| 公告信息： | |||
| 采购项目名称 | ****年度网络安全服务 | ||
| 品目 | |||
| 采购单位 | ****** | ||
| 行政区域 | 厦门市 | 公告时间 | ****年**月**日 **:** |
| 获取招标文件时间 | ****年**月**日至****年**月**日 每日上午:**:** 至 **:** 下午:**:** 至 **:**（北京时间，法定节假日除外） | ||
| 招标文件售价 | ￥0 | ||
| 获取招标文件的地点 | 招标文件随同本项目招标公告*并发布；投标人应先在福建省政府采购网(****://**.******.***.**)注册会员，再通过会员账号在福建省政府采购网上公开信息系统按项目进行报名及下载招标文件，否则投标将被拒绝。 | ||
| 开标时间 | ****年**月**日 **:** | ||
| 开标地点 | 福建省厦门市湖里区云顶北路***号（市行政服务中心4层） - C区开标室9（***********） | ||
| 预算金额 | ￥***.*******元（人民币） | ||
| 联系人及联系方式： | |||
| 项目联系人 | *** | ||
| 项目联系电话 | *********** | ||
| 采购单位 | ****** | ||
| 采购单位地址 | 福建省厦门市集美区理工路６００号 | ||
| 采购单位联系方式 | *********** | ||
| 代理机构名称 | ************* | ||
| 代理机构地址 | 厦门市思明区湖滨南路***号鸿翔大厦 8层F 、A、B单元 | ||
| 代理机构联系方式 | ****-******* | ||
****年度网络安全服务
公开招标招标公告
项目概况
受******委托，*************对[******]***[**]*******、****年度网络安全服务组织公开招标，现欢迎国内合格的供应商前来参加。
****年度网络安全服务的潜在投标人应在福建省政府采购网(****.***.******.***.**)免费申请账号在福建省政府采购网上公开信息系统按项目获取采购文件，并于****-**-** **:**（北京时间）前递交投标文件。
*、项目基本情况
项目编号：[******]***[**]*******
项目名称：****年度网络安全服务
采购方式：公开招标
预算金额：*******元
包1：
采购包预算金额：*******元
采购包最高限价：*******元
投标保证金：0元
采购需求：（包括但不限于标的的名称、数量、简要技术需求或服务要求等）
| 品目号 | 品目编码及品目名称 | 采购标的 | 数量（单位） | 允许进口 | 简要需求或要求 | 品目预算（元） |
| 1-1 | *******-安全运维服务 | ****年度网络安全服务 | 1（年） | 否 | 1、安全设备服务1.1、*** 支持服务提供2套***远程访问设备，实现校外远程安全、稳定访问校园网资源，为广大师生提供*客户端、*配置的远程接入方式，便于管理和维护，可灵活控制权限，保护内网数据安全，至少满足以下要求：▲1.1.1、支持****的接入；支持****的浏览器访问****的***资源；支持****的*******端访问****的*****资源、***资源、远程应用资源；支持****/****双协议栈；支持****/****协议下的网关模式、单臂模式、双机模式、集群模式的部署。1.1.2、支持终端使用包括***、7、8、**、**或其他**内核的浏览器，以及最新版本的非**内核浏览器，如******* ****，****** ******，*******，******，*****最新版登录******系统，登录后可完整支持各种**层以上的B/S和C/S应用。登录客户端兼容全平台(*******、***、*****主流系统)，并保持各平台易用性、用户使用习惯的*致性。▲1.1.3、支持****/**/******/******认证等第*方服务器认证，支持短信认证、微信扫描认证、*** ***认证。1.1.4、支持***快速传输协议，大幅优化无线环境（****、****、****、**）、高丢包、高延等恶劣网络环境下传输速度及效率1.1.5、支持客户端安全检查，能够对客户端操作系统及版本、注册表、文件、进程、登录**、登录时间等要素的与或组合检查，并根据检查结果进行接入准入、角色准入。▲1.1.6、提供环境检测、自动修复工具，支持对*******的环境兼容性*键检测能力，以及对检测结果进行*键修复的能力，避免由于用户操作系统环境存在问题影响*** ***的使用，减轻运维工作。1.1.7、支持基于角色授权，针对用户、用户组分配资源、资源组的访问权限，支持资源隐藏和地址伪装。1.1.8、支持多线路自动选路，外网配置多条运营商线路时，远程用户***接入自动选择最快链路，解决跨运营商问题；自动检测故障线路，并自动踢出故障线路，*旦线路恢复，可在*定时间内自动恢复；支持启用多线路时，自定义用户访问选路策略，包括按上/下行带宽，轮询，按优先级等方式。1.1.9、支持单点登录功能（***）,远程用户登录***后再登录内部应用系统时不需要*次重复认证。1.1.**、支持实时监控设备***使用率、各条线路网络吞吐量及发送接收流速、并发会话数、并发用户数；实时监控接入用户的用户名及发送接收流速流量、接入时间、用户并发会话数、接入**、认证方式等。▲1.1.**、支持***站点智能梳理功能，通过自动改写采集的方式梳理依赖站点（如知网、*方等网站资源），避免出现业务访问异常的问题，同时支持依赖站点*键启用，简化业务快速上线流程。