全民健康信息数据安全保障服务采购需求

1全民健康信息数据安全保障服务采购需求卫生信息数据中心的硬件平台系统肩负着全市卫生数据存储、处理、共享及交换的任务，是全市卫生健康环网关键核心点，支撑的主要业务系统有XX市社区卫生服务信息系统平台、全市预约服务统一平台、全市分级诊疗服务统一平台、全市区域电子病历共享平台、电子健康码平台、市妇幼信息系统、市卫生健康人力资源管理信息系统等相关系统，对推动全市区域卫生健康医疗日常业务开展、区域协同、数据集约共享、互联互通和“互联网+健康”服务等方面发挥了非常重要的作用。上述多个系统均保存大量医疗健康数据，关系国计民生，医疗数据一旦遭到篡改、破坏和泄露，势必对医疗机构的声誉、医患双方的隐私及健康安全构成严重威胁，甚至影响社会的和谐稳定。涉及到sqlserver、oracle等数据库数据分类，数据防护个人信息保护，数据保密性需求，勒索病毒的攻击防护。为了确保全市卫生健康各个区域业务应用信息系统的稳定运行，保障数据的真实性和隐私性。从微观上包含个体身体健康情况、医疗就诊情况等数据，从宏观上包含疾病传播、区域人口健康状况等数据，根据《数据安全法》《个人信息保护法》《信息安全技术健康医疗数据安全指南》(GB/T39725-2020)等法律法规和技术标准评估数据安全风险及数据安全服务对健康医疗数据提供安全保障。为了保障业务系统数据，现需采购数据安全若干相关服务，服务期为一年。二、项目目标以保障XX市卫健数据安全为核心目标，以XX市社区卫生服务信息系统平台、全市预约服务统一平台、全市分级诊疗服务统一平台、全市区域电子病历共享平台、电子健康码平台、市妇幼信息系统、市卫生健康人力资源管理信息系统等相关系统为主要对象，通过监测有效支撑XX市卫健数据共享开放业务开展的安全体系架构，修订完善数据安全保障体系规划，指导下属医疗机构落实数据安2联网信息办公室《关于印发<常见类型移动互联网应用程序必要个人信息范围规务类别1数据安全-数据安理服务基于市社区卫生服务信息系统、全民健康信息平台采集到的全市区域电子病历共享平台、电子健康码行数据安全资产梳理，以系统级、数据表级的颗粒度开展盘点梳理工作，掌握数据分布及使用情况，输出数据资产目录清单。交付物：输出《数据资产目录清单》,服务期内至少2次(要求2025年第四季度、2026年第三季度完成资产梳理服务，并提供服务报告)。1项2数据安全-数据安级服务基于数据安全合规视角，建立市社区卫生服务信息系统、全民健康信息平台采集到的全市区域电子病历共享平台、电子健康码平台等业务系统中的服务期内动态变化的重要数据、个人信息以及组织认定的核心数据等敏感数据识别规范，根据规则通过自动化识别工具结合部分人工服务完成敏感数据识别及分级工作，以满足法律法规、行业监管以及业务风险管控的数据分级保护要求。1项3交付物：输出《敏感数据识别规范》(修订版)、清单》文件，服务期内至少1次(要求2026年第二季度完成数据分类分级服务，并提供上述服务报3数据安全-数据安全现状评估服务基于XX市卫生统计信息中心的基础环境和业务系统处于动态变化，从管理和技术等多维度，制订现状评估计划，拟订调研清单，服务期内需要有序开展现有安全措施现状分析工作，厘清当前的数据安全现状。交付物：输出《数据权限清单》(修订版)、《数据安全现状评估服务，并提供上述服务报告)。1项4数据安全估服务基于网络环境不断的变化，漏扫分析，结合对数据配置的不合规项，提出系统整改修复建议，输出报告。线核查报告》,服务期内至少1次(要求2025年第四季度完成基础环境评估服务，并提供上述服务1项5数据安全-数据安估服务基于数据安全能力成熟度模型(DSMM)、数据安全治理能力(DSG)等国家、行业以及社会认可的组织的数据安全能力每一年存在的变化，明晰组织数据安全能力差距。交付物：输出《数据安全能力评估服务报告》,服1项4务期内至少1次(要求2025年第四季度完成数据安全能力评估服务，并提供服务报告)。6数据安全-数据安估服务以法律法规、监管办法等为指导，集合系统信息采规风险检查及风险处置规划。交付物：输出《数据安全合规评估服务报告》,服务期内至少1次(要求2026年第一季度完成数据安全合规评估服务，并提供服务报告)。1项7数据安全-数据安全风险评估服务标要求，服务期内需要从组织、制度、技术和人员维度，全面评估数据安全能力差距，开展数据安全风险分析，并给予对应的处置建议。2025年第四季度完成数据安全风险评估服务，并提供上述服务报告)。1项8数据安全-数据安全机制保障设计从组织、制度、人员等管理维度，以数据安全管理要求输出数据安全相关标准制度、流程和规范文流程和管理制度。范、制度，保障制度贴合现有业务管理场景，制度落地。交付物：输出《数据安全管理制度》(修订版)、《数据安全人员管理制度》(修订版)、《数织职能、数据安全组织架构、各岗位的数据安全职1项5责范围和相关要求等，服务期内至少1次(要求2026年第一季度完成机制保障设计，并提供上述9数据安全-数据安全体系顶务开展数据安全现状分析、合规分析及风险评估等工作，结合数据安全各项服务中的经验针对所识别的组织、制度、人员、技术等脆弱性及风险，以在满足合规基线要求可接受的差距目标为基准，规划可落实的顶层建设规划方案设计。交付物：输出《数据安全建设详细设计方案》,服务期内至少1次(要求2026年第一季度完成数据安全体系顶层设计服务，并提供设计方案)。1项数据安全-数据库保障服务数据库应急响应服务、数据灾难挽救服务。交付物：输出《数据库巡检报告》、《AWR解读1项数据安全-数据库安全加固服务基于漏洞和基础环境不断变化，服务期内需要根据最新的环境情况制定对应的加固方案，包括数据库漏洞修复、数据库基线设计加固、运维人员身份认证及访问控制策略制定、敏感数据脱敏、数据加密存储、安全监控及审计等内容。