杭州师范大学附属医院无线认证及安全防护网超采购预谈判
一、招标编号：HSDFY-2021-13
二、项目名称：杭州师范大学附属医院就无线认证及安全防护建设
三、采购方式：院内谈判
四、预算价格：480000元
五、投标人应具备的资质要求：
（1）具有独立承担民事责任的能力；
（2）具有良好的商业信誉和健全的财务会计制度；
（3）具有履行合同所必需的设备和专业技术能力；
（4）有依法缴纳税收和社会保障资金的良好记录；
（5）近三年内，在经营活动中没有重大违法记录；
（6）法律、行政法规规定的其他条件。
（7）投标人须为浙江“政采云”网上服务商。
（8）本项目不接受联合体投标。
六、投标须知：
1、谈判人具备上述资质要求外还需在谈判文件中提交下列资质证明：企业法人营业执照、法定代表人授权委托书（法定代表人签署不需提供此书）；授权代表身份证正反面复印件。
2、谈判人需先经医院现场审核资格合格后，方有资格参加谈判。
3、谈判文件组成：
（1）报价表；
（2）上述要求的各类资质证明文件；
（3）项目建设方案；
（4）投标单位近三年业绩证明，提供合同复印件；
（5）标书一式五份，一份正本，四份副本。
七、 项目具体技术规格及商务要求：
采购内容一览表
 

序号	产品名称	数量
1	无线外网认证系统	1项
2	基于终端的统方安全防护系统	1项

 
 
技术要求
1、项目概述
为贯彻落实《浙江省人民政府办公厅关于推进全省无线局域网(WiFi)建设和免费开放的指导意见》文件精神要求，提升市属医院服务品质，推进医疗国际化建设。我院需实现公共服务区域WiFi建设并实施对外免费开放，保障网络流畅和网络安全，支持“杭州市健康通APP”、“浙里办APP”、“舒心就医”、“杭州智慧医疗”、“医信付”等智慧医疗应用，深化智慧医疗建设，实现信息惠民。同时建设基于终端侧的统方防护系统，系统实时采集每个内网终端地理位置、指纹特征、访问时间、访问行为、流量数据，实现对内网终端统方行为的有效监管。系统需要构建与上级监管部门委安全平台的联动体系，实现事件的自动上报功能。
项目需复用现有医院病区无线覆盖的资源，满足杭州市卫生数据中心管理要求，无线外网认证在满足公安部82号令的同时需要将用户认证数据上传至杭州市卫生数据中心进行相关安全管控。同时认证系统需要满足杭州市健康通APP用户体系认证、微信认证、短信认证三种方式结合实现实名认证。
 
2、采购清单

序号	名称	建设内从	数量	单位
1	无线认证系统	在医院同套无线网络上开放患者免费上网功能，认证系统需要支持多种认证上网方式，包括PORTAL认证、微信认证、健康通APP用户体系认证	1	套
2	基于终端的统方安全防护系统	实现对终端的行为安全管控防护	1	套

