项目采购内容

1、项目采购内容等级保护测评服务等保测评服务内容测评工作主要内容包括但不限于以下两个主要方面。安全管理制度针对安全管理制度方面的“安全策略”、“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。安全管理机构针对安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。安全管理人员针对人员安全管理方面的“人员录用”、“人员离岗”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。安全建设管理针对系统建设管理方面的“定级和备案”

2、、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“等级保护测评”以及“服务供应商选择”等测评指标，判断出与其相对应的各测评项的测评结果。安全运维管理针对系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备维护管理”、“漏洞和风险管理”“网络和系统安全管理”、“恶意代码防范管理”、“配置管理”“密码管理”、“变更管理”、“备份与恢复管理”、“安全事件处置”“应急预案管理”、“外包运维管理”等测评指标，判断出与其相对应的各测评项的测评结果。安全物理环境针对物理安全方面的“物理位置选择”、“物理访问控制”、“防盗窃和

3、防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等测评指标，判断出与其相对应的各测评项的测评结果。安全通信网络针对通信网络安全方面的“网络架构”、“通信传输”、“可信验证”等测评指标，判断出与其相对应的各测评项的测评结果。安全区域边界针对区域边界安全方面的“边界防护”、“访问控制”、“入侵防范”、“恶意代码和垃圾邮件防范”、“安全审计”、“可信验证”等测评指标，判断出与其相对应的各测评项的测评结果。安全计算环境针对计算环境安全方面的“身份鉴别”、“访问控制”、“安全审计”、“入侵防范”、“恶意代码防范”、“可信验证”、“数据完整性”、“数据

4、保密性”、“数据备份恢复”、“剩余信息保护”、“个人信息保护”等测评指标，判断出与其相对应的各测评项的测评结果。安全管理中心针对安全管理中心方面的“系统管理”、“审计管理”、“安全管理”、“集中管控”等测评指标，判断出与其相对应的各测评项的测评结果。等保测评服务输出要求出具正式的被测信息系统等级测评报告，并通过市网安部门审核。要求整个等保测评服务过程具备电子化流程，测评结果能够以结构化数据形式形成历史记录，能够实现服务过程及结果的数字化、可追溯化和可视化，能够实现问题的线上追踪和整改，并能够进行现场功能演示。等保测评服务输出包括但不限于以下内容：信息系统等级保护测评方案信息系统等级保护测评实施

5、计划信息系统等级保护问题清单和整改建议信息系统等级保护测评报告等保测评系统清单序号测评系统名称定级等级1职工信用管理平台三级2区块链政务诚信考核系统三级3湾（滩）长制信息化管理平台三级4信用中国（山东荣成）网站三级5智慧环卫三级6智慧医疗三级7智慧城管三级8民生110公共服务平台三级9智慧荣成APP三级10市场主体信用管理平台三级11不动产登记系统三级12审计项目信息管理系统三级风险评估服务风险评估又称信息安全风险评估，就是利用系统工程原理和方法对拟建或已有工程、系统可能存在的威胁及其可能产生的后果进行综合评价和预测，并根据可能导致的损失的大小，提出相应的安全措施，以达到工程和系统安全的过程。

6、风险评估服务内容风险评估服务内容包括基础安全检查服务，以资产为基本线索的安全评估服务，安全加固服务等。基础安全评估服务（安全检查）基础安全评估服务简称安全检查服务，其主要内容包括以下三个方面：1）检查机房环境及服务器、存储等外设的使用情况2）检查主机操作系统及应用软件运行状况3）检查安全产品及配套软件运行状况，检查事件库、漏洞库、病毒库等更新状况，并对各项配置给以优化建议风险评估风险评估服务的内容包括但不限于以下9个方面的评估：1）IT资产评估，包括各业务系统的资产梳理更新，依据资产的价值及重要性对资产进行分级赋值，5级最高，1级最低。2）终端及服务器操作系统安全评估，主要采取手工检查和工具扫