▲1.1.**、支持日志远程存储，提供设备运行日志、管理员操作日志、用户访问日志等，提供用户活跃程度、暴破登录、资源活跃程度、用户组/用户流量及趋势、资源组/资源流量及趋势等报表。▲1.1.**、支持将采购人原有的***设备配置无缝同步到新上线的***设备；产生的额外费用须由应答人自行承担。▲1.1.**、支持终端免辅助认证：用户首次通过用户名密码及短信验证码登录后，同*终端**天内仅需要用户名密码认证，**天后登录还需要短信验证码配合才可认证，可后台设置免辅助认证时长。若不支持免辅助认证，中标人须承诺：承担服务期内所有 *** 短信校验码所产生的短信资费，需提供书面承诺函并加盖公章。▲1.1.**、2套总用户授权不少于****个。1.1.**、需满足等级保护中的高可用要求，避免单点故障的可能性。1.1.**、其他要求：*兆接口≥4个，高可用状态下最大并发在线用户数≥****个，吞吐量≥*****，支持****/****双协议栈。1.2、运维安全审计（堡垒机）支持服务1.2.1、提供2套运维安全审计（堡垒机）设备，通过该设备设立专用的网络管理员账户，并严格设置、限制其网络管理权限，使网络管理员仅能通过运维安全审计（堡垒机）设备进行相关网络管理工作。1.2.2、设立专用的审计管理员账户，并严格设置、限制其审计管理权限，使单位审计管理员其仅能通过运维安全审计（堡垒机）的审计管理员账号登录专用审计管理界面及进行相关审计管理工作。1.2.3、当失败的用户身份鉴别尝试次数达到规定的数值时，能够中止用户与系统之间的会话过程，并对身份鉴别失败事件进行审计跟踪，保证审计信息不能被未授权的更改或破坏。1.2.4、支持在用户请求访问系统资源时至少进行*次身份鉴别，必要时可反复鉴别。▲1.2.5、认证方式支持动态口令认证软件和硬件令牌等多种方式；支持只针对部分用户开启双因子认证。1.2.6、能够实现对图形操作界面的文字内容进行识别并文本记录；支持以关键字进行图形搜索，搜索出来的结果可以直接定位到相关图形画面进行回放。▲1.2.7、能够与现有云管平台无缝对接，能够实现在云管平台内部内嵌堡垒机登录页面。与现有云管平台实现单点登录，并自动同步云平台内部用户、组织、工作空间与系统资源。▲1.2.8、管理主机及并发数量需满足实际使用需要，支持水平扩容，无部署套数限制。▲1.2.9、运维安全审计系统需满足等级保护中的高可用要求，避免单点故障的可能性。支持集群管理模式：集群中心统*管理，统*授权，统*审计。1.2.**、满足*级等级保护-安全计算环境-身份鉴别的相关要求。1.2.**、满足*级等级保护-安全管理中心-系统管理/审计管理/安全管理/集中管控的相关要求。1.3、应用负载均衡支持服务1.3.1、提供2套专业的负载均衡设备，加速信息系统访问速度，确保大规模关键数据的安全，同时降低 ***，有效的在单个平台进行标准化，以卸载 ***处理。1.3.2、需提供基于某种编程语言（如***语言等）自定义的流量控制方法，支持负载均衡、***处理、用户认证、***、路由转发、会话保持等功能的可编程控制。 支持独立发起旁路（********）请求为应用提供应用层流量复制、查询和认证等服务。▲1.3.3、可通过主流的自动化运维工具自动实现日常运维配置；必须支持自动化网络配置、***服务、****服务等初始化参数。必须支持自动化创建、修改和删除虚拟服务器、真实服务器等应用交付对象。1.3.4、支持基于消息的负载均衡方式。对于存在长连接服务的应用系统，支持将长连接拆包，识别每个消息后，基于消息分发请求。从而解决前置应用*对*连接的单点问题。1.3.5、支持包括链路负载均衡、全局负载均衡和服务器负载均衡的功能。▲1.3.6、支持****和****，支持灵活的、可定制的地址翻译（***）技术，适合各种复杂的网络环境，支持****-****、****-****、****-****、****-****之间的相互转换，支持*****/*****、**-****、***、***等****迁移技术。1.3.7、需满足等级保护中的高可用要求，避免单点故障的可能性。1.3.8、性能要求：吞吐量≥******,并发连接数≥**,***,***；4层新建连接数***≥***,***；7层新建连接数***≥***,***；内存≥***，硬盘*** ≥*****，至少 6个*兆电口、4个*兆光口、2个*兆光口；1.4、数据中心防火墙支持服务1.4.1、提供2套专业的防火墙设备，防御采购人数据中心以外的网络入侵与攻击，支持入侵防御***功能，恶意软件防病毒功能，*** ***过滤功能，僵尸网络阻断功能。1.4.2、支持静态路由、等价路由、策略路由，以及***、*****/**、****、****等动态****路由协议。1.4.3、支持***和透明模式部署，在任何模式下都支持虚拟防火墙技术和各种**功能。支持***和透明的混合部署模式。▲1.4.4、配置**-***模块，可以基于抖动延迟等进行线路切换，也可以根据应用进行线路选择，可以让视频等流量从某个特定的线路流出。▲1.4.5、支持扩展虚拟防火墙系统，支持同*个网口用于多个虚拟防火墙支持虚拟系统技术（≥**个虚拟防火墙授权）。支持每个虚拟防火墙可自定义各项资源，会话数，********隧道数，防火墙策略数，地址/地址组数量等。▲1.4.6、支持******等标准格式的日志。支持用户（**）综合安全评估功能，为每个**进行威胁度打分并排名，实现量化管理。支持查看当前网络会话状态，并能根据源、目标地址、端口、协议等进行查看过滤。支持会话排名查看功能。