中國鐵路昆明局集團 信息技術所關于2022自建系統等保測評與關鍵基礎設施系統風評項目招標公告
\n（招標編號ZB2022-CB19）
\n一、項目概況
\n按照國鐵集團相關文件要求以及集團公司相關文件的批示，信息技術所將開展等級保護測評工作及關鍵信息基礎設施風險評估工作，對昆明局集團 21個自建信息系統以及5個關鍵信息基礎設施進行風險評估工作。
\n項目編號：ZB2022-CB19
\n本項目資金已到位。
\n\n
二、公示期
\n2022年10月12日至2022年10月17日
\n\n
三、合格供應商主要資質條件
\n1.在中華人民共和國境內依法注冊，具有獨立法人和增值稅一般納稅人資格的企業，且能提供符合國家規定的稅率的增值稅專用發票，注冊資本不小于2000萬元；
\n2.企業及其服務項目不在中國國家鐵路集團 和中國鐵路昆明局集團 暫停或停止合作關系期限內；
\n3.滿足國家、中國國家鐵路集團 、行業服務的有關規定和資質要求;
\n4.服務商須具有公-安部第三研究所認證頒布的《網絡安全等級測評與檢測評估機構服務認證證書》；
\n5.服務商須具備中國網絡安全審查技術與認證中心認定的符合信息安全服務規范(CCRC-ISV-C01:2021)的二級或以上服務資質或中國信息安全測評中心認定的信息安全服務資質證書（風險評估）二級或以上服務資質；
\n6.服務商擬投入本項目的技術人員須具備如下條件：參與本項目組的成員至少有5人，且必須具備信息安全等級保護測評師資質，項目經理必須取得中級等級保護測評師資質和注冊信息安全專業人員（CISP）資質證書；
\n7.服務商須在昆明有駐地，須保證被測系統的安全穩定運行，具備7╳24小時應急響應能力；
\n8.投標人須具備中國合格評定國家認可委員會檢驗機構認可證書（CNAS）；投標人須具備中國合格評定國家認可委員會實驗室認可證書（CNAS）；被認可能力包含具備對軟件系統進行功能和性能測試的能力；
\n9.投標人須提供等保測評及風評項目的技術人員6個月以上的社保繳存證明復印件以備核查;
\n10.本項目不接受聯合體及代理商投標。
\n\n
四、服務內容和要求
\n（一）服務內容
\n1.服務期限自合同簽訂之日起一年。
\n2.按照國家有關規定和要求，根據《信息安全技術信息系統安全等級保護定級指南》（GB/T 22240-2008），服務提供商須深入調研被測單位信息系統實際情況，開展業務信息安全和系統服務安全等方面的分析，確定信息系統等級，協助被測單位編制《網絡安全等級保護定級報告》。
\n3.按照《信息安全技術網絡安全等級保護測評要求》(GB/T 28448-2019)，從每個信息系統的安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心、安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理十個層面進行等級保護測評。并通過安全控制層面間、區域間和系統結構間的綜合分析進行整體測評和風險分析，出具《網絡安全等級保護測評報告》及《系統風險整改問題庫》。
\n4.通過專業掃描工具對網絡、系統應用、主機操作系統、數據庫系統等安全漏洞進行掃描，發現安全漏洞并給出整改建議。
\n5.對測評系統進行安全滲透測試。
\n6.根據現場測評結論，給被測單位出具安全技術和安全管理層面的有針對性的安全整改建議，指導被測單位進行安全整改加固，并開展復測，最終使安全管理和技術兩方面達到相應等級的保護要求。
\n7.協助被測單位從安全管理和安全技術兩方面，針對各個系統具體的安全需求，在等級保護前期工作基礎上，提供專業的安全技術解決方案，提供技術咨詢服務；深入分析現有的系統管理體系和信息安全管理制度，從各個方面協助被測單位建立與信息系統安全技術和安全運行相適應的完善的符合系統業務特點的信息安全管理體系。
