项目名称
网络安全及系统等保测评服务 
采购类型
服务类 
采购人名称
深圳市中级人民法院 
采购方式
公开招标 
财政预算限额（元）
1,300,000.00 
项目背景
为确保深圳市中级人民法院信息系统的稳定、安全运行，结合2021年深圳市党政机关信息安全联合检查和绩效评估工作要求，特对网络安全风险评估及系统加固项目进行公开招标。
项目服务内容包括：
1）服务器系统：深圳中院服务器设备数量≥100台，其中SUN小型机≥4台。
2）存储系统：磁盘阵列存储设备包括惠普存储、华为存储、Netapp存储。
3）法院专网：法院专网与INTERNET物理隔离，是法院内部办公网络，包括深圳中院内部局域网、中院局域网与上级法院联网、中院局域网与基层院联网等，中院内部专网网络设备主要由H3C、华为等网络设备组成，法院专网核心及大部分接入层网路设备为H3C网络设备，网络设备数量≥100台，法院专网应用系统包括12368诉讼服务中心系统、综合整合应用平台系统等，法院专网应用系统数量≥35台。
4）法院政务外网：法院政务外网与INTERNET相连，与法院专网物理隔离，政务外网网络设备数量≥30台，政务外网应用系统包括政务外网网站、诉讼服务平台系统、多元化纠纷系统和法智云端系统，政务外网应用系统数量≥5。
5）网络安全设备：法院网络系统部署了防火墙、上网行为审计、入侵检测系统、内政务外网防病毒系统等网络安全产品，产品数量≥20台。
6）终端情况：法院专网终端数量≥1500台，政务外网终端数量≥350台。
 
 
投标人资质要求
（1）投标人需是在中华人民共和国境内注册的独立法人或是法人依法在中华人民共和国境内设立的分支机构；提供营业执照复印件（加盖投标人公章）或具有独立承担民事责任的能力的其它组织（提供营业执照或事业单位法人证等法人证明扫描件，原件备查）。
（2）本项目不接受联合体投标。不接受进口产品投标。
（3）参与本项目投标前三年内，在经营活动中没有重大违法记录（由供应商在《政府采购投标及履约承诺函》中作出声明）。
（4）参与本项目政府采购活动时不存在被有关部门禁止参与政府采购活动且在有效期内的情况（由供应商在《政府采购投标及履约承诺函》中作出声明）。
（5）具备《中华人民共和国政府采购法》第二十二条第一款的条件（由供应商在《政府采购投标及履约承诺函》中作出声明）。
（6）未被列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单（由供应商在《政府采购投标及履约承诺函》中作出声明）。
注：“信用中国”、“中国政府采购网”以及“深圳市政府采购监管网”为供应商信用信息的查询渠道，相关信息以中标通知书发出前的查询结果为准。
 
 
服务类清单

序号	采购计划编号	需求内容	数量	单位	备注	财政预算限额(元)
1	PLAN-2021-440301-0105001001-01020	网络安全及系统等保测评服务	1.0	项		1300000.0

具体技术要求
项目技术要求
（一）实施要求
对深圳市中级人民法院信息系统进行定期的安全检查。
（二）项目目标
依据国家、深圳市信息安全相关政策法规和指引文件，针对深圳市中级人民法院信息系统进行信息安全风险评估、等级保护定级与测评、信息安全制度自查与优化、安全防护措施自查与优化、应急响应机制建设与演练、安全隐患排查与教育培训等安全服务，对安全服务过程中发现的脆弱点和问题进行修复加固，建立符合国家标准的信息安全管理体系，并根据修复加固的结果，建立符合深圳市中级人民法院实际情况的安全保障体系和规划设计方案，并在一年的服务期内，定期对信息系统进行安全检测和修复加固，使系统的安全状况得以长期保持。
（三）项目依据
1)国家信息化领导小组《关于加强信息安全保障工作的意见》（中办发[2003]27号）
2)《政府信息系统安全检查办法》（国办发[2009]28号）
3)《深圳市人民政府信息系统安全检查办法》（深府办[2009]138号）
4)国家网络与信息安全协调小组《关于开展信息安全风险评估工作的意见》（国信办[2006]5号）
5)《信息安全技术-网络安全等级保护基本要求》（GB/T 22239-2018）
6)深圳市关于开展信息安全风险评估工作的实施意见（深科信[2006]268号）
7)信息安全风险评估规范（GB/T20984-2007）
8)深圳市信息安全风险评估实施指南
9)检查机构运作的一般规则（ISO-IEC 17020-2004）
10) 《深圳市2019年度绩效评估指标评分标准》
（四）项目服务内容
根据《2021年深圳市党政机关信息安全联合检查工作方案》相关文件要求，协助中级法院实施信息安全检查和加固优化工作，并在规定的时间通过深圳市党政机关信息安全联合检查工作平台报送结果，完成年度信息安全联合检查各项指标。
本次项目工作涉及的工作内容包括以下几个方面：
4.1信息安全制度制定与落实
根据《信息安全技术-网络安全等级保护基本要求》（GB/T 22239-2018）中信息安全管理和深圳市信息化主管部门关于信息安全工作的要求，对中级法院整个信息安全管理的方针、策略、制度、规程等进行体系化的梳理和核查，结合信息化实际情况进完成对信息安全管理体系规范的落实。