支持**地址地理信息（所在国家等）查询。支持日志输出到外置服务器，支持******等。日志系统支持对日志的搜索、报表、分析等功能。1.4.7、需满足等级保护中的高可用要求，避免单点故障的可能性。▲1.4.8、性能要求：≥**个**/***/*****自适应电口,≥8个*兆***接口,≥2个*兆***+接口。防火墙最大吞吐量（***字节）≥******；最大并发连接数≥****；每秒新建连接 ≥5*；防火墙策略条目数≥1*；应用程序控制吞吐量≥*****；独立***吞吐量≥*****。2、安全运维服务2.1、网络安全等级保护建设服务根据网络安全等级保护相关规章制度及要求对采购人数据中心中的所有信息系统提供等级保护安全咨询服务，并完善相关文档。服务内容包括但不限于安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理制度等方面。等级保护建设服务过程中所产生的所有费用（专家费等）均包含在合同款中。2.1.1、资产分析服务通过利用扫描工具及人工检查的方式，对采购人所有信息资产进行调查与统计，包括但不限于物理环境、网络设备、主机、应用软件、业务系统、数据、人员、规章制度、标准流程、台帐等，明确现有状况、配置情况和管理情况，并参照网络安全等级保护等相关制度对所有信息资产进行资产赋值，同时绘制各业务系统的数据流图，编制信息系统资产清单及资产报告。2.1.2、风险分析服务根据网络安全等级保护要求，对采购人开展安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理等方面的风险分析，通过安全访谈、脆弱性评估、登录检查、漏洞扫描、配置核查、日志分析以及渗透测试等技术手段对现有的安全资产进行全方位的风险评估，结合信息资产属性、威胁、脆弱性等基本要素，分析信息系统安全风险评估分析，编制风险分析报告。2.1.3、差距评估服务针对采购人所有已定级或准备定级的信息系统，在风险分析的基础上，根据网络安全等级保护基本要求将定级信息系统等级保护的各项基本要求与信息安全现状进行比较分析，找出存在的问题并进行差距分析。2.1.4、整改加固服务根据风险分析、差距评估的结果对不符合项设计整改加固措施，包括但不限于安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及管理要求内容，并针对行业特性要求对整改加固方案进行个性化设计，包括但不限于岗位职责梳理、技术策略实施、风险评估、管理体系建设、安全产品集成、组织方案评审、提供安全产品等方面。根据整改方案派遣专业工程师到现场协助采购人完成整改加固工作。进行整改加固前，需先提供各项安全加固建议、实施风险说明以及风险规避措施，由校方相关人员决定采用何种方式进行整改。整改过程除了必须由学校现有系统的开发商进行*次开发等特殊情况外，均由服务商安排专业工程师完成。整改完成后需提交完整的整改加固报告等文档。整改过程中产生的费用（软硬件供应、集成服务等）均不得另外收费。协助采购人完善等级保护要求以及校方个性化要求的可落地的安全管理制度，包括但不限于信息安全工作职责，信息安全监督、检查机制；辅助编写方针、制度、各类记录表格模板在内的安全管理制度，达到等级保护测评要求。最终协助校方将各项制度落地实施。完成整改加固后，再次进行风险分析与差距评估服务，并形成复查报告。2.1.5、等保定级备案服务（1）、对采购人所有信息系统进行摸底调查工作，了解系统的基本信息（包括但不限于业务类型、应用或服务范围、我校数量、系统结构、部署方式、安全策略、内控制度等）。参照国家、地方及行业对等级保护定级的有关要求，明确信息系统边界及安全保护等级，同时协助校方完成信息系统定级所需要的相关材料撰写（定级报告、备案表等）。（2）、针对*级及以上系统，协助我校准备系统定级评审***和信息系统定级评审意见表，代我校邀请专家进行系统定级评审会议，介绍系统和定级依据等，完成专家评审并出具专家评审意见表。并根据专家讨论的定级报告意见，同*汇总整理后，形成定级报告的终稿。（3）、最终根据等级保护备案流程，协助完善所需材料，直至完成备案工作。2.1.6、等保测评服务在确认校方指定的待测系统已经基本符合等级保护的要求后，邀请校方认可的第*方评测机构对*级及以上信息系统进行测评。此过程中，需派遣至少*名专业工程师全程跟踪，协助校方顺利的通过测评（测评结果需**分以上），并获得测评报告。2.2、驻点安全保障服务1、服务期间，派驻至少1名具有*年以上安全工作经验的工程师每周不少于5*8小时在采购人驻场服务。驻点工程师应由采购人与安全服务提供商共同选拔，通过联合面试的手段，在项目实施正式开始前选拔出合适的人选，该人选理应具有丰富的安全服务经验，且熟悉等级保护的管理规章制度，做事仔细认真。安全服务提供商应保证前方*人，后方*团队的安全保障模式，中标人需组成经验丰富的后台团队，当驻点工程师遇到无法处理的问题时，需要后台团队能提供及时、必要的支持。并不定期考核和提升驻点人员能力。2、驻点安全保障主要工作是协助校方进行网络安全设备日常运行维护、日志分析、沟通协调、网络安全相关咨询、应急处理以及完成其他日常安全工作。包括但不限于监控网内的安全事件，针对信息安全预警、安全防护、系统监控等方面的运行状况进行安全检查，监控各网络、安全设备、主机以及信息系统的运行状态，及时收集各设备的运行数据及日志，在第*时间发现可能出现的各种网络安全问题，并及时通知相关人员加以防范。每天对运行情况整理得出安全日报。