022019-11
等保测评服务德阳市统计局2019年“二级等保测评

发布者: 浏览次数:

  我局将采用公开招标的方式,购买德阳市统计局网站系统“二级等保测评”服务。请各供应商按照附件的要求准备资料,并按时参加开标。

  根据《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安〔2007〕第861号)等有关要求,现拟对德阳市统计局网站系统等级保护测评服务项目安全等级保护测评服务工作进行采购。具体事项如下:

  2、开标地点:德阳市统计局(德阳市旌阳区长江西路一段37号市政府13楼02号办公室)。

  (7)具有国家网络安全等级保护工作协调小组办公室颁发的《网络安全等级保护测评机构推荐证书》。

  (2)对信息系统的安全状态做出判断,验证其是否符合等级保护要求。同时,将测评结论作为进一步完善系统安全防护措施的依据。

  GB/T 28449-2012信息安全技术信息系统安全等级保护测评过程指南

  GB/T 18336.1-2008信息技术安全技术信息技术安全性评估准则

  本次测评的主要是根据GB 17859-1999《计算机信息系统安全保护等级划分准则》信息安全的相关标准,对德阳市统计局网站系统在技术和管理两个方面的10个大项内容进行逐一的检查和测试,其内容涉及信息系统的物理安全、网络安全、澳门贵宾会手机主机安全、应用安全、数据安全和管理安全等,以核查德阳市统计局网站系统已有的信息安全防护措施是否达到国家关于信息安全等级保护相应等级的防护要求,找出系统在信息安全方面存在的脆弱点,并提出安全整改建议。通过测评来发现问题、解决问题,从而帮助系统的使用者规避信息安全风险。

  经我单位初步测算,德阳市统计局网站系统(共1个二级信息系统)需要进行等级保护测评服务。中标人将在招标人指定地点完成所有信息系统的等级保护测评服务,并提出整改建议。

  供应商必须提供完整的项目管理方案,投标人需针对以下项目管理要求进行项目管理服务承诺,未提供项目管理服务承诺视为无效投标人。

  1、供应商及其测评人员应当严格执行有关国家信息安全等级保护相关标准和有关规定,提供客观、公平、公正、有效的等级保护测评服务,并承担相应的法律责任;

  2、应具备能够保证其公正性、独立性的质量体系,确保测评活动不受任何可能影响测评结果的商业、财务、健康、环境等方面的压力;

  3、供应商在对被测评单位开展等级保护测评服务之前需与被测评单位签订保密协议,测评过程中向被测评单位借阅的文档资料应在测评工作结束后全部归还被测评单位,未经被测评单位允许,不得擅自复制、保留;

  4、供应商的岗位配置要至少配置测评师、项目经理、渗透工程师、质量主管等并明确各个岗位的相关职责。

  (2)采用的测评工具在功能、性能等满足使用要求前提下,应优先采用具有国内自主知识产权的同类产品;

  (3)采用的测评工具的生产商应为正规厂商,能够对产品进行持续更新并提供质量和安全保障;

  1、投标人应详细描述本次项目整体实施方案,包括项目概述、等保测评服务方案、项目实施方案等。

  2、投标人应详细描述服务人员的组成、资质及各自职责的划分。投标人应配置有经验的测评人员进行本次等级保护测评工作。

  (1)物理安全测评:物理安全检测应当包含物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等十个单元。

  (2)网络安全测评:网路安全测评应当包含结构安全、访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护等。

  (3)主机安全测评:主机安全测评应当包含身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等。

  (4)应用安全测评:应用安全测评应当包含身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制。

  (5)数据安全及备份恢复测评:数据安全及备份恢复测评应当包含数据完整性、数据保密性、备份和恢复。

  (1)安全管理制度测评:安全管理制度测评应当包含管理制度、制定与发布、审批和修订。

  (2)安全管理机构测评:安全管理机构测评应当包含岗位设置、人员配备、授权和审批、沟通和合作、审核和检查。

  (3)人员安全管理测评:人员安全管理测评应当包含人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人员访问管理。

