网络安全风险信息进行专业评估；

2.乙方具备网络安全风险评估的专业资质、技术能力及相关经验，可提供符合国家规范的评估服务；

3.双方基于平等自愿、诚实信用原则，就本次评估服务达成如下协议。

一、服务内容与范围

1.评估对象：甲方指定的网络系统（详见附件1《评估系统清单》，包括但不限于服务器、数据库、应用系统、终端设备、网络设备及相关业务数据）；

2.服务内容：

（1）资产识别与梳理：对评估对象的硬件、软件、数据资产及业务流程进行全面盘点，形成《资产清单》；

（2）脆弱性检测：采用符合国家规范的工具（如Nessus、OpenVAS等）及人工验证，对系统漏洞、配置缺陷、权限隐患等进行扫描与分析，不得进行破坏性测试（需经甲方书面授权除外）；

（3）威胁分析：结合行业常见威胁（如勒索病毒、SQL注入、DDoS等）及甲方业务场景，识别潜在威胁源、威胁行为及影响范围；

（4）风险评估：依据GB/T20984-2007《信息安全风险评估规范》，结合资产价值、脆弱性严重程度、威胁发生概率，计算风险等级（高/中/低），形成《风险等级矩阵》；

（5）风险处置建议：针对不同风险等级，提供针对性、可落地的处置措施（如补丁更新、配置优化、安全加固方案等）；

3.服务范围：不包含甲方未列入《评估系统清单》的其他系统，及超出本协议约定的定制化开发服务。

二、服务流程与时间

1.流程：

（1）需求确认：双方确认《评估系统清单》及服务要求（合同生效后3个工作日内）；

（2）现场/远程评估：乙方派2名以上具备资质的工程师开展工作（需甲方提供必要配合，如测试账号、系统架构文档等）；

（3）报告编制：评估结束后10个工作日内，乙方完成《网络安全风险信息评估报告》初稿；

（4）验收交付：甲方对初稿提出异议（5个工作日内书面反馈），乙方修改后交付终稿（总交付周期不超过合同生效后20个工作日）；

2.时间节点：具体以双方书面确认的《项目进度表》为准。

三、双方权利义务

（一）甲方权利义务

1.提供真实、完整的评估所需资料（如系统架构图、业务流程说明、现有安全措施文档等），不得隐瞒系统敏感信息；

2.配合乙方开展评估工作（如提供测试环境、临时账号权限、现场办公条件等），权限不得超出评估所需范围；

3.对乙方交付的报告进行验收，提出合理异议并要求乙方修改；

4.按本协议约定支付服务费用；

5.不得将评估报告用于本协议约定以外的用途（如向第三方泄露、用于商业竞争等）。

（二）乙方权利义务

1.按照国家相关标准（GB/T22240、GB/T20984等）及本协议约定完成评估服务；

2.保证评估过程中不破坏甲方系统正常运行，若因乙方操作失误导致系统故障，需在24小时内配合修复并承担相应损失；

3.对评估过程中获取的甲方商业秘密、技术秘密、系统数据等严格保密（包括但不限于资产信息、漏洞详情、业务数据）；

4.按时交付符合要求的评估报告，若因乙方原因逾期，需承担违约责任；

5.对甲方提出的合理异议，在5个工作日内完成修改并重新交付。

四、服务费用与支付

1.总费用：人民币______元（大写：____________________）；

2.支付方式：

（1）预付款：合同生效后5个工作日内，甲方支付总费用的30%（______元）；

（2）中期款：乙方交付报告初稿并经甲方确认后5个工作日内，支付总费用的60%（______元）；

（3）尾款：甲方验收合格后5个工作日内，支付总费用的10%（______元）；

3.发票：乙方在收到每笔款项后5个工作日内，向甲方开具等额增值税______发票（专用/普通）；

4.支付账户：乙方指定账户（需书面确认，不得变更）。

五、验收标准与交付

1.验收标准：

（1）报告内容符合GB/T20984-2007规范，资产识别全面、脆弱性检测准确、风险等级计算合理、处置建议可行；

（2）无重大遗漏（如未识别高风险漏洞、未覆盖核心业务系统）；

（3）甲方书面确认报告满足需