★3、项目实际实施运维服务人员（驻点工程师）、项目经理、渗透测试人员须为投标文件中所列的实施运维服务人员（驻点工程师）、项目经理、渗透测试人员，如因特殊情况更换上述人员，更换人员服务年限、服务经验不得低于现有服务人员，中标人须向采购人提出书面申请，获采购人审核同意后方可更换。若未经采购人同意擅自更换上述人员，采购人每次扣除中标商**%履约保证金作为赔偿，不足部分从合同款中扣除。投标人应对此作出书面承诺。2.2.1、信息资产更新服务驻点工程师每天需对采购人所有新增、变更等资产进行发现并维护至相应管理平台中。每月*次提交采购人资产清单与资产报告。更新内容如下（包括但不限于）：对网络架构进行分析，针对现状，梳理网络结构的真实情况，并分析整体的网络拓扑结构，分析网络内部面临的外部和内部威胁；对服务器资产进行分类调查，调查维度应包括：硬件型号、物理位置、**地址、应用软件、主要业务应用等；必要时包括数据备份情况及现有安全措施情况等；对信息系统进行调查，深入了解业务系统，整理信息系统信息，包括但不限于：工作模式、开发语言、硬件平台及系统平台、开发商/维护商、系统所需开放网络端口等；关联信息系统的业务流向关系，明确各业务系统服务器之间的安全策略；新业务系统上线、旧业务系统更新时，做好漏洞扫描、基线核查、信息备案等工作。安全系统调查：包括但不限于明确现有安全设备(防火墙、防病毒系统、入侵防御系统、应用防火墙、安全扫描系统等)的部署情况和使用情况，编制安全区域图。每月**日之前需输出成果（包括但不限于）：《信息系统资产调查表》、《网络拓扑图》、《互联网服务开放统计表》等。2.2.2、机房设备管理服务驻点工程师需每天对采购人机房网络、安全及相关设备日常基础运行情况进行巡检，并提交报告。巡检内容如下（包括但不限于）：检查机房各项硬件设施的运行情况，空调、***、防水等。检查网络设备和安全设备的系统运行状态，***、内存、磁盘空间、网络流量等性能信息；检查系统代码变更情况并做记录，反馈至安全分析团队进行安全检查；检查并更新网络设备和安全设备的版本信息、特征库及规则库信息；检查网络设备和安全设备的配置变更记录及并做好配置备份；有新设备接入时，完成安全基线检查，并做好新设备接入情况的记录；网络架构调整后，及时更新和优化网络拓扑图；检查网络设备和安全设备的相关报警与错误信息，并对可能发生的威胁进行排查；当安全设备发生故障时，积极配合相关安全系统的设备厂家，提供现场响应、故障诊断、日志收集、报修、送修等服务。对所有安全设备的访问控制安全策略进行详细分析和优化，对过期或不适合的策略提出相关处理建议，并做好系统配置备份。配合我校业务系统部署与调整，从安全角度给出部署建议，制定和更新安全设备的防护、检测策略。现场巡检：驻场工程师在每日上班后和下班前需进入机房根据《设备巡检记录表》对项目范围内的安全设备的物理运行情况进行实地勘查，确保及时发现设备物理故障及被物理破坏的风险。远程巡检：在完成现场巡检后，驻场工程师还需要依次登录所有项目范围内的网络、安全设备等，根据《设备巡检记录表》检查设备的软件运行情况、功能运行情况，确保及时发现设备软故障及功能故障。设备维修：驻场工程师在机房巡检过程中如发现设备有故障（包括但不限于物理故障、功能故障等会影响业务正常运行的故障）物理故障的，应第*时间向我校电话或当面汇报，并联系相关负责人，确认维修方案后向我校发起《维修申请》，请我校协调提供维修服务。驻场工程师配合进行相关维修工作，并通过《设备维修跟踪记录表》跟踪此事。在故障处理完毕后，向我校提交《故障处理报告》。备份管理：驻场工程师每周应对设备配置及日志进行备份并记录到《设备备份记录表》；在设备维修、升级等操作前驻场工程师应督促工程师对设备进行相应程度的备份。特征库升级：驻场工程师应对具有检测功能的安全设备的特征库进行定期升级，保持设备以最新特征库运行。当发生重大漏洞时，应实时更新设备特征库。运维策略变更：驻场工程师因日常运维工作需要，对网络、安全设备自身配置进行变更时（如变更口令、更换远程登录方式、配置日志告警等），需先向我校发送《＜设备名称＞策略变更申请》，通过后再进行相应策略变更并记录到《安全设备配置策略变更记录表》策略优化分析：定期对网络、安全设备策略进行梳理分析，发现过期、冗余、无效、不明确用途等策略，根据分析结果向我校提供《策略优化分析报告》。业务策略变更管理：其他人员（其他运维人员、开发人员、业务人员、我校其他人员等）因相关工作需要驻场工程师配合对业务策略进行变更的，需由策略使用者填写《＜设备名称＞策略变更申请》，并经相关领导审批同意后再进行相应策略变更并记录到《配置策略变更记录表》互联网开放服务管理：驻场工程师应对映射发布到互联网的服务端口及归属进行梳理，梳理结果记录到《互联网服务开放情况统计表》。可通过查看互联网出口处负责***的设备的地址转换策略进行梳理；梳理完成后根据该表在互联网出口处通过防火墙配置访问控制策略，严格控制互联网服务的开放。当新增服务要发布到互联网时，驻场工程师应先根据具体业务情况及现有条件制定相应保护措施（如在***、***中增加防护、漏洞扫描、人工渗透等）后，再开放端口访问，并更新《互联网服务开放情况统计表》。（在进行相关防护措施部署时，仍应根据策略变更流程进行）。2.2.3、安全日志分析服务驻点工程师每天通过人工检查或工具检查的审计分析方法，对相关安全设备日志进行分析，对日志信息进行综合分析，查找当前存在的安全隐患或被攻击痕迹,并提交报告。每天下班前需输出成果（包括但不限于）：《日志分析报告》等。2.2.4、安全事件协助处理服务在发现或发生安全事件后，驻点工程师需协助应用单位及时恢复处置，追查来源、保留证据、消除影响，实施有效的紧急救援及恢复补救方案，并做好安全事件处理登记；若驻点工程师无法独立处置，服务商应协调后台安全分析团队进行处置。