四川司法警官职业学院信息系统等级保护测评服务采购项目招标公告

序号

工作单元名称

工作单元描述

*

物理位置的选择

检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

*

物理访问控制

检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。

*

防盗窃和防破坏

检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。

*

防雷击

检查机房设计/验收文档，测评信息系统是否采取相应的措施预防雷击。

*

防火

检查机房防火方面的安全管理制度，检查机房防火设备等过程，测评信息系统是否采取必要的措施防止火灾的发生。

*

防水和防潮

检查机房及其除潮设备等过程，测评信息系统是否采取必要措施来防止水灾和机房潮湿。

*

防静电

检查机房等过程，测评信息系统是否采取必要措施防止静电的产生。

*

温湿度控制

检查机房的温湿度自动调节系统，测评信息系统是否采取必要措施对机房内的温湿度进行控制。

*

电力供应

检查机房供电线路、设备等过程，测评是否具备为信息系统提供*定电力供应的能力。

**

电磁防护

检查主要设备等过程，测评信息系统是否具备*定的电磁防护能力。

序号

工作单元名称

工作单元描述

*

网络架构

检查核心设备的***和内存使用率，整个网络带宽是否满足现状，****划分是否合理，网络架构是否做到设备冗余、链路。

*

通信传输

检查数据在传输过程中的的完整性和保密性措施。

*

可信计算

检查设备是否进行可信验证。

序号

工作单元名称

工作单元描述

*

边界防护

检查网络边界是否有访问控制设备，访问控制策略是否合理，是否关闭了闲置端口等。

*

访问控制

检查网络中的访问控制策略是否合理、有效。

*

入侵防范

检查网络中是否采用了入侵防范措施，验证该措施是否有效。

*

恶意代码和垃圾邮件防范

检查网络中是否有恶意代码和垃圾邮件防范措施。

*

安全审计

检查网络中是否有综合安全审计措施。

*

可信验证

检查设备是否进行可信验证。

序号

工作单元名称

工作单元描述

*

身份鉴别

检查所有设备的登录用户是否有身份鉴别措施，是否有复杂度、唯*性等检查。

*

访问控制

检查用户的权限分配情况，默认用户和默认口令使用情况等。

*

安全审计

检查是否开启安全审计功能，是否能审计到每个用户，审计记录是否有保护措施。

*

入侵防范

检查设备在运行过程中的入侵防范措施，如关闭不需要的端口和服务、最小化安装、部署入侵防范产品等。

*

恶意代码防范

检查设备的恶意代码防范情况。

*

可信验证

检查设备是否进行可信验证。

*

数据完整性

检查系统数据的传输完整性和存储完整性措施。

*

数据保密性

检查系统数据的传输保密性和存储保密性措施。

*

数据备份恢复

检查系统的安全备份情况，如重要信息的备份、硬件和线路的冗余等。

**

剩余信息保护

检查系统的剩余信息保护情况，如将用户鉴别信息以及文件、目录和数据库记录等资源所在的存储空间再分配时的处理情况。

**

个人信息保护

检查系统对个人信息的采集和使用情况。

序号

工作单元名称

工作单元描述

*

系统管理

检查是否对系统管理员进行统*的身份鉴别，操作审计等。

*

审计管理

检查是否对审计管理员进行统*的身份鉴别，操作审计等。

*

安全管理

检查是否对安全管理员进行统*的身份鉴别，操作审计等。

*

集中管控

检查是否划分独立的安全管理区域，是否对网络中运行的设备进行状态监测、日志审计、安全审计等，是否对补丁、恶意代代码进行统*管理。

序号

工作单元名称

工作单元描述

*

安全策略