\n8.按照《信息安全技術信息安全風險評估規范》(GB/T 20984-2007)以及《信息安全技術信息安全風險評估實施指南》（GB/T 31509-2015），服務商需通過對信息系統提供風險評估服務，須包含數據安全（含個人信息安全防護）風險評估、供應鏈安全風險評估服務，系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和安全整改措施，防范和消除信息安全風險，或將風險控制在可接受的水平，為網絡和信息安全保障提供科學依據，出具《關鍵信息基礎設施風險評估報告》以及《風險評估安全整改建議》，評估報告及整改建議須包含數據安全（含個人信息安全防護）風險評估、供應鏈安全風險評估相關內容。
\n9.在識別脆弱性的同時，評估人員應對已采取的安全措施的有效性進行確認，對確認為不適當的安全措施應核實是否應被取消或對其進行修正，或用更合適的安全措施替代。
\n10.在信息安全風險評估工作實施前應采取有效措施規避保密風險、檢測活動引入風險、技術風險以及時間、人員風險。
\n（二）服務要求：
\n1.服務商提供《竣工報告》，包含完整準確的受測評系統的《網絡安全等級保護測評報告》、《系統風險整改問題庫》、《關鍵信息基礎設施風險評估報告》、《風險評估安全整改建議》等內容。
\n2.技術服務成果標準：《信息安全技術網絡安全等級保護基本要求》(GB/T 22239-2019)、《信息安全技術信息安全風險評估規范》(GB/T 20984-2007)。
\n3.提交的資料符合國家、中國國家鐵路集團 （原中國鐵路總公司、原鐵道部）網絡安全等級保護測評及關鍵基礎設施系統風評相關技術標準。
\n4.2022年12月30日前完成測評及風評工作。
\n5.質量保證期：驗收通過后，在服務期間（1年內）對項目范圍內的系統提供技術支持、網絡安全培訓、網絡安全巡檢、駐場及現場應急服務。
\n6.人員培訓：由服務方負責對被測方管理人員、應用人員進行信息安全技術現場培訓，包含一般性的安全意識、具體安全攻防操作、信息安全管理等安全知識和技能，使其具備檢測、應急處置能力，并提供培訓資料。
\n7.網絡安全巡檢服務：提供不少于4次安全巡檢，包括漏洞掃描分析、安全基線檢查、安全策略檢查等。
\n8.駐場服務：提供一名專業技術人員協助昆明局加強自身網絡安全能力，降低各類安全事件的發生幾率，保障系統的穩定運行。
\n9.服務方不得以任何形式向第三方透露被測方在測評過程中提供的系統網絡拓撲信息、系統配置信息、數據庫相關信息、系統運行的數據、管理制度及流程，以及經被測方聲明需要保密的其他信息。
\n10.應急服務速度：接到通知遠程立即響應，具備7×24小時應急響應能力。
\n（三）其他要求
\n1.投標方應牢固樹立“安全第一”的指導思想，建立健全各項安全管理規章制度，制訂并落實各項安全防護措施。
\n2.投標方全面負責其作業人員日常安全管理工作，依照《勞動法》、《安全生產法》以及國家、云南省等其他有關法律法規的規定，對作業人員身份進行相關審核，建立合法勞動關系，依法承擔相應的各項安全職責，保證其作業人員的合法權益。
\n3.作業過程中的勞動人身安全、現場安全管理工作由投標方負責。投標方人員在作業期間發生的傷害事故由投標方負全部責任，與招標方無關。
\n4.項目實施相關人員應簽訂保密協議與安全責任書，確保被測系統的數據安全，保證系統的安全穩定運行。
\n5.測評過程及結果對第三方保密。
\n6.投標人從2016年11月1日至今，至少有1個鐵路行業信息系統等級保護測評二級及以上系統或關鍵基礎設施的實施業績，并提供有效合同。
\n\n
五、
\n \n 采購組織機構: 中國鐵路昆明局集團 信息技術所 \n 聯系電
沒有在中國電力招標采購網（www.dl-yggm.cn）上注冊會員的單位應先點擊注冊。登錄成功后根據招標公告的相應說明獲取招標文件！ 聯系人：李楊
咨詢電話：010-51957458?
手 機：13683233285?
傳 真：010-51957412?
QQ:1211306049?
微信：Li13683233285
郵箱：1211306049@qq.com
