年月日第五章項目要求一、項目介紹根據工作需要，核工業成都機電學校擬對學校的業務系統，在技術和管理兩個方面的10個大項內容進行網絡安全等級測評，其內容涉及信息系統的物理安全、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心、安全管理機構等，以核查核工業成都機電學校信息系統已有的信息安全防護措施是否達到國家關于信息安全等級保護相應等級的防護要求，找出系統在網絡安全方面存在的脆弱點，并提出安全整改建議。通過測評來發現問題、解決問題，從而幫助系統的使用者規避信息安全風險。經我校初步測算，信息系統共有2個二級信息系統需要進行等級測評服務。中選供應商將在采購人指定地點完成所有信息系統的等級保護測評服務，并提出整改建議。所需要測評的信息系統如下：測評對象等級數量門戶網站二級1頂崗實習系統二級1二、基本要求1.服務地點：采購人指定地點。2.付款方式：甲方應于本合同生效且甲方收到乙方開具的等額發票后5個工作日內，甲方向乙方支付合同總金額50%的款項，測評工作完成，乙方出具測評報告經甲方認可，且甲方收到乙方開具的等額發票后5個工作日內，甲方向乙方支付合同金額余下50%的款項。3.供應商的報價應是完成本項目全部內容的全部價格（含稅），除比選文件有明確說明外，在合同履行過程中，不得再增加任何費用。4.供應商報價不得超過本項目的預算價，高于預算的報價將作為無效響應文件。5.項目驗收要求5.1達到采購人測評目的：5.1.1通過等級保護測評，驗證信息系統的安全性。5.1.2對信息系統的安全狀態做出判斷，驗證其是否符合等級保護要求。同時，將測評結論作為進一步完善系統安全防護措施的依據。5.1.3出具信息安全等級保護測評報告。5.2項目交付文檔項目實施過程及完成后，投標人應向采購人提交包含但不限于以下的文檔：《網絡安全等級測評方案》；《網絡安全等級整改建議》；《網絡安全等級測評報告》。6.測評依據：GB/T22239-2019信息安全技術網絡安全等級保護基本要求；GA/T1389—2017信息安全技術網絡安全等級保護定級指南；GB/T25058-2010信息安全技術信息系統安全等級保護實施指南；GB/T28449-2012信息安全技術信息系統安全等級保護測評過程指南；GB/T28448-2012信息安全技術信息系統安全等級保護測評要求；GB/T20984-2007信息安全技術信息安全風險評估規范；GB/T18336.1-2008信息技術安全技術信息技術安全性評估準則。7.項目管理供應商必須提供完整的項目管理方案，需要針對以下項目管理要求進行項目管理服務要求進行承諾，未提供項目管理服務承諾為無效響應。7.1供應商及其測評人員應當嚴格執行有關國家信息安全等級保護相關標準和有關規定，提供客觀、公平、公正、有效的等級保護測評服務，并承擔相應的法律責任；7.2應具備能夠保證其公正性、獨立性的質量體系，確保測評活動不受任何可能影響測評結果的商業、財務、健康、環境等方面的壓力；7.3供應商在對被測評單位開展等級保護測評服務之前需與被測評單位簽訂保密協議，測評過程中向被測評單位借閱的文檔資料應在測評工作結束后全部歸還被測評單位，未經被測評單位允許，不得擅自復制、保留；7.4供應商的崗位配置要至少配置測評師、項目經理、滲透工程師、質量主管等并明確各個崗位的相關職責。7.5測評工具要求7.5.1采用的測評工具必須獲得正版授權，并在有效期內，不得使用盜版軟件；7.5.2采用的測評工具在功能、性能等滿足使用要求前提下，應優先采用具有國內自主知識產權的同類產品；7.5.3采用的測評工具的生產商應為正規廠商，能夠對產品進行持續更新并提供質量和安全保障；7.5.4測評機構所使用的測評工具不會對單位系統產生破壞或負面影響。9.技術要求9.1網絡安全等級保護測評要求9.1.1投標人應詳細描述本次項目整體實施方案，包括項目概述、等保測評服務方案、項目實施方案等。9.1.2投標人應詳細描述服務人員的組成、資質及各自職責的劃分。投標人應配置有經驗的測評人員進行本次等級保護測評工作。9.2網絡安全等級保護測評的具體要求9.2.1信息系統技術安全測評9.2.1.1物理安全測評應當包含：物理位置選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應、電磁防護等。9.2.1.2安全通信網絡測評應當包含：網絡架構、通信傳輸、可信驗證等。9.2.1.3安全區域邊界測評應包含：邊界防護、訪問控制、入侵防范、惡意代碼和垃圾郵件防范、安全審計、可信驗證等。9.2.1.4安全計算環境測評應包含：身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、可信驗證、數據完整性、數據保密性、數據備份恢復、剩余信息保護、個人信息保護。9.2.1.5安全管理中心測評應當包含：系統管理、審計管理、安全管理、集中管控。9.3信息系統管理安全測評9.3.1安全管理制度測評應當包含：安全策略、管理制度、制定和發布、審批和修訂。9.3.2安全管理機構測評應當包含：崗位設置、人員配備、授權和審批、溝通和合作、審核和檢查。9.3.3安全管理人員測評應當包含：人員錄用、人員離崗、安全意識教育和培訓、外部人員訪問管理。9.3.4安全建設管理測評應當包含：定級和備案、安全方案設計、安全產品采購和使用、自行軟件開發、外包軟件開發、工程實施、測試驗收