序号	服务项目	内容	全年服务 次数
1	信息安全制度制定、优化及落实	梳理和核查包括不限于以下各项信息安全管理制度及制度执行情况： a）信息安全管理机构成立情况；  b）信息安全管理职能部门设置； c) 信息安全管理人员配备； d) 信息系统的规划、建设、运维、废弃等环节的信息安全制度制定； e) 信息安全制度执行情况记录。	1次
2	信息安全管理体系落地	a）建立适合我方实际的信息安全管理体系框架； b）评估和识别关键的业务处理流程、资产和岗位设置等； c) 实现安全体系文档化，管理流程化、绩效控制可量化和安全意识普及。	1次
3	外包服务管理	a)对外包开发软件在投入使用前进行了全面的安全检测。	根据需求

4.2信息安全风险评估
按照《信息安全技术信息安全风险评估规范》（GB/T20984-2007）、《信息安全技术-网络安全等级保护基本要求》（GB/T 22239-2018）等相关标准，对中级法院信息系统和IT基础设施进行安全风险评估，包括明确风险评估范围、识别重要资产、识别脆弱性和威胁、现有安全控制措施、应用系统漏洞扫描、分析和计算风险状况、制定不可接受风险处置方案和风险评估报告和总结。
服务内容要求：

序号	服务项目	内容	全年服务 次数
1	资产识别	1、根据资产、业务流程的特性和重要程度对资产进行科学的分类（数据、服务、声誉、硬件和软件、通讯、程序界面、物理资产、支持设施、人员和访问控制措施等有形和无形资产），并参考CIA（保密性、完整性和可用性）进行价值分级和定量，以识别关键的信息资产。 2、收集统计中级法院在使用的计算机资产信息，包含：  a）计算机主机名；  b）计算机IP地址；  c）计算机MAC地址；  d）计算机使用人或责任人；  e）计算机所属部门；  f）计算机的物理位置；  g）服务器的内政务外网IP对应。	1次
2	威胁识别	通过安全策略检查、文档查看、业务流程分析、网络拓扑分析、人员访谈、入侵检测系统收集的信息和人工分析等手段对可能潜在的威胁进行分类、分析和定性。	1次
3	脆弱性识别	以资产为核心，针对每一项需要保护的资产、识别可能被威胁利用的弱点，并对脆弱性的严重程度进行评估，分析出有可能被潜在威胁源利用的系统缺陷或脆弱性列表，并对其进行分级。	1次
4	现有控制措施有有效性	结合资产、威胁和脆弱性分析结果，对现有的预防性安全措施和保护性安全措施进行有效性测试、评估。	1次
5	风险分析	资产-威胁-脆弱性映射关系以及控制措施效果，分析存在的安全风险发生的可能性和影响。	1次
6	风险计算	以关键业务系统为关联要素，通过资产的价值、资产面临的威胁和存在的脆弱性三个方面的内容进行量化，统计分析风险值，评定业务系统所属的风险范围和等级。	1次
7	风险结果	通过层面汇总分析和综合分析等过程找出信息系统的安全风险，识别影响系统安全保护能力的安全隐患，形成评估结论报告。	1次
8	风险处置方案	针对信息安全风险评估结果和存在的关键性问题，提出相应的不可接受风险处置建议和方案。	1次

实施要求：
（1）对深圳市中级人民法院信息系统进行定期的安全防护和系统漏洞补丁安装；对新增应用系统进行安全检测，对发现的问题，提供具有可操作性的整改方案，并协助完成加固和优化服务；对网络设备的端口和配置进行安全检测与安全配置；（2）定期对法院专网、政务外网网络、主机服务器及所有客户端电脑进行安全风险分析；
（3）对所有主机服务器的端口、配置进行定期的安全检查、对操作系统级和数据库级的系统安全漏洞进行安全处理和打补丁；
（4）风险评估中使用的网络层、应用层扫描器工具或设备必须为国内或国际知名厂家的正版产品，若涉及知识产权纠纷，则由投标人负全责；
（5）风险评估全过程产生的所有过程文档、原始数据、扫描报告、正式报告等必须进行电子和纸制双重归档，在项目结束后一并移交给甲方；
（6）担任用户单位计算机网络和主机系统的安全顾问，在网络和主机系统进行升级、扩建时，提供安全风险评估，并提供安全修补建议。
（7）为用户单位提供不限次数的信息系统应急响应服务。
4.3信息安全等级保护
根据国家等级保护相关标准加强中级法院各信息系统的等级保护工作，包括以下工作内容:

序号	服务项目	内容	全年服务 次数
1	等级备案	尚未定级备案信息系统提供协助等级划分、定级和备案工作。	根据需求
2	商密检查	对涉及商用密码应用系统进行检查。	根据需求
3	等保咨询	对涉及等保工作提供咨询	根据需求

4.4安全防护措施落实
根据《深圳市党政机关法院专网安全加固工作方案》、《互联网安全保护技术措施规定》、《信息安全技术-网络安全等级保护基本要求》（GB/T 22239-2018）以及《信息系统和信息设备使用保密管理规定》等相关标准规范的要求，对中级法院防病毒、安全审计、网站安全、防泄密、防恶意信息、非法外联和移动存储管理安全防护措施情况的核查和落实。

序号	服务项目	内容	全年服务 次数
1	法院专网防病毒	每月对法院专网防病毒系统查杀记录、病毒特征码更新、病毒传播趋势进行巡检和跟踪，不断优化策略。	12次
2	网络安全审计	每月对网络安全审计设备运行状况、日志连续性进行巡检，并在需要的时候协助检查违规上网行为。	12次
3	防篡改	每月对网页防篡改系统运行状况、日志连续性进行巡检。	12次
4	防泄密	每月协助对法院专网计算机有无违规使用无线设备、安装的安全保密监控软件是否有效等。	12次
5	非法外联	每月协助检查法院专网终端是否存在违规连接互联网的情况。	12次
6	移动存储管理	每月检查移动存储管理措施的有效性及测试策略的有效性	12次

4.5应急响应机制建设
根据《信息安全技术-网络安全等级保护基本要求》（GB/T 22239-2018）中关于应急响应机制建设的要求，包括应急预案制定和修订、应急预案演练、应急处置支持、灾备措施检查、应急团队建设咨询等工作。

序号	服务项目	内容	全年服务 次数
1	应急预案制定和修订	根据中级法院信息系统的安全状况、完善和修订安全事件应急预案，使之更适合指导突发事件的处置流程。	1次
2	应急演练服务	根据应急预案和当年业界发生的重大安全事件，提供整套的安全事件应急演练服务，包括提供演练方案、计划、资源配置、人员协同、结果报告和整改方案等。	1次
3	*应急响应支持	深圳市中级人民法院政务外网网站、诉讼服务平台系统等相关互联网应用，如中级法院的信息系统中的计算的或网络设备系统的硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄露造成系统不能正常运行，或已经发现的有可能造成上述现象的安全隐患等安全事件时，应及时进行响应。 ●根据国家《信息安全技术信息系统安全等级保护基本要求》标准实施。 ●及时查杀网络病毒,恢复染毒系统。 ●及时恢复受攻击或被病毒感染系统，恢复网络正常运行。	●提供7X24小时应急响应值班。 1）电话支持响应：在30分钟内对用户紧急安全响应请求进行确定故障类型并定义故障等级。 2）远程支持响应：在确定故障等级情况后尽快远程帮助用户或从远程修复系统解决故障。 3）现场支持响应：如远程不能确定安全故障类型或故障情况严重不能通过远程解决的严重故障情况下，安排至少两人以上的工程技术人员到达现场解决问题，到达现场时间为一小时。 4）安全故障：解决故障诊断、故障修复、系统清理、系统防护。 5）证据收集：对由于安全故障造成的入侵记录、破坏情况、直接损失情况收集证据。 6）事后处理：根据客户需求，收集入侵线索和来源，协助客户进行立案。 7）紧急响应服务结果报告：针对在紧急安全响应服务中所遇到的安全问题、安全事故处理过程。处理结果，48小时内汇总行程经济响应服务结果报告并提交给用户。 8）安全应急培训及演练：根据客户需要安排计算机安全应急响应服务中心工程师进行安全应急培训及演练。

4.6安全培训
针对不同岗位和职责的人员提供不同培训内容，包括信息安全意识教育、网络攻防、应用安全开发和国家等级保护相关标准的培训。要求有完善的培训与讲座实施计划；信息安全全员讲座由投标人提供曾承担政府机构相关讲座经验的专家承担；投标人应提供配套PPT、书面教材，由不低于国家测评中心CISP资格的讲师承担。并提供最新的专业图书不少于50册。
包括了以下的工作内容：

序号	服务项目	内容	全年服务 次数
1	安全培训计划	根据我方信息系统和人员的情况，设置合理的培训课程和培训计划。	1次
2	安全意识培训	主要讲办公电脑、平板、智能设备、移动存储设备等终端设备在使用互联网、法院专网网络的安全、保密意识和安全常识。	2次（每次培训时间不少于2个小时）
3	安全技能培训	主要讲解当前最新的安全技术、黑客攻击技术和手段，以及如何做好日常的各项防范工作。	2次（每次培训时间不少于2个小时）
4	等级保护标准 培训	主要讲国家等级保护工作政策、行业标准、监管要求、最佳实践等方面的发展情况。	1次（每次培训时间不少于2个小时）

