南充市等保测评服务招标公告（南充市身心医院2022）
南充市身心医院等保测评服务竞争性谈判公告
项目概况
等保测评服务的潜在供应商应在四川省政府采购一体化平台项目电子化交易系统（以下简称“项目电子化交易系统”）获取采购文件，并于 2022年12月08日 10时00分 （北京时间）前提交响应文件。
一、项目基本情况
项目编号：N5113012022000304
项目名称：等保测评服务
采购方式：竞争性谈判
预算金额：480,000.00元
采购需求：详见采购需求附件
合同履行期限：
采购包1：自合同签订之日起60日
本项目是否接受联合体参与：
采购包1：不接受联合体投标
二、申请人的资格要求：
1.满足《中华人民共和国政府采购法》第二十二条规定;
2.落实政府采购政策需满足的资格要求：
采购包1：
供应商结合自身实际，按照采购文件要求和关联格式要求，提供《中小企业声明函》、《残疾人福利性单位声明函》或者《监狱企业证明文件》进行响应。
3.本项目的特定资格要求：
采购包1：无
三、获取采购文件
时间：2022年12月02日至2022年12月06日，每天上午00:00:00至12:00:00，下午12:00:00至23:59:59（北京时间）
途径：项目电子化交易系统-投标（响应）管理-未获取采购文件中选择本项目获取采购文件
方式：在线获取
售价：0元
四、响应文件提交
截止时间：2022年12月08日 10时00分00秒（北京时间）
地点：通过项目电子化交易系统-投标（响应）管理在线提交响应文件
五、开启
时间：2022年12月08日 10时00分00秒（北京时间）
地点：通过项目电子化交易系统-开标/开启大厅参与开启
六、公告期限
自本公告发布之日起3个工作日。
七、其他补充事宜
本项目采购过程中需要使用四川省政府采购一体化平台，登录方式及地址：通过四川政府采购网（www.ccgp-sichuan.gov.cn）首页供应商用户登录，供应商应当按照以下要求进行系统操作。
（一）供应商应当自行在四川政府采购网-办事指南查看相应的系统操作指南，并严格按照操作指南要求进行系统操作。在登录、使用采购一体化平台前，应当按照要求完成供应商注册和信息完善，加入采购一体化平台供应商库。
（二）供应商应当使用纳入全国公共资源交易平台（四川省）数字证书互认范围的数字证书及签章（以下简称“互认的证书及签章”）进行系统操作。供应商使用互认的证书及签章登录采购一体化平台进行的一切操作和资料传递，以及加盖电子签章确认采购过程中制作、交换的电子数据，均属于供应商真实意思表示，由供应商对其系统操作行为和电子签章确认的事项承担法律责任。
已办理互认的证书及签章的供应商，校验互认的证书及签章有效性后，即可按照系统操作要求进行身份信息绑定、权限设置和系统操作；未办理互认的证书及签章的供应商，按要求办理互认的证书及签章并校验有效性后，按照系统操作要求进行身份信息绑定、权限设置和系统操作。互认的证书及签章的办理与校验，可查看四川政府采购网-办事指南。
供应商应当加强互认的证书及签章日常校验和妥善保管，确保在参加采购活动期间互认的证书及签章能够正常使用；供应商应当严格互认的证书及签章的内部授权管理，防止非授权操作。
（三）供应商应当自行准备电子化采购所需的计算机终端、软硬件及网络环境，承担因准备不足产生的不利后果。
（四）采购一体化平台技术支持：
在线客服：通过四川政府采购网-在线客服进行咨询
400服务电话：4001600900
CA及签章服务：通过四川政府采购网-办事指南进行查询
1.本项目的采购预算金额：480,000.00元，最高限价：480,000.00元。2.参与供应商：已依法在四川政府采购网（https://zfcg.scsczt.cn/）项目电子化交易系统-投标（响应）管理-未获取采购文件中选择本项目获取采购文件的潜在供应商； 3.供应商应当在法定质疑期内一次性提出针对同一采购程序环节的质疑。4.投诉受理单位：本项目同级财政部门，即南充市财政局。联系科室：南充市财政局政府采购监督管理科，联系电话：0817-2666926，联系地址：南充市顺庆区市政府新区。注：根据《中华人民共和国政府采购法实施条例》的规定，供应商投诉事项不得超出已质疑事项的范围。5.供应商应遵守国家、省、市及南充市相关新冠疫情防控要求，做好疫情防护措施。
八、凡对本次采购提出询问，请按以下方式联系。
1.采购人信息
名称：南充市身心医院
地址：四川省南充市营山县锦城街99号
联系方式：0817-8281818
2.采购代理机构信息
名称：四川思渠国际招标有限公司
地址：四川省成都市金牛区茶店子西街36号金璐天下1栋2单元1819室、项目咨询地址：四川省南充市顺庆区万年西路春风大厦17楼
联系方式：0817-2327281
3.项目联系方式
项目联系人：陈良语
电话：0817-2327281
四川思渠国际招标有限公司
2022年12月01日
相关附件：
等保采购需求.docx
等保采购需求.docx
挂网资料.zip
挂网资料.zip
