关于2024年海口市农业农村局“海口市农业大脑”（海口市数字农业试点建设项目）信息系统三级等保测评及应急演练技术服务项目询价公告

为落实市委网信办、市公安局网监支队关于执行信息系统安全等级保护测评工作要求，确保“海口农业大脑”（海口市数字农业试点建设项目）信息系统*级等保测评及应急演练技术服务工作顺利完成，为做好“海口市农业大脑”（海口市数字农业试点建设项目）信息系统*级等保测评及应急演练技术服务工作的落实，现将该技术服务项目询价采购事项公告如下：

*、项目名称

“海口市农业大脑”（海口市数字农业试点建设项目）信息系统*级等保测评及应急演练技术服务。

*、项目背景

依据《信息安全等级保护管理办法》（公通字[****]**号)、《海南省深化信息安全等级保护工作方案》（琼等保办[****]3号）和《海南省信息化条例》文件的要求规定和建议，需委托具备资质的等保测评机构，对信息系统进行等级测评，以确保信息系统是否在符合相对应的信息安全等级下运行。招标人将依照********信息系统开展信息系统*级等保测评及应急演练技术服务工作，通过本次招标聘请具备相关资质的单位提供测评及相关支持服务。

*、项目内容

通过委托专业信息安全等级测评服务机构，根据网络安全等级保护2.0等相关文件及标准要求，针对正在运行的信息系统实施信息安全等级保护测评，明细如下：

*、服务实施

（*）服务目标

（1）通过信息安全等级保护测评服务，对本单位运行的信息系统开展符合性测评，衡量信息系统的安全保护管理措施和技术防护措施是否符合等级保护基本要求，是否具备了相应的安全保护能力。找出问题，针对性的制定整改措施，推进信息安全防护体系不断完善。

（2）通过应急预案编制服务，建立健全我局网络安全事件应急工作机制，明确应急相关指挥体系和工作流程，提高对网络安全突发事件的应对能力，减少重大网络安全突发事件造成的损失和危害，保障业务系统运行平稳、安全、有序、高效。

（3）通过开展应急演练服务

1、检验预案，查找应急预案中存在的问题，进而完善应急预案，提高应急预案的实用性和可操作性；

完善准备，通过开展应急演练，检查应对网络安全事件所需应急队*、物资、装备、技术等方面的准备情况，发现不足及时予以调整补充，做好应急准备工作。

2、锻炼队*，通过开展应急演练，增强演练组织单位、参与单位和人员等对应急预案的熟悉程序，加强配合，提高其应急处置能力。

3、磨合机制，通过开展应急演练，进*步明确相关单位和人员的职责任务，理顺工作关系，完善各关联方之间分离、阻隔、配套应急联动机制，防范网络安全风险传导。

4、宣传教育，通过开展应急演练，普及应急知识，不断增强网络安全管理的专业化程度，提高全员网络安全风险防范意识。

（*）测评依据

项目主要依据但不限于以下相关的法规政策、标准及规范：

l 《中华人民共和国网络安全法》（第**届全国人大常委会****年**月7日通过，自****年6月1日起施行。）

l 《海南省信息化管理条例》（海南省第*届人大常委会****年9月**日通过，自****年**月1日起施行。）

l 《计算机信息系统安全保护等级划分准则》（** *****-****）

l 《信息安全技术 网络安全等级保护定级指南》（**/T *****-****）

l 《信息安全技术 网络安全等级保护基本要求》（**/T *****-****）

l 《信息安全技术 网络安全等级保护测评要求》（**/T *****-****）

l 《信息安全技术 网络安全等级保护测评过程指南》（**/T *****-****）

l 《信息技术 安全技术 信息技术安全评估准则》（**/T *****.2-****）

l 《信息安全技术 信息安全风险评估规范》（**/T *****-****）

l 《信息安全技术 信息安全风险评估实施指南》（**/T *****-****）

l 《信息安全技术 信息安全风险管理指南》（**/Z *****-****）

l ……

（*）实施团队要求

投标人在投标文件中应提供完整的测评实施团队名单及职责分工，所有人员必须属于投标单位在册员工（以社保缴纳证明为认定依据）。实施测评工作的技术人员必须具备公安部信息安全等级保护评估中心颁发的《信息安全等级测评师证书》或中关村信息安全测评联盟颁发的《网络安全等级测评师证书》。测评实施团队名单中所列人员的社保缴纳证明和测评师证书复印件须在投标文件中提供，并加盖公章。

