关于公众服务平台安全维护项目 1项的在线询价公告[绍兴市上虞区卫生信息中心]
| 所在地区： | 浙江-- | 发布日期： | 2019年11月22日 |
一、项目信息
项目名称:绍兴市上虞区卫生信息中心关于公众服务平台安全维护项目 1项的在线询价采购项目
项目编号:32019112254352843
项目联系人:超级机构管理员
项目联系电话:13858539005
采购计划文号:[2019]11857号
采购计划金额（元）:150000.00
预算总额（元）: 150000.00
项目所在行政区划编码:330682
项目所在行政区划名称:上虞区
二、采购单位信息
采购单位名称:绍兴市上虞区卫生信息中心
采购单位地址:上虞
采购单位联系人和联系方式:/
采购单位社会统一信用代码或组织机构代码:123306820583492215
采购单位预算编码:366007
三、采购项目内容
序号 采购内容 品牌 规格型号 数量 技术参数或配置要求 1 公众服务平台安全维护项目 1 1.招标内容：公众服务平台安全维护项目。2、技术参数要求：服务范围: “健康上虞”微信公众号（含互联网医院及各种二级子页面链接等）、上虞区公众服务平台（含检验、特检、健康档案、体检报告、就诊信息查询、分级诊疗等信息查询子网页），下面简称“网站”；服务期限:3年，签订合同提供第一次服务报告（须采购人确认）之日起开始计算服务时间；服务内容:1）网站渗透测试服务及协助加固服务。对网站进行模拟黑客攻击，服务期内每年对网站进行四次非破坏性质的攻击性测试，提供系统所存在的安全威胁和风险报告，并能及时修复漏洞和提供加固方式。渗透测试时间由采购方确定。签订合同前需要提供已有渗透测试技术文档证明。2）由安全专家通过手工或扫描工具对网站各关键应用系统的应用漏洞进行远程扫描，并汇总检测结果，通过人工分析、验证，帮助用户主动发现应用系统存在的安全漏洞以及安全隐患，并提出解决建议、出具检测报告。3）在渗透测试的后期，需要整理渗透测试的过程文档，制作渗透测试报告。渗透测试报告包含渗透过程中采用的方法、手段、测试项目、发现的问题、以及相关漏洞的加固建议和系统的安全建议。4）网站加固方面:针对前期安全评估及渗透测试结果，协助网站开发方对网站内容进行加固，消除网站代码本身存在的不安全因素，并设置WAF安全策略，达到整体防护要求。安全服务提供商协助采购方有针对性的调整WAF策略，防止网络受入侵。签订合同前提供原厂实现技术说明。5）渗透测试:工具不得少于两个，报告将包括:渗透测试概述（原理、目标、范围、人员、方法，局限性）。渗透测试结论:应包括但不仅限于系统优势、系统弱点汇总、造成的影响以及结论、严重漏洞分析和解决建议（方案）、渗透测试流程（采取的重要步骤、外部输入、系统的响应、破解方法等）、风险控制措施（时间选择、策略选择、系统备份与恢复，协调沟通）。提交《全网渗透测试报告》和《全网应用安全测试报告》文档。6）内部服务器主机安全评估及加固服务:由专业安全厂商提供二次专业安全评估服务，安全评估需包含网络架构安全评估、主机系统安全评估、数据安全评估、应用安全评估、整体安全策略评估及渗透测试六大块内容，通过安全评估，对网站的整体安全情况有全面的了解，除做基础评估内容外，还需对各信息系统进行渗透测试，在各种强度的模拟攻击下，深入了解系统的坚固程度和脆弱点。通过评估及渗透测试结果，对相应系统进行针对性的加固及防御。渗透测试需由采购方与服务提供方人员一同进行。安全服务提供方需具备国家一级信息安全服务资质，涉密乙级计算机信息系统集成资质，具备相应涉密人员（签订合同前提供）评估范围应覆盖网站及区卫生信息中心所有信息系统软硬件，次数为两次，具体要求包括:网络架构安全评估:包括结构安全与网段划分评估、网络访问控制评估、接入访问控制评估、网络安全审计评估、边界完整性检查评估、网络入侵防范评估、恶意代码防范评估、网络设备自身防护评估。主机系统安全评估:包括身份鉴别、自主访问控制、安全审计、系统保护、剩余信息保护、恶意代码防范、资源控制等方面评估。数据安全评估:包括数据保护评估、数据完整性评估、数据保密性评估、安全备份评估。应用安全评估:包括身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、软件容错、资源控制、代码安全等方面。整体安全策略评估:依据物理安全、网络安全、主机安全、应用安全、数据安全等五个方面评估结果，同时考虑在信息安全管理体系等其他互补因素，然后进行全面的安全策略有效性评估。评估结果作为后期加固依据。评估负责人员需通过等级保护初级测评师认证及IS27001LA（签订合同前提供资料确认）。