您現(xiàn)在的位置: 首頁(yè) > 學(xué)校信息 > 校務(wù)公開校務(wù)公開
福建省郵電學(xué)校信息安全等級(jí)保護(hù)技術(shù)咨詢服務(wù)采購(gòu)招標(biāo)公告
發(fā)布時(shí)間：2019-12-19 來(lái)源：總務(wù)科點(diǎn)擊：
我校需采購(gòu)信息安全等級(jí)保護(hù)技術(shù)咨詢服務(wù)，現(xiàn)進(jìn)行公開招標(biāo)，歡迎具備相關(guān)資質(zhì)的投標(biāo)公司于2019年 1月 3 日8:30—10：30攜帶投標(biāo)文件到福建省郵電學(xué)校（福州市倉(cāng)山區(qū)上渡路李厝山60號(hào)）行政辦公樓總務(wù)科204室投標(biāo)。聯(lián)系人：陳老師，聯(lián)系方式：0591-83597259。現(xiàn)將有關(guān)事項(xiàng)公告如下：
一、本項(xiàng)目最高控制價(jià)為人民幣70000元。
二、投標(biāo)材料
1．投標(biāo)人有效的營(yíng)業(yè)執(zhí)照復(fù)印件；
2．投標(biāo)代表應(yīng)執(zhí)有企業(yè)法人代表的授權(quán)書原件；
3．售后服務(wù)的承諾；
4．投標(biāo)代表有效身份證復(fù)印件（注明聯(lián)系電話）；
5．信息安全等級(jí)保護(hù)技術(shù)咨詢服務(wù)報(bào)價(jià)表；
注：上述復(fù)印文件需注明與原件一致、并加蓋公章。
三、投標(biāo)保證金
投標(biāo)保證金：3500元人民幣，于2019年1月2日15：00 前以銀行轉(zhuǎn)帳方式交給福建省郵電學(xué)校財(cái)務(wù)科(備注：福建省郵電學(xué)校信息安全等級(jí)保護(hù)技術(shù)咨詢服務(wù)投標(biāo)保證金)，帳戶（名稱：福建省郵電學(xué)校開戶行：工行福州市倉(cāng)山支行帳號(hào)1402024109008921255），時(shí)間以銀行業(yè)務(wù)日戳為準(zhǔn)（節(jié)假日不順延），聯(lián)系人：林老師、程老師，聯(lián)系電話：83597445。送投標(biāo)文件時(shí)，現(xiàn)場(chǎng)提供繳交投標(biāo)保證金的并有加蓋銀行業(yè)務(wù)日戳的轉(zhuǎn)賬回單復(fù)印件一份給總務(wù)科陳老師（不必密封），未交保證金的投標(biāo)不予受理。中標(biāo)人未按規(guī)定時(shí)間到招標(biāo)方簽訂合同的，投標(biāo)保證金不予退還。未中標(biāo)人的投標(biāo)保證金在中標(biāo)人簽定協(xié)議之日起10個(gè)工作日內(nèi)無(wú)息退還。中標(biāo)人的投標(biāo)保證金直接轉(zhuǎn)為履約保證金，項(xiàng)目完成經(jīng)驗(yàn)收合格后無(wú)發(fā)現(xiàn)質(zhì)量或售后服務(wù)問題一次性無(wú)息退還。
四、投標(biāo)文件份數(shù)、樣品說(shuō)明
投標(biāo)人應(yīng)將投標(biāo)文件正本一份、副本一份和報(bào)價(jià)文件分別單獨(dú)密封在3個(gè)內(nèi)封套內(nèi)，再同時(shí)密封在一個(gè)外封套中；在內(nèi)層、外層封套口處均應(yīng)加貼密封條并加蓋投標(biāo)人公章及法定代表（或授權(quán)委托人）簽章。內(nèi)層封套上應(yīng)標(biāo)明正本、副本，并寫明項(xiàng)目名稱和投標(biāo)人名稱。外層封套上應(yīng)寫明項(xiàng)目名稱、投標(biāo)人的名稱、地址、聯(lián)系電話、郵政編碼并注明“開標(biāo)時(shí)間以前不得開封”。
五、開標(biāo)方式、評(píng)標(biāo)方法
投標(biāo)人完全實(shí)質(zhì)性響應(yīng)招標(biāo)文件內(nèi)容和招標(biāo)人提供的現(xiàn)場(chǎng)技術(shù)交底要求，采用最低價(jià)評(píng)標(biāo)辦法（最低價(jià)不作為中標(biāo)保證）；若至投標(biāo)截止期，投標(biāo)人不足三家，則重新招標(biāo)。若采購(gòu)工作小組認(rèn)為投標(biāo)人的報(bào)價(jià)明顯低于其他通過符合性審查投標(biāo)人的報(bào)價(jià)，使得其投標(biāo)報(bào)價(jià)可能低于其個(gè)別成本的，有可能影響本項(xiàng)目工程質(zhì)量或不能誠(chéng)信履約的，投標(biāo)人應(yīng)按采購(gòu)工作小組要求作出書面說(shuō)明并提供相關(guān)證明材料，不能合理說(shuō)明或不能提供相關(guān)證明材料的，采購(gòu)工作小組可將其作無(wú)效投標(biāo)處理。
