合肥马拉松官方网站系统网络安全等级保护测评项目招标文件

一、招标人：

合肥马拉松组委会办公室

电话：0551-62648635

二、投标人资格：

1、符合《政府采购法》要求；

2、具有有效的营业执照；

3、投标人需持有公安部第三研究所颁发的网络安全等级测评与检测评估机构服务认证证书；

4、投标人须符合下列条件（投标人在投标文件中提供满足条件的承诺函）：

(1)具有独立承担民事责任的能力；

(2)具有良好的商业信誉和健全的财务会计制度；

(3)具有履行合同所必需的设备和专业技术能力；

(4)有依法缴纳税收和社会保障资金的良好记录；

(5)参加本项目投标前三年内，在经营活动中没有重大违法记录；

5、投标人在投标截止时间前不得被人民法院在信用中国网站（Http://www.creditchina.gov.cn）上列为失信被执行人。

三、项目预算：预算总金额78000.00元。

四、付款条件：

完成合同全部工作并出具符合公安机关要求的信息系统安全保护等级测评报告后，甲方在收到乙方开具的发票后在30个工作日内一次性支付合同款。

五、采购需求：详见附件1。

六、投标报价要求：

定价招标(投标人对招标文件作出全面响应和承诺)。

七、评标办法：

须不少于3家企业参与投标，本项目采用定价招标，通过综合评分法，从投标单位的测评方案及服务需求响应情况等方面进行综合评审，对实质上响应招标文件的投标人，由各评委独立记名打分。经统计，得出各投标人的最终评审分,按最终评审平均分由高到低依次排列，确定最高得分者为中标单位。

八、投标时间：

密封提交投标响应书及报价截止时间为2024年7月10日下午17:30分。

附件：1.采购需求

2.评分标准

合肥马拉松组委会办公室

2024年7月04日

附件1

采购需求

一、服务范围

系统名称如下表所示：

二、投标人的资格要求：

1、符合《政府采购法》要求；

2、具有有效的营业执照；

3、投标人需持有公安部第三研究所颁发的网络安全等级测评与检测评估机构服务认证证书；

4、投标人须符合下列条件（投标人在投标文件中提供满足条件的承诺函）：

(1)具有独立承担民事责任的能力；

(2)具有良好的商业信誉和健全的财务会计制度；

(3)具有履行合同所必需的设备和专业技术能力；

(4)有依法缴纳税收和社会保障资金的良好记录；

(5)参加本项目投标前三年内，在经营活动中没有重大违法记录；

5、投标人在投标截止时间前不得被人民法院在信用中国网站（Http://www.creditchina.gov.cn）上列为失信被执行人。

三、服务需求

1、项目概况

依据《中华人民共和国网络安全法》《信息安全等级保护管理办法》的相关要求，对业主单位重要信息系统进行等级测评，包括：安全技术测评、安全管理测评等，形成差距分析报告，编制系统安全整改方案，编制和完善安全管理制度等。

2、采购内容

（1）指导思想和基本准则：

根据公安部、国家保密局、国家密码管理局、国信办联合印发的《信息系统安全等级保护管理办法》（公通字〔2007〕43 号）、《关于信息系统安全等级保护工作的实施意见》（公通字〔2004〕66 号）、《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861 号）、公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信[2009]1429 号）等文件精神，结合合肥马拉松工作实际，现拟对合肥马拉松官方网站系统重要信息系统实施等级保护测评，以进一步完善信息系统安全管理体系和技术防护体系，切实提高系统信息安全防护能力，为信息化建设的健康有序发展提供可靠保障。

（2）等级保护测评主要包括以下几个方面：

安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个方面的安全测评。

安全管理测评：包括安全管理制度、安全管理机构、安全人员管理、安全建设管理和安全运维管理五个方面的安全测评。

形成差距分析报告：依据测评结果和《信息系统安全等级保护基本要求》（GB/T22239），对各信息系统进行安全现状分析，形成相应的差距分析报告。

编制系统安全整改方案：依据《信息系统安全等级保护基本要求》和《信息系统等级保护安全设计技术要求》，结合差距分析结果，编制针对各信息系统的安全整改建设方案。

编制和完善安全管理制度：依据《信息系统安全等级保护基本要求》和《信息系统等级保护安全设计技术要求》，协助制订和完善各项信息安全管理制度，规范信息安全日常管理工作，提高信息安全基础管理水平。