交付物：输出《数据安全加固建议方案》,服务期内至少1次(要求2026年第一季度完成数据安全加固服务，并提供服务方案)。1项数据安全-数据安全策略制定及管控建议服务开展人工智能大模型数据安全服务，需对大模型的1项6交付物：输出《数据安全管理技术方案》,服务期内至少1次(要求2026年第三季度完成数据安全策略制定及管控服务，并提供上述服务报告数据安全-数据库服务根据合规要求，结合实际数据存储环境(X86和国产化)情况，结合实际情况，建立数据安全存储管理体系与技术规范，通过数据库加密存储工具实现对敏感、重要、核心数据提供落盘加密，防止拖库以及内部人员非法拷贝，保障数据安全。1项数据安全务术规范》(标准号：T/GZBC36-2020),结合业务数配套工具对敏感数据进行脱敏处理，根据数据安全应用场景提供静态脱敏和动态脱敏服务，防止各交付物：输出《数据脱敏报告》,服务期内至少1次(要求2026年第一季度完成敏感数据脱敏服务，1项数据安全-数据库访问控制服务根据合规要求，结合实际情况，对各部门业务、管理充分调研，实现不同岗位、职责人员数据安全管理体系与安全防护策略建设，包括运维人员、开发人员、业务操作人员的正确识别，避免非岗位、职责人员利用岗位、职责工具访问。对敏感数据进行定义与分类分级，对特权账户进行统一管理，防止敏感数据被越权。同时为避免误操作行为，通过数据库访问控制服务工具建立危险操作访问控制与1项7数据恢复机制。交付物：输出《数据库访问权控防护报告》,服务期内至少1次(要求2026年第一季度完成数据库访问控制服务，并提供服务报告)。数据安全-数据库安全防护服务根据合规要求，结合实际情况，建立数据库安全防行来自外部危险隔离，消除应用程序业务逻辑漏洞或者缺陷所导致的数据库安全问题，通过事前探止外部黑客对数据库入侵行为。交付物：输出《数据库安全防护服务报告》,服务期内至少1次(要求2026年第一季度完成数据库1项数据安全-API安务因API接口的不断增加或者删减，需自动发现接口并进行快速梳理API资产台账并进行分析API接口安全问题；提供接口发现模板，自动发现接口并进行快速梳理API资产台账；务系统的API使用情况开展监测管理，保障核心业务系统的API监管效能。输出《API安全监测服务报告》,服务期内至少1次。(要求2026年第一季度完成API资产梳理与1项数据安全-数据安全管控服务根据合规要求，结合实际情况，提供数据安全实时风险感知分析，通过数据安全管控服务工具实时监控数据整体的运行情况，展示数据的安全情况，出现风险时可快速定位当前被攻击的数据及发起攻1项8知分析对注入攻击、漏洞攻击、敏感访问、系统运交付物：输出《数据安全态势分析服务报告》,服务期内至少1次(要求2026年第二季度完成数据安全态势分析服务，并提供服务报告)。数据安全务现有一套火星舱数据备份系统，因硬件设备磁盘空间不足和网络传输效果不理想，为提高循环备份需求，提供现有数据备份容灾单元设备基础上扩容服务，配置≥12TB裸容量(要求配置≥6块2TB硬盘);扩容多模光纤双端口万兆以太网卡(SFP)。(要求合同签订后10工作日内完成数据备份扩容服务)。1项数据安全个人信息风险评估服务从管理和技术等多维度，有序开展现有安全措施现状调研工作，针对组织的个人信息保护工作展开安全体系化的快速评估工作，评估范围涵盖个人信息处理全生命周期、个人信息安全保障能力、个人信息主体权利保障、个人信息管理机制四大层面，识别并披露个人信息处理所涉的合规风险，并提供针务报告》、《个人信息风险整改建议》,服务期内至少1次。(要求2025年第四季度完成个人信息1项数据资产盘点数据资产识9别级、分布、存储方式和使用方式，根据组织业务特征和数据价式、授权情况等。交付物输出《数据资产目录清单》,服务期内至少2次。(要求第二和四季度完成资产梳理服务，并提供服务报告)数据资产探查及分析提供数据资产探查及分析工具服务：工具内置《T/GDWJ013-2022XX省医疗健康数据安全分级分类管理技术规范据安全指南_GB/T39725-2020》等相关医准，高效开展对业务系统的元数据扫描、识别数据格式和语义内容等，快速完成数据资产的探查和分析。服务范围在服务期间至少需完成区域电子病历共享平台共享平台、社卫系统、电子健康码系统数据资产梳理、分类分级相关工作。数据分类分级组织业务实际的数据分类分级规范，包括：数据分类分级的原则、管理流程等。提供数据分类服务：基于数据性质(特定的数据性质有所区别)、重要程度(与其他数据相比重要程度有区别)、管理需求(因特行的管理目的)或使用需求(与其他数据之间使用范围/目的不同)等进行综合分析，完成数据分类。结合数据体量、数据聚合、数据实效性等进行综合分析，完定级。提供分类分级目录形式查看数据资产的自动发现的结果和分类分进行确认，确认完成后输出最终分类分级结果。分级概况、数据敏感分析等内容，大屏显示内容提供自定义配置。提供对数据分类分级清单进行导出服务。提供对数据分类分级报告进行导出服务。可视化大屏过分类分级工具内置接口实时动态监测数据的情况。提供数据分类分级明细数据大屏定制服务，结合分类分级落地成果，通过分类分级工具内置接口实时动态监测数据的情况。交付物维季度完成数据分类分级服务，并提供上述服务报告)。4.3数据安全现状评估服务通过收集现有的制度办法、访谈和收集相关部门对于数据安全需求和建议，包括但不限于业务、系统等相关内容梳理。