六、投標(biāo)貨物規(guī)格、數(shù)量、質(zhì)量標(biāo)準(zhǔn)
采購(gòu)貨物數(shù)量、技術(shù)要求一覽表：
|
序號(hào) |
類別 |
名稱 |
數(shù)量 |
單位 |
|
1 |
信息安全服務(wù) |
信息安全等級(jí)保護(hù)技術(shù)咨詢服務(wù) |
1 |
項(xiàng) |
技術(shù)要求：
1.資產(chǎn)分析：對(duì)參與安全等級(jí)保護(hù)的系統(tǒng)進(jìn)行資產(chǎn)信息調(diào)查、網(wǎng)絡(luò)結(jié)構(gòu)調(diào)查、安全系統(tǒng)調(diào)查等，形成最終的資產(chǎn)報(bào)告。
�。�1）資產(chǎn)調(diào)查：調(diào)查和統(tǒng)計(jì)服務(wù)范圍內(nèi)的信息資產(chǎn)，其中必須包括但不限于物理環(huán)境、網(wǎng)絡(luò)設(shè)備、主機(jī)、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、人員、標(biāo)準(zhǔn)流程等，明確其現(xiàn)有狀況、配置情況和管理情況，并對(duì)所有信息資產(chǎn)按照一定標(biāo)準(zhǔn)進(jìn)行資產(chǎn)賦值，繪制各業(yè)務(wù)系統(tǒng)的數(shù)據(jù)流圖。正式開展調(diào)查時(shí)調(diào)查內(nèi)容須經(jīng)過單位審核后方可實(shí)施。
�。�2）網(wǎng)絡(luò)調(diào)查：包括對(duì)所有網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)進(jìn)行調(diào)查，并按統(tǒng)一標(biāo)準(zhǔn)繪制成圖。
�。�3）安全系統(tǒng)調(diào)查：包括但不限于明確現(xiàn)有安全設(shè)備包括防火墻、防病毒系統(tǒng)、入侵檢測(cè)系統(tǒng)等)的部署情況和使用情況，編制安全區(qū)域圖。
提交成果：《信息系統(tǒng)資產(chǎn)調(diào)查表》
2.定級(jí)咨詢：在招標(biāo)方信息系統(tǒng)自行定級(jí)的基礎(chǔ)上，中標(biāo)方參照國(guó)家和地方對(duì)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)的有關(guān)要求，對(duì)信息系統(tǒng)開展摸底調(diào)查工作，掌握信息系統(tǒng)的基本情況，了解信息系統(tǒng)（包括信息網(wǎng)絡(luò)）的業(yè)務(wù)類型、應(yīng)用或服務(wù)范圍、用戶數(shù)量、系統(tǒng)結(jié)構(gòu)、部署方式、安全策略、內(nèi)控制度等信息，撰寫信息系統(tǒng)定級(jí)報(bào)告，明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)，說(shuō)明定級(jí)的方法和理由。并收集整理定級(jí)系統(tǒng)參與福建省網(wǎng)絡(luò)與信息安全測(cè)評(píng)中心安全等級(jí)測(cè)評(píng)所需的資料和文檔。
提交成果：《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告》
3.協(xié)助備案：根據(jù)《信息安全等級(jí)保護(hù)管理辦法》，信息系統(tǒng)安全保護(hù)等級(jí)為第二級(jí)以上的信息系統(tǒng)運(yùn)營(yíng)使用單位或主管部門，應(yīng)到公安部網(wǎng)站下載《信息系統(tǒng)安全等級(jí)保護(hù)備案表》，中標(biāo)方需要協(xié)助招標(biāo)方填寫《信息系統(tǒng)安全等級(jí)保護(hù)備案表》，同時(shí)協(xié)助到公安機(jī)關(guān)完成備案工作。如需反復(fù)多次修改，須按照單位和市公安局要求修正。