完成上述测评工作和实施整改后，最后中标人出具符合公安机关要求的（年度）信息系统安全保护等级测评报告。

工作要求：

实施原则

规范性原则：中标人工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制；

可控性原则：测评的工具、方法和过程需在双方认可的范围之内并符合进度表的安排，保证采购人对服务工作的可控性；

整体性原则：测评和分析的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患；最小影响原则：测评工作应尽可能小的影响系统和网络的正常运行，不能对现网的运行和业务的正常提供产生显著影响(包括系统性能明显下降、网络拥塞、服务中断，如无法避免出现这些情况应在应答书上详细描述)；

保密原则：对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害采购人网络的行为，否则采购人有权追究责任。

检测要求

（1）访谈

访谈是指测评人员通过与被测系统有关人员（个人/群体）进行交流、询问等活动，获取证据以证明信息系统安全保护措施是否有效的一类方法。在本次测评过程中，访谈方法主要应用于安全管理机构测评、人员安全管理测评、系统建设管理测评和系统运维管理测评等安全管理类测评任务中。

在安全管理类测评任务中，测评人员依据定制的测评指导书（访谈问题列表）对相关人员进行访谈，获取与安全管理有关的测评证据用于判断特定的安全管理措施是否符合国家相关标准以及委托方的实际需求。

在安全功能检查任务中，测评人员依据定制的测评指导书（访谈问题列表）对相关人员进行访谈，为后续的检查和测试收集必要的系统基本信息并提供参考数据。

（2）检查

检查是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全保护措施是否有效的一类方法。在本次测评过程中，检查方法的应用范围覆盖了物理安全测评、主机安全测评、网络安全测评、应用安全测评和数据安全及备份恢复等技术类测评任务，以及安全管理类测评任务。

在物理安全测评任务中，测评人员采用文档查阅与分析和现场观测等检查方法来获取测评证据（如机房的温湿度情况），用于判断目标系统在机房安全方面采用的特定安全技术措施是否符合国家相关标准以及委托方的实际需求。

在主机安全测评、网络安全测评、应用安全测评和数据安全及备份恢复等测评任务中，测评人员综合采用文档查阅与分析、安全配置核查和网络监听与分析等检查方法来获取测评证据（如相关措施的部署和配置情况，特定设备的端口开放情况等），用于判断目标系统在主机、网络和应用层面采用的特定安全技术措施是否符合国家相关标准以及委托方的实际需求。

在安全管理类测评任务中，测评人员主要采用文档查阅与分析的检查方法来获取测评证据（如制度文件的编制情况），用于判断特定的安全管理措施是否符合国家、行业相关标准的要求以及委托方的实际需求。

（3）测试

测试是指测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看、分析这些行为的结果，获取证据以证明信息系统安全保护措施是否有效的一类方法。在本次测评过程中，测试方法主要应用在手工验证、漏洞扫描等测评任务中。

在网络安全、主机安全和应用安全等测评任务中，测评人员将综合采用手工验证和工具测试方法对特定安全技术措施的有效性进行测试，测试结果用于判断目标系统在网络、主机或应用层面采用的特定技术措施是否符合国家相关标准以及委托方的实际需求，并进一步应用于对目标系统进行安全性整体分析。

三、报价要求

本项目报总价，报价包含完成本项目所需的全费用价格。成交后采购人不再另行追加任何费用，供应商应自行考虑报价风险。

四、人员配备及要求

中标人拟派的安全服务团队不得少于 4 人。项目经理需满足中级及以上测评师资质。现场测评结束后，提供一年的售后服务，既售后服务期内根据业主需求能及时安排参与现场测评的测评师到达现场协助和指导整改工作。

五、验收标准

中标人按等保要求，完成规定工作内容，合同签订后 1个月内交付所有信息系统测评报告。

六、其它要求

本项目形成的相关资料、文档的知识产权及所有权归采购人所有，未经许可，不得运用。

附件2

评分标准