从组织、业务和安全层面对组织参与数据活动的人员角色进行梳理，组织层面主要是数据安全组织建设角色，决策层、管理处、执行层、审计层和员工；业务层面结合组织实际数据处理活动，包括数据生产/开发、提供、存储和使用、共享、监管(审计)、管理活动，包括：数据提供方、数据使用方、数据监管方(审计)、数据管理方、数据运营方和数据生产/开发方等角色；安全层面从三权分立原则出发，梳理系统平台的安全角色。流向识别成目标系统，体现数据在全生命周期中的数据产生、传输、存储、属性在业务流程和IT系统上的流程关系，从而实现数据的可追溯。11现状评估调研组织上级单位对数据安全工作的管理要求，识别适用的数据安全与合规要求，通过对组织的业务、数字化环境、数据类型、安全管理现状、发展战略等开展现状调研工作，了解数据资产构成、特征、范围及流转情况、数据资产与业务系统架构、基础之间的关系等内容。交付物输出《数据权限清单》、《数据流向图》、告》,服务期内至少1次(要求第四运维季度完成数据安全现状评估服务，并提供上述服务报告)。弱性评估通过人工服务方式从技术脆弱性(物理层、网络层、系统层、应用进行脆弱性识别并根据对资产的损害程度、技术实现的难易程度、赋值。基础环境漏洞风险评估工验证扫描结果，并对数据库和中间件进行全面的安全配置核查和分析，发现配置的不合规项，以及存在的安全漏洞和薄弱环节，结合医疗行业实际需求提出系统整改修复建议，输出报告。线核查通过人工服务方式完成基础环境基线核查内(1)主机操作系统检查内容主机操作系统安全配置检查包含但不限于以下内容：帐号和口令管理、认证和授权策略、访问控制、日志审核策略、入侵防范、剩余信息保护、系统资源控制、其它安全配置。(2)数据库检查内容数据库安全配置检查包含但不限于以下内容：帐号和口令管理、认置。(3)中间件检查内容中间件安全配置检查包含但不限于以下内容：帐号和口令管理、认置。交付物输出《数据安全基础环境风险清单》、《基线核查报告》,服务期内至少1次(要求第四运维季度完成基础环境评估服务，并提供上4.5数据安全能力评估服务服务项服务要求现状分析依据国家数据安全相关政策、标准，结合组织现状，对组织数据全生命周期安全技术能力和制度规范流程落地建设情况开展全面的能力分析结合《GB/T37988-2019信息安全技术数据安全能力成熟度模型》、息安全风险评估指南》及组织实际情况，形成数据安全能力评估模从组织机构整体数据安全管理需求的角度出发，帮助组织清楚自身的数据安全能力等级，包括系统概况分析、重要数据梳理、过程域解析、过程域评估，进行整体评估分析，理清自身的数据安全能力级别，帮助组织明晰自身在生命周期各阶段的能力现状与目标的差距，为后续数据安全能力级别目标提升提供依据。交付物输出《数据安全能力评估服务报告》,服务期内至少1次(要求第四运维季度完成数据安全能力评估服务，并提供服务报告服务项服务要求提供基础信息调研和采集服务：基于业务场景的方式进行调研和访人员等维度，根据评估类型调整符合组织实际的内容，包括组织建设情况、制度规范建设及落实情况、数据安全相关技术落地情况，以及应急响应、风险评估、教育培训、跨境传输、隐私条款等众多内容。从数据安全风险和合规出发风险维度进行场景化的安全风险分明确风险可能产生的影响，以及对应的风险程度，完成合规评估分析。结果判定基于合规评估分析结果，进行各法律法规文件的综合合规性判定、合规评估交付物输出《数据安全合规评估服务报告》,服务期内至少1次(要求第四运维季度完成数据安全合规评估服务，并提供服务报告4.7数据安全风险评估服务服务范围在2025-2026年度服务期间至少需完成区域卫系统、电子健康码系统数据风险评估相关工作。风险评估提供数据识别风险评估服务：将数据资产围绕数据全生命周期进行层层递进识别，明确数据资产的风险系数、风险等安全管理制度、流程规范、过程记录、安全合规、技术能力与功能等方面，识别组织内数据全生命周期流转过程中所存在的安全风评估提供数据安全管理风险评估服务：针对组织数据安全管理组织、数据安全制度体系、数据分类分级管理、人员管理、数据安全风险评估、数据安全应急管理、举报投诉管理、个人信息保护、重要数据处理安全等方面，遵照数据安全风险评估内容，从安全管理制度、流程规范、过程记录、安全合规等方面，识别组织在数据安全管理方面所存在的安全风险。评估提供数据安全技术风险评估服务：针对组织在数据安全鉴别与访问控制、安全审计、数据安全风险鉴别、数据口安全管理、个人信息保护等方面，遵照数据安全风险评估内容，从安全管理制度、流程规范、过程记录、安全合规、技术能力与功能等方面，识别组织在数据安全技术方面所存在的安全风险。交付物输出《数据安全风险评估服务报告》、《数据安全风险处置建议》,务，并提供上述服务报告)。4.8数据安全机制保障设计服务项服务要求急预案》提供数据安全事件应急响应机制，制定《数据安全事件应急预案》,畅运行。据流动过程中的安全。制定《数据脱敏规范》,完善脱敏人员管理、全。理规范》要求，制定《数据存储介质管理规范》,完善数据存储与使用安全交付物输出《数据安全管理制度(修订版)》、《数据安全人员管理制度(修订版)》、《数据安全应急响应管理制度(修订版)》,确数据安全组织职能、数据安全组织架构、各岗位的数据安全职责范围4.9数据安全顶层设计服务服务项服务要求数据安全管理体系设计搭建数据安全组织架构，联动相关部门参与数据安全建设和运营当中，从而能够有效规划、落实和监督数据安全相关政策标准和管理规范等提出的要求，通过相关组件方案明确数据安全组织职能、数据安全组织架构、各岗位的数据安全职责范围和相关要求等。设立数据安全管理工作职能部门，设立安全主管、安全管理各个方面的负责人；设立安全管理人员岗位，明确定义各个工作岗位的职责；设立指导和管理数据安全工作的数据安全领导小组；成立以安全领导小组为核心的决策、监督、管理和执行四级组织机构，并明确四级组织机构的职责。