（*）服务内容

服务期内，投标人须向招标人提供以下服务。

1、等级保护咨询服务

1）等级保护政策/标准咨询

随着国家信息安全等级保护的推进工作，信息安全等级保护政策、法律法规和标准体系也会相应的发布和更新，投标人应针对本项目设立信息安全等级保护咨询平台，明确较为固定的咨询服务人员，并根据咨询要求提供正式的答复资料和文档。咨询内容包括但不限于信息安全等级保护国内外发展动态、等级保护政策、法律法规和标准体系咨询服务。

2）信息系统等级变更咨询

在信息系统出现等级变更时，投标人须协助招标人对信息系统进行分析，明确信息系统边界和定级对象，对信息系统的子系统进行划分，确定信息系统以及子系统的安全等级。

3）等级保护建设整改咨询

按照信息系统安全总体方案要求，投标人须结合信息系统安全建设项目计划，根据信息安全等级保护相关标准和规定，对招标人等级保护建设整改工作提供全面的安全方案的详细设计咨询，结合招标人的实际情况，协助招标人进行分布或分期地落实安全技术与管理措施，并根据预期实现的安全目标，全程提供在建安全设备和系统的测试、验收工作等咨询服务。

4）信息系统安全检查咨询

在招标人开展信息系统安全检查时，全程提供咨询服务，包括检查范围、检查方法、检查结果分析以及整改措施制定等。

5）等级保护测评咨询

测评过程中，投标人应协助用户单位参照《信息系统安全等级保护测评要求》中评估内容和方法，对测评过程中所涉及到的评估项及测评过程中所编制相关表格、填写项提供全程咨询服务，确保测评工作的顺利开展。

2、等级保护测评服务

依据《网络安全等级保护基本要求》，对招标人各信息系统的安全技术体系和安全管理体系等进行合规性检查，出具《网络安全等级保护测评报告》，并提出具有针对性的整改建议。

1）测评内容

（1）对本单位已备案信息系统进行摸底、分析和梳理，提出详细的等保测评方案。

（2）逐*对信息系统进行安全等级保护测评，测评的内容包括但不限于以下内容：

① 安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和数据备份及恢复等*个方面的安全测评；

② 安全管理测评：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等*个方面的安全测评。

（3）完成测评工作后，提出整改建议；最后出具符合公安部门要求的信息系统安全保护等级测评报告，并在后期整改实施过程中提供全程咨询服务。

2）测评实施

信息安全测评项目过程需按照《信息系统安全等级保护测评过程指南》开展工作，等级测评过程分为*个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。测评双方之间的沟通与洽谈应贯穿整个等级测评过程。

（1）测评准备活动

测评准备工作包括编制项目启动、信息收集和分析、工具和表单准备。详细要求见下表：

（2）方案编制活动

方案编制活动包括测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书开发及测评方案编制等*项主要任务。详细要求见下表：

（3）现场测评活动

现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。

现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还*项主要任务。详细要求见下表：

（4）报告分析及编制活动

在现场测评工作结束后，应对现场测评获得的测评结果（或称测评证据）进行汇总分析，形成等级测评结论，并编制测评报告。

测评人员在初步判定单元测评结果后，还需进行整体测评，经过整体测评后，有的单元测评结果可能会有所变化，需进*步修订单元测评结果，而后进行风险分析和评价，形成等级测评结论。分析与报告编制活动包括单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成及测评报告编制*项主要任务。详细要求见下表：

3、应急预案编制服务

（*）预案修编调研

安全管理制度调研：分析评估现有的安全管理体系，包括安全制度执行审核、安全事件的响应处理、安全维护工作的组织管理、项目建设的安全审核等，分析存在的安全管理缺陷。评估重点针对各个安全事件场景的应急管理工作，如应急响应相关的管理制度。