7）渗透测试:渗透测试涉及的范围仅限于上述网站等（由采购人确定），渗透前需签定相关保密协议。渗透测试包括对 Windows、AIX、 Linux等主机操作系统进行渗透测试；对 MySQL、 Oracle、 sqlserver等数据库应用系统进行渗透测试；对渗透目标提供的各种应用，如ASP、CGI、JSP、PHP等组成的WEB应用进行渗透测试；对各种防火墙、入侵防御系统、网络设备等进行渗透测试。8）渗透采用技术包括但不限于:内网测试主要有远程缓冲区溢出、口令猜测、以及B/S或C/S应用程序测试（如果涉及C/S程序测试，采购人提前准备相关客户端软件供测试使用））；外网测试主要有信息收集分析、端口扫描、权限提升、不同网段/Vlan之间的渗透、溢出测试、SQL注入攻击、页面隐藏字段检测、跨站攻击、EB应用测试、第三方 Cookie软件误配置利用、利用、后门程序利用、VOIP测试等。在渗透测试中还需要借助暴力破解、网络嗅探等其他方法，目的也是为获取用户名及密码在渗透测试前服务提供商应以书面的形式将备种有可能存在的后果充分告之采购人。9）安全服务提供方需依据实际测评结果进行整改方案的编写与整改过程指导需配合招标方一起进行相应整改加固工作。10）服务器主机安全加固服务:依据《信息安全等级保护安全建设整改工作指南》，结合《信息安全技术信息系统安全等级保护基本要求》，安全服务提供商针对信息系统的整改意见和前期安全评估输出的报告进行加固，加固范围包含主机系统、软件系统、数据库系统、网络设备、网络安全设备、网站等。服务期内加固次数不少于1次，具体加固要求如下:系统加固:针对前期安全评估及渗透测试结果，配合开发商进行补丁更新，恶意代码检测和清除，漏洞加固，增加用户密码等信息的复杂度（如长度、字符/数字混合）鉴别检查功能，应用级和文件级访问控制等操作。网络级加固:针对前期安全评估及渗透测试结果，进行网络结构修整，设备安全加固，QoS，地址绑定，访问控制策略调整等。应用及数据库加固:针对前期安全评估及渗透测试结果，配合软件开发商进行数据库漏洞修复，数据库安全策略修改，提供应用系统漏洞整改建议，通过安全设备策略调整达到保护应用系统的目的，或者配合软件开发商修补漏洞。安全服务提供商需具备通信网络安全服务能力评定（风险评估二级）。11）网站24小时监控服务:在一年服务期内对上述网站（用户指定网站）提供7＊24小时的安全检测，实时发现问题进行应急响应，规避风险，每个月提供监控情况报告。对指定的网站页面进行定时检测，对网站页面的大小、页面元素等进行比对，及时发现用户应用系统页面被恶意删除、篡改、挂马、暗链等事件，并向用户进行预警通知，提供页面恢复方案建议，使用户能够迅速恢复页面，降低页面篡改事件给用户带来的影响。网站出现安全异常或潜在风险时，及时向主管部门提供报告和提供应急响应措施，并将影响范围控制在最小范围。具体包含:网页篡改检测；网页挂马检测；敏感信息检测（通过智能算法精确检测用户的应用系统页面中是否包含敏感关键词，包括:反动、色情等非法信息，并采取人工核查的方式对敏感键的实性进行判定，发现敏感信息及时向用户预警，定位敏感信息的发位，提醒用户及时删除敏感住息应用系统可用性检测:通过多条网络线路来用选程探测的方式，对用户指定的应用系统域或IP地址行7＊24小时互联网述通性检测，及时发现网络中断、DNS解析故障筝问题，并向用户进行预警通知，协助用户排查、定位故原因。网站流量分析:通过现有流量控制系统对网站流懾进行细节分析，通过分析出具专业应用流分配报告。对重要应用进行流量保障策略调整。签订合同前提供原厂盖章的流量设置专业分析技术方案。交付文档包括但不仅限于《网站日常运行监测月度报告》《网站安全事件通告》。12）网站云安全服务:支持上述网站云防护节点的防护（不少于3个一级域名），支持公有云储备带宽大于1T。提供DNS流量引流洗服务，可以防护DNS攻击。支持木马、病毒、后门、蠕虫等的恶意扫描和过滤。支持对跨站脚本、SQL注入、远程文件包含、SQL注入等各种攻击，能够高效、实时，准确识别攻击，并阻断。支持对缓存的高级控制。支持对各类型漏洞的扫描，包括SQL注入、XSS漏洞、文件包含漏洞、 STRUST2漏洞等。提供安全报表，支持在线生成和导出安全报表。由安全服务提供商提供整合服务，在隐藏具体IP后，外网用户无法通过真实IP进行访问、扫描、探测等行为。13）中标方提供web管理页面供采购人日常查询管理使用，内容包括云安全服务、24小时监测管理、相应统计报表等。14）对服务发现的问题经整改后，须配合采购方进行复查，以确定加固整改效果，不计算次数。