 
3、技术功能要求
3.1无线认证系统

功能	技术要求
系统架构	基于Linux操作系统，能够通过物理服务器或VMware虚拟机进行快速部署。并且在物理服务器和VMWare虚拟机环境下所有系统功能完全一致。
	支持基于浏览器的WebUI管理方式，不需要安装管理客户端。
	支持终端自动识别管理系统、终端健康检查及网络准入控制系统、终端自助注册及配置管理系统、访客自助接入管理系统等功能模块和组件，并能够以添加软件许可的方式进行功能模块的扩展。
	★支持服务器集群工作模式，同一集群中可配置服务器数量不低于30台，支持认证服务器之间的数据库同步、负载平衡和License共享，保证系统在未来能够平滑扩展
系统容量	配置不低于3000个用户许可。
功能特性	支持Web Portal认证，并提供Portal页面灵活定制功能，可以定制插入广告，信息采集等各功能。
	支持终端类型自动识别，并提供相应定制化的Portal页面
	支持通过Portal页面、注册页面、微信认证、短信（需提供短信接口）、E-mail等方式进行广告信息投放
	支持RADIUS协议，能够支持PAP、CHAP等认证方式
	具备内置访客帐号数据库，访客帐号能够设置有效期，有效期支持绝对时间和相对时间设置，并在过期后自动删除
	具有分级管理功能，支持多重管理员角色
	支持灵活、可定制的认证策略，能够基于认证方式、认证时间、认证地点、用户身份、帐号属性、终端类型、健康状态等多重因素及其组合进行身份认证和策略决策
	能够同时提供RADIUS, TACACS+, Kerberos等多种认证服务
	能够同时提供基于Web、802.1X和非802.1X的认证和授权服务，并对不同服务指定独立的认证源及其顺序
	能够提供丰富的认证事件报告和用户认证故障分析工具
	内置业界主流的网络设备接口，能够与多家产品实现认证、网络准入的互操作
	支持RFC3576，能够主动发送CoA报文给支持RFC3576的网络设备，实现对接入终端的授权变更
创建帐号	支持访客管理员集中创建、修改和删除访客帐号
	支持访客帐号自助注册，自助修改密码
	支持对访客帐号创建进行任意指定信息的LDAP验证
	支持对访客帐号创建进行接待人邮件确认管理
	支持访客帐号自助注册页面客户化设计，按需收集访客信息
帐号分发	支持通过注册网页分发访客帐号
	支持通过手机短信分发访客帐号
	支持通过打印凭条分发访客帐号
	支持通过电子邮件分发访客帐号
帐号管理	支持访客管理员通过管理接口对访客帐号进行修改和删除
	支持访客通过自助服务页面对访客密码进行自助修改
联系人确认技术	在访客自注册流程中，访客需要获得联系人确认后方可开启邮件账号。需可定制自动邮件确认，邮件可自动审查单位域名邮箱，并且排除相应人员邮箱。
访客审查	访客自注册流程中，可定制访客的关键属性，如Email,用户名等，经过管理员LDAP的查询后，确认访客身份的真实性后，方可注册成功。
身份认证	支持以下身份认证方法：
	RADIUS, RADIUS CoA, TACACS+, web authentication
	EAP-FAST (EAP-MSCHAPv2, EAP-GTC, EAP-TLS)
	PEAP (EAP-MSCHAPv2, EAP-GTC)
	TTLS (EAP-MSCHAPv2, EAP-GTC, EAP-TLS, EAP-MD5, PAP, CHAP)
	EAP-TLS
	PAP, CHAP, MSCHAPv1 and 2, EAP-MD5
	Wireless, wired, and VPN 802.1X
	Windows machine authentication
	MAC auth (non 802.1X devices)
	支持以下认证源：
	Microsoft Active Directory（支持Multi-Domain及AD forest）
	Kerberos
	LDAP服务器
	ODBC兼容SQL服务器
	Token服务器
	基于身份的内置数据库
	内置的MAC地址数据库
	支持以下认证决策：
	基于Radius和SNMP的VLAN动态分配
	基于VSA的角色(Role)
	基于VSA的可下载ACL
	基于RFC3576的CoA
	基于IETF的各种属性返回
	基于VSA的各种属性返回
	★内置多厂商Radius-Dictionaries，并可按需扩展，可以支持H3C、华为、Cisco等厂商，提供功能截图。系统要求支持基于role角色的策略下发到无线控制器，实现基于role的安全策略。提供功能截图
终端自动识别	支持终端类型的自动检测识别功能，须支持以下终端信息收集方式：
	MAC OUI
	DHCP Option
	HTTP Agent
	SNMP-based polling
	AD and Exchange ActiveSync Plugins
	等方法自动精确识别终端类型，并提供终端类型库文件的在线升级
MDM/MAM支持能力	针对MDM与MAM管理系统提供授权管理接口，既可从MDM/MAM系统中获取相应的权限属性，通过AAA来控制终端的网络权限。
	支持MDM/MAM系统需至少支持Maas360和Mobile Iron。
SSO支持能力	支持IDP与ISP的SSO认证协议，可以提供IDP与ISP的统一认证服务
OAUTH支持	支持基于OAUTH协议，提供无线网络Portal认证的社交网站统一认证功能。
SAML支持	支持SMAL协议，可提供基于SAML的SSO认证服务。
第三方整合	提供标准XML API接口，能够与第三方系统（如办公系统、资产管理系统）整合，实现用户帐号的添加、修改和删除。
上网行为管理整合	要求接入院内现有上网行为管理设备，提供集成服务；如遇现有上网行为管理设备性能不足，中标方免费提供一台满足医院需求的新设备。
★数据上传	认证数据上传用于杭州市卫生数据中心进行相关安全管理。以标准接口认证用户提供手机号、终端MAC地址、认证AP MAC、终端类型等数据，并符合杭州市全民健康信息平台（医养护平台）服务接口规范。
★认证方式	实现微信认证、短信认证、杭州市健康通APP用户认证。通过用户认证接入杭州市健康通APP，完成和杭州市健康通APP无线上网入口相关模块无缝对接。提供同时支持三种认证方式对接案例功能截图。
★实施要求	要求帮助医院完成与杭州市卫生数据中心数据对接，满足杭州市卫生数据中心管理要求，对接过程中所产生的第三方不确定性费用，由投标方负责。
质保要求	提供3年质保，合同签订前必须提供针对本项目的授权与质保函