4.7安全隐患排查与整改
定期对中级法院信息系统和IT基础设施存在的安全漏洞和隐患进行排查和处置，提高安全防护水平，包括以下工作内容：

序号	服务项目	内容	全年服务 次数
1	安全基线核查	针对项目概况范围（不包括终端）中的主机系统、应用系统、网络设备和数据库管理系统等资产进行安全基线核查，检测在安全现状、安全配置、防护能力、恢复能力等方面的详细情况。	4次 （每季度一次）
2	漏洞扫描	针对项目概况范围中的主机系统、应用系统、网络设备和数据库管理系统等资产进行安全漏洞扫描，挖掘存在的软件漏洞和安全隐患。	4次 （每季度一次）
3	终端扫描	针对中级法院1000多台终端电脑进行漏洞扫描，发现存在的安全漏洞，提供修复建议和方法。	4次 （每季度一次）
4	应用层扫描	对中级法院政务外网网站系统和新上线前系统进行应用层漏洞扫描，根据检查结果进行修复加固。	根据需求
5	风险整改	针对上期党政机关信息安全联合检查风险评估中发现的不可接受风险，进行安全整改和加固，最大程度消除安全隐患。	1次

4.8渗透测试
针对应用系统、政务外网网络进行定期的渗透测试，挖掘存在的安全漏洞，找出系统的安全短板，以此评估目标系统的安全性。

序号	服务项目	内容	全年服务 次数
1	渗透测试	模拟黑客入侵的方式，使用专业工具和人工测试相结合的方法，通过收集信息、制定渗透策略、漏洞测试、漏洞验证、提升权限、深度渗透等步骤，对目标信息系统进行可控的模拟攻击测试，获取目标系统控制权限。	4次 （每季度一次）

4.9安全整改与加固
通过信息安全风险评估、安全基线核查、漏洞扫描和渗透测试等技术手段全面的评估的结果，对发现的信息资产安全漏洞、隐患、威胁等进行整改和加固，提高中级法院信息安全保障能力。

序号	服务项目	内容	全年服务 次数
1	网络加固	通过调整网络边界、重要节点的访问控制策略、网络架构优化、修复和升级网络设备IOS、消除安全漏洞、配置安全基线等方法加固网络层面的安全。	4次 （每季度一次）
2	服务器加固	对全网的Windows、Solaris等服务器的操作系统进行修复加固和漏洞扫描	Windows每年 2次, Solaris每年1次
3	主机加固	通过加强系统恶意代码防范、系统安全防护措施、补丁和安全设置、系统安全策略检查等手段，加固和优化主机系统的整体安全。	4次 （每季度一次）
4	应用加固	通过修补漏洞、增强安全配置、调整系统架构和提升安全策略等方式进行系统整体加固和安全优化，提高系统的安全性和抗攻击能力，将整个系统的安全状况维持在较高的水平，减少安全事件发生的可能性和可能造成的损失。	4次 （每季度一次）
5	中间件加固	对各类网络应用服务平台中间件进行安全策略完善、安全设置、权限划分、访问控制等安全加固和修复。	4次 （每季度一次）
6	数据库加固	通过加强用户授予库权限、系统密码策略、系统审计等安全配置、升级和修复数据库系统安全漏洞。	4次 （每季度一次）
7	安全管理优化	通过优化信息安全管理流程、明确管理职责、加强安全管理体系落实以及信息安全意识推广等方法提高中级法院信息安全管理水平。	4次 （每季度一次）
8	上年度信息安全联合检查整改	完善并落实上年度信息安全联合检查的整改工作	1
9	上年度信息安全风险评估不可接受风险整改	完善并落实上年度信息安全风险评估的不可接受风险整改工作	1