核查网络安全工作的总体方针和安全策略文件是否明确机构安全工作的总体目 标、范围、原则和各类安全策略

*

管理制度

检查有关管理制度文档和重要操作规程等过程，测评信息系统管理制度在内容覆盖上是否全面、完善。

*

制定和发布

检查有关制度制定要求文档等过程，测评信息系统管理制度的制定和发布过程是否遵循*定的流程。

*

评审和修订

检查管理制度评审记录等过程，测评信息系统管理制度定期评审和修订情况。

序号

工作单元名称

工作单元描述

*

岗位设置

检查部门/岗位职责文件，测评信息系统安全主管部门设置情况以及各岗位设置和岗位职责情况。

*

人员配备

检查人员名单等文档，测评信息系统各个岗位人员配备情况。

*

授权和审批

检查相关文档，测评信息系统对关键活动的授权和审批情况。

*

沟通和合作

检查相关文档，测评信息系统内部部门间、与外部单位间的沟通与合作情况。

*

审核和检查

检查记录文档等过程，测评信息系统安全工作的审核和检查情况。

序号

工作单元名称

工作单元描述

*

人员录用

检查人员录用文档等过程，测评信息系统录用人员时是否对人员提出要求以及是否对其进行各种审查和考核。

*

人员离岗

检查人员离岗安全处理记录等过程，测评信息系统人员离岗时是否按照*定的手续办理。

*

安全意识教育和培训

检查培训计划和执行记录等文档，测评是否对人员进行安全方面的教育和培训。

*

外部人员访问管理

检查有关文档等过程，测评对第*方人员访问（物理、逻辑）系统是否采取必要控制措施。

序号

工作单元名称

工作单元描述

*

定级和备案

检查系统定级相关文档等过程，测评是否按照*定要求确定系统的安全等级。

*

安全方案设计

检查系统安全建设方案等文档，测评系统整体的安全规划设计是否按照*定流程进行。

*

产品采购和使用

测评是否按照*定的要求进行系统的产品采购。

*

自行软件开发

检查相关软件开发文档等，测评自行开发的软件是否采取必要的措施保证开发过程的安全性。

*

外包软件开发

检查相关文档，测评外包开发的软件是否采取必要的措施保证开发过程的安全性和日后的维护工作能够正常开展。

*

工程实施

检查相关文档，测评系统建设的实施过程是否采取必要的措施使其在机构可控的范围内进行。

*

测试验收

检查测试验收等相关文档，测评系统运行前是否对其进行测试验收工作。

*

系统交付

检查系统交付清单等过程，测评是否采取必要的措施对系统交付过程进行有效控制。

*

等级测评

检查系统之前等级测评的情况，以及之前测评机构的资质等。

**

服务供应商选择

测评是否选择符合国家有关规定的安全服务单位进行相关的安全服务工作。

序号

工作单元名称

工作单元描述

*

环境管理

检查机房安全管理制度，机房和办公环境等过程，测评是否采取必要的措施对机房的出入控制以及办公环境的人员行为等方面进行安全管理。

*

资产管理

检查资产清单，检查系统、网络设备等过程，测评是否采取必要的措施对系统的资产进行分类标识管理。

*

介质管理

检查介质管理记录和各类介质等过程，测评是否采取必要的措施对介质存放环境、使用、维护和销毁等方面进行管理。

*

设备维护管理

检查设备使用管理文档和设备操作规程等过程，测评是否采取必要的措施确保设备在使用、维护和销毁等过程安全。

*

漏洞和风险管理

检查系统对于漏洞和安全隐患风险的管理，是否有报告、记录等文档，是否定期开展安全测评等。

*

网络和系统安全管理

检查系统和网络的安全管理文档，是否明确了角色划分、权限划分，是否覆盖安全策略、账户管理、配置文件的生成及备份、变更审批等内容；检查运维操作日志是否覆盖网络和系统的日常巡检、运行维护、参数的设置和修 改等内容；核查是否具有对日志、监测和报警数据等进行分析统计的报告；核查开通远程运维的审批记录，核查针对远程运维的审计日志是否不可以更改等。