提交成果：《信息系統(tǒng)安全等級(jí)保護(hù)備案表》
4.風(fēng)險(xiǎn)評(píng)估：
�。�1）根據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告》和信息系統(tǒng)安全等級(jí)保護(hù)要求，采用的技術(shù)手段、人工方法和使用的工具，明確評(píng)估的具體內(nèi)容，制訂《安全評(píng)估方案》，《安全評(píng)估現(xiàn)場(chǎng)計(jì)劃》，《安全評(píng)估作業(yè)指導(dǎo)書》，方案和作業(yè)指導(dǎo)書中必須明確采用的技術(shù)手段、人工方法和使用的工具，明確評(píng)估的具體內(nèi)容。方案和作業(yè)指導(dǎo)書須經(jīng)過單位批準(zhǔn)后方可實(shí)施。
�。�2）根據(jù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求，開展物理環(huán)境、網(wǎng)絡(luò)安全、服務(wù)器安全、應(yīng)用系統(tǒng)安全現(xiàn)狀評(píng)估。
�。�3）通過現(xiàn)場(chǎng)評(píng)估、脆弱性評(píng)估以及滲透測(cè)試等技術(shù)手段進(jìn)行信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估分析，編制風(fēng)險(xiǎn)評(píng)估報(bào)告。
進(jìn)行網(wǎng)絡(luò)入侵檢測(cè)，在入侵預(yù)警日志中能夠明確定位入侵事件類別等。
對(duì)信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，評(píng)估系統(tǒng)的漏洞與脆弱性，采用的服務(wù)工具應(yīng)提供網(wǎng)站風(fēng)險(xiǎn)列表和漏洞信息等功能。
進(jìn)行滲透測(cè)試，采用工具掃描+手工驗(yàn)證的方式，模擬黑客攻擊的方法進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試。滲透測(cè)試的內(nèi)容包括但不限于以下幾個(gè)方面：
a.偽造跨站請(qǐng)求
b.跨站腳本
c.注入攻擊測(cè)試：SQL注入、指令注入
d.惡意文件執(zhí)行：文件包含、上傳漏洞
e.直接對(duì)象不安全：參數(shù)分析、越權(quán)訪問
f.信息泄漏或錯(cuò)誤處理不當(dāng)：應(yīng)用錯(cuò)誤消息、目錄遍歷
g.加密存儲(chǔ)不安全：HTML中的敏感數(shù)據(jù)、敏感信息存儲(chǔ)、鑒別信息加密傳輸
h.認(rèn)證和會(huì)話管理不完善：會(huì)話令牌的質(zhì)量、鑒別旁路、缺省帳號(hào)、口令重置、鑒別失敗鎖定功能、空口令
i.通信不安全
j.URL強(qiáng)力瀏覽
k.應(yīng)用層DOS
l.工具掃描測(cè)試
提交成果：《安全評(píng)估方案》、《信息系統(tǒng)安全等級(jí)保護(hù)風(fēng)險(xiǎn)分析報(bào)告》
5.差距分析：在安全評(píng)估和信息系統(tǒng)定級(jí)的基礎(chǔ)上，根據(jù)《信息系統(tǒng)安全保護(hù)等級(jí)基本要求》將定級(jí)信息系統(tǒng)安全等級(jí)保護(hù)的各項(xiàng)基本要求與信息安全現(xiàn)狀進(jìn)行比較分析，從管理和技術(shù)兩個(gè)層面找出存在的問題并進(jìn)行分析。
對(duì)于需要增加投資，部署新的信息安全產(chǎn)品和技術(shù)的整改措施，雙方根據(jù)整改方案另行協(xié)商和實(shí)施。
（1）進(jìn)行安全差距分析，從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全以及安全管理深入識(shí)別現(xiàn)狀與指標(biāo)庫(kù)之間的差距情況。
�。�2）進(jìn)行網(wǎng)絡(luò)安全域分析，將運(yùn)維管理、開發(fā)測(cè)試、辦公網(wǎng)絡(luò)以及生產(chǎn)區(qū)域進(jìn)行邏輯劃分和訪問控制策略。