4.10系统安全测评
配合第三方完成等保二级系统的安全等级保护测评工作，对测评过程中发现的问题进行整改。
4.11重保时期安全防护
在国家要求的重点防护期间，派驻专业人员保障。
（五）服务技术要求
投标人在项目服务期内须同时提供下列服务：
1、提供1年法院专网态势感知服务；
服务内容：采集中院的网络系统流量，通过分析工具进行大数据分析，每月一次对采集的数据进行安全分析与安全事件发现，及时感知中院网络系统中的安全事件并提出解决方案，输出告警深度分析、爆破行为分析、数据库行为分析、WEB攻击分析，月度分析报告。
1）为完成“全流量威胁感知服务”，投标人需要在采购人机房部署一套全流量威胁感知系统并提供一年免费使用，需要按照甲方的要求，进行流量的抓取分析，每月输出分析报告；
2）具备登录行为分析能力、行为分析能力 、未知威胁安全监测设备、服务器危险行为分析能力 、威胁告警分析能力、资产发现能力；支持从威胁情报、应用安全、系统安全和设备安全的业务场景维度对告警进行分析；
3）应用安全的细分维度至少包括：WEB安全、数据库安全、中间件安全。系统安全的细分维度包括：主机爆破、弱口令、未授权行为、挖矿行为，支持HTTP代理行为发现，检测内容包含：代理IP、代理端口、代理次数、
4）支持异地账号登录行为检测，检测内容包含：登录IP归属、账号、登录资产IP、使用协议、登录次数、登录成功率；
5）告警报表内容包括APT事件、攻击利用、恶意软件、拒绝服务、侦察等类型。日志报表内部需要包括网络日志、终端日志、告警日志三个部分并支持导出报表；
2、提供1年法院专网符合信创要求的web应用防护服务，设备双机部署。参数配置要求如下：网络层吞吐量≥20Gbps，千兆电口≥6个，万兆光口≥4个。
产品功能要求：
1）支持识别和拦截中低频、分布式等高级WEB口令爆破攻击方式。
2）支持BOT防护功能，支持用户自定义URL保护范围和保护阈值。
3）▲支持语义引擎用于检测Web攻击，能针对不同类型的Web攻击如命令注入攻击防护等，单独选择开启或关闭语义引擎检测，提供产品功能截图证明。
4）支持业务模型学习监督功能，通过智能分析引擎对业务流量进行分析学习，建立用户业务特征模型，解决因WEB应用中因代码不规范和安全检测功能冲突导致的业务误判问题。
5）▲具备Cookie攻击防护能力，支持检测到篡改时将Cookie替换为*，可自主选择防护所有Cookie、防护指定Cookie、不防护指定Cookie属性等功能，提供产品功能截图证明。
3、提供1年符合信创要求的数据库审计服务，法院专网和政务外网分别部署，参数配置要求如下：千兆电口≥6个，万兆光口≥2个，吞吐量≥4Gbps，SQL处理性能≥20000条SQL/s，日志检索性能≥40000条/秒。
产品功能要求：
1）支持IPv6网络环境部署，支持纯IPv6网络环境下数据库的审计分析。
2）▲支持通过配置SQL类型翻译字典、表翻译字典等功能，实现SQL语句转换成中文语言，提供产品功能截图证明。
3）以曲线连接多点的形式展示用户的访问来源、访问目标、操作类型、操作对象的行为轨迹图。
4）支持日志模糊化处理，保护访问数据安全，防止数据二次泄密。
5）▲支持首页查看全部引擎的“审计曲线”和审计设备各网口的“网络流量”，支持根据数据库引擎查看单个引擎的审计曲线。支持根据实时、小时、天、周、月的时间维度查看审计曲线，提供产品功能截图证明。
4、提供1年法院专网符合信创要求的堡垒机运维审计管理服务，参数配置要求如下：千兆电口≥6个，万兆光口≥2个，运维授权数≥200，最大可扩展资产数≥1000，图形运维最大并发数≥200，字符运维最大并发数≥350。
产品功能要求：
1)   支持通过动作流配置提供广泛的应用接入支持，无论被接入的资源如何设计登录动作，通过动作流配置都可以实现单点登陆和审计接入。
2)   内置三员角色的同时支持角色灵活自定义，可根据用户实际的管理特性或特殊的安全管理组织架构，划分管理角色的管理范畴。
3)   ▲支持设置多级审批人，自定义访问审批流程，逐级审批通过才可最终发起运维操作，提供产品功能截图证明。
4)   全面支持Windows、linux、国产麒麟系统、Android、IOS、Mac OS等客户端操作系统下的H5页面一站式运维，实现跨终端适应性BYOD（Bring Your Own Device）。
5)   支持命令审批规则，用户执行高危命令时需要管理员审批后才允许执行；命令审批规则可以指定运维人员、访问设备、设备账号及命令审批人。
6)   全面支持IPV6，设备自身可以配置IPV6地址供客户端访问，并且支持目标设备配置IPV6地址实现单点登陆和审计。
7)   ▲支持密文保存备份功能，密码包及解密密钥需要通过邮件分别发送给不同管理员保存，防止重要数据泄密，提供产品功能截图证明。
5、提供1年法院专网符合信创要求的U盘管控服务，要求如下：针对外设管控可支持针对usb设备、打印机、刻录机移动设备的动作和行为进行监控审计。
6、在政务外网提供1年安全感知平台服务，以协助我院更好地开展网络安全工作，安全感知平台须满足以下要求：
1)   支持不同视角展示全网安全态势，包括综合安全态势、分支安全态势、安全事件态势、网络攻击态势、外连风险态势、横向威胁态势、脆弱性态势、资产态势、正常横向访问监控态势、正常外连监控态势、设备运行态势等13个独立的大屏展示功能；支持大屏轮播，可自定义播放顺序。
2)   ▲支持DNS异常行为分析，提供具备CNAS（中国合格评定国家认可委员会）资质的第三方权威机构关于“DNS异常行为分析”功能检测报告。
3)   支持业务脆弱性风险分布展示，包括不同严重级别业务分布，漏洞类型分布，漏洞整体态势等。
