中国知识产权培训中心

中国知识产权培训中心网络信息安全服务项目需求书中国知识产权培训中心2018年4月

项目背景为贯彻落实习近平总书记关于“加快构建关键信息基础设施安全保障体系”，“全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改”的重要指示精神，根据中央网信办发布的《关于开展关键信息基础设施网络安全检查的通知》（中网办发文〔2016〕3号）的要求以及国家知识产权局2018年网络信息安全工作计划中的具体指示，培训中心结合目前网络信息安全保障工作中的实际需求，制定本次网络信息安全服务项目需求书，通过引入第三方专业安全服务机构进一步提升培训中心的网络信息安全保障能力。工作内容本项目的服务内容主要分为两部分，一是协助培训中心完成重要系统的等级保护相关工作（详见服务要求），二是参与培训中心信息发布系统的日常运维工作，具体分项见下表：序号类别名称单位数量备注1等级保护建设服务定级备案次1无2差距分析次1无3管理制度修订次1无4等级保护测评（二级）次1无5网络安全支持服务脆弱性检测次1每年一次6漏洞扫描次2半年一次7渗透测试/IP/域名2无8安全加固次2每半年一次。9应急响应年1每年三次应急演练；应急响应不限次提供。10网站安全监控服务/IP/域名/年1无11安全咨询服务年1服务期内限次提供。12杀毒软件防病毒软件（包含统一控制端及配套软件）套60360天擎终端安全管理系统v6.0，一年配套升级服务服务时间本次采购所涉及的服务期限：一年。服务要求等级保护建设服务杀毒软件产品类型产品类型设备名称规格描述360安全防护天擎终端安全管理系统V6.0360安全防护天擎终端安全管理系统V6.0基础平台系统控制中心软件360天擎系统基础组件，实现系统的集中管理、策略配置、报表查看等功能。客户端基础组件360天擎客户端基础组件，需通过购买授权许可实现其它功能。购买的其他功能模块默认包含一年软件升级服务。（该模块不能单独购买使用，必须结合其他功能模块使用）模块防病毒功能授权（Windows服务器与客户端）防病毒的病毒查杀引擎包括云查杀引擎、AVE、QEX、QVM等引擎，支持多引擎的协同工作对病毒、木马、恶意软件、引导区病毒、BIOS病毒等进行查杀，提供主动防御系统防护等功能。客户端系统默认支持WindowsXP/VISTA/WIN7/WIN8/WIN10，含一年升级服务。运维管控功能授权运维管控功能，支持对终端上传下载速度与流量进行管控；支持对各种外接设备进行外联控制，并根据违规外联发生时内外网连接状态分别设置违规处理措施；支持终端进程的黑白红名单设置；支持网址黑白名单策略；支持对终端各种外设、接口设置使用权限；支持对终端桌面系统的账号密码、本地安全策略、控制面板、屏保与壁纸、浏览器安全、杀毒软件检查进行管控策略配置。

客户端系统默认支持WindowsXP/VISTA/WIN7/WIN8/WIN10Windows客户端补丁管理功能授权补丁管理功能，支持对全网终端系统漏洞发现、补丁智能修复、强制修复等、蓝屏修复、补丁分发流量控制、客户端P2P补丁分发加速等功能。客户端系统默认支持WindowsXP/VISTA/WIN7/WIN8/WIN10，含一年升级服务。其他服务技术支持服务提供至少每季度一次的内网安全体系巡检；定期对内网做病毒扫描并确保每一次巡检后提交病毒报告；根据情况，出现突发事件时对用户进行紧急救援，4小时内赶赴现场。7*24小时电话支持。提供一年的防病毒软件免费升级服务；提供免费的安装调试服务，对相关工作人员进行现场设备培训，使他们具备基本的安全意识，掌握安全产品的基本使用方法以及对于常见安全事件的处理措施；对用户的防病毒服务器设置进行检查，确保工作正常，并优化设置，使产品处于最佳运行状态。定级备案序号重要性内容要求1服务名称定级备案2服务要求基于信息系统现状，参照信息系统安全等级保护定级指南，对系统现状进行调研，根据调研结果，确定定级对象，分析定级要素，根据等级保护对象受到破坏时所侵害的客体和对客体造成的侵害程度确定系统等级，编制定级报告并协助备案。3服务范围1个二级系统4服务频次1次。5服务成果备案证明6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。差距分析序号重要性内容要求1服务名称差距分析2服务要求基于信息系统现状和系统安全等级，参照信息系统安全等级保护要求，从信息安全技术和信息安全管理两个方面分析信息系统安全防护现状与等级保护要求之间的差距，并形成差距分析报告。3服务范围1个二级系统4服务频次1次。5服务成果差距分析报告6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。管理制度修订序号重要性内容要求1服务名称管理制度修订2服务要求基于信息系统安全等级，根据信息安全等级保护管理要求，从信息安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理五个方面对现有信息安全管理制度进行优化和修订，达到国家信息安全等级保护管理要求。