�。�3）進(jìn)行安全管理制度分析，從信息安全方針、管理體系、安全管理機(jī)構(gòu)的設(shè)立、人員管理、重要區(qū)域訪問控制、信息系統(tǒng)建設(shè)管理、產(chǎn)品采購(gòu)、系統(tǒng)運(yùn)維管理、惡意代碼、備份恢復(fù)策略、應(yīng)急響應(yīng)等深入識(shí)別安全管理制度與指標(biāo)庫(kù)的差距情況。
�。�4）安全建設(shè)規(guī)劃：根據(jù)上述風(fēng)險(xiǎn)評(píng)估結(jié)果，結(jié)合信息系統(tǒng)安全等級(jí)保護(hù)要求，等保規(guī)劃方案和整改方案。
a)確立保護(hù)對(duì)象b)保護(hù)計(jì)算環(huán)境c)保護(hù)區(qū)域邊界d)保護(hù)通信網(wǎng)絡(luò)e)建設(shè)安全管理體系。
提交成果：《信息系統(tǒng)安全等級(jí)保護(hù)差距分析報(bào)告》
6.管理制度輔助建設(shè)：
安全管理制度建設(shè)，主要包括但不限于信息安全工作職責(zé)，信息安全監(jiān)督、檢查機(jī)制；輔助用戶編寫方針、制度、各類記錄表格模板在內(nèi)的三層結(jié)構(gòu)的安全管理制度。管理制度包括但不限于：《信息系統(tǒng)安全策略管理》、《安全制度制訂流程規(guī)定》、《操作系統(tǒng)維護(hù)規(guī)程》、《數(shù)據(jù)庫(kù)系統(tǒng)維護(hù)規(guī)程》、《機(jī)安全管理員崗位職責(zé)》、《信息系統(tǒng)安全培訓(xùn)管理》、《安全管理日常維護(hù)細(xì)則》、《安全審計(jì)管理制度》、《第三方人員管理制度》、《防病毒緊急響應(yīng)流程》、《機(jī)房監(jiān)控與管理流程》、《機(jī)房運(yùn)行管理規(guī)范》、《服務(wù)器運(yùn)維管理規(guī)范》、《軟件開發(fā)環(huán)境使用管理要求》、《系統(tǒng)交付管理規(guī)范》、《資產(chǎn)安全管理規(guī)范》、《安全事件報(bào)告和處置管理規(guī)范》、《信息系統(tǒng)安全應(yīng)急處理體系》、《人員安全管理規(guī)范》、《信息系統(tǒng)安全運(yùn)維管理規(guī)范》……等。
7.策略復(fù)查：
�。�1）派遣專業(yè)工程師到現(xiàn)場(chǎng)針對(duì)加固前后的系統(tǒng)脆弱性進(jìn)行復(fù)查，復(fù)查手段包括但不限于協(xié)議分析、漏洞掃描、漏洞驗(yàn)證以及配置核查等方法。
�。�2）復(fù)查范圍包括：1）技術(shù)層面：物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全；2）管理層面：安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。
�。�3）復(fù)查結(jié)束后，形成加固前后對(duì)比復(fù)查報(bào)告。
8.等保測(cè)評(píng)現(xiàn)場(chǎng)輔助：在服務(wù)期內(nèi)，招標(biāo)人如有申請(qǐng)測(cè)評(píng)，則必須協(xié)助測(cè)評(píng)方完成測(cè)評(píng)數(shù)據(jù)采集等工作，直至備案系統(tǒng)通過等級(jí)測(cè)評(píng)。
服務(wù)要求：
1.投標(biāo)人或者所投服務(wù)廠商應(yīng)具備等級(jí)保護(hù)建設(shè)的能力，具備公安部信息安全等級(jí)保護(hù)安全建設(shè)服務(wù)機(jī)構(gòu)能力評(píng)估合格證；提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
2.投標(biāo)人或者所投服務(wù)廠商應(yīng)具備風(fēng)險(xiǎn)評(píng)估的能力，需具有信息安全服務(wù)資質(zhì)認(rèn)證證書（風(fēng)險(xiǎn)評(píng)估一級(jí)資質(zhì)）、國(guó)家信息安全測(cè)評(píng)信息安全（風(fēng)險(xiǎn)評(píng)估二級(jí)）；提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