*

恶意代码防范管理

检查恶意代码防范管理文档和恶意代码检测记录等过程，测评是否采取必要的措施对恶意代码进行有效管理，确保系统具有恶意代码防范能力。

*

配置管理

检查是否对基本配置信息进行记录和保存，基本配置信息改变后是否及时更新基本配置信息库等。

*

密码管理

测评是否能够确保信息系统中密码算法和密钥的使用符合国家密码管理规定。

**

变更管理

检查变更方案和变更管理制度等过程，测评是否采取必要的措施对系统发生的变更进行有效管理。

**

备份与恢复管理

检查系统备份管理文档和记录等过程，测评是否采取必要的措施对重要业务信息，系统数据和系统软件进行备份，并确保必要时能够对这些数据有效地恢复。

**

资产管理

检查是否有资产清单，清单是否包括资产类别、资产责任部门、 重要程度和所处位置等内容；是否依据资产的重要程度对资产进行标识，不同类别的资产在管理措施 的选取上是否不同；核查资产管理制度是否明确资产的标识方法以及不同资产的管理措施要求。

**

应急预案管理

检查应急响应预案文档等过程，测评是否针对不同安全事件制定相应的应急预案，是否对应急预案展开培训、演练和审查等。

**

外包运维管理

检查外包运维服务情况，单位是否符合国家有关规定，协议是否明确约定外包运维的范围和工作内容等。

序号

评分因素及权重

分值

评分标准

说明

*

价格**%

**分

以本次有效的最低投标报价为基准价，投标报价得分=(基准价／投标报价) ×**

*

测评方案**%

**分

*.测评方案中包含测评流程、测评方法、测评指标和配合需求的，得*分；未包含完整的，得*分；*项未包含的，不得分。

*.正确理解网络安全等级测评，测评思路清晰、测评内容完整、测评重点突出，针对每点测评要求项提出完善的测评方法，方法全面、合理，并具有很强的针对性的，得*分；较为全面、合理，方法针对性较强，得*分；未提供的，不得分。

*

专业人员技术力量**%

**分

技术负责人同时具有:

*、 信息安全等级评测师（高级）证书或网络安全等级评测师（高级）证书

*、 信息安全保障人员（*****）证书（认证方向：应急服务）

*、 注册云安全系统认证专家（*****）证书

*、 信息安全测评师

*、 国家重要信息系统保护人员培训证书

*、 计算机技术与软件专业技术人员资格认证的信息系统项目管理师（高级）证书

每提供*个得*.*分，全部提供，得**分。

提供投标人为该技术负责人、项目经理、测试人员购买的，自****年以来连续*个月的社保证明材料。否则，不得分。

**分

*、项目经理同时具有：

*、信息安全等级评测师（高级）证书或网络安全等级评测师（高级）证书

*、信息安全测评师

*、信息安全保障人员（*****）证书

*、注册云安全系统认证专家（*****）证书

*、注册网络安全渗透评估专业人员（*****-*）证书

*、计算机技术与软件专业技术人员资格认证（中级及以上）职称证书

*、计算机软件产品检验员证书

每提供*个得*分，全部提供，得**分。

**分

测试人员具有：

*、 信息安全等级评测师证书或网络安全等级评测师证书

*、 网络与信息安全应急人员（技术*级）

*、 注册网络安全渗透评估专业人员（*****-*）证书

*、 信息安全保障人员（*****）

*、 国家重要信息系统保护人员培训证书

*、 注册云安全系统认证专家（*****）证书

以上证书全部具有，得**分；缺*个扣*分，扣完为止。

*

业绩**%

**分

****年*月*日以来，具有信息安全测评项目案例，每具有*个，得*分，最多得**分；（提供合同复印件，加盖投标人公章）

*

履约能力**%

**分

*、具有*******质量管理体系认证证书；********信息技术服务管理体系证书；********信息安全管理体系证书的*个得*分，最多得*分，未提供相关证明材料的不得分。

*、投标人具有工业信息安全应急服务支撑单位证书得*分，具有工业信息安全测试评估机构能力认定证书得*分。

*、投标人在****年*月*日至今，具有*份及以上****颁发的“原创漏洞证明”证书，*个得*分，最高得*分。