经医院研究决定，就舟山市中医院安全服务项目采取公开招标确定供应商，现欢迎合格供应商报名参加。
一、项目编号：ZSSZYYXXCG202303
二、项目名称：安全服务
三、项目内容：

序号	系统名称	数量	预算	备注
1	安全服务	1批	4万元	具体见采购内容

 
四、采购内容：
1、系统渗透

技术指标	指标要求
服务范围	采购人指定2个应用系统。
服务期限及频率	1年/1次。
服务内容	通过真实模拟黑客使用的工具、分析方法对采购人指定的信息系统进行模拟攻击，并结合智能工具扫描结果，由高级工程师进行深入的手工测试和分析，识别工具弱点扫描无法发现的问题。主要分析内容包括逻辑缺陷、上传绕过、输入输出校验绕过、数据篡改、功能绕过、异常错误等以及其他专项内容测试与分析，重点发现应用层业务流程和逻辑上的安全漏洞和敏感信息泄露的风险。
交付物	《渗透测试报告》

 
2、漏扫扫描

技术指标	指标要求
服务范围	采购人指定信息系统，基本包括机房设备和网段。
服务期限及频率	1年/1次。
服务内容	通过专业的漏洞扫描工具发现采购人设备和系统中存在的严重漏洞，帮助采购人掌握技术措施是否有效执行，并通过人工审核确认以及及时修补完善，避免对信息系统造成严重影响。
交付物	《漏洞扫描报告》
工具要求	需提供WEB应用弱点扫描工具，要求如下： ★1、工具厂家应为公安部《信息安全技术 Web应用安全扫描产品安全技术要求》标准起草单位，提供相关证明； ★2、工具应通过国家信息安全测评信息技术产品安全测评证书EAL3+级别，提供证书复印件； ★3、工具通过中国信息安全认证中心获得IT产品信息安全认证证书，提供证书复印件； ★4、支持对各种挂马方式的网页木马进行全自动、高性能、智能化分析，并对网页木马传播的病毒类型做出准确剖析和网页木马宿主做出精确定位。（需提供截图证明） 5、支持常见的WEB应用弱点检测，支持OWASP TOP 10等主流安全漏洞；支持暴力猜解、Webshell、暗链扫描等； 6、支持自动化漏洞验证和沙盒技术，对目标应用进行深入安全分析，取得系统安全威胁的直接证据。
	需提供数据库扫描工具，要求如下： ★1、工具厂家应为公安部《信息安全技术数据库扫描产品安全技术要求》标准起草单位，需提供相关证明； 2、支持针对数据库每张表每个字段的内容进行敏感数据探测；敏感信息用户可以自定义添加，可以让用户了解自己的数据库系统有哪些敏感数据，存放的具体位置，便于在信息保护和审计中重点关注； 3、提供自动搜索功能，可以自动搜索出某一网段或指定IP范围内（端口号可默认或指定范围）的活动数据库，轻松获得数据库的基本信息（包括IP、数据库类型、服务名、端口号、数据库版本、操作系统类型、主机名等）；可按时、按日、按周定制扫描计划，到时间自动进行扫描； 4、使用具有DBA权限的数据库用户，执行选定的安全策略实现对目标数据库的检测； 5、用户在没有授权的情况下（即：不需要数据库的用户名和密码），依据数据库版本号并根据选定的安全策略对目标数据库进行的检测； 6、按漏洞类型分类：（1）缓冲区溢出漏洞（2）访问控制漏洞（3）提权漏洞（4）PL-SQL注入漏洞（5）执行权限过大漏洞（6）访问权限绕过漏洞（7）弱口令（8）数据库内核入侵探测（9）安全信息查看（10）敏感数据探测； 按风险级别分为类：（1）紧急（2）高危（3）中危（4）低危（5）信息； ★7、扫描对象支持Oracle、MS SQLserver、Mysql、Infomix、Sybase、达梦、人大金仓，同时支持win、linux、unix环境下的DB2，同时还支持IBM大型机z/os环境下的DB2。（需提供截图证明） ★8、能够对数据库内核的篡改检测。（需提供截图证明） 9、支持敏感数据探测。 ★10、提供扫描策略可自定义模式，操作者可以灵活选择默认策略的同时也可以自定义添加策略，（需提供截图证明） 11、支持CVE、CNNVD标准； 12、支持提供直观的风险危害等级图表和风险类型统计图表、漏洞的描述、漏洞的风险级别、加固建议； 13、输出报告格式包括PDF、WORD、XLS等； ★14、工具厂家应具有2021年度原创漏洞发现贡献单位证书。