3.投標(biāo)人或者所投服務(wù)廠商應(yīng)具備一定的應(yīng)急響應(yīng)能力，并能快速響應(yīng)；投標(biāo)人或者所投服務(wù)廠商需為省級(jí)或省級(jí)以上網(wǎng)絡(luò)與信息安全信息通報(bào)中心技術(shù)支撐單位以及省級(jí)或省級(jí)以上網(wǎng)絡(luò)安全應(yīng)急服務(wù)支撐單位，提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
4.投標(biāo)人或者所投服務(wù)廠商需具備完善的售后支撐服務(wù)體系，能夠?yàn)檎袠?biāo)人提供較好的信息安全服務(wù)、解決方案設(shè)計(jì)服務(wù)，需獲得ISO20000服務(wù)管理體系認(rèn)證證書，認(rèn)證范圍需覆蓋“向外部客戶提供整體安全解決方案、安全相關(guān)的SaaS及運(yùn)營(yíng)服務(wù)”，提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
5. 投標(biāo)人或者所投服務(wù)廠商應(yīng)具有WEB應(yīng)用安全測(cè)試的能力，須為互聯(lián)網(wǎng)安全研究中心應(yīng)用安全聯(lián)盟成員，提供有效證明材料復(fù)印件并加蓋投標(biāo)單位公章。
6.檢測(cè)過程所采用服務(wù)工具如配置核查系統(tǒng)、漏洞掃描工具或遠(yuǎn)程安全評(píng)估系統(tǒng)應(yīng)是投標(biāo)人或者所投服務(wù)廠商自主開發(fā)，為了保證所使用的漏洞掃描工具不具有所有權(quán)和知識(shí)產(chǎn)權(quán)糾紛,需提供計(jì)算機(jī)軟件著作權(quán)登記證書作為佐證。
其他要求:
（1）本項(xiàng)目最高控制價(jià)為人民幣70000元，報(bào)價(jià)超過控制價(jià)的為廢標(biāo)。
�。�2）投標(biāo)報(bào)價(jià)包含安裝、運(yùn)輸、裝卸、搬運(yùn)、整理、衛(wèi)生、稅金等一切費(fèi)用。
（3）按上表制作報(bào)價(jià)文件，需寫清單價(jià)項(xiàng)目合計(jì)金額、總合計(jì)報(bào)價(jià)。材料及制作要求如與招標(biāo)文件不符需在技術(shù)規(guī)格和商務(wù)偏離表注明差異。
七、結(jié)算及付款方式
中標(biāo)人按招標(biāo)人要求到貨安裝后，經(jīng)檢驗(yàn)合格，按中標(biāo)價(jià)憑正式發(fā)票結(jié)算，招標(biāo)人在一個(gè)月內(nèi)以轉(zhuǎn)賬方式一次性支付全部貨物款。中標(biāo)人投標(biāo)時(shí)繳交的投標(biāo)保證金叁仟伍佰元整（￥3500元）一并一次性無(wú)息退還。
八、售后服務(wù)要求
投標(biāo)人應(yīng)對(duì)本次采購(gòu)的貨物按招標(biāo)文件要求提供產(chǎn)品質(zhì)量保證服務(wù)，確保提供的產(chǎn)品符合招標(biāo)文件要求。
九、不正當(dāng)競(jìng)爭(zhēng)與紀(jì)律監(jiān)督：
1．嚴(yán)禁投標(biāo)人向參與招標(biāo)、評(píng)標(biāo)工作的有關(guān)人員行賄，使其泄露一切與招標(biāo)、評(píng)標(biāo)工作有關(guān)的信息。在招標(biāo)、評(píng)標(biāo)期間，不得邀請(qǐng)與招標(biāo)、評(píng)標(biāo)工作有關(guān)的人員到投標(biāo)人單位參觀考察或出席投標(biāo)人主辦或贊助的任何活動(dòng)。
2．投標(biāo)人在投標(biāo)過程中嚴(yán)禁互相串通、結(jié)盟或以其他方式損害招標(biāo)的公正性和競(jìng)爭(zhēng)性，或以任何手段影響其他投標(biāo)人參與正當(dāng)投標(biāo)。
3．如發(fā)現(xiàn)投標(biāo)人有上述不正當(dāng)競(jìng)爭(zhēng)行為，將取消其投標(biāo)資格或中標(biāo)資格并沒收其投標(biāo)保證金。
十、開標(biāo)時(shí)間、地點(diǎn)：
時(shí)間：將以短信形式另行通知，請(qǐng)投標(biāo)企業(yè)派代表于指定時(shí)間到達(dá)開標(biāo)現(xiàn)場(chǎng)，遲到視為放棄投標(biāo)。
地點(diǎn)：第二會(huì)議室。
福建省郵電學(xué)校
2019年12月19日