安徽出版集团暨时代出版

安徽出版集团暨时代出版等保测评项目采购需求服务范围及内容为进一步加强本单位信息系统的整体安全防护能力，拟采购网络安全等级保护（以下简称“等保”）测评服务，根据《中华人民共和国网络安全法》（主席令第53号）、《国家网络安全事件应急预案》（中央网信办〔2017〕4号）、《GB/T22239-2019信息安全技术网络安全等级保护基本要求》、《GB/T28448-2019信息安全技术网络安全等级保护测评要求》等相关法律法规要求和安徽省信息系统网络安全等级保护相关要求，我单位集团门户网站、OA办公系统、时代出版课后服务平台系统与时代出版门户网站需依据等级保护2.0相关要求开展等保测评工作。1.1需要开展等保测评信息系统如下所示：序号待测系统名称安全保护等级备注1时代出版课后服务平台三级2时代出版门户网站二级3安徽出版集团门户网站二级4OA办公系统二级1.2项目预算：人民币贰拾肆万元（¥240000.00）技术方案依据国家相关文件、标准、系统安全保护等级和《信息系统安全等级保护测评要求》对被测系统进行等级保护测评。2.1等级保护测评内容等级保护测评内容主要包括以下几个方面：（1）安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面的安全测评。（2）安全管理测评：包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全测评。（3）形成差距分析报告：依据测评结果和《信息系统安全等级保护基本要求》（GB/T22239-2019），对各信息系统进行安全现状分析，形成相应的差距分析报告。（4）编制系统安全整改方案：依据《信息系统安全等级保护基本要求》和《信息系统等级保护安全设计技术要求》，结合差距分析结果，编制针对各信息系统的安全整改建设方案。（5）编制和完善安全管理制度：依据《信息系统安全等级保护基本要求》和《信息系统等级保护安全设计技术要求》，协助建设方制订和完善各项信息安全管理制度，规范信息安全日常管理工作，提高信息安全基础管理水平。（6）编制等级测评报告：完成上述测评工作和建设方实施整改后，出具符合公安机关要求的信息系统安全保护等级测评报告。测评服务成果验证投标方技术文件中须清晰陈述其在项目各阶段拟实现的项目成果的构成和形式、项目成果验证方法、项目成果的呈报及验收程序与活动的组织方式等。包含但不限于以下成果：序号工作阶段项目成果构成和形式项目成果验证1测评准备等级测评项目启动应包含测评的进度安排、人力资源计划、质量保证、风险管理、沟通管理等内容。2信息收集与分析应完成信息收集与分析，形成相关文件。3工具和表单准备涉及表单应包含：单位基本情况、参与人员名单、物理环境情况、信息系统基本情况、信息系统承载业务（服务）情况、信息系统网络结构（环境）情况、外联线路及设备端口（网络边界）情况、网络设备情况、安全设备情况、服务器设备情况、终端设备情况、系统软件情况、应用系统软件情况、业务数据情况、数据备份情况、应用系统软件处理流程（多表）、业务数据流程（多表）、管理文档情况、安全威胁情况等。4测评方案编制测评对象确定和测评指标确定完成测评对象及测评指标的确定。5测评工具接入点确定完成测评工具的接入。6测评指导书开发测评指导书应包括：安全管理机构操作指导书、安全管理制度操作指导书、人员安全管理操作指导书、系统建设管理操作指导书、系统运维管理操作指导书、物理安全操作指导书、网络安全操作指导书、主机安全操作指导书、应用安全操作指导书、工具测试操作指导书等。7测评方案编制测评方案应包括：被测系统描述、测评对象、测评指标、测评工具和接入点、测评内容、测评指导书等。8现场测评测评实施准备完成测评实施的准备工作。9现场测评和结果记录测评项应包括：安全技术测评包括物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复。安全管理测评包括安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。10结果确认和资料归还提交完整的测评结果，应包括问题描述、状态、严重程度、优先级等内容；归还相关资料。11测评结束分析与报告编制单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成、测评报告编制等。12测评报告提交正式测评报告，测评报告包括：测评项目概述、被测信息系统情况、等级测评范围与方法、单元测评、整体测评、测评结果汇总、风险分析和评价、等级测评结论、安全建设整改建议等。4.项目实施要求4.1客观性和公正性要求：在最小主观判断情形下，按照评估双方相互认可的评估方案，基于明确定义的测评方式和解释，实施评估活动。4.2保密要求：在测评过程中，需严格遵循保密原则，对服务过程中涉及到的任何用户信息未经允许不向其他任何第三方泄漏，以及不得利用这些信息损害采购方利益。4.3互动要求：在整个测评过程中，强调采购方的互动参与，每个阶段都能够及时根据采购方的要求和实际情况对测评的内容、方式做出相关调整，进而更好的进行风险评估工作。4.4最小影响要求：测评工作应该尽可能小地影响系统和网络的正常运行，不能对业务的正常运行产生明显的影响（包括系统性能明显下降、网络阻塞、服务中断等），如无法避免，则应预先做出说明并经业主同意后实施。4.5规范性要求：信息安全等级保护测评服务的实施必须由专业的测评服务人员依照规范的操作流程进行，对操作过程和结果要有相应的记录，并提供完整的服务报告。4.6质量保障要求：在整个测评过程中，须特别重视项目质量管理。项目的实施将严格按照项目实施方案和流程进行，并由项目协调小组从中监督，控制项目的进度和质量。技术规格和标准《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）《信息安全技术网络安全等级保护测评过程指南》（GB/T28449-2018）《计算机信息系统安全保护等级划分准则》（GB17859-1999）《信息安全技术信息系统安全等级保护定级指南》（GB/T22240-2020）《信息安全技术网络基础安全技术要求》（GB/T20270-2006）《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）《信息安全技术操作系统安全技术要求》（GB/T20272-2006）《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006）《信息安全技术应用系统安全等级保护通用技术指南》（GA/T711-2007）《信息安全技术服务器技术要求》（GB/T21028-2007）《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）《信息安全技术信息系统安全管理要求》（GB/T20269-2006）《信息安全技术信息系统安全工程管理要求》（GB/T20282-2006）《信息安全技术信息安全事件分类分级指南》（GB/Z20986-2007）评分办