4)   支持基于流量实时漏洞功能，漏洞分析类型包含配置错误漏洞、OpenSSH漏洞、目录遍历漏洞、OpenLDAP等操作系统、数据库、Web应用等，页面上支持展示业务脆弱性风险分布、漏洞类型分析、漏洞态势与危害和处置建议，并支持导出脆弱性感知报告。
5)   ▲支持服务器异常分析，提供具备CNAS（中国合格评定国家认可委员会）资质的第三方权威机构关于“服务器异常分析”功能检测报告。
6)   支持安全检测日志、审计日志、第三方日志存储；日志类型包括漏洞利用攻击、网站攻击、僵尸网络、业务弱点、DOS攻击、邮件安全、文件安全、网络流量、DNS、HTTP、用户、数据库、文件审计、POP3、SMTP、IMAP、LDAP、FTP、Telnet等。
7)   ▲具备访问关系梳理大屏，提供具备CNAS（中国合格评定国家认可委员会）资质的第三方权威机构关于“访问关系梳理大屏”功能检测报告
7、在政务外网提供1年web应用防护服务，参数配置要求如下：千兆电口≥6个，万兆光口≥2个，千兆光口≥2个，网络层吞吐量≥20Gbps。
产品功能要求：
与“法院专网web应用防护服务”要求相同。
8、提供1年法院本级所有业务系统的门户网站的检测服务，要求如下：
1)   对目标站点的关键页面进行实时篡改监测，分钟级篡改发现，第一时间通过微信进行实时告警。
2)   支持对目标站点提供7×24小时网页敏感词检测能力。发现网页敏感词事件第一时间通过微信通知用户，监测内容能够在报告中进行呈现；
3)   ▲支持整站内容篡改监测并梳理展示“站点结构图”，首页可直观展示扫描监测过程和监测结果，如正在监测哪一个页面，发现多少篡改事件等，便于实时掌握业务风险情况，提供产品功能截图证明。
4)   ▲网站篡改事件支持查看举证图片，管理人员可通过管理界面，直观查看被篡改内容，提供产品功能截图证明。
9、提供1年法院网络安全舆情服务。基于互联网公开信息对涉及到的法院非公开业务数据、网络攻击以及相关突发舆情事件进行资料搜集与整理。其报告内容包括但不限于相关网络安全事件当前的舆情态势、媒体意见、网民意见、数据泄漏影响面分析等。
（六）项目服务人员要求
1、服务人员（分为驻场服务人员与非驻场服务人员）总体要求：
（1）投标人需为本项目指派一名资深项目经理，全面统筹安全服务工作。项目经理职责包括：把握网络信息安全最前沿技术，严格落实安全措施、执行安全管理规定，监督单位违反网络安全管理规定的行为。
（2）编写项目总体安全服务方案，对各项工作的内容、方法、时间进行描述，其中工作时间要以周为单位进行量化；
（3）项目实施中对每天的工作编写工作日报，详细描述当天的工作内容、处理事项、使用的方法、检查工具、工具策略、结果、相关工作附件等，并书面呈报；
（4）每周工作计划至少提前一周（五个工作日）制定并书面呈报，详细描述下周将开展的工作内容、使用的方法、用到的工具、工具策略、需要的配合需求等，并书面呈报；
（5）每周工作进行工作总结，详细说明每周计划的完成情况，如未按周计划完成工作内容必须说明原因和对未完成工作的处理以及额外完成工作等内容，并书面呈报；
（6）每月一次例行阶段工作总结，详细描述各项工作的开展情况、当前进度、取得的成果、预期完成时间、发现的问题并书面呈报，同时准备会议材料；
（7）对在项目实施中需要协调和协助的工作，需至少提前一周书面通知相关岗位人员，以便有充分的时间安排时间和业务协调；
（8）项目实施中所有的文档：过程数据、会议纪要、过程文档、计划、方案、策略等，必须以电子、纸制同时保存（至少一式两份存档），随时接受检查；
（9）针对不同的工作内容实行文档（电子及纸制）分类管理，文档分类要清晰，能做到按天、按周、按月进行检索，容易调阅。每日工作完成后都必须有相应的工作附件与之呼应；
（10）项目实施中对信息系统采用的任何技术检测（本地核查、网络扫描、安全分析、设备调研）手段和方法，必须事先提交详细的实施（检测）方案，明确检测内容、方法、使用的规则（策略）、可能引发的后果、以及后果的处理等内容，经确认通过后方可进行实施；
（11）所有对数据库系统和应用系统的技术测试必须预选制定数据备份和恢复方案，并提交相关岗位工程师确认。在方案获得确认后，先对目标系统进行备份并验证备份数据的有效性，确认备份数据有效后再进行相关技术测试（相关技术测试必须事先提交过测试方案并获得中级法院确认后方可实施）。
（12）按时完成本年度信息安全联合检查工作各阶段要求的上报材料（如，工作计划、实施方案、核查表等）并准时提交；
（13）为保证中级法院信息系统安全，所有有关项目的文档，无论电子还是纸质均不可带出项目现场。
2、驻场服务人员要求：
要求驻场服务人员常驻招标单位指定的办公场所开展日常工作，严格遵守招标单位的规章制度。在特定情况或突发事件情况下可适当延长工作时间。因工作产生相关费用由中标单位自行解决。
要求根据投标承诺安排人员进场。
（1）人数要求：1人
网络安全技术运维工程师不少于1人，负责梳理法院网络安全工作总体方针和安全策略，制定全市法院安全运维管理标准、设备操作规范、应急处置流程等，指导全市法院完成制度标准落地执行工作，协助全市法院完成信息安全工作。负责日常安全设备管理、巡检、维护以及信息安全事件应急处理等工作，并配置高性能笔记本电脑1台以及必要的运维工具。
（2）资历要求：人员必须从事安全联合检查或者等级保护3年以上工作经历，有效落实项目经理安排的安全工作及中级法院安排的有关信息安全方面的工作。
（3）工作范围要求：
政务外网业务系统（包括主机、业务应用）、法院专网业务系统（包括主机、业务应用）、网络抓包分析、日志分析（含安全设备、核心网络设备、服务器）、漏洞扫描、终端安全指导、脆弱性验证分析
（4）工作成果要求
《深圳市中级人民法院XX月信息安全运行状况分析》，包括：主机安全状况分析、网络安全状况分析、计算机病毒状况分析、日志分析、综合风险分析、信息安全现状建议。
 