信息安全现状调研：对信息系统运行、维护的ＩＴ基础设施进行调研。如物理安全情况、网络安全情况、主机安全情况、应用安全情况、数据安全情况等。调研的目的是为制定应急预案和进行应急演练提供必要的基础数据和基本资料。

应急安全管理流程调研：应急响应是信息安全所有保障措施中的最后*道防线，有效的应急响应可以最大化抑制安全事件的发展，将影响控制在可以接受的范围。做为安全防范体系的重要组成部分，需要重点调研以下主要安全事件的操作指南和相关安全策略：

①网站遭受****攻击；

②网站页面被篡改或挂马；

③网站***注入攻击；

④网站***跨站攻击；

⑤信息设备故障处理。

（*）预案修编工作

在预案修编调研基础上，针对目前的应急总预案和各单项应急预案进行编制，确保符合最新的安全情况。

4、应急演练服务

（*）演练沟通会。（确定演练时间、地点、人员）

通过双方召开的演练沟通会，确定本次演练相关人员：

同*工作人员可担任多个角色，同*角色亦可由多人担任。

演练地点：***

演练时间：***夜间**点开始

（*）确定需要备份的系统

由于本次演练环境为专门搭建，不存在需要备份的系统。

（*）确定其它影响

由于本次演练环境为专门搭建，不会对其它任何系统造成影响。

（*）演练环境搭建

演练可以包括环境演练或实际环境演练。 根据演练的要求搭建环境，并自行提供相关设备。如果在时机环境中演练，我方会在实际环境中完成相关演练的准备工作。

（*）演练脚本编写

将从为招标人规定的场景修编应急预案中，根据场景编写演练脚本，搭建演练环境并进行演练工作。

演练脚本：描述每个演练场景的具体操作流程，示例如下：

（*）应急响应演练

在演练环境中，按照脚本执行应急操作。

（*）演练收场工作

移除演练环境，测试网络是否正常；

总结演练成果。

（*）服务要求

1、等级保护测评服务

按照公安部制订的信息系统安全等级测评报告格式编制等级测评报告，报告中必须明确相应信息系统是否满足等级保护要求。

2、应急预案编制

投标人需根据招标单位现状及调研结果，应针对性的提出应急预案。应急预案应具有可操作性，符合招标人实际情况，且能够切实解决问题。

3、应急演练

应急演练活动需确保不因演练影响信息系统稳定运行，具体演练科目与采购人商议确定。

应急演练工作流程如下：预案修编调研、预案修编、演练准备、环境搭建、脚本编写、应急演练、演练收场。

4、交付成果和报告

中标方需在**天内交付成果和报告，包括（但不限于以下内容）：

《海口市农业大脑等级测评报告》

《海口市农业大脑等级保护安全整改建议方案》

《海口市农业大脑网络安全应急预案制度》

《海口市农业大脑应急演练实施方案》

《海口市农业大脑网络安全事件应急演练总结评估报告》

提供测评过程相关文件，包括调研表、技术测评记录、会议纪要等

4、服务验收标准

服务通过验收须满足以下所有条件：

l 完成信息系统测评，并出具《测评报告》；

l 针对性的制定整改方案，并出具《整改建议方案》；

l 制定适用于本单位的《网络安全应急预案制度》；

l 提交适用于本单位的《应急演练实施方案》；

l 演练完成后提交《网络安全事件应急演练总结评估报告》；

l 提交调研表、技术测评记录、会议纪要等服务过程材料；

l 符合省级以上公安部门提出的信息安全等级保护测评相关要求。

*、售后服务及其它要求

投标人必须提供详细的技术支持和服务方案，技术支持和服务方案包括（但不限于）：

（1）如在测评中出现不符合项，中标人需要提供相应的整改建议及相关方案。对于测评中发现的主机和网络设备漏洞，投标方应提供项目验收后*年的跟踪服务，对本次评估范围内的问题提供远程技术咨询，对于漏洞的修补、问题的排除给出建议和指导，自项目验收通过之日起计算。