安全事件如下（包括但不限于）：？ 漏洞事件：在发现的与校方信息相关的安全漏洞后，驻场工程师需在当天发出事件通告，同时收集漏洞具体影响范围及测试方法，并与相关的运维负责人联系，协助确认其系统是否在此漏洞影响范围，持续关注直至漏洞修复完成并记录成册，管理从漏洞的发现、确认、处理、审核到关闭全过程管理。设备故障事件：发生安全设备故障引起的网络运行中断或水平下降的安全事件时，驻场工作师需在*小时内发出事件通告，协助校方进行相关工作，持续关注直至事件结束并记录成册。安全检查事件：在进行安全检查过程中发现目标应用存在安全问题时，驻场工程师需在*小时内在发出事件通告，并与相关的运维负责人联系，协助其进行相关加固工作，持续关注直至问题修复完成并记录成册。？ 网络攻击事件：通过现有设备和手段发现正在发生的网络攻击事件时，驻场工程师需在*小时内发出事件通告，并向校方电话汇报，请其协调所有相关的运维负责人配合，启动相应应急预案。驻场工程师根据项目实际情况向公司申请相应资源支持，并跟踪配合后续所有工作。持续关注直至问题修复完成并记录成册。安全事件发生的5个工作日内需输出成果（包括但不限于）：《安全事件通报》、《安全事件处理报告》等。2.2.5、监督检查协助服务协助完成上级有关部门对消防开展的检查工作；协助完成校方主动发起的对内的安全检查工作。2.2.6安全管理制度制定推行服务根据实际需求，协助制定信息安全管理制度，并协助校方将制度落地实施。2.2.7安全工作分析报告服务每个月对网络安全工作进行总结报告。报告维度包括但不限于：全校网络安全态势、数据中心网络安全态势、终端安全等。2.3、渗透测试服务每年根据校方需求进行不少于**人次的渗透测试服务（不包含为了过等保测评所进行的人工渗透）。软件安全渗透测试服务：采用自动化软件方式对业务系统进行全面深入的渗透测试，发现各种***、网络及应用业务系统的安全漏洞及隐患，渗透测试所使用软、硬件由服务提供商提供。人工安全渗透测试服务：在我校授权范围内，参考****(渗透测试执行标准)对我校信息系统进行模拟黑客攻击的商业化测试服务，采用人工分析和验证方式模拟黑客的真实攻击方法，围绕信息系统中包含的网站、***、服务器、数据库、中间件、网络设备、终端等不同层面的安全漏洞及威胁对业务系统和网络进行全面深入的非破坏性质的攻击测试，根据不同的漏洞提出相应的修补建议，覆盖但不限于***注入、***跨站脚本攻击等******大漏洞和网络层安全隐患。在服务期内，经过渗透测试的系统，不能被上级有关部门、互联网漏洞平台或其他渠道发现漏洞。进行渗透测试的工程师需至少具备两年以上渗透测试经验，并提供5个以上参与过的渗透测试项目证明（证明需体现测试系统的规模、渗透测试结果概况等）。进行渗透测试的工程师需参与过城市以上级别的安保行动（需提供相关证明材料）。渗透测试开始的7个工作日内需输出成果（包括但不限于）：《渗透测试报告》等。2.4、信息系统安全监控服务通过云端安全检测系统对校方开放互联网访问的系统进行7***小时的实时安全监控，并提供可远程访问的安全状态展示平台，在系统出现异常的*分钟内向校方进行通告，并给出具体解决措施，协助开展应急处置工作。主要监测内容包括但不限于：网页挂马及黒链监测每半小时*次采用远程监控方式对系统页面进行网页挂马及黑链、暗链分析，*旦识别到恶意行为，则立即展开应急处置工作，并通过电话向相关人员进行告警。网站可用性监测每5分钟*次对系统进行可用性探测，*旦发现系统不可访问，则通过邮件或短信等方式进行告警。网页敏感内容监测每*分钟*次对关键页面的敏感内容进行监控，识别系统存在政治、低俗等敏感内容情况，则立即展开应急处置工作，并通过电话向相关人员进行告警。钓鱼/恶意网站监测每半小时*次采用远程监控方式对网页进行网页挂马及黑链、暗链分析，*旦识别到恶意行为，则立即展开应急处置工作，并通过电话向相关人员进行告警。网站***解析监测每5分钟*次对系统进行域名劫持探测，*旦发现域名被劫持，则通过邮件或短信等方式进行告警。驻点工程师需实时对监控平台的告警信息进行人工验证，确认为安全事件后，立即根据安全事件的危害程度采取措施，而后对校方进行告警，并跟踪处理。每周需输出成果（包括但不限于）：《安全监控周报》等。监测到恶意行为的两个工作日内需输出成果（包括但不限于）：《安全事件报告》等。2.5、信息系统安全检查服务对采购人信息系统及其主机、运行环境开展安全检查服务。检测内容如下（包括但不限于）：2.5.1信息系统安全扫描通过使用漏洞挖掘工具和检测平台，测试和识别信息系统的安全漏洞和存在的安全脆弱性，全面了解掌控信息系统的安全状况。2.5.2、服务器安全扫描对信息系统进行主机环境的安全测试，测试内容包含漏洞扫描、配置核查、端口扫描、口令审计等方面。测试服务器自身的安全性与对外的暴露程度。2.5.3、信息系统代码审计每年对校方拥有源代码的信息系统代码进行代码审计，识别系统中存在的安全漏洞和脆弱性。2.5.4、漏洞人工验证对找到的安全漏洞进行人工验证，并提供修复建议和漏洞复查。2.5.5、配置核查依据网络安全等级保护基本要求及相关业界经验为校方制定《*******服务器安全配置规范》、《*****服务器安全配置规范》、《数据库安全配置规范》等，每季度对所有定级备案的系统及开放外网访问的系统进行系统配置核查，分析其安全配置合规性、合理性，对存在安全隐患或配置缺失的部分给出有针对性安全修补建议。2.5.6、****测试检验信息系统是否满足***** *****测试规范。