 
商务需求
（一）服务期限：
1.本项目服务期限为 1年。
（二）付款方式：合同签订之日起10日支付合同总金额的50%；合同履约6个月后，支付合同总额的30%；项目通过最终验收后，支付合同总金额的20%。
（三）质量考核验收标准及违约金
经双方确认由投标人原因造成的：做过安全措施后出现重大安全事故（影响面大、影响差），罚款10000元/次；没有预告出现有影响的安全事故，罚款5000元/次；出现安全漏洞，没有造成影响，罚款1000元/次；发现为本院服务的其他公司严重违反安全管理规定奖5000元/次，违反安全管理规定奖1000元/次；发现部署的安全策略没有生效，奖500元/次。
（四）项目验收相关要求
1、在现场检查前完成所有的联合检查工作，并移交项目中的电子和纸制过程文档；
2、在材料上报的各阶段准时完成所有联合检查材料的上报；
3、风险评估结果有效，风险评估报告满足党政机关信息安全联合检查相关要求，顺利通过检查；
4、信息系统定级报告符合要求，并通过公安部门备案；
5、信息系统自测评结果完整、准确，并通过中级法院各岗位工程师的评审和认定；
6、协助第三方测评机构完成中级法院二级信息系统的等级保护测评；
7、信息安全管理制度齐全有效，内容可操作性强，并满足党政机关信息安全联合检查的相关要求；
8、信息安全架构、组织体系被采纳执行；
9、安全防范技术措施落实情况的核查务必真实准确，确保在规定的时间内完成核查并汇报成册后上报信息办；
10、信息系统应急预案必须以信息系统的真实业务流程为基础，做到科学、准确；
11、信息系统应急预案演练过程文档、会议纪要、修订文档等必须进行电子和纸制双重归档，在项目结束后一并移交给甲方；
 