 
3.2基于终端的统方安全防护系统

大项	功能细项	招标参数
安全管理内容	移动终端准入行为报警分析	建立医院移动终端白名单，采集每台终端MAC、操作系统、浏览器版本号等指纹数据，对伪冒MAC、试图接入内网终端行为进行报警提醒，定位终端接入交换机端口或者无线终端所连接无线AP的位置，进行基于医疗场景的网络行为分析并产生报警。
	终端跨区域	实现对移动终端跨区域使用的自动识别，主动预警
	终端大流量	实现对有线/移动终端大数据量下载的自动识别，主动分析日常流量行为突变的预警
	★终端访问异常	实现对有线/移动终端异常访问行为（支持安全事件自动检测，包括但不限于非授权无线/有线设备访问敏感数据、异常网络行为、设备内外网混用、态势感知）的自动识别，针对医疗特有网络、数据安全防护场景进行主动预警。
	★移动医疗业务问题定位	支持智能分析功能及报警时序时间轴功能，能够有效帮助用户进行快速问题定位以及问题排查，最终找到问题根源。
	★移动终端网络质量分析	对无线网络质量及健康状态分析，对终端SNR/延时/丢包率/重传等纬度进行分析和可视化状态健康，对无线网络健康度低的区域进行报警分析。
规则对接	规则共享	可实现同级或者上级监管部门安全策略规则共享
	自动升级	经过AI深度学习，安全平台定期升级规则库，支持升级规则库自动下发功能
	规则配置	根据上级监管部门防统方要求定期升级规则库，支持自定义解析规则功能，可根据应用场景，通过在线简捷配置，选择插件、正则表达式（手动框选提取、编写正则表达式）、分隔符、Key-Value、JSON等方法定义解析规则，用于后续的日志格式范式化。支持其导入导出，格式为xml或压缩包。
	★规则模型（形成医疗行业网络数据安全访问行为规则模型）	实现对有线/无线终端基于时间/工作区域/用户行为进行分析及报警。（提供相关功能截图或者功能演示）
		实现对有线/无线合法终端基于下载数据行为进行分析及报警。（提供相关功能截图或者功能演示）
		实现对院内有线/无线合法终端基于时间/位置等因素对医院服务器或者设备进行远程登录维护事件进行分析及报警（提供相关功能截图或者功能演示）
	★安全事件上报	支持实现高级别安全事件的自动上报，上级监管部门安全平台择项向各医院发布安全预警，与安全平台上报接口对接所产生的相关费用由投标方负责。
	安全数据上报	支持将系统日志以syslog形式通知上级监管部门安全平台。Syslog支持多协议类型，协议类型包含TCP、UDP与TLS协议，TLS协议的证书格式storetype为PKSC12且认证方式为单向认证。
	★主动防护	支持通过联动防火墙/无线控制器主动防御阻断正在发生安全事件的终端
数据采集	终端实时信息	有线终端：MAC地址、IP地址、接入交换机端口、所在病区 /科室；移动终端：包括用户名、MAC地址、IP地址、当前AP、当前信道、信噪比、在线时长、累积流量；终端漫游记录，包括日期、时间、AP名称、SSID等；
	无线网络信息	包括AP名称、品牌、型号、MAC地址、IP地址、工作信道、噪声水平、信道忙闲、在线用户数量、上下行流量、归属AC、在线时长、重启次数、所在位置等；历史和当前的并发用户数量、上下行流量、噪声水平、信道忙闲；当前在线的终端列表，包括用户名、MAC地址、IP地址、SSID、在线时长、终端类型。
	有线网络信息	源IP/目的IP，源mac/目的mac,源端口/目的端口，发送/接收流量统计
	数据访问	支持规则访问HIS数据库/应用服务器/网络安全设备等，对非法访问进行报警提醒
	★支持网络设备	支持采集主流网络设备厂商如：华为、华三、思科、锐捷、Aruba等厂商的交换机/防火墙/路由器/无线AP/无线AC等网络络设备的数据采集
	地理位置	采集医院楼层、科室、房间等地理位置，应用于规则中的物理位置判定
事件处理	★安全事件定位	实时定位安全事件所涉及的移动终端位置信息（所在楼宇/楼层/AP接入点编号）；有线PC所在楼层、接入交换机端口
	报警方式	支持系统WEB端/邮件/短信/电话等
	报警级别	分系统预警、系统告警（电话告警、主动（自动）处理四种级别
	告警搜索	支持基于告警字段的搜索，提供简单搜索和高级搜索两种交互模式。支持基于告警搜索条件、列表展示字段等用户偏好设置，存为筛选器。
	告警展现	支持以危害等级为统计维度，告警数量在时间轴上的分布，使用户直观了解告警总量及告警在时间范围内分布情况。支持以告警名称为统计维度，统计告警出现次数的TOP，支持以告警类型为统计维度，展示告警类型的饼图分布。
	告警管理	支持对告警进行批量操作，支持告警状态变更、添加到工单任务、添加到调查任务等。支持外发告警数据。支持基于规则配置告警的外发策略。
	任务单	实现任务单的分配、查询、自动多级多端上报、处理异常预警和任务单状态汇总等功能，支持并实现和上级主管部门平台、下级直属子平台等异构平台的安全事件和任务单等重要数据信息的接入。
终端数据维护管理	终端类型	支持物理资产下各个服务的管理，可对中间件、数据库、其他应用服务进行管理，可从资产探查获取新增数据。支持管理IP类型资产（如：主机设备、网络设备、安全设备、应用系统。
	资产管理	支持资产（有线/移动终端）详情信息的展示，能够展现资产基础信息
	导入/导出	支持批量导入/导出功能
	事件报表功能	提供周期报表功能，可根据用户选定的周期以及周期开始时间生成以日、周、月、季度、年为跨度的报表，能自动生成报表并通过邮件发送给指定责任人。
	系统管理	支持基于角色的访问控制，创建角色和账号，为角色赋予访问系统的功能权限，为账号赋予所需的角色。
处理能力	★系统容量	支持不低于5000个终端数量
移动端联动	事件报警	支持在移动端实时展现安全事件并支持查看问题详情