3服务范围1个二级系统4服务频次1次。5服务成果帮助培训中心完善网络信息安全管理制度6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。等级保护测评（二级）序号重要性内容要求1服务名称等级保护测评（二级）2服务要求根据国家信息安全相关政策和要求，由有资质的第三方机构进行等级保护二级信息系统测评，全面评估信息系统现有安全防护水平和相应等级安全要求之间的差距，测评内容包括技术安全测评、管理安全测评和综合测评，并出具测评报告。3服务范围1个二级系统4服务频次1次。5#服务成果等级保护测评报告(二级)6#其他要求要求在测评期间提供一名资深工程师现场配合测评，提供本服务的人员须具备信息安全等级测评师证书。日常运维服务脆弱性检测序号重要性内容要求1服务名称脆弱性检测2服务要求借助专业化服务人员对系统的操作系统、数据库、中间件进行脆弱性检测，并对上述系统相关的网络核心层、汇聚层设备、安全设备进行脆弱性检测，以发现在网络、主机、应用等层面存在的安全隐患，并提出改进建议。3服务范围中国知识产权培训中心所有信息发布系统4服务频次1次。5服务成果系统脆弱性检测报告6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。漏洞扫描序号重要性内容要求1服务名称漏洞扫描2服务要求使用专业的检测工具和分析手段对系统漏洞进行扫描，从网络安全技术架构、网络/安全设备性能和策略、主机（包括操作系统、数据库和中间件）安全策略等方面，查找受保护的信息系统和关键资产存在的脆弱性，分析其面临的威胁，明确保护重点，并提交漏洞扫描报告。3服务范围中国知识产权培训中心所有信息发布系统4服务频次2次。5服务成果系统漏洞扫描报告6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。渗透测试序号重要性内容要求1服务名称渗透测试2服务要求在不影响正常业务前提下，使用专业的测试工具，模拟黑客针对网站系统平台、重要系统所在的网段、被保护主机进行相关渗透测试服务。查找信息系统在编码、设备配置等方面存在的安全隐患，分析各项安全漏洞遭黑客利用的难易程度及可能带来的负面影响，验证、评估安全防护措施的有效性，并针对检测出的安全隐患结果提出详尽的测试报告。3服务范围中国知识产权培训中心所有信息发布系统4服务频次2次。5服务成果系统渗透测试报告及建议整改方案6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。安全加固序号重要性内容要求1服务名称安全加固2服务要求根据差距分析结果，结合业务需求，对信息系统相关的操作系统、数据库、中间件和网络与安全设备通过技术手段进行安全策略加强调优，加强网络、系统和设备抵御攻击和威胁的能力，整体提高网络安全防护水平。3服务范围中国知识产权培训中心所有信息发布系统4服务频次2次。5服务成果系统安全加固方案6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案；为了切实保证培训中心网络安全，需要供应商具备一定的工程建设能力，必要时供应商需要对培训中心现有网络安全体系结构进行重新规划和调整。应急响应序号重要性内容要求1服务名称应急响应2#服务要求根据安全事件应急预案，在培训中心发生安全事件时及时响应，执行应急响应流程，通过专家级的技术支持和快速响应，及时消除安全事故，减少损失和负面影响，提升培训中心系统的业务连续性。其中，供应商应当：针对应急响应制订事件分类和响应策略，并根据要求组织培训中心进行应急演练操作；提供7*24小时的应急响应能力，在接到或监测到培训中心发生安全事件后，15分钟内由相关工程师做出响应并开始处理，同时应根据培训中心要求及安全事件严重程度（依据事件分类）立即派遣工程师并在2小时内赶到用户现场，提供不间断故障处理服务。供应商须具备完善的应急事件响应处理流程，并在报价文件中明确该流程，如遇重大安全事件须第一时间指导培训中心进行证据保全及遏制操作；供应商在提供服务过程中须自行提供相关的工具和产品，包括：防病毒软件、实时监控软件、日志分析软件、取证工具等；供应商现场应急响应服务须符合培训中心的安全管理规定；供应商须在应急处理完成后出具详细应急响应报告并进行深入的入侵分析，定位安全事件的源头，进行外部攻击源追溯，内部脆弱性分析，人工分析操作系统、中间件、数据库等系统软件日志记录信息，进行关联分析找出入侵途径，并提出切实可行的安全加固整改建议并落地实施。3服务范围中国知识产权培训中心所有信息发布系统4服务频次1年服务期，三次应急演练，应急响应不限次数。5服务成果（1）应急响应报告（2）安全事件分析及加固建议（3）培训中心网络信息安全应急预案6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。