测试信息系统是否存在***** *** **应用漏洞（****新版），包含**-注入、**-失效的身份认证和会话管理、**-跨站脚本（***）、**-失效的访问控制、**-安全配置措施、**-敏感信息泄露、**-攻击检测与防护不足、**-跨站请求伪造（****）、**-使用含有已知漏洞的组件、***-未受有效保护的***；2.5.7、等级保护测试检验信息系统是否满足等级保护对于应用安全方面的要求。根据等级保护国家标准《信息安全技术 信息系统安全等级保护基本要求》（**/T *****—****）对所有信息系统逐点进行检查，并输出差距分析报告。2.5.8、系统上线测试服务商需提供《系统上线检查规范》，规范应该包括但不限于以下内容：测试目的、测试条件、测试步骤、截图说明，测试范围应该包括信息收集、配置管理、认证测试、会话测试、授权测试、文件测试、泄漏测试、数据验证测试等领域。每季度与特殊时期对备案系统及开放外网访问系统进行安全检查；每年*次对数据中心所有信息系统进行安全检查。有新系统上线或旧系统变更时，在校方提出要求后的5日内完成对系统的安全检查。安全检查结束的3日内需输出成果（包括但不限于）：《安全检查实施方案》、《安全检查结果报告》、《配置核查报告》、《系统上线检查规范》等。2.6、实战攻防演习服务协助校方制定攻防演习方案，并组织攻防演习工作。利用常规渗透、物理渗透、社工钓鱼等多种攻击方法，模拟攻击者入侵路径与企业安全人员进行实战演练，检验常见内网突破口的防护水平，同时提升入侵检测与应急响应能力。在演习前期，提供实战攻防演习环境搭建与调试（实战攻防演习平台、实战攻防演习终端、实战攻防演习大屏等），协助制定实战攻防演习的攻、防双方的规则、得失分规则、授权文档、保密协议等相关内容。在演习中提供由专业渗透工程师组成的红队服务，针对采购人目标系统、人员、软件、设备等同时执行多混合、基于对抗性的模拟攻击，以此来发现系统、技术、人员和基础架构中的存在的隐患，用尽可能接近真实环境攻击的方法来模拟黑客***攻击，从而发现有可能被黑客利用的安全漏洞，以对目标网络安全状况进行评估。演习结束后，协助校方开展攻防演习复盘总结工作，对安全风险点提供修复建议，并协助完成整改。2.7、应急演练与响应服务 应急演练服务协助校方根据网络、系统等因素指定不同的应急预案，并组织相应人员根据应急预案至少每半年开展*次应急演练。应急演练完后，根据应急演练结果和整改情况更新应急演练方案。通过应急演练能够检验应急预案的不足之处、完善人员、设备和技术的准备，锻炼人员的应急处置能力，提高应急意识。？ 应急响应服务遇到发生黑客入侵、网页篡改、病毒传播、主机或网络异常等网络安全事件时，驻点工程师需立即启动应急响应流程（当驻点工程师无法完成应急响应工作应急响应工作时，需在*小时内增派更专业的工程师到场支持），实施最有效的紧急救援，进行事件还原和入侵追踪，并提出恢复补救方案。响应服务完成后整理详细的事故处理报告，内容包括事故原因分析、造成影响、处理办法、处理结果与改进建议等。发生安全事件时，应开展日志分析服务进行攻击溯源，对发生安全事件的服务器进行全面的日志分析，包括系统日志、数据库日志、***访问日志以及安全设备日志。系统日志分析应包括关键应用的错误信息、系统服务加载失败信息、进程变更信息、日志审计策略变更信息、账户及权限变更信息、安全策略变更信息、核心服务启停信息、异常**访问信息、异常**数据传输信息、应用加载或审计失败信息、系统驱动加载失败信息、网络连接错误信息、登录失败信息、账户特权使用及变更信息、异常事件登录及操作信息、系统异常启停信息等。数据库日志分析至少应包括数据库实例的错误信息，超级管理员登录系统的信息统计，陌生**地址登录数据库系统的行为等。安全设备分析至少应包括日志审计策略变更信息、账户及权限变更信息、安全策略变更信息、核心服务启停信息、异常**访问信息、异常**数据传输信息、登录失败信息、账户特权使用及变更信息、异常事件登录及操作信息、系统异常启停信息、攻击信息等。***访问日志至少应包括对高风险安全风险（如口令破解、***注入行为等）进行分析并判断攻击成功与否。对于确认成功的攻击行为，提取攻击**地址作为黑名单进行阻断，对于存在的漏洞，提交漏洞位置，供安全加固人员参考。应急演练开始前两周内需输出成果（包括但不限于）：《应急演练方案》等；应急演练结束后两个工作日内需输出成果（包括但不限于）：《应急演练记录》、《应急演练报告》等。应急响应结束后两个工作日内需输出成果（包括但不限于）：《安全事件报告》等。2.8、安全通报服务服务期内每周*次以报告形式向校方公布常规漏洞通报，内容包括国内外权威漏洞发布公开站点为主要数据源的安全漏洞信息（如***、***、补天、****等）；通告内容包括但不限于以下内容：国内外最新重大漏洞、病毒安全通告；国家安全政策及法律法规；同行业安全威胁事件通告；国内外重大安全事件，新技术发展动态通告；遇重大安全漏洞或事件时，实时向校方通报事件预警，结合资产情况提供防护或规避建议。2.9、安全培训服务安全意识培训服务：每年*次为全校师生与网络安全员分别提供网络安全意识培训，理解安全问题的重要性，掌握工作中的基本安全知识和安全技能（包含但不限于以下方面：安全标准、政策法规解读，信息安全意识、信息安全发展方向，周期性安全服务报告解读）。通过案例介绍的方式对员工日常工作、生活中经常用到的*些应用工具、信息系统的安全威胁进行分析，并阐明具体的防范措施。承担每年网络安全宣传周活动的方案策划、组织，至少包含*场资深安全专家讲座（至少*年从业经验或安全主管部门领导）。安全宣传周所有费用都由中标方承担。安全技术培训服务：不定期对****技术人员开展安全技术培训，培训内容包含但不限于以下方面：网站安全防护、等保安全建设、网络安全技术攻防、无线网络安全防护等，可定制培训内容。