7、描的方式对系统的安全策略配置、系统漏洞等已有安全措施和脆弱性进行检查评估并进行风险分析。3）数据库系统安全评估，从数据完整性、数据保密性、数据可用性的角度对数据库系统的安全策略配置、系统漏洞等已有安全措施和脆弱性等进行检查评估并进行风险分析。4）网络设备及网络体系安全评估，从网络系统的整体安全和个体设备的安全配置等方面进行点面结合的检查评估和风险分析。包括但不限于以下内容：网络整体体系架构设计的合理性与安全性分析安全域划分及VLAN划分的合理性系统边界的安全防护及访问控制措施强度分析系统入侵检测点的部署合理性分析系统网络监控的有效性分析系统与外界的通讯线路的冗余性分析系统关键设备设施的冗余性分

8、析网络设备的有效性分析原则及方法5）应用系统安全评估，综合考虑应用系统的功能和性能，对应用系统的安全功能、安全参数的设置、系统代码的漏洞等方面进行安全检查和评估，并对信息系统整体的安全影响进行风险分析。6）数据安全性评估，通过手工检查和工具扫描的方式对数据在传输、使用、存储、备份、恢复等方面进行已有安全措施和脆弱性进行检查评估，结合数据面对的威胁进行综合风险评价。7）安全应急能力评估，通过检查安全应急的应急预案、应急演练的结果、安全事件处理的措施、从业人员的专业资格等方面进行定性的评估。8）信息安全管理评估，通过访谈相关人员和检查相关的安全管理制度、安全管理机构的设置以及相关安全管理制定的落实

9、情况进行定性的评估。9）物理环境评估，主要依据国家的相关标准对机房、介质等的存放环境进行威胁和脆弱性进行评估。安全配置基线检查、渗透测试使用专业的漏洞扫描工具对项目范围内所涉及的所有服务器OS、数据库、应用系统、网络设备、PC客户机等IT设备进行全面的安全漏洞、弱口令扫描，并提供详细的漏洞描述、漏洞整改临时建议和补丁下载链接。对检查出来的弱口令、高风险漏洞进行手工验证和渗透测试，说明验证漏洞的危害性和有效性，同时避免设备扫描出现误报。安全整改建议风险评估完成后，提出风险的安全建议与措施，制定安全加固建议，协助用户及时进行安全加固和优化，持续提高系统的安全性和抗攻击能力，将整个系统的安全状况维持

10、在较高的水平，减少安全事件发生的可能性。 （1）实施风险削减建议的优先度，便于用户在评估后根据揭示出的安全风险建立实施风险管理的计划；（2）提请注意风险削减与实施费用的平衡控制，做到适度安全；（3）提出的具体加固与整改措施、方案、建议等，应覆盖所有评估内容；（4）在对网络、系统、应用做加固工作时如果涉及的安全策略调整、协议、端口管理、打补丁等时，要考虑加固对象的实施风险，必要时要做好加固前的测试、备份工作。（5）系统整改加固后，需要对其再次进行有效性评估，以保证达到目标。风险评估服务输出风险评估完成后，评估机构提交给用户风险评估报告报告包括但不限于以下内容：风险评估范围资产评估分析威胁评估分析

11、脆弱性评估分析综合风险分析整改及处置建议。应急处理服务应急处理服务内容应急响应服务是为满足客户发生安全事件、需要紧急解决问题的情况下提供的一项安全服务。当客户发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，安全专家会在第一时间赶到事件现场，使客户的网络信息系统在最短时间内恢复正常工作，帮助客户查找入侵来源，给出入侵事故过程报告，同时给出解决方案与防范报告，为客户挽回或减少经济损失。应急处理服务主要包括以下几个方面的内容：1.协助用户制定和修改应急响应方案。2.协助用户对应急方案进行演练。3.安全事件应急响应：服务内容主要包括网络安全事件、信息安全事件等，以及针对黑客的攻击、入侵行为为主，例如计算机病毒、木马事件、web类攻击事件、网页篡改事件等等。应急响应处理事件包括但不限于以下内容：计算机病毒事件蠕虫病毒事件 勒索病毒事件特洛伊木马事件网页内嵌恶意代码事件拒绝服务攻击事件 后门攻击事件 漏洞攻击事件 网络扫描窃听事件 信息篡改事件 信