明确组织各个阶段的管理要求和规章制度，建立健全数据安全制度规范体系，制定包括数据分类分级、访问权限、共享开放、脱敏销毁、日志审计、监督检查、应急处置等各种安全管理活动中的流程使用，促进组织数据安全管理工作标准化、流程化、规范化，使各项数据安全管理工作有规可依。数据安全技术体系设计设计一套自上而下的数据安全体系化建设方案，结合数据安全管理体系要求，完善数据安全风险识别、安全防御、安全检测、安全响安全可靠的信息化基础设施和数据资源，推进医疗信息化服务和管理，保障患者隐私安全、促进医疗健康信息化建设，提升医疗健康数据管理效率、促进跨部门信息协同共享、保障医疗健康信息安全数据安全运营体系设计基于管理、技术、人员等的持续性数据安全工作，建立事前审批、事中留痕、事后追溯的全链路数据安全监管机制，及类数据安全风险，切实防范数据篡改、泄露、滥用等风险。安全摸底、数据安全策略的制定及升级、数据安全交付物输出《数据安全建设详细设计方案》,服务期内至少1次(要求第四运维季度完成数据安全体系顶层设计服务，并提供设计方案服务项服务要求现场紧急救援与灾备恢复当发生数据库宕机、数据块损坏等影响业务正常进行的问题时，15若故障未解决只要用户认为必要，技术提供工程师应在接到通知1小时内到达用户现场，并提出问题解决方案；在4小时内使应用恢复正常(根据故障级别不同，处理时间可酌情商榷)。交付物包括工具体验解读报告。交付物输出《数据库巡检报告》、《AWR解读报服务项服务要求漏洞加固库的安全账号检查，重点检查账号体系、账号权限、密码强度，发现安全隐患，并出具整改方案，按照安全整改方案，由安全服务人员协助数据安全运维人员实施安全加固。基线加固基于风险态势梳理相关安全规范及安全策略，转化为安全基线，结合安全评估结果按照安全整改建议进行加固，及时消除安全漏洞可能带来的安全风险，最终符合安全规范保障安全运交付物输出《数据安全加固建议方案》,服务期内维季度完成数据安全加固服务，并提供服务方案服务项服务要求安全策略基线安全防护策略管控人工智数对XX市卫生统计信息中心本地化部署的人工入输出内容进行全面检测和预警，通过安全工具实现敏感个人数据交付物输出《数据安全管理服务方案》,服务期内维季度完成数据安全策略制定及管控服务，并提供上述服务报告)。服务项服务要求服务范围在2025-2026年度服务期间至少需完成区域卫系统、电子健康码系统数据库存储加密服务相关工服务数据源类型提供ORACLE、SQLSERVER、等传统关系型数据库和大数据平台加解密服务；提供达梦、高斯、人大金仓等国产化数据库加解密服服务建立数据加解密三权分立机制(安全管理员、审计管理员、系统管理员);务提供数据库初始化加密操作向导，加密任务建成后提供监测加密任务执行进度；提供以列、表两种细粒度的加密方式；提供离线加解密工具及加密信息记录；提供加密密钥备份；审计服务交付物输出《数据安全存储管理规范(修订版)》,服务期内至少1次(要求第一运维季度完成数据库存储加密服务，并提供服务报告服务项服务要求服务数据源类型仓关系型数据库服务；提供具有明确行列分隔符的格式化文件脱敏成文件或数据库表，如XLS、CSV、TXT等文件服务；提供数据库特有格式文件脱敏，如：DMP管理员账号分权分级管理服务实现账号权限的三权分立；包括系统管理员、审计管理员、操作管服务对数据源使用权限管理，无授权脱敏账号无法使用数据源信息；账户管理服务建立账号权限审批机制，包括分配、开通、变更、锁定、重置、注销等账号权限的申请和审批。审计与监督检查提供审计与监督检查服务，对涉及大权限账号访问行为、高危访问资源回收、帐号口令更新、弱口令、权限及岗位合理性和数据载体-帐号-权限审批实施等。知相关责任方整改。交付物输出《数据库访问权控防护报告》,服务期内至少1次(要求第一运维季度完成数据库访问控制服务，并提供服务报告)。服务项服务要求服务数据库类型提供传统关系型数据库，如SQLServer、Oracle、等安全防护服务；的安全防护服务；审计服务提供对语句执行的时间、机器名、用户名、IP地址、MAC地址、客户端程序名以及SQL语句等信息审计；管控服务截，防止大批量数据泄露；提供请求频次访问管控，超过频次访问的行为进行拦截，避免数据大量泄漏；身份管理服务提供多维身份管理，身份鉴别因子包含应用名、操作系统账户、数据库用户、数字证书、身份敏感标签、日期、风险监测服务提供对数据库安全进行检查服务，如SQL注入攻击、数据库漏洞攻击、敏感访问、系统运行、流量等信息等；告警服务提供邮件、短信、钉钉、界面告警；交付物输出《数据库安全防护服务报告》,服务期内至少1次(要求第一运维季度完成数据库安全防护服务，并提供服务报告)。服务项服务要求服务范围在2025-2026年度服务期间至少需完成区域电系统、电子健康码系统数据API安全监测服务相关工作。提供接口发现模板，自动发现接口并进行快速梳理API资产台账；身份管理服务提供数据库通讯协议解析和双向流量分析，搜集用户访问的上下文信息，通过多因素身份认证，来规范用户的准入控制，要素包括：用户账户、短信验证码、指纹、证书认证等，集中验证用户身份；风险监测服务转检测体系并通过可视化方式进行直观呈现，形成风险监控墙；流动安全管控服务提供审计、脱敏、访问控制等管控手段，做到整个流程从风险检测、“可管控”、“可追溯”;审计溯源服务提供记录应用程序对敏感数据调用及输出以及业务操作行为的记录，完整记录包括客户端IP、用户账号、请求时间、请求内容、响应内容，请求状态等细粒度日志审计信息，帮助客户满足法律法规和监管机构对日志审计的要求；风险分析服务提供实时识别接口和应用中流转的敏感数据，分析接口中不合规的数据流转行为，根据危险等级、行为名称、发生时间、关联用户、关联接口等信息，为客户安全整改加固提供依据；告警服务提供短信、邮件、企业微信、钉钉、界面告警；可视化大屏提供API数据流动大屏定制服务，可展示并实时监测局内、局内向外部、外部向局内等数据流动的情况，当存在风险可通过告警提示交付物输出《API安全监测服务报告》,服务期内至维季度完成API资产梳理与监测服务，并提供服务报告4.18数据安全管控服务服务提供数据库资产发现服务，可通过IPv4或IPv6类型的IP、IP段扫描或流量发现，快速发现数据源；务提供提供安全态势可视化，直观展现出用户整体系统的风险情况与服务提供基础认证、身份属性、历史行为等多个维度计算身份风险分，对风险评分的变化趋势，分析身份的安全态势。