 
3、协助安全加固

技术指标	指标要求
服务范围	采购人指定信息系统。
服务期限及频率	1年/1次。
服务内容	针对安全检测和采购人提出的安全检查要求中发现的安全漏洞和脆弱项，提出加固解决方案，指导采购人对所发现系统的漏洞进行安全加固，确保系统的安全性。
交付物	《安全加固报告》

 
4、应急演练

技术指标	指标要求
服务范围	采购人指定信息系统。
服务期限及频率	1年/1次。
服务内容	根据采购人现有应急预案规定的流程，根据需求，组织进行相应的模拟演练，一方面使用户熟悉应急响应流程，提高对安全事件的响应能力；另一方面验证预案正确性和适用性，进行总结分析，根据需要对应急预案进行修订。使得信息系统相关人员了解应急流程和自己的责任，在安全事件发生时，能够及时开展应急工作，最大程度降低安全事件带来的负面影响和损失。
交付物	《应急演练方案》、《应急演练报告》

 
5、网络安全培训

技术指标	指标要求
服务范围	采购人指定人员。
服务期限及频率	1年/1次。
服务内容	派遣资深信息安全培训专家提供现场信息安全培训课程。 安全意识培训 通过网络安全意识培训，对日益猖獗的病毒、木马等威胁进行必要的描述，使用户全体人员对网络安全的有初步的认识和逐步提高安全意识，并阐明具体的防范措施让安全事故可以得到有效的避免。 安全技术培训 介绍黑客攻击途径，着重描述当前流行的攻击技术和防御手段，对安全领域和知识进行清晰划分和描述，通过大量的现场模拟和环境加固实践提供用户专业技术人员的技术水平。 管理人员培训 对管理人员的培训，目的是使用户管理人员了解国家相关部门对系统网络安全管理和建设的相关标准，同时建立起一套具有针对性和适用性的安全管理办法。
交付物	《安全培训材料》