  (4)系统建设管理测评:系统建设管理测评应当包含系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、测评、安全供应商选择。

  (5)系统运维管理测评:系统运维管理测评应当包含环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理。

  1、付款方式:测评工作完成,乙方出具测评报告经甲方认可,并通过公安局备案之后,乙方开具等额发票,甲方收到乙方开具的等额发票后15个工作日内,甲方向乙方支付合同全部金额。

  4、履约与验收:本项目采购人及其委托的采购代理机构将严格按照政府采购相关法律法规以及《四川省政府采购项目需求论证和履约验收管理办法》(川财采〔2015〕32号)的要求进行验收。

  在服务过程中,需严格遵循保密原则。双方签订保密协议,对服务过程中涉及到的任何用户信息未经允许不得向其他任何第三方泄漏,以及不得利用这些信息损害采购方利益。

  1.由采购人组建的采购小组按照采购文件要求,确定为符合采购文件资质要求,且实质上响应采购文件要求的报价文件进行评价和比较。

  2.评审方法:综合评标法,即在全部满足采购文件实质性要求前提下,依据统一的评分要素评定评分,以最高评分的供应商作为成交供应商。其成交原则是“符合采购需求、质量和服务要求且评分最高”。其操作程序为:采购小组将对通过符合要求的供应商按照其评分由高到低的顺序进行排序。

  以本次经评审的有效的最低最后报价为基准价,报价得分=(基准价/报价)×30。

  投标人项目实施方案组成包括项目实施标准、测评准备、方案编制、现场测评、报告编制、项目人员安排、项目实施周期等内容得8分,不完整不得分。

  能准确理解项目的意义和背景,对项目的需求、目标、意义、以及本项目开展思路和框架有全面、准确的理解,能够明确项目的输出成果,得5分;对项目的需求及输出成果理解不够明确,不得分。

  方案系统整体性很强,设计方案统一明晰,项目计划明晰,时间把控非常合理,服务内容的安排十分明确、合理,制定了详细、规范的项目计划,得5分;方案缺乏系统整体性,设计方案不够统一,项目计划不明晰,时间把控不够合理的,得2分;安排不够明确、合理,没有详细项目计划,不得分。

  1、供应商具有中国网络安全审查技术与认证中心颁发的信息安全风险评估服务资质证书和AAA信用认证证书得4分,少提供一个证书得2分,须提供有效证书扫描件并加盖鲜章。

  2、供应商每提供1名中级测评师得2分,最多得10分,须提供有效证书扫描件并加盖鲜章。

  1、为保障测评项目能够进行整体管控,项目负责人应具有技术测评相关的信息安全等级测评师(高级)证书,项目负责人在项目管理方面应具有信息系统项目管理师证书(高级),项目负责人应在信息咨询方面应具有咨询师证书,项目负责人同时具有以上证书得8分。少提供一个证书得4分。须提供有效证书扫描件并加盖鲜章。

  2、为保障测评项目能够顺利进行交付,项目经理应具有技术测评相关的信息安全等级测评师(中级)以上(包括中级)证书并获得国家信息安全等级保护工作协调小组办公室颁发的荣誉证书。为证明项目经理在信息安全的综合技术能力项目经理应具有CISP(认证级别CISE)证书和CISAW证书,项目经理同时具有以上证书得4分,少提供一个证书得2分。须提供有效证书扫描件并加盖鲜章。

  3、项目实施人员信息安全等级测评师(中级)具有RSE-GI(锐捷通用行业认证)得10分,须提供有效证书扫描件并加盖鲜章且提供官网截图证明和官网查询链接。

  4、项目实施人员测评师具有ITIL证书,每提供1名得2分,最多得4分。须提供有效证书扫描件并加盖鲜章且提供官网截图证明和官网查询链接。

  5、2017-2019年目前完成测评二级及以上项目成果证明,提供一项得2分,最多得分10分。