2.1、服务对象
信息化系统名称
部署位置
服务器台数
长沙市公共资源交易服务平台及数据分析系统
市政务云
10
长沙市政府采购全流程电子化交易系统
15
工程建设电子招标投标系统
23
长沙市国土：资源网上交易系统
22
排污权交易系统
国有资产交易系统
14
公共资源交易档案管理系统
9
交易场地智能化系统
长沙市公共资源交易数字见证系统
11
智慧辅助评标系统
长沙“三资平台”系统
2.2服务内容
乙方为甲方上述系统提供全面的安全服务，服务内容包括安全测评、指导安全加固、安全巡检、安全监测、应急响 应及安全事件风险排查、日志审计、代码安全审计、重要时期驻场服务、安全培训、应急演练。
安全服务具体内容描述：
序号
服务内容
服务简述
服务频率
备注
1
安全测评服务（风险评估）
针对甲方服务范围内的信息系统涉及到的主要资产的重要程度分别提供安全测评服务，了解客观真实的自身网络系统安全现状，及了解当前信息系统面临的安全风险，并提供风险规避建议。主要内容：漏洞扫描、渗透测试、主机核查、病毒木马检测、应用安全等。测评完毕后向甲方出具测评报告。
适用于每年新上线系统。
1次/年
智惹辅助评标系统（预计2023年底上线 ,具体以实际情况为准。）
2
指导安全加固服务
根据安全测评和巡检的结果，定期对服务器、中间件进行安全基线加固，并协同系统开发商对高危风险漏洞实时修补，对关键业务系统安全策略进行优化。
适用于所有系统。
全年
服务要求：
应急响应要求1小时内到达现场。
3
安全巡检服务
对甲方的信息系统、计算机终端的安全运行情况进行定期化的安全巡检。主要包括复查安全整改加固情况、查找发现新的系统漏洞（漏洞扫描与渗透测试相结合）、配置核查、对病毒木马查杀等。并采用技术手段保障甲方计算机终端安全。巡检完毕后向甲方出具巡检报告。
4次/年
4
安全监测服务
对信息系统的可用性提供7*24小时安全监测服务，如发现不可用，向甲方提供告警。
5
应急响应及安全事件风险排查服务
1、发生安全应急事件后，第一时间到达现场，利用操作系统、数据库、web程序、相关重要文件、日志等对服务器中的入侵痕迹进行排查分析，对安全事件问题定位、追踪溯源、紧急整改，控制事件的影响范围。采用本地安全应急响应和远程安全应急响应。出具应急响应报告。
2、发生系统应急事件后，对系统各使用主体因系统功能、性能、网络等方面引起的质疑、投诉，对事件进行调查分析取证，从第三方公立角度对事件进行见证。出具应急响应报告。
6
日志季度安全审计服务
每月或每季度对照甲方信息系统运维工单，调取堡垒机视频日志进行人工审计服务。主要审计运维操作合规性，是否存在泄密操作、非法操作等，以及系统相关日志完整性、安全性等。出具日志审计报告。
7
代码安全审计服务
针对甲方信息系统重要功能模块进行代码安全审计，协同系统厂商进行整改，出具代码审计报告。
8
重要时期驻场服务
针对网络安全主管部门（省级、市级网信、公安部门等）每年度开展的应急演练、攻防演习活动提供驻场安全服务，配合甲方开展应急演练工作。
安全培训
针对用户方的网络安全现状，结合当前安全形势对甲方进行安全宣传、知识培训、技能培训等。
应急演练
初级应急演练（对甲方指定的系统，选取适当的安全事件进行场景模拟与演练。）
若甲方参加了省、市级的应急演练，则协助甲方开展应急演练工作，无需再单独开展。
2.3合同金额
1合同金额：￥210000.00(大写：人民币贰拾壹万元整),该款项包括与履行本合同有关的全部税费。
2.4服务时间
本项目服务期为三年，合同一年一签，每年的年度服务费用相同，本合同仅为第二年的合同，本服务期间为：2023年12月15日至2024年12月14日。
通过远程及现场实施的方式，完成为甲方上述系统的安全测评、指导安全加固、安全巡检、安全监测、应急响应及安全事件风险排查、日志审计、代码安全审计、重要时期驻场服务、安全培训、应急演练。
服务承诺：
●在服务过程中，回答甲方提出的疑难和咨询。
●严格按照约定的时间进行安全测评、指导安全加固、安全巡检、安全监测、应急响应及安全事件风险排查、日志审计、代码安全审计、重要时期驻场服务、安全培训、应急演练。
●按时向甲方提供安全测评报告、季度巡检报告，日志审让报告、应急响应报告、代码审计报告、培训记录表等。
●对于服务范围内出现安全问题的，在接到甲方通知后，乙方应在1小时内到达现场，并在24小时内尽量予以解决。
●除因甲方系统所使用的硬件、软件或操作错误所造成的应用故障外，在系统出现问题之日起3个工作日之内，出具事件分析报告书。
●乙方需指定专人负责合同约定事项，如有变更，应及时通知甲方。
服务要求；
1、对新上线智慧辅助评标系统进行一次安全测评，出具测评报告。
2、每季度对系统进行季度巡检和日志审计，出具巡检和审计报告。季度巡检和日志审计的时间大致为2024年1月、2024年4月、2024年7月、2024年10月。
3、日志审计应对照运维工单查看堡垒机运维日志，审查上机操作的合规性，是否存在泄密操作、敏感操作、非法操作等；检查日志记录的完整性、安全性，是否覆盖全面且达到6个月以上，是否存在安全入侵事件等。