服务现、已知身份和黑名单身份管理，实现全局服务提供分析检测引擎、内置风险规则和数据模型，建立身份行为与资产访问基线，监测风险行为、异常行为和异常身告警服务提供告警信息订阅，包括订阅告警接受的对象、接受方式、资产范围、风险类型、风险等级等信息。提供短信、邮件、钉钉等方式发送提醒。交付物输出《数据安全态势分析服务报告》,服务期内至少1次(要求第二运维季度完成数据安全态势分析服务，并提供服务报告4.19数据安全-数据备份扩容服务服务项服务要求数据备份配置≥12TB裸容量(要求配置≥6块2TB硬盘);扩容多模光纤双端扩容服务口万兆以太网卡(SFP)。(要求第一运维季度完成数据备份扩容服个人信息识别与分类依据《个人信息保护法》《数据安全法》等法规，识别系统中涉及的个人信息类型(如身份证号、生物特征等),并进行敏感等级分建立个人信息资产清单，明确数据生命周期各环节(采集、存储、处理活动风险分析评估个人信息处理活动的合法性、必要性和收集、告知同意等合规性。分析数据跨境传输、第三方共享等场景的风险，识别潜在的数据泄交付物输出《个人信息风险评估服务报告》、《个人信息风险整改建议》,项目部署方式支持代理模式，可代理数据库，实现系统采集到数据库流量；支持双机主备自动切换，支持策略同步、会话同步机制，保障多设备间的一致性；支持代理模式，可代理数据库，实现系统采集到数据库流量；数据源支持DB2、Informix、PostgreSQL、MariaDB的安全防护；支持大数据平台下的大数据库如：Hive、ES、MongoDB、Solr等大数据安全防护；支持内存数据库HANA、Redis、Caché等特殊应用场景下的数据库安全审计；支持国产化数据库，如：DM(达梦)、LibrA、GaussDB、GBase的安全防护；中断会话：对需要阻断的访问，中断数据库连接；拦截语句：对需要阻断的访问，返回防火墙的错误提示信息，当前语句被拦截后，该会话不中断；安全防护能力支持基于嗅探技术寻找发现网络环境中存在的数据库资产，简化操作，实现数据库资产梳理；支持对操作时间、SQL语句、执行结果、返回结果集、影响行数、MAC、客户端主机名、客户端程序名称、客户端操作系统用户名、会话ID等15个条件以上进行审计；有SQL操作审计以及阻断；支持对SQLserver2005以上版本采用通讯加密的数据库审计；支持数据库嵌套、函数审计(sum求和函数等)、返回结果、脚本等审计以及阻断；支持SQL绑定变量的审计阻断，能审计到变量名及变量值；支持通过部署agent实现javaweb环境100%准确关联，支持框架：tomcat、weblogic、jboss;支持B/S业务系统三层关联阻断；支持B/S三层架构下的真实用户名关联配置；式模糊匹配；断或拦截，防止大批量数据泄露；支持拦截nowhere引起的整表更新、整表清空的误操作；TABLESPACE、DROPDATABASE、DROPTABLE、DROPTABLESPACE、DROPUSER、TRUNCATE等持数据库权限变更行为管控；已阻断行为支持审批放行，针对某个数据库设置放行规则，支持操作类型、关键字、访问工具、客户端IP、正则表达式、返回行数阈值等条件设置放行规则，实现灵活管控数据库操作行为，满足特殊运维场景的需要；支持在客户端对已阻断拦截的操作做防护系统拦截友好提示，让等数据库连接工具；全面支持后关系型数据库Cache的集成工具Terminal、Portal、portal、Sqlmanager工具操作的拦截，其中Portal句、查询Global有返回结果，Sqlmanager支持根据SQLID提取高效审计，Terminal能审计到SQL语句和返回结果，并支持本地审计，基于C/S的MedTrak工具能审计到操作报表的具体返回结果；支持Hadoop架构下的数据仓库HIVE的防护，如：能审计与拦截到Hive_HSQL创建数据库、建表、删除表、修改表结构、创建/删除视图、向数据表内加载文件、将查询结果插入到Hive表中、基本的查询等操作；安全防护策略支持针对利用已公开的数据库漏洞攻击行为进行拦截的虚拟补丁支持自定义安全防护策略，防护策略的条件包括不限于操作类型、关键字、访问工具、客户端IP、客户端MAC、操作系统主机名、操作系统用户名、应用账户名、数据库账号、数据库名、表名、小于等逻辑关系；内置安全特征库和审计规则库不少于300条，如SQL注入攻击、跨站脚本攻击、账号提权、导表导库等；连续操作了设定的语句时进行规则审计告警；支持重复操作的统计审计规则，可根据在一定的时间内，重复某项操作达到设定的统计次数并进行告警；敏感防护系统内置敏感数据类型，可自动发现业务环境中数据库对象中包含敏感数据类型，进行敏感数据级别的定义；支持敏感数据自定义，支持同步敏感数据扫描结果中的敏感数据，支持自定义敏感规则，可根据配置字段包括操作类型、敏感配置(保护对象所属的敏感数据)主体信息(访问工具、访问IP、客户端MAC、操作系统主机名、操作系统用户名)、规则生效时间进行敏感数据的行敏感数据统计、敏感数据访问热度统计及分析、敏感数据访问趋势及分析。