提供专业的安全培训专家名单及具体培训课程安排。2.**、管理咨询服务提供专业的安全制度管理咨询服务。通过有效的安全管理体系建设，最终要实现的目标是：采取集中控制、分级管理的模式，建立起完整的安全管理体系并加以实施与保持，实现动态的、系统的、全员参与的、制度化的、以预防为主的安全管理模式，从而在管理上确保全方位、多层次、快速有效的网络安全防护。管理咨询内容包括但不限于：安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面。2.**.1、安全管理机构根据基本要求设置安全管理机构的组织形式和运作方式，明确岗位职责；设置安全管理岗位，设立系统管理员、网络管理员、安全管理员等岗位，根据要求进行人员配备，配备专职安全员；建立授权与审批制度；建立内外部沟通协作渠道；2.**.2、安全管理制度根据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是具有可操作性，且必须得到有效推行和实施的制度。制定严格的制定与发布流程，方式，范围等；定期对安全管理制度进行评审和修订，修订不足及进行改进。2.**.3、人员安全管理根据基本要求制定人员录用，离岗、考核、培训几个方面的规定，并严格执行；规定外部人员访问流程，并严格执行。2.**.4、系统建设管理根据基本要求制定系统建设管理制度，包括：系统定级、安全方案制定、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、安全服务商选择等方面。从工程实施的前、中、后*个方面，从初始定级到验收评测完整的工程周期角度进行系统建设管理。2.**.5、系统运维管理根据基本要求进行信息系统日常运行维护管理，利用管理制度以及安全管理中心进行，包括：环境管理、资产管理、介质管理、设备管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等，使系统始终处于相应等级安全状态中。2.**、重要时期值守保障服务当处于上级主管部门通过正式文件、邮件、**或微信等渠道特别通知需要加强网络安全管理的重大活动或**行动等期间，需单独提供特殊保障服务。在活动开始之前定制重保服务方案，确定保障目标。完成对等保系统和开放外网访问系统进行全面安全检查，并进行提供安全优化加固的建议；提供安全应急响应方案。网络安全评估服务结合工具检测和人工安全审查方式来发现服务范围内的网络设备和安全设备的安全漏洞以及安全隐患问题。1) 网络架构威胁分析，分析整体的网络拓扑结构安全隐患，分析网络面临的外部和内部威胁。2) 网络设备安全扫描，利用扫描工具检查网络设备的漏洞情况、端口开放情况以及弱口令情况。3) 安全设备安全扫描，利用扫描工具检查安全设备的漏洞情况、端口开放情况以及弱口令情况。服务器安全评估服务结合工具检测和人工安全审查方式来识别信息系统服务器系统中的漏洞和安全性问题。1) 工具检测主要针对系统的补丁、服务的开放性及安全研究机构发现的系统问题等，发现系统本身的各种问题。2) 人工安全审查主要针对系统管理方面和安全加强方面的问题，用于识别由于系统管理员本身的管理不善而带来的安全性问题。数据库安全评估结合工具检测和人工安全审查方式来挖掘数据库系统的脆弱性和安全性问题，主要评估系统安全脆弱性、安全配置不正确带来的安全威胁以及由于系统账号、权限等配置不严谨而产生的安全风险。应用安全检测服务通过使用自动化安全漏洞挖掘工具和在线检测平台，来测试和识别信息系统当前的安全漏洞和存在的安全脆弱性，从而全面了解和掌控其信息系统的安全状况。对已经发现的安全问题进行人工验证，以判断信息系统当前的漏洞是否真实有利用，剔除误报干扰，并提供专业的安全加固措施指导建议，解决当前信息系统存在的安全问题。重大活动期间安全值守在重大活动期间，提供全天**小时现场人员值守保障，每天定时对理工学院信息系统、网络安全设备以及服务器进行安全巡检，检查防病毒软件扫描和查杀记录，收集安全监控设备的日志报表，分析是否有异常情况，做好各安全设备的配置备份。除提供人员现场值守保障以外，提供安全专家（具有****-***认证资质）对理工学院进行专人定向****小时应急保障服务，其保障范围为理工学院全网系统，*旦理工学院发生突发网络安全事件，将在1个小时之内到达现场，根据现场情况分析，如果是设备策略或配置问题，则现场进行策略的调整和配置的修改，如果是设备硬件故障导致业务停掉，则提供备机服务，先用备机保障业务继续运行，如果是黑客攻击事件，通过监测与防御能力的设备与平台，分析真实攻击事件，通过应急措施对攻击源头进行实施封堵。在活动结束后1周内服务提供商应提供保障报告，对重大活动之前的安全检查、期间的安全值守情况等进行总结。重保期间的网络安全值守服务，全年不少于***小时。 | ******* |
*、申请人的资格要求：
1.满足《中华人民共和国政府采购法》第***条规定；
2.本项目的特定资格要求：
包1