4、 代码安全审计应依据国内或国际的信息安全标准，针对甲方信息系统重要功能模块开展审计工作，不限系统。
5、 在合同约定的时间内每年协助甲方完成一次应急演练和一次安全培训。
6、 乙方应按磋商文件和其响应文件履行服务。
7、 对于合同中未约定的其他服务内容和期限，按照甲方提出要求执行。
1、按照《关于进一步规范政府采购项目履约验收工作管理的通知》 (长财采购[2016]6号)文件的中“简易程序”的相关规定进行验收。
2、 项目验收标准，国家有强制性规定的，应按国家规定执行。验收报告作为乙方申请付款的凭证之一。
3、验收过程中如有关专业技术问题产生纠纷的，由甲方委托质量技术监督部门认定的检测机构进行检测，如检测结果显示为乙方原因造成的，由乙方承担该次的检测费用。
4、项目验收不合格，由乙方返工直至合格，有关返工、再行验收，以及给甲方造成的其他损失等费用由乙方承担。在合同期限内，出现连续或者累计两次项目验收不合格或因服务质量问题扣除违约金两次及以上的，甲方可不与乙方签订下一年度合同，另行按规定选择其他供应商采购，由此带来的一切损失由乙方承担。
1、 甲方的权利：
(1)服务过程中，甲方有权对乙方的服务过程进行监督、检查、询问、质疑。
(2)服务过程中，甲方有权利拒绝乙方提出的可能造成该系统业务持续性、机密性、完整性、可用性受到重大损失的评估要求。
(3)甲方有权依据《服务质量问题违约金扣除细则》的规定，从未支付给乙方的合同款项中予以扣除。如果扣除费用超出未支付款项的，还有权向乙方追偿。
2、 甲方的义务：
(1)在服务过程中，甲方应协助并向乙方提供服务过程中所需的文档(提供所有互联网)IP地址清单、对外映射端口清单，应用系统名称以及url清单、重要网络设备地址清单、安全设备地址清单和重要应用服务器地址清单。
(2)在服务过程中，甲方应依据服务计划时间安排，协调配合乙方的服务工作。
(3)在服务过程中，甲方协助乙方进行服务计划内的一切常规活动，提供工作场所，并负责相关事宜的组织和协调。
3、 乙方的权利
(1)服务过程中，乙方有权利要求甲方提交测试范围内的有效证据，以证明评估结果的有效性。
(2)服务过程中，乙方有权拒绝甲方提出的可能造成该系统业务持续性、机密性、完整性、可用性受到重大损失的评估要求。
4、 乙方的义务
(1)服务过程中，乙方应严格做好记录，以确保过程的有效性和可靠性。
(2)乙方有义务对甲方的所有资料采取保密措施。
(3)依据服务承诺履行其应尽的义务。
(4)接受甲方的监督、询问、检查、质疑，并及时进行反馈和答疑。
(5)如信息系统出现双方能力之外的安全问题，乙方应出具权威的问题分析报告，并有责任协助甲方组织有关专家解决该问题。
(6)合同期内，乙方应按照合同中的要求提供相应服务，不得影响甲方的系统和业务正常运行。
如果发生以下情况的，乙方应向甲方支付违约金(根据《服务质量问题违约金扣除细则》的相关规定，直接从未支付的款项中扣除；不够扣除的，甲方有权向乙方追偿),造成损失过大的，还应该赔偿损失：
《服务质量问题违约金扣除细则》
服务质量违约金扣除情形
扣除额度
未按合同约定的次数对新上线系统进行安全测评的(如无新系统则不适用)
3万1个
未按合同约定的时间开展季度安全巡查、日志审计工 作的
1万元/次
未按合同约定的质量开展代码安全审计工作的
3万元
重要时期未按合同要求安排专人驻场服务的
未按合同约定开展应急演练和安全培训的
工作时间或节假日期间，值班人员和第二联系人均无
法联系，服务电话不畅通的
0.5万元/次
服务响应不及时，未按合同约定的时间对安全事件进 行响应、到达现场进行处置的
乙方未遵守保密协议，造成秘密信息泄露
20万/次
未能按照事件性质如实处理安全问题
未按时提交应急响应报告、巡检报告、审计报告等报告的，或报告质量不达标的
发现安全问题或隐患未及时反馈甲方
12
因乙方在测评和巡查中未发现的安全问题，给甲方造成了损失或者不良影响的
2万元/次
13
因乙方信息安全服务疏忽导致影响系统运行，给甲方造成损失或者不良影响的
其他违反合同约定的行为
11. 1保密协定
1、 双方有义务为对方提交的任何文档资料包括检测评估数据与结果等保密，乙方相关人员有义务对甲方服务器、系统的有关资料和密码保密，双方必须严格遵守《中华人民共和国保密法》相关事宜执行，以确保相关技术及业务文档不被泄露。
2、 双方同意签订保密协议以保障上述保密条款所规定义务的有效履行，根据甲方要求签订《保密协议》 ( 附件一) 和《保密承诺书》 (附件二),确保甲方业务信息和技术信息安全保密。
3、 保密的时效不受本合同有效时间的限制。
11.2 不可抗力
任何一方由于战争、地震、洪水、禁运、罢工或者其他政府行为等不可抗力因素导致本协议不能履行时均可免除其责任。但是受影响一方应在事件发生后三个工作日内通知对方，并采取有效措施尽力减少损失的发生，否则，不得以不可抗力免责。
11.3其他事宜
本合同未尽事宜由甲、乙双方另行商议或签署书面补充文件，经双方盖章即作为本合同的有效组成部分，补充文件与本合同有同等法律效力。
本合同及附件一式四份，双方各执贰份，具有同等效力，合同自双方签章日起生效。