 
评标信息
 

序号 评分项 权重 1 价格 20 2 技术部分 38   行号 内容 权重 评分准则 1 实施方案 5 投标人制定信息安全服务实施方案，内容包括：风险评估服务、渗透测试、漏洞管理、等级保护自测评、系统上线前评估、威胁监测与主动响应服务、网站安全监控、一键断网服务、安全保障服务、驻场服务、统一安全管理制度建设服务、网络安全事件舆情监控。实施方案应符合以下要求： （1）能准确把握项目背景情况； （2）能清楚知悉项目服务内容，满足采购人对服务内容技术要求项目的需求； （3）对信息安全服务流程体系的描述清晰、准确。 根据投标文件响应情况，及内容全面、内容具体、内容针对性强等方面进行横向比较。 评价为优得100%；评价为良得80%；评价为中得60%；评价为差不得分。 2 项目服务内容和技术要求 25 投标人应如实响应服务技术要求，根据技术需求参数响应情况进行打分，各项技术参数指标及要求全部满足的得100%。带“▲”的条款每负偏离一项扣10%，普通条款每负偏离一项扣5%，扣完为止。 3 项目重点难点分析、应对措施及相关的合理化建议 5 根据招标文件的要求，对整体项目进行分析、对本项目的服务内容进行重点难点分析、对提供合理有效的解决办法进行分档评分，根据以下各项评分内容及分值进行打分： 根据投标文件响应情况，及内容全面、内容具体、内容针对性强等方面进行横向比较。 评价为优得100%；评价为良得80%；评价为中得60%；评价为差不得分。 4 违约承诺 3 承诺满足招标文件要求，保证措施合理且有针对性，有具体的违约责任承诺，得100%； 未提供违约承诺或承诺不满足招标文件不得分。 3 综合实力 30     行号 内容 权重 评分准则 1 投标人通过相关认证情况 10 （1）投标人具有CCRC（中国网络安全审查技术与认证中心）信息安全服务资质认证证书（软件安全开发）二级及以上，得30%； （2）投标人具有DCMM（国家标准GB/T 36073-2018《数据管理能力成熟度评估模型》）数据管理能力成熟度等级证书（量化管理级 4级）及以上，得30%； （3）投标人具有ISO27001 信息安全管理体系认证的，得20%； （4）投标人具有IS020000信息技术服务管理体系认证，得20%； 本项累计得分，最高得100%。 需提供有效期的相关资质（资格）证书及认证证书扫描件或复印件加盖投标人公章，原件备查。标注认证业务范围，如投标人为分支机构，提供总公司或上一级管理公司相应证书也可得分。评分中出现无证明资料或专家无法凭所提供资料判断是否得分的情况，一律作不得分处理。 2 投标人同类项目业绩情况 3 投标人提供政府信息化项目案例，每提供一个得25%。本项累计得分，最高得100%。项目案例未提供证明材料或证明材料无法判断有效性的，按不得分处理。 3 投标人获奖情况 10 投标人在信息化领域（含通信、网络、数据库技术）获得的科学技术进步奖，获得国家级奖项（国务院）的得100%，省级（省政府）奖项得50%，其他不得分。 需提供国务院或省政府颁发的相关证书扫描件作为评分依据，原件备查，不提供不得分。如投标人为分/子公司，提供其总公司或上级管理公司荣誉也可得分。 4 拟安排的项目负责人情况（仅限一人） 5 拟配备本项目的项目负责人，具备以下证书： （1）具有研究生学历证书或以上得 30%，大学本科证书得 15%； （2）通过全国计算机技术与软件专业技术资格考试（简称计算机软件资格考试），具有市级或以上人社部门颁发的高级系统分析师资格的得30%；中级得15%； （3）具有市级或以上人社部门颁发的信息化类（含通讯、网络、数据库技术）高级职称的得40%；中级得15%； 本项累计得分，最高得100%。 项目负责人必须提供相关人员学历证书、资质证书，及近三个月社保证明的扫描件或复印件加盖投标人公章，原件备查。（未提供或未按要求提供或提供不清晰导致专家无法判断的不得分）。 5 服务网点 2 投标人在广东省深圳市有服务机构的得100%；在广东省内深圳市外有服务机构的得50%；在广东省外有服务机构的且承诺中标后在本地设立经营（服务）网点的得25%，其它情况不得分。 证明文件：提供投标人房产证或房产买卖合同或租赁合同或营业执照等能证明投标人在上述地区有办公场所的材料复印件或外地投标人中标后设立本地经营（服务）网点的承诺函，原件备查，如未按要求提供证明材料，或所提供的证明材料未能体现上述评分内容的，视为该证明材料无效，此项不得分。 4 疫情防控 5   序号 评分因素 权重 评分准则   1 疫情防控重点保障企业 3 纳入全国性名单或地方性名单的疫情防控重点保障企业（以下简称“重点保障企业”），直接参与我市政府采购投标的，提供至少一项自身属于重点保障企业的证明材料（名单查询网页链接、名单网页截图、政府部门出具的文件或者企业享受重点保障企业优惠政策的其他证明文件均可），即可获得评审得分。   2 稳岗企业 2 未裁员或裁员率低于20%的企业，即投标前一个月实际参加社会保险（至少包括养老保险）的员工人数（含免缴或延期缴纳社会保险人数）不低于 2019 年 12 月同口径人数 80%（含）的企业，视为稳岗企业，提供自身符合稳岗企业条件的承诺函即可获得评审得分。 投标人提供虚假承诺的，将做无效投标处理，涉嫌存在违法违规行为的，依法报主管部门处理处罚。 5 诚信情况 7   序号 评分因素 权重 评分准则 1 市财政局诚信管理情况 5 根据《深圳市财政委员会关于印发〈深圳市政府采购供应商诚信管理暂行办法操作细则〉的通知》（深财购[2017]42号）的要求，投标人在参与政府采购活动中存在诚信相关问题且在主管部门相关处理措施实施期限内的，本项不得分，否则得满分。投标人无需提供任何证明材料，由工作人员向评审委员会提供相关信息   2 市政府采购中心履约评价情况 2 近三年（以投标截止日期为准）在市政府采购中心有履约评价为差的记录，本项不得分，否则，得满分。投标人无需提供任何证明材料，由采购中心工作人员向评委会提供相关信息。

 
 
 
其他
 
 
附件
网络安全风险评估及系统加固项目1115.docx