 
实施进度要求
本项目实施计划分三个阶段进行，请投标人根据阶段划分进一步细化成工作计划：
第一阶段：合同签订后15日内确定项目实施方案、项目管理、项目测试/验收的方案，向采购人提供上述文档并需经采购人审查通过；
第二阶段：合同签订后2个月内完成软件的安装调试使用，经测试运行及培训，并通过采购人组织初步验收确认合格，投入试运行；
第三阶段：投入试运行后正常运行1个月，并完成本项目的培训任务，建立完善的系统运维体系，经正式验收合格，正式交付使用。
 
培训要求
提供完整详尽的技术培训方案，项目验收前必须完成相关技术培训。技术培训的内容必须覆盖本次投标产品的日常使用操作和管理维护等。
 
售后服务要求
服务方对采购方提供操作维护、管理等培训，至熟练操作为止。
提供软硬件产品三年7*24免费售后技术支持服务（包括故障排除、性能调优、技术咨询等，并负责处理、协调与各系统软件、硬件等供应商的关系）。
系统维护期内，服务方须根据系统运行情况进行不定期的检测与调优，每半年对系统进行一次总体检测，系统维护期满后为采购方提供一套完整的运行记录。
5.4 系统维护期内，服务方提供7*24应急响应服务，服务方在确认紧急响应请求后，通过电话、Email或传真等远程方式查找紧急事件的事发原因并解决相应问题，如无法远程解决问题，在服务方确认紧急响应请求后要求3小时内提供现场技术支持。
 
质量保证
谈判产品必须是符合国家技术规范和质量标准的合格产品，满足采购人的使用需求，并具有可靠的售后服务体系，质量可靠、使用安全。
谈判人保证其提供的产品中所有预装和为本项目安装的软件均为具有合法版权或使用权的正版软件且无质量瑕疵。
在质保期内，如遇软件产品升级、改版，应免费提供更新、升级服务。
质量保证期过后，如需购买软件维保，年费用不超过本项目中软件系统中标价的10%。
 
