项目工期:合同签订之日起3个月内完成。项目名称：武汉市人力资源和社会保障局网络安全等级保护测评项目；一、项目概况编写日期：2022年7月网络安全等级保护测评采购需求武汉市人力资源和社会保障局

依据《GB/T22239-2019信息安全技术网络安全等级保护基本要求》（等保2.0）、《GB/T28448-2019信息安全技术网络安全等级保护测评要求》（等保2.0）、《GB/T25070-2019信息安全技术网络安全等级保护安全设计技术要求》（等保2.0）、《GB/T28449-2018信息安全技术网络安全等级保护测评过程指南》（等保2.0）等标准的要求，对武汉市人力资源和社会保障局需要进行测评的信息系统进行等级测评，出具符合国家网络安全等级保护格式要求的等级测评报告。测评范围为项目目标所涉及的机房基础设施、网络环境、主机层面、应用层、数据库层及相关安全辅助设备与管理制度。服务目标为项目目标最终通过公安部门及相关部门的等级保护检查要求。2.1.1信息系统安全等级保护测评服务2.1工作内容根据相关文件及标准要求，对武汉市人力资源和社会保障局需要进行测评的信息系统实施网络安全等级保护测评、协助整改等工作，根据《等级测评报告模版（2021年版）》，出具符合格式要求的等级测评报告。二、项目需求

安全整改建设方案应严格依据《信息安全等级保护管理办法》、《GB/T22239-2019信息安全技术网络安全等级保护基本要求》（等保2.0）、《GB/T25058-2010信息安全技术信息系统安全等级保护实施指南》、《GB/T20269-2006信息安全技术信息系统安全管理要求》、《GB/T20271-2006信息安全技术信息系统通用安全技术要求》、《GB/T20282-2006_信息安全技术信息系统安全工程管理要求》、《GB/T25070-2019信息安全技术网络安全等级保护安全设计技术要求》（等保2.0）等标准规范要求制定《武汉市人力资源和社会保障局信息系统安全整改建设方案》，并在后续提供安全整改咨询服务，协助客户完善信息系统的安全防护措施，使系统达到等级保护相应级别的相关要求。2.1.2安全整改建设方案编制（3）系统整体测评：控制间测评、层面间测评、区域间测评、系统结构安全测评。（2）安全管理测评：安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个方面的安全测评；（1）安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等五个方面的安全测评；测评内容应包括但不限于以下内容：

测试人员需具备测评师证书或NSATP-A国家网络安全应用检测专业测评人员证书；项目实施人员需签订专项保密协议。指定项目经理为专人负责信息安全测评过程中的安全保密管理工作，对测评活动、测评人员以及相关文档和数据进行安全保密管理，对重点设备的技术检测进行监督，对接入的检测设备进行控制。项目开展工作涉及到单位重要信息系统和数据，在测评过程中必须加强安全保密管理与风险控制。2.2测评风险规避要求采购方完成信息系统安全整改后，供应商对整改后的信息系统进行复测，出具正式的测评报告，协助采购方到公安部门办理备案手续。2.1.3二次测评

（3）人员与数据管理对测评直接影响系统工作时，尽可能避开敏感时期。（2）操作时间控制在实施过程中必须遵守的相关操作章程，以防止敏感信息泄漏和确保及时处理意外事件。（1）操作的申请和监护安全测评工作中可能出现的安全风险点，按照检测对象周密制定测评方法，根据被测评对象的不同采取相应的风险控制手段。不限于以下方法：

（6）优化扫描策略对影响较大的重要关键业务系统在无法搭建模拟环境情况下，原则上不采用测评工具，采用访谈、测评和简单测试的方式进行。（5）关键业务系统风险控制根据测评范围界定的系统情况，在实施前制定应急预案。（4）制定应急预案必须高度重视信息保密工作，加强资料管理，确保人员可靠、稳定和可控。测评与被测评单位之间应签署长期保密协议，测评人员与被测评单位之间也要有相应的约束和控制措施，按国家有关要求做好保密工作。

2.3整体要求厂商需要提供各应用系统的名称、版本、协议、开发语言、进程名和相应的端口号等信息，在测评之前，由三方共同分析测评对业务可能造成的风险，分析可能存在的问题。在测评过程中尽量规避这些风险。（8）厂商协作对业务系统和数据库主机，应对其上数据进行备份，防止测评过程中对设备与主机的损伤影响业务系统的正常运行。（7）数据备份与恢复分类扫描:对不同的主机和设备类型执行不同的扫描会话，从而减少不必要的脆弱项目测试。针对扫描对象细化扫描策略：对不同类型的主机或设备，需要根据其上不同的应用和服务情况，有针对性地定制扫描策略选项。

2.3.5信息系统安全等级保护测评需要的运行环境（如场地、网络环境等）由招标人提供，投标人应详细描述需要的运行环境的具体要求。2.3.4本次信息系统安全等级保护测评实施过程中所使用到的各种工具软件（包括测试工具和报告编写工具）应符合国家相关要求，报告编写工具必有取得中关村测评联盟授权，经招标人确认后由投标人提供并在信息系统等级保护测评中使用。2.3.3投标人必须具备丰富的等级测评项目经验，参与项目的测评人员不少于5人。投标供应商项目人员必须提供本项目的高级测评师或NSATP-A国家网络安全应用检测专业测评人员证书；供应商必须持有中国信息安全测评中心颁发的信息安全服务资质证书（安全工程类一级）或质量管理体系认证证书(ISO9001)。2.3.2投标人应详细描述测评人员的组成、资质及各自职责的划分。投标人应配置有测评资质的专业人员进行本次信息安全等级保护测评工作。2.3.1投标人应详细描述本次信息系统安全等级保护测评的整体实施方案，包括项目概述、等级保护测评方案、测试过程中需使用测试设备清单、时间安排、阶段性文档提交等。