监控记录检索与统计速定位相应的审计内容；支持基于时间、风险级别、保护对象、操作类型、客户端IP、客名、操作系统主机名、操作系统用户名、客户端MAC地址、客户端端口、服务端IP、服务端口、数据库名、语句长度、语句执行回应、语句执行时间、返回行数、返回结果、会话ID、记录编号、关键字等条件的审计查询；查询条件易于使用，支持等于或不等于、大于等于或小于等逻辑关系；系统内置分析报表和合规报表，支持源IP、账号、操作类型、客户端进程工具、时间等纬度生成报表；支持自定义报表，统计条件包括不限于风险级别、保护对象、客户端IP、访问工具、操作类型、数据库账户、数据库名、表名、字段名；支持添加统计模板，通过模板生成自定义报表数据；系统健壮性支持当设备出现问题宕机后，自动启用硬件bypass功能，防止单点故障。支持设备运行时软件层面出现异常，自动透传数据库访问流防止单点故障；系统内置独立的故障排诊断功能，可自动检测引擎工作状态；日志管理的事件；提供管理员权限设置和分权管理，审计用户，系统管理用户、规则管理用户权限分开，相应权限的用户只能查看、管理相应的功能，责任明确，相互监督。对于系统管理员、规则管理的操作行为能进行记录审计；告警方式支持短信、邮件、syslog、snmptrap、界面告警；互联接口支持通过API接口、syslog、SNMP等平台统一管理。项目支持多种数据源，包括：Oracle、MySQL、SQLServer、DB2、支持IRIS、Caché等后关系型数据库；或组件；等国产化数据库；支持阿里云下的RDSMYSQL、Maxcompute(ODPS)数据库；;支持格式化文件脱敏，如Excel、Csv、Txt、DICOM等文件；支持数据库特有格式文件脱敏，如：OracleDump、MySQLDump、Del、Dbf等类型文件脱敏；支持直接从FTP服务器、SFTP服务器、NAS服务器获取和本地上传方式创建文件脱敏任务；支持IPv4、IPv6、域名连接数据源；数据源授支持数据源授权管理：支持数据源授权管理，通过授权审批后，才可对相应的数据源进行脱敏处理；支持将数据源授权给一个、多个用户、用户组等多种形式；部署方式支持旁路部署，支持虚拟化、云、容器化等环境；支持同库、异构等多种脱敏方式；脱敏数据信息自动发现支持自动获取源库中数据定义语言DDL内容，用来创建目标数据库支持灵活的脱敏规则组自定义管理，以满足常用敏感数据共享时脱的调整、修改不改变已引用该规则组的脱敏任务的脱敏算法；支持在一个字段或一列数据中自动发现并识别出所有敏感数据所属的敏感数据类型，方便用户在进行数据脱敏操作时对敏感数据进行归类整理；支持自定义设定样本数目和匹配率进行在全库表或部分表扫描敏感数据类型；支持数据库或文件的敏感发现；支持样本预览、校正敏感发现结果；可逆、可逆还原、FPE加密、按位遮盖、按比例浮动、区间浮动等。满足用户对数据的加密、还原、数据关联等多种数据脱敏的应用场支持HASH脱敏算法，如SHA512,HASH+盐加密等多种算法；支持在系统前台界面配置SM3、SM4国密脱敏算法；支持对结构化数据脱敏后可以还原成原始数据的脱敏；关联关系支持保持同一数据库中不同表字段之间的数据关联性；策略直接同步到目标；数据库对象自动迁移支持脱敏后脱敏数据、混合类型数据保持原有数据特征；管理支持脱敏任务在执行过程中遇到的异常数据，跳过异常数据继续执行任务；脱敏报表管理支持断点续脱，当脱敏任务执行过程中因内外部原因异常中断时，系统具备完毕的机制记录当前任务执行进度，异常恢复后可从断点继续执行任务，无需从头开始执行；预防源库误删安全联动支持手动、定时、周期自动执行脱敏任务，支持按照日期、时间等条件对任务进行定时处理；兼容性要求支持只对源数据中增量的内容进行脱敏，无需重新开始脱敏；支持脱敏任务历史记录浏览；支持对脱敏任务的源与目标状态进行检测，并提供优化建议；项目部署方式支持反向代理部署支持集群式部署，提升系统可靠性与性能支持以软件形式在虚拟化和云环境部署加密能力支持ORACLE、MySQL、SQLserver、Sybase、DB2、达梦等数据库加密支持字段、表、库级别的加解密支持对数据字段int、RAW、CHAR,VARCHAR,VARCHAR2,LOB,NUMBER,DATE等常用类型进行加密支持DES、3DES、AES128、AES192、AES256等标准加密算以及国密SM3算法支持用户自定义加密策略支持基于IP、工具、用户名、敏感表、字段设置访问权限支持通过前台界面根据数据类型设置多个加密规则组的模板化配置，所有针对数据类型的加密规则均可使用已模板义配置系统管理系统采用B/S架构设计，支持主流浏览器进行系统的可视化操作支持三权分立设置，DBA访问、数据源使用必须经过相应管理员支持系统管理员进行账号锁定、禁用、解禁等相关设置，防止账号系统支持双因子认证方式登录支持系统管理员WEB界面对系统进行重启、关闭、恢复出厂设置、升级、下载日志等操作支持对每次任务执行的脱敏前后数据总量对比查看，并可详细展示单个数据表的脱敏量和实体数据同步情况；项目资产管理添加到资产管理列表；支持通过手动的方式添加数据库资产数据化展示，包括敏感数据的分类分级清单、敏感数据的分布情况感数据特征分布情况、高敏感资产排名情况支持数据资产分布视图可视化功能，提供饼图、柱状图、折线图多支持对数据资产做管理，包括资产确认、资产变更、资产分类分级能力单元支持其他数据安全设备的接入，可选择能力单元上传的数据类型，包括非风险数据、风险数据、数据库资产数据、数据库流量数据、阻断数据、非阻断数据等支持通过Kafka、Syslog、RestAPI等方式采集日志和