付款方式
本次项目采用分期付款方式，具体如下：
第一期付款：合同签订后15日内进一步优化需求分析，并细化系统建设计划、目标任务书和测试验收方案。服务方向采购方办理合同总价30%的结算手续。
第二期付款：服务方在合同签订后 2个月内完成项目建设系统设计、开发、实施，通过初验后进行试运行，并在采购方出具初步验收报告后10个工作日内，服务方向采购方办理合同总价50%的结算手续。
第三期付款：试运行1个月正常，服务方提交全部报告材料，通过正式验收，并出具项目终验报告后10个工作日内，服务方向采购方办理合同总价20%的结算手续。
 
验收要求
项目提交的文档成果包括但不限于：系统的体系架构、项目实施方案、培训资料、使用操作手册、项目验收报告等（包括纸质和电子文件）。
八、报价要求：
（1）一次性报出不得更改的价格。
（2）投标报价是履行合同的最终价格，应包括完成所有产品供货及履行所有规定服务所产生的全部费用
九、评分细则（0－100分）
 
技术部分  0-80分
该评分分值由评标委员会根据评审情况在分值范围内独立打分（具体分值设定详见表格），小数点后保留一位小数。每个投标人的最终得分为评标委员会打分汇总后的算术平均值（小数点后保留二位小数，第三位四舍五入）。

评审内容	评分细则	分值
技术总体方案	技术方案总体设计、建设方案和产品选型等，详细阐述系统的体系架构、功能模块、实现思路和关键技术，提出具体可行的实施方案，根据方案情况给分0-5分	5
数据对接方案	要求投标人帮助采购人完成与杭州市卫生数据中心数据对接，实现对接健康通APP用户认证体系，提供对接方案，根据方案情况给0-5分	5
网络融合方案	根据投标人对采购人现有无线网络与本项目的兼容、管理、融合方案进行打分，根据方案情况给0-5分	5
项目实施方案	实施进度、质量保障方案，包括工作措施是否以严谨且可执行、工作方法、工作手段和工作流程等是否详细、合理，以及系统功能是否具先进性，是否满足采购需求。根据实施方案的全面性、合理性、可行性的情况给分0-5分	5
投标人同类项目业绩	投标人类似项目建设的成功经验，提供2018年1月1日以来（以签订合同时间为准）类似项目业绩，每提供1个合同复印件得1分，最高得5分。提供合同复印件，否则不得分。	5
产品性能、技术指标	评委对采购内容及需求的技术指标符合情况进行评议，★技术指标每一项负偏离扣3分，其余每一项扣2分，扣完为止。 （注：★技术指标要求提供相关证明材料或软件截图，如投标人未提供或证明材料不充分的，将被视为负偏离。）	34
项目实施人员情况	项目组实施人员专业人员素质、技术能力、专业分布、经验等情况，数量是否充足，配置是否合理；是否具有类似项目建设经验，项目组人员资质、工作履历、项目实践证明资料、劳动合同和参保证明等情况（参考履历表和相关资料、证书等），根据各家公司响应情况综合评分0-5分	5
培训方案	培训计划包括培训内容、时间、地点、人次，费用计入总报价；系统计算机管理人员培训，重点培训为软件的安装、维护、调试、配置及使用技能；业务人员培训，重点对相应应用的操作、使用。根据方案情况0-5分。	5
售后服务方案	售后服务方案，包括但不限于服务响应时间、故障解决方、应急方案等 0-3分； 售后服务机构备品备件储备情况0-3分； 售后服务机构技术服务人员情况，提供姓名、工作经验、资质证书情况等0-3分。	9
优惠条件	投标人提出的优惠条件和承诺情况，给分0-2分。	2

价格分
价格评分将在有效投标人范围内进行，最高得20分，最低得0分（小数点后保留二位小数，第三位四舍五入）。满足采购文件要求且投标价格最低的投标报价为评标基准价，投标人的价格分统一按照下列公式计算：
投标报价得分=（评标基准价/投标报价）×20%×100
 
十、报名时间：自公告发布之日起 5个工作日内，2021年7月 12日9 时前。供应商报名方式：现场报名，同时接受电话报名。
提示：采购机构将拒绝接受非报名供应商的响应文件。
十一、谈判文件递交时间：报名人必须将标书密封签字盖章后于开标时送至杭州师范大学附属医院。
十二、谈判时间：另行通知
十三、联系人及电话：
杭州市拱墅区温州路126号杭州师范大学附属医院（杭州市第二人民医院）17号楼，匡老师，0571-88303687