服务类

名称：宿州市司法局信息系统等级保护测评项目

服务范围：本次参于网络安全等级保护测评的系统如下：

服务要求：1、等级保护测评主要包括以下几个方面：
1） 等保测评：完成包括安全物理环境、安全计算环境、安全区域
边界、安全通信网络、安全管理中心和安全管理机构、安全管理
制度、安全管理人员、安全建设管理和安全运维管理方面的测评
工作；
2） 工具测试：针对重要信息系统进行漏洞扫描、渗透测试等安全
服务工作；
3） 整改建议：合肥天帷信息安全技术有限公司根据现场测评中发
现的问题，分析与 GB/T22239-2019、ISO/IEC 27001、ISO/IEC
20000、ISO 22301、ITIL 和 ITSS 等行业最佳实践之间的差距，
按照网络安全等级保护标准 要求提出安全整改建议；4） 编制测
评报告：完成上述测评工作和整改加固实施后，合肥天帷信息安
全技术有限公司最后出具符合标准要求的信息系统网络安全等级
保护测评报告。
2、工作要求：
（1）实施原则规范性原则：合肥天帷信息安全技术有限公司工作
中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控
制；标准性原则：测评方案的设计与实施依据国家等级保护的相
关标准进行。

可控性原则：测评的工具、方法和过程在双方认可的范围之内并
符合进度表的安排，保证采购人对服务工作的可控性；整体性原
则：测评和分析的范围和内容整体全面，包括安全涉及的各个层
面，避免由于遗漏造成未来的安全隐患；最小影响原则：测评工
作尽可能小的影响系统和网络的正常运行，不对现网的运行和业
务的正常提供产生显著影响（包括系统性能明显下降、网络拥塞、
服务中断，如无法避免出现这些情况在应答书上详细描述）；保密
原则：对测评的过程数据和结果数据严格保密，未经授权不泄露
给任何单位和个人，不利用此数据进行任何侵害采购人网络的行
为，否则采购人有权追究责任。
2）测评依据
《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）
《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）
《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）
《信息安全技术 网络安全等级保护测评过程指南》（GB∕T
28449-2018）
（3）等级保护测评内容
根据国家等级保护相关标准，本次项目的网络安全等级保护测评
包括以下内容：
安全技术测评：包括安全物理环境、安全通信网络、安全区域边
界、安全计算环境、安全管理中心等五个方面的安全测评；
安全管理测评：包括安全管理制度、安全管理机构、安全管理人
员、安全建设管理和安全运维管理等五个方面的安全测评。
a） 安全物理环境
安全物理环境是对机房和办公场所的物理环境安全防护情况进行
测评，包括物理位置选择、物理访问控制、防盗窃和防破坏、防
雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电
磁防护等方面的安全状况。
b） 安全通信网络
安全通信网络测评是对网络系统安全防护情况进行测评，包括网
络架构、通信传输、可信验证等方面的安全状况。
c） 安全区域边界
安全区域边界是对边界防护、访问控制、入侵防范、恶意代码防
范、安全审计、可信验证等方面的测评。
d） 安全计算环境
安全计算环境是对身份鉴别、访问控制、安全审计、入侵防范、
恶意代码防范、可信验证、数据完整性、数据保密性、数据备份
恢复、剩余信 息保护、个人信息保护等方面的测评。e） 安全管
理中心安全管理中心是对系统管理、审计管理、安全管理、集中
管控等方面的测评。
f） 安全管理制度
安全管理制度测评是对安全策略、管理制度、制定和发布、评审
和修订进行测评。
g） 安全管理机构
安全管理机构测评是对岗位设置、人员配备、授权和审批、沟通
和合作、审核和检查等情况进行测评。
h） 安全管理人员
安全管理人员测评是对人员录用、人员离岗、安全意识教育和培
训、外部人员访问管理等情况进行测评。
i） 安全建设管理
安全建设管理测评是对建设过程中安全方案设计、产品采购和使
用、自行软件开发、外包软件开发、 工程实施、测试验收、系统
交付、 等级测评、合肥天帷信息安全技术有限公司选择等情况进
行测评。
j） 安全运维管理
安全运维管理测评是对环境管理、资产管理、介质管理、设备维
护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范
管理、配置管理、密码管理、变更管理、备份与恢复管理、安全
事件处置、 应急预案管理、外包运维管理等情况进行测评。

服务时间：合同签订后 90 日内完成网络安全等级保护测评工作。验收合格后提供一年免费服务。

服务标准：依据《中华人民共和国网络安全法》《信息安全等级保护管理办法》的相关要求，对宿州市司法局重要信息系统进行网络安全等级保护测评，包括：服务标准安全技术测评，安全管理测评，工具测试，编制系统安全整改方案，编制测评报告等。