网站安全监控服务序号重要性内容要求1服务名称网站安全监控服务2服务要求通过工具化监测和远程专家值守对网站系统提供全年365天不间断的远程网站监测服务，为用户网站系统实现远程安全监测、安全检查、实时响应和人工分析服务。一旦网站遇到风险状况后，安全监测团队会在第一时间进行确认，并提供专业的解决方案，为构建完善网站安全体系的奠定基础；网站安全监控须针对培训中心教学辅导平台中的论坛、沙龙、开放问答等板块进行自动化违规关键字检测并进行及时告警。3服务范围中国知识产权培训中心所有信息发布系统4服务频次1年，7*24小时不间断进行。5服务成果网络安全监控月报网络安全监控年报6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。安全咨询服务序号重要性内容要求1服务名称安全咨询服务2服务要求根据培训中心情况，在培训中心迎接上级单位、网信部门等监督检查的过程中进行辅助；协助培训中心完成监督检查的报告、整改报告的编制工作；配合培训中心进行日常安全管理制度的实施和微调工作。3服务对象中国知识产权培训中心4服务频次1年服务期内不限次提供。5服务成果网络安全报告日常管理制度集6#其他要求供应商需要明确投入本服务的人员名单，提供本服务的人员所具备的专业资质；在报价文件中详细描述服务方案。项目保证需求人员保证供应商在报价方案中，应明确提供参加本项目的项目负责人及主要服务实施人员名单以及人员的类似项目的实施经历。供应商必须保证相关人员的稳定性，在本项目服务期结束前，参加本项目的人员变动必须取得培训中心同意。供应商提供的人员应包括项目负责人、安全服务工程师等。项目人员不能少于10名。本项目的项目负责人应具有一定的项目管理能力，有系统运维、等级保护建设等相关的经验，深刻理解信息系统运维服务以及信息安全建设，因此要求本项目的项目负责人需具备信息安全领域的专业资质，并具备信息安全专业的高级工程师资质以及5年以上的信息安全服务经验。项目人员中需要具有注册信息安全专业人员资质（审计类）、C-CCSK、等级保护测评师以及等级保护建设专业人员等各类资质，以及2年以上的信息安全服务经验。供应商须在报价文件中提供为本项目组建的项目团队成员信息及其所负责的服务内容，并提供项目经理、项目成员的简历、资质证书复印件或扫描件，所有本项目团队成员须开具近三个月社保证明。工期保证服务期限为1年，在本项目合同签订之后，1年内完成安全服务相关工作。供应商的项目进度管理应该遵循以下原则：（1）依据项目合同约定的工期目标，组织项目进度管理；（2）在确保项目质量和安全的原则下，控制项目进度。质量保证供应商在安全服务过程中应严格按照相关安全标准，针对安全服务的各个环节，提出有效质量管理计划、质量控制措施及风险控制规避计划,项目经理应在项目每一阶段，对实施过程的控制，调查、分析和解决发现的问题，问题及其解决办法都应写成文档（包括项目周报、会议记录等），保证项目按目标完成。安全保密供应商要严格遵守国家《保密法》及有关保密的法律法规，选派具有良好职业道德的人员参与和从事本项目工作，教育相关人员恪守职业道德，服从培训中心的管理，严格遵守培训中心的保密规定和工作制度，并承担相应的保密责任。供应商所有参与本项目的服务人员须签订《保密承诺书》。供应商负责对《保密承诺书》归档保管，接受培训中心检查。供应商要对承诺履行情况负有监督责任，一经发现违反承诺情况，要及时向培训中心报告。供应商所有参与本项目的服务人员自觉接受培训中心的安全保密监督和管理，如违反安全保密条款，培训中心将追究其责任，对泄露系统资料，造成伤害的，除依据有关规定追究有关责任人员法律责任外，还将依法承担相应的民事责任。评分标准评分内容评分项评分细则分项分值价格部分（30分）报价价格得分=（基准价/报价）×30%×100基准价=所有报价人中有效报价的最低价。0-30商务部分（30分）等级保护建设服务资质1）具有中国信息安全认证中心颁发的信息系统安全集成服务资质，一级得3分，其他等级得1分，不具有得0分（提供证书复印件）。0-32）具有公安部第一研究所颁发的信息安全等级保护安全建设服务机构能力评估合格证书，得5分，不具有得0分（提供证书复印件）。0-5信息安全服务能力资质1）具有中国信息安全认证中心颁发的信息系统安全运维服务资质，一级得5分，其他等级得2分，不具有得0分（提供证书复印件）。0-52）具有中国信息安全认证中心颁发的信息安全风险评估服务资质，一级得3分，其他等级或者不具有得0分（提供证书复印件）。0-33）具有中国信息安全认证中心颁发的信息安全应急处理服务资质，一级得2分，其他等级得1分，不具有得0分（提供证书复印件）。0-24）具有ISO20000IT服务管理体系认证证书、具有证书得2分，不具有得0分（提供证书复印件）。0-25）近三年（2015年1月1日起）所承担的国家部委或北京市党