应急特殊情况下，中标方须无条件配合采购方进行各项安全防护工作。15）提供每年不少于一次的全区医疗卫生机构信息安全检查工作。协助采购方对上虞区内医疗卫生机构开展信息安全检查。如果中标方提供的服务无法满足采购人要求，采购人有权终止合同并向中标方提出索赔。3.其他要求:要求项目在中标后15个工作日内完成第一次服务报告，并获采购人确认。因中标方责任造成采购人损失的，由中标方承担全部责任，并不受合同金额限制。出现突发安全事件时，中标方须提供24小时不间断技术支持。为了方便起见，可能会采取按某种服务要求予以表述，但并不因此限制或者拒绝投标人以其他能满足本项目技术需求且性能与所明确要求相当的服务参加投标。本采购项目不接受负偏离投标服务。4.合同签订：中标公示结束后三个自然日内签订合同，签订合同前须提供原厂商针对本次采购产品的免费质保服务期限承诺函等证明材料，否则合同不生效。5.特别说明：无故逾期不签订合同，逾期二个自然日的，视作虚假或不诚信应标，取消中标资格；不按照规定时间提供服务，逾期七个自然日，采购人有权单方面终止合同。如果中标人出现严重违约的，采购人有权向财政部门和招投标监督办等上级部门汇报中标人违约行为，并有建议列入不诚信企业黑名单的权利。6.付款要求：提供第一次服务报告（须甲方确认）后按年支付合同款（不计息），本次项目合同时间为三年；因年终财务关账等原因，实际付款时间可能会存在±1个月调整。7.违约处理：因中标人实施或提供产品质量、服务、不匹配、不到位引起采购人损失的，由中标人承担全部责任。出现故障，要求5分钟内响应，24小时不间断组织抢修。采购人在中标人未及时响应的情况下，有权请第三方介入技术支持和维修，中标人另需承担因此产生的第三方机构技术支持/维修等费用,按实予以赔偿。如果出现中标人严重违约的（包括未按照要求提供服务），采购人有权向财政部门和招投标监督办等上级部门汇报中标人违约行为，并有建议列入不诚信企业黑名单的权利。8.其他说明：本项目的采购询价文件、中标的投标文件、投标修改文件、评标过程中有关澄清文件、经双方签字的询标纪要、中标通知书等均作为本项目合同不可分割的一部分，与本项目合同具有同等法律效力。中标人的投标文件中明确表示完全响应采购文件或（且）无负偏离，若以上各个文件之间、及与本项目合同之间有差异的，中标人须按照有利于采购人的原则执行最优条款。本项目不接受技术参数负偏离投标文件和投标设备。9.保密条款：保密信息：指采购人向中标人提供的，属于采购人所有或专有的，或采购人负有保密义务的有关第三方的下列资料及所有在信息载体上需要“保密”的材料和信息。需保密材料包括但不限于：系统数据、居民基本信息、医疗健康信息数据、需求图表等知识产权、业务记录和计划、商业机密、技术资料、产品项目、产品设计信息、价格结构、成本等非公开的、保密的或专业的信息和数据。中标人对保密信息谨慎、妥善持有，并严格保密，没有采购人事先书面同意，不得向任何第三方披露，对外宣传；中标人仅可为双方合作之必需，将经采购人书面同意指定的保密信息披露给采购人指定的第三方公司，并且该公司应首先以书面形式承诺保守该保密信息；中标人仅可为双方合作业务之必需，将保密信息披露给其直接或间接参与合作事项的管理人员、职员、顾问和其他雇员（统称“有关人员”），但应保证该类有关人员对保密信息严格保密；若具有权力的法庭或其他司法、行政、立法机构要求中标人披露保密信息，中标人将：立即通知采购人此类要求；若中标人按上述要求必须提供保密信息，中标人将配合采购人采取合法及合理的措施，要求所提供的保密信息能得到保密的待遇；若中标人或有关人员违反保密义务，中标人须承担全部无限责任（包括法律责任），并赔偿采购人由此造成的全部损失。
服务要求:
/
报价时间:2019-11-22 09:51:52 - 2019-11-27 15:00:00
四、保证金金额、收款银行、用户名及卡号
附件信息：
按照客观、公正、公开的原则，本条信息受业主方委托独家指定在中国建设招标网 www.jszhaobiao.com 发布
注册会员 享受贴心服务
标讯查询服务
让您全面及时掌握全国各省市拟建、报批、立项、施工在建项目的项目信息。
帮您跟对合适的项目、找对准确的负责人、全面掌握各项目的业主单位、设计院、总包单位、施工企业的项目 经理、项目负责人的详细联系方式。
帮您第一时间获得全国项目业主、招标代理公司和政府采购中心发布的招标、中标项目信息。
标讯定制服务
根据您的关注重点定制项目，从海量项目中筛选出符合您要求和标准的工程并及时找出关键负责人和联系方式。
根据您的需要，向您指定的手机、电子邮箱及时反馈项目进展情况。