配置数据支持利用机器学习、安全模型、行为识别、关联分析，分析和挖掘支持采集各能力单元的系统资源数据，包括CPU、内存、磁盘使用率信息安全态视可视化化大屏展示支持智能识别异常访问者态势，展示异常访展示攻击源IP与被攻击IP关系；支持根据敏感数据类别、级别、访问使用热度、敏感数据流向、访问人员特征维度进行联动安全分析态势评估与预测支持从威胁性、脆弱性、可用性、可靠性四个方面的系数对数据库资产安全整体状态进行建模，评估当前资产健康情况支持流量预测、访问趋势预测、敏感表访问量预测、总体安全态势的预测事件检索支持自定义时间段对安全模型识别风险情况、安全模型影响情况、资产分布情况、源IP触发安全模型分布情况进行检索；支持统计各安全模型的风险数，以组织、用户、数据库资产、源IP、时间等维支持对安全事件进行分类，包括攻击类、数据访问类及运维类，并可根据规则类型、时间范围、关键字等检索安全事件，显示安全事支持检索审计日志及阻断日志，并显示日志详情，包括发生时间、等级、能力单元名、客户端IP、客户端端口、客户端Mac地址、数据库用户名、数据库类型、操作语句、操作语句长度、语句执行时长、返回结果等安全分析模型系统支持丰富的安全分析模型，内置至少包括用户行为轨迹分析、口令猜测、权限配置变更检测、资产端口状态变动检测、密码长期无更换支持通过规则、规则组自定义安全分析模型风险概览支持展示攻击风险，统计攻击次数、拦截攻击数、被攻击资产数、攻击源IP数、使用工具数；并展示风险总体趋势支持统计并展示脆弱性风险，可以以数据库类型进行搜索查看脆弱性报表；图形化统计展示资产漏洞总数、资产弱口令总数、未受保护资产数、资产用户密码长期无更换数等，并根据统计数据展示脆弱性风险趋势及资产开放端口变化趋势支持统计并展示数据访问风险，统计风险资产数、源IP数、账户数、数据异常访问热度、敏感数据异常访问操作类型分布、数据访问资产风险排行停用数、引擎异常数、系统开放端口数、防护墙状态、CPU使用率、磁盘使用率、内存使用率及系统告警状态等，并根据统计数据展示系统运维风险趋势；支持对运维风险等级分布、运维风险类型排行进行统计支持对资产管理中的数据库资产梳理，配置资产所属的组织架构及责任人等信息支持配置可疑组、可疑名单，对可疑访问进行风险告警支持自定义报表，统计维度包括：数据库类型、能力单元、组织、资产、时间、表数、字段数、敏感表比例、处置风险、弱口令数、告警管理支持以短信、邮件、Syslog、snmptrap方式进行风险告警、系统告警。其中系统告警包括磁盘阈值告警、CPU阈值告警、内存阈值告警、引擎异常告警、能力单元异常告警、进程异常告警、安全模型停用告警、系统重启告警等系统安全支持配置系统安全等级，包括高、中、低三级，可配置密码过期时间、连接登陆失败次数、锁定时间、密码复杂度、未操作超时退出时间、系统防火墙开启关闭、访问IP黑白名单等日志管理支持记录操作日志、告警日志、升级日志等，便于事后回溯；系统维护支持从系统页面升级新版本、回退上一个版本功能；支持重启关闭引擎、重启关闭系统、恢复出厂设置、清除业务数据等维护操作；支持数据备份、清除、恢复等数据维护功能；4.21.5API安全监测服务工具项目多节点统一配置管理；支持旁路监测模式部署，可通过流量镜像、采集探针、从全流量设备拉取流量方式获取应用访问流量；支持反向代理、旁路监测模式混合部署；协议解析支持解析转发完整的HTTP、HTTPS事但不限于Restful、JSON-RPC、XML-RPC、GraAPI协议；支持自定义TCPsocket的解析，包括base64解密、解压缩等；流量裁剪支持通过域名黑白名单、UserAgent、Content-后缀黑白名单、源IP黑白名单、目标IP端口黑白名单、响应码黑白名单、URLPath黑白名单等多条件组合进行流量过滤；支持通过时间等维度对API接口传输的业务交易报文进行抽样，以减少需要分析处理的数据量；支持按照客户端IP、域名、请求方法、APIpath、请求头、响应码、响应头、响应内容等元组信息进行日志过滤，实现在设定的时间范围内，内容相同的请求、响应结果的组合只支持自定义日志保存配置，配置选项包含但不限于：不设置、保存包含风险事件的访问日志、保存包含敏感数据的访问日志、保存包含事件或敏感数据的访问日志、只保存同时包含敏感数据并触发事件的日志；支持自定义通用SESSION规则、TOKEN规则识别API接口鉴权信支持基于服务端IP、URL目标、域名、应用名称、用户自定义key、检测位置query、header、COOKIE等条件配用鉴权识别规则；应用账号管理支持从COOKIE、header、body、query自定义用户名参数字段解析识别用户信息；支持手动创建应用用户或以固定模板格式导入用户清单，支持对用户所属分组、所属应用系统等属性进行自定义配置管理；支持监测用户登录状态并进行打标，标签内容包括但不限于活跃账号、失活账号、复活账号等；分类分级管理支持对请求和返回中传输的敏感数据类型进行识别，内置敏感数据识别规则至少包含身份证、统一社会信用代码、电子邮箱、国内地址、身份证、手机号、银行卡、军官证、车牌号、护照号码、手机IMEI、固话号码、GUID/UUID、邮政编码、车辆识别码、香地址、详细地址、证券账户、单位名称、IDFA、AndroidID、学校、外国人居留许可证、中文姓名、开户行等常见敏感数据类支持自定义识别敏感数据类型的位置，可自定义检测位置包括但不限于：请求头、响应头、请求体、响应体；系统内置分类分级模版，同时支持导入或导出分类分级规则，或复用企业已有分类分级规则；管理支持监测资产状态并打标，资产状态包括但不限于：失活、复活、新增等类型，状态识别策略支持自定义；支持通过内置策略或