 
五、评分标准：

评分内容	评分项目	分值	评分细则
商务部分 （13分）	相关证书	5分	具有有效的ISO9001质量管理体系认证证书得1分； 具有有效的ISO27001信息安全管理体系认证证书得1分； 具有有效的ISO20000信息技术服务管理体系认证证书得1分； 具有有效的信息安全系统集成资质三级及以上证书得2分； 提供相关证书复印件
	业绩情况	3分	根据供应商自2020年1月1日以来（以合同签订时间为准）在中华人民共和国境内市场上的类似业绩情况进行打分。每提供1个得1分，最高3分。证明材料要求：必须包括合同关键页（至少包括首页、货物清单、金额页、签字页）。
	项目组成员证书	4分	为本项目拟派的实施人员相关能力： 1、项目负责人具有中级项目管理工程师证书的得1分。 2、项目组成员具有注册信息安全工程师证书的得1分。 3、项目组成员具有信息安全系统集成工程师证书的得1分。 4、项目组成员具有所投网络产品原厂认证中级及以上工程师证书的得1分。 （需提供相关人员单位近三个月社保证明，否则不得分）
	标书制作情况	1分	投标文件编制的情况进行评分。优秀的得0.8（不含）-1（含）分，良好的得0.5（不含）-0.8（含）分，一般的得0（含）-0.5（含）分。
技术部分（47分）	技术偏离情况	24分	根据技术参数要求应答情况打分，全部满足得24分。每有一项不满足或未按照标书要求提供证明材料的扣1分，扣完为止。“★”条款不满足的，其投标文件将被拒绝。
	项目建设方案	3分	根据针对本项目提供的整体建设方案满足需求程度进行综合打分： 整体建设方案完全满足采购需求、完整的得2（不含）-3（含）分； 整体建设方案需求满足程度较高1（不含）-2（含）分； 整体建设方案需求满足程度一般0（含）-1（含）分。
	实施方案	3分	根据针对本项目提供的实施方案综合进行打分； 实施方案可靠、稳定、安全、可扩展、兼容性强、可行性高的得2（不含）-3（含）分； 实施方案较可靠、稳定、安全、可扩展、兼容性较强、可行性较强的得1（不含）-2（含）分； 实施方案一般、可扩展、兼容性、可行性一般的得0（含）-1（含）分。未提供不得分，不同参选人可在同一档次内打分。
	培训方案	3分	根据提供的项目培训方案的设置合理性、培训师资的符合性及培训承诺等进行打分；优秀的得2（不含）-3（含）分，良好的得1（不含）-2（含）分，一般的得0（含）-1（含）分。未提供不得分，不同参选人可在同一档次内打分。
	应急方案	3分	根据提供的应急方案的完整性、预见性、科学性打分；优秀的得2（不含）-3（含）分，良好的得1（不含）-2（含）分，一般的得0（含）-1（含）分。未提供不得分，不同参选人可在同一档次内打分。
	故障响应	2分	根据承诺的故障响应时间及解决时间进行打分； 投标人承诺在1小时内响应，2小时到达现场，当天处理完故障的得2分，提供切实的服务保障证明材料。 每延后1小时得扣0.5分，扣完为止。
		2分	承诺设备出现故障后2个工作日解决的不得分；每提前0.5个工作日得1分，最高得2分。
	项目团队	4分	根据拟派实施团队工作人员的工作经历及实施经验等进行酌情打分，最高得4分。
	额外服务承诺	3分	根据结合本项目情况提供额外服务承诺进行对比判断，每提供一条服务内容明确、有效的得1分，最高得3分，未提供得0分。
服务部分（10分）	服务方案	5分	根据投标人为本项目提供售后服务情况进行横向评审，售后服务内容应包括售后保障措施、故障应急预案、故障处理方案等。 方案详细、科学合理，完全满足本项目需求的，得3（不含）-5（含）分； 方案一般，部分满足本项目需求，包含售后服务内容，但未详细说明的，得1（不含）-3（含）分； 方案简单，不能满足本项目需求的，得0（含）-1（含）分；未提供不得分。 不同参选人可分在同一档次内打分。
	质保期	3分	根据所投主要产品质保期进行打分。每延长1年得1.5分，最高可得3分。
	本地化服务	2分	根据投标人本地化服务能力进行打分。在舟山市具备常驻服务团队或服务机构的得2分，承诺中选后15日内设立舟山市服务机构的得1分。须提供营业执照或相关承诺书。未提供不得分。
投标报价 （30分）	报价	30分	采用低价优先法计算，即以满足招标文件要求且价格最低的投标报价为评标基准价，其价格分为满分。其他投标人的价格分统一按照下列公式计算：投标报价得分=（评标基准价/投标报价）*30*100%（四舍五入，保留两位小数）。

 
注：1、各评审小组成员自行按以上参考分值评分，技术商务评分保留小数点后一位数，价格分保留小数点后二位。
五、供应商资格条件：
1、供应商必须是中华人民共和国内经工商管理部门批准成立的独立法人机构或个体营业户；
2、供应商营业执照经营范围必须包含本项目采购内容；
3、本项目不允许转包，不允许分包，不接受联合体响应报价。
4、供应商须提供近三年内无重大违法记录的证明。
5、投标文件一式伍份（一正四副）。
八、投标文件内容包括：
（一）资格证明文件
1、投标函；
2、提供投标企业营业执照、组织代码证、税务登记证等相关资质证明；复印件加盖公章并携带相关证件原件备查；（三证合一只提供营业执照）；
3、独立法人机构需提供法人授权委托书及法人身份证复印件与被授权人身份证复印件；（若投标人系法定代表人，投标文件无须提供授权委托书）；个体营业户需提供经营者委托书及经营者身份证复印件与被授权人身份证复印件；（若投标人系经营者本人，投标文件无须提供授权委托书）；
4、《法定代表人授权函》原件，非法定代表人参加投标时用；
注：以上相关资料及证书证明复印件均需加盖公章。
九、报名时间及地点：
报名时间：2023年4月27日—2023年5月6日。
报名地点：舟山市中医院信息科（定海区新桥路355号食堂4楼402室）。
联系人：叶先生   联系电话：13665800284  邮箱：1455524994@qq.com
报名方式：现场报名或电话报名，选择电话报名，请将报名材料发送至邮箱。
备注：如报名成功后无故缺席开标，将被列入医院征信名单，一年之内不得参与医院信息类招标。
八、开标时间及地点：
开标时间：2023年5月 9日 15:30
开标地点：舟山市定海区新桥路136号（原九天揽月酒店）六楼舟山市中医院行政区评标室