(1)明细：信用记录要求（招标文件其他地方要求与本条款要求不*致的，以本条款要求为准） 描述：1、信用信息查询渠道：资格审查小组通过“信用中国”网站（***.***********.***.**）、中国政府采购网（***.****.***.**）、“信用厦门”网站（******.**.***.**）查询所有投标人的信用信息。 2、截止时点：查询本项目投标截止时间点前*年内的信用信息。 3、查询记录和证据留存方式：资格审查小组将查询结果网页打印后随采购文件*并存档。 4、信用信息的使用规则：（1）查询结果显示存在不良信用记录（包含列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单、受到行政处罚且处罚金额达到处罚所在地听证标准，且相关信用惩戒期限未满及其他不符合《中华人民共和国政府采购法》第***条规定条件）的投标人，其资格审查不合格。（2）联合体参加政府采购活动的，资格审核小组将对所有联合体成员进行信用记录查询，联合体成员存在不良信用记录的，视同联合体存在不良信用记录，联合体资格审查不合格。（3）因查询渠道网站原因导致查无投标人信息的，不认定投标人资格审查不合格；评审结束后，通过其他渠道发现投标人存在不良信用记录的，不认定为资格审查错误，将依照有关规定进行调查处理。（4）投标人无需提供信用信息查询结果。若投标人自行提供查询结果的，仍以资格审查人员查询结果为准。
(2)明细：财务状况报告、依法缴纳税收和社会保障资金的相关证明材料 描述：根据厦财采〔****〕5号文件要求，投标人在投标文件中无需再提供财务状况报告、依法缴纳税收和社会保障资金的相关证明材料，改为采取“信用承诺制”，投标人提供资格承诺函（格式见附件）的即可参加采购活动，取消本招标文件中要求提供“财务状况报告、依法缴纳税收证明材料、依法缴纳社会保障资金证明材料”的条款。投标人应当遵循诚实信用原则，不得作虚假承诺。投标人承诺不实的，属于提供虚假材料谋取中标、成交，应依法承担相应的法律责任。本招标文件其他章节的内容与本条款要求不*致的，以本条款要求为准。投标人应按附件格式要求提供资格承诺函。投标人可自行选择是否提供资格承诺函，若不提供资格承诺函的，应按招标文件要求提供相应的证明材料。
(3)明细：单位负责人授权书（若有）（招标文件其他地方要求与本条款要求不*致的，以本条款要求为准）。 描述：电子投标文件中的本授权书若不是原件扫描件的，有使用**证书加盖电子公章且法定代表人签字使用签字或签章或打字录入方式完成的也视为符合要求。
（如项目接受联合体投标，对联合体应提出相关资格要求；如属于特定行业项目,供应商应当具备特定行业法定准入要求。)
*、采购项目需要落实的政府采购政策
（1）小型、微型企业。（2）监狱企业。（3）残疾人福利性单位（4）信用记录，按照下列规定执行：1）信用记录查询的截止时点：本项目投标截止时间前；2）信用记录查询渠道：中国政府采购网（****://***.****.***.**/******/**）、信用中国网站（*****://***.***********.***.**）、信用厦门网站（****://******.**.***.**）；3）查询记录和证据留存的具体方式：投标人应同时提供在招标文件要求的截止时点前通过上述3个网站获取的信用信息查询结果，信用信息查询结果应为从上述网站获取的查询结果原始页面的打印件或完整截图；4）查询结果的审查：①由资格审查小组通过上述网站查询并打印投标人信用记录（以下简称：“资格审查小组的查询结果”）。②投标人提供的查询结果与资格审查小组的查询结果不*致的，以资格审查小组的查询结果为准。③因上述网站原因导致资格审查小组无法查询投标人信用记录的（资格审查小组应将通过上述网站查询投标人信用记录时的原始页面打印后随采购文件*并存档），以投标人提供的查询结果为准。④查询结果存在投标人应被拒绝参与政府采购活动相关信息的，其资格审查不合格。5）信用记录查询的具体办法及使用规则：投标人参加本项目采购活动(投标截止时间)前*年内被列入失信被执行人名单、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单，“信用厦门”警示警告名单，受到政府采购行政处罚，且相关信用惩戒期限未满，以及其他不符合《中华人民共和国政府采购法》第***条规定条件的供应商，将被资格审查小组认定为不合格投标人。
*、获取招标文件
时间：****-**-** **:**至****-**-** **:**:**（提供期限自本公告发布之日起不得少于5个工作日），每天上午**:**:**至**:**:**，下午**:**:**至**:**:**（北京时间，法定节假日除外)
地点：招标文件随同本项目招标公告*并发布；投标人应先在福建省政府采购网(****.***.******.***.**)免费申请账号在福建省政府采购网上公开信息系统按项目下载招标文件(请根据项目所在地，登录对应的(省本级/市级/区县)）福建省政府采购网上公开信息系统操作)，否则投标将被拒绝。
方式：在线获取
售价：免费
*、提交投标文件截止时间、开标时间和地点
****-**-** **:**（北京时间）（自招标文件开始发出之日起至投标人提交投标文件截止之日止，不得少于**日）
地点：
福建省厦门市湖里区云顶北路***号（市行政服务中心4层） - C区开标室9（***********）
*、公告期限
自本公告发布之日起5个工作日。
*、其他补充事宜
厦门市行政服务中心4楼信息发布大厅指定正通和收标窗口
*、对本次招标提出询问，请按以下方式联系。
1.采购人信息
名 称：******
地 址：福建省厦门市集美区理工路６００号
联系方式：***********
2.采购代理机构信息（如有）
名 称：*************
地 址：厦门市思明区湖滨南路***号鸿翔大厦 8层F 、A、B单元
联系方式：****-*******
3.项目联系方式
项目联系人：***
电 话：****-*******
网址：****.***.******.***.**
开户名：*************
*************
****-**-**
联系客服
APP
公众号
返回顶部