自定义策略识别接口属性并打标，属性标签类型包括但不限于：注册接口、数据查询接口、文件上传接口、文件下载接口、用户登出接口、短信发送接口、验证码发送接口、数据导出接口等；数据标签、资产标签、自定义标签、接口状态、所属应用、创建时间、更新时间、域名、HOST信息、参数信息等，并支持跳转到接口画像功能；分析口画像；展示接口访问量及趋势、接口访问关系、敏感数据流动量及趋势、敏感数据透出类型分布、数据透出域排行、IP获取量排行、数据透出地域及网应访问行为记录，支持从API画像分析数据跳转到对应审计日志及原始访问报文，同时可基于多元化分析需求预设API画像条件；支持对IP、用户进行画像分析，展示指定时间范围内的访问关系、敏感数据获取量、文件下载数量、使用IP数量、user-agent种类、访问域名数量、访问IP数量、请求量及趋势、响应码分布、请求域名分布、服务端IP分布、敏感数据流动趋势及数量、敏感数据流动类型、敏感数据流动地域分布、事件数量及趋势、事件类型分布、事件明细分布、账号访问审计、账号数据流动、账号关联风险等信监测概览支持展示API资产数量、敏感API数量、域名数量、应用系统数量、地域分布图、事件数量趋势图、事件类型分布图、事件明细分布图、请求数量趋势图、请求域名分布图、响应码分布图等信息；审计支持以应用、域名、HOST、客户端IP、用户、事件、标签、应用为维度进行访问行为分析，分析指定时间范围内的请求量趋势、响应码分布、请求域名排行、请求IP排行、客户端分布、客户端地域分布、事件明细分布、事件类型分布等信息；支持在审计日志中详细列出入站敏感数据类型、出站敏感数据类型及对应数量；支持隐藏或显示审计日志中的敏感数据信息；并在访问详情中高亮提示IP归属地异常、涉及敏感数据类型、涉及敏感数据数量、响应码等信息；访问关系支持基于API接口、客户端IP为主体进行访问关系画像，明确展示端到端的可视化拓扑，拓扑支持明确到具体调用次数，且可对单次行为画像拓扑进行图片导出；数据透出分析支持以域名、HOST、客户端IP、用户、事件、标签、应用、为维度对数据流出情况进行多维度统计分析；透出统计信息包括但不限于敏感数据流动量及趋势图、敏感数据类型分布及数量、数据透出域名排行、数据透出IP排行、数据透出地排行、敏感数据访问事件等信息；并支持跳转到详细事件访问审计风险行为监测支持通过内置策略识别数据泄露类、账户身份类、安全风险、业务行为、web攻击类安全风险；支持基于完整URL、服务端口、域名、路径、查询参数、状态、客户端IP、请求或响应敏感数据类型、敏感数端IP归属国家、客户端IP归属省份、客户端IP归属城市、文件下载行为、下载文件名、HTTP请求方法、请求来源(referrer)、请求体(requestbody)、响应码、请求Body长度、请求Content-type、请求头Host值、请求头User-Agent、响应Content-type、请求COOKIE、响应设置COOKIE、响应报文长度、响应报文内容、服务端IP、服务端口、操作时间(HHMM)、访问次数等条件组合配置风险匹配规支持基于风险周期、时间数量、事件分类、事件种类、事件名称、事件等级、事件分类、源IP、用户名、URLPath、目标、应用名称、会话(session)、事件消息内容等多条件组合进行告警降噪；支持以风险类型、风险主体、用户、客户端IP、为维度进行多维度风险分析；风险事件统计结果详细展示风险等级、事件时间、风险类型、风险概要、源信息、目标信息、处置状态，并支持跳转到详细事件访问审计日志；制支持基于原始访问报文生成CURL命令，可复制后用于复现API请敏感数据支持对COOKIE、header、query中的敏感字段进行擦除设置；消息对接通过WebAPI接口向外部系统传输API资产信息、检测到的威胁信息、脆弱性信息和风险事件、系统运行监控信息和审计日志；通过WebAPI接口接收外部系统发送的用户管理、数据分级信息、项目部署方式数据库类型支持常见关系型数据库MySQL、SQLServer、Oracle、DB2、斯等；后关系型数据库Caché;NoSQL数据库HBase、Hive、MongoDB、星环等；数据库资段、端口及端口段进行数据库资产发现，资产发现识别信息包支持管理集群数据库资产，设置集群主资产和关联资产，资产统计时按主资产进行统计，关联资产不纳入统计支持对数据库资产密码，采用3DES算法加密存储支持自动对数据库资产元数据发现与展示，包括：库、表、列、函数、存储过程、视图等分类分级管理级标准、样本数、匹配率、全量或增量扫描、任务执行方式(手动、定时或周期),生成分类分级结果清单度及状态支持按不同行业标准展示分类分级任务扫描结果，包括：数据库资产信息、表类别、表级别、字段类别、字段级别、敏感类型、确认状态等支持对分类分级清单的校正，包括：表类别、表级别、敏感类型、字段类别、字段级别进行订正修改支持通过文件下载、API接口等方式共享分类分级清单数据数据资产概览支持按不同分类分级标准统计数据资产支持敏感数据信息统计，包括敏感类型、敏感表、敏感表字段等支持按组织机构、业务系统、业务物理区域进行拓扑展示数据库资产信息支持数据资产统计图表及排行列表数据导出(pdf、html)支持内置行业分类分级标准，包括通用个人信息、医疗、金融；支持自定义分类分级标准；支持对标准进行复制、导入、导出操作支持配置分类分级标准的显示与隐藏功能支持常用的敏感数据类型的配置与管理，默认支持内置敏感类型：手机号、座机号、公积金、道路运输经营许可证号、军密认证号、支持自定义添加不同行业标准下的敏感类型以及按excel模板导入的敏感类型支持设置敏感类型匹配方式：指定分割符和数据分区支持常用的敏感数据字典，并