（2）提供及时有效的售后服务，中标人在本地有服务机构或承诺如果中标则在海南省设置有不少2名技术人员的售后服务技术支持团队，并承诺提供的售后保障计划应包含7***小时的技术支持服务，重大活动期间提供现场的技术支持服务，针对突发应急事件提供4小时内到现场处置的服务响应保障，问题解决后**小时内，提交问题处理报告，说明问题种类、问题原因、问题解决中使用的方法及造成的损失等情况。提供承诺函。

*、预算及付款方式

（*）项目预算金额控制在18*元以下（超出预算控制价的报价为无效报价）

（*）中标后按合同约定具体方式付款。

*、投标资格要求

（*）具有独立承担民事责任的能力，持有有效的营业执照、税务登记证、组织机构代码证（或*证合*）；

（*）具有良好的商业信誉和健全的财务会计制度；

（*）具有公安部第*研究所颁发的网络安全等级测评与检测评估机构服务认证证书

（*）法定代表人或单位负责人为同*人或者存在直接控股、管理关系的不同投标单位，不得同时参加本项目的投标。（提供承诺函）

（*）、供应商必须对本项目内所有的内容进行响应，不允许只对其中部分内容进行响应，否则视为无效报价；

（*）、本项目不接受联合体投标。

*、报名所需提供材料及要求

（*）报名单位营业执照、税务登记证、组织机构代码证（*证合*的提供营业执照）、被授权人身份证等复印件；

（*）提供***3年至今任意*个月或*个季度的财务报表及***3年至今任意*个月的纳税及社保凭证

（*）公安部第*研究所颁发的网络安全等级测评与检测评估机构服务认证证书

（*）单位简介、相关资质、相关工作业绩材料；

（*）本项目工作实施方案；

（*）单位详细报价函。

（*）其他需要补充说明的材料。

参加询价单位应对所提交的资料真实性负责，且必须准确、详细、清晰可以辨认，其资质不得使用其他法人单位资料，若未按要求提交资料或所提交的资料弄虚作假，将取消报名资格。

注：所有材料均加盖公章、装订成册、装袋密封提交，于文件封面提供联系人姓名及手机号码,*式*份。

*、投标、开标时间和地点

（*）材料递交截止时间：***4年5月8日**：**前，逾期不予受理。

（*）投递地点：海口市秀英区长滨路市政府第*办公区**栋南楼4楼****室。

（*）开标时间暂定***4年5月9日上午**:**在海口市秀英区长滨路市政府第*办公区**栋南楼4楼****会议室。开标时间若有变动则另行通知参加询价单位联系人。

  （*）联系人：*** 联系电话：********。

*、评定规则

（*）完成工作目标任务响应原则;

（*）具备的资质及业绩审查;

（*）报价择低原则。综合评定按得分高低确定中标候选人序位。

**、验收方式

采购人委托第*方机构或业务单位对服务项目进行跟踪审计或现场验收，成交供应商须无条件全程配合跟踪审计单位或验收单位执行服务项目全过程跟踪审计或现场验收，按要求提交所需跟踪审计或验收资料和文件。跟踪审计服务费用由采购人另行支付。

**、其他

（*）本项目不统*组织踏勘现场，供应商自行安排现场踏勘，供应商递交的谈判响应文件，视为已充分考虑了项目实际情况、技术标准及要求、工期、交付场地等特点和相关风险。

（*）合同履约过程中，根据项目实际情况需对检测的内容、数量或相关技术和服务要求进行调整或变更的，由采购人和成交供应商进行协商，具体内容在合同条款中进行约定。

********

***4年4月**日

报价*览表

项目名称：********信息安全等级测评及应急演练技术服务

交货时间：合同签订后**天内。

报价人名称： 

单位：元

总价合计：

总价大写：

报价人代表签名： 职务： 日期：

注：1、所有报价用人民币元报价。

2、大写金额与小写金额不*致的，以大写金额为准。