3.2.1服务内容3.2、服务内容及服务要求南充市身心医院拟采购网络安全等级保护测评服务一项，对南充市身心医院的6个三级信息系统（初步拟定his系统、电子病历系统、互联网医院系统、门户网站、集成平台、OA系统）进行网络安全等级保护测评，通过网络安全等级保护测评，发现南充市身心医院的信息系统的安全现状与需要达到的安全等级或目标的差异，确保南充市身心医院的信息系统安全平稳运行。本项目为1个包。3.1、采购项目概况（注：带“★”的参数需求为实质性要求，供应商必须响应并满足的参数需求，采购人、采购代理机构应当根据项目实际需求合理设定，并明确具体要求。）采购需求（招单价的）供应商报价不允许超过标的单价供应商报价不允许超过标的金额采购包最高限价（元）:480,000.00采购包预算金额（元）:480,000.00采购包1：序号标的名称数量标的金额 （元）计量单位所属行业是否核心产品是否允许进口产品是否属于节能产品是否属于环境标志产品1网络安全等级保护测评服务1.00480,000.00项软件和信息技术服务业否否否否标的名称：网络安全等级保护测评服务（招单价的）供应商报价不允许超过标的单价供应商报价不允许超过标的金额采购包1：3.2.2服务要求参数性质序号技术参数与性能指标1（1)技术服务内容★1、定级：准备备案资料及表单，协助完成资料编写。★2、备案：梳理指导备案流程，协助完成专家定级及资料确认。★3、测评：针对三级系统211项标准准逐一进行测评，提出整改报告。结合出现的问题，协助完成整改咨询后再次进行复测评，最终出具符合要求的“网络安全等级保护测评”报告。★4、终备案：根据南充市公安局要求，协助整理资料后提交备案。★5、其他服务：5.1渗透测试：挑选1个单位核心业务系统开展渗透测试，并出具渗透测试报告；5.2攻防演练：对公网进行一次攻防演练，出具攻防演练报告；5.3网络安全咨询：提供网络安全整改及体系规划建设咨询服务，出具《网络安全整改建议》；5.4网络安全培训：提供全院网络安全培训≥1次/年，网络安全管理人员的技术培训≥1次/年,线上线下均可,出具培训证书（1个CISP、1个安全员证书）；5.5风险评估：出具评估报告（单位整体一次风险评估）；5.6新系统上线前安全检测：合同周期内，核心及重要系统，或风险较高系统上线前安全检测。6、具体需要完成的测评指标：网络安全等级保护测评要求由安全测评通用要求和安全测评扩展要求两部分组成。安全测评通用要求具体分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等十个方面。安全测评扩展要求具体分为云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制系统安全测评扩展要求等四个方面。在具体测评实施过程中根据不同的等级保护对象组成，选择安全测评通用要求以及合适的安全测评扩展要求进行测评。6.1安全物理环境测评6.1.1三级测评单元序号控制点安全要求项01物理位置选择a)机房场地应选择在具有防震、防风和防雨等能力的建筑内；02b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。03物理访问控制a)机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。04防盗窃和防破坏a)应将设备或主要部件进行固定，并设置明显的不易除去的标识；05b)应将通信线缆铺设在隐蔽安全处；06c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。07防雷击a)应将各类机柜、设施和设备等通过接地系统安全接地；08b)应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等。09防火a)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火；10b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；11c)应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。12防水和防潮a)应采取措施防止雨水通过机房窗户、 屋顶和墙壁渗透；13b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；14c)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。15防静电a)应采用防静电地板或地面并采用必要的接地防静电措施；16b)应采取措施防上静电的产生，例如采用静电消除器、佩戴防静电手环等。17湿温度控制a)应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。18电力供应a)应在机房供电线路上配置稳压器和过电压防护设备；19b)应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求；20c)应设置冗余或并行的电力电缆线路为计算机系统供电。21电磁防护a)电源线和通信线缆应隔离铺设，避免互相干扰；22b)应对关键设备实施电磁屏蔽。6.2安全通信网络测评 6.2.1三级测评单元序号控制点安全要求01网络架构a)应保证网络设备的业务处理能力满足业务高峰期需要；02b)应保证网络各个部分的带宽满足业务高峰期需要；03c)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；04d)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；05e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。06通信传输a)应采用校验技术或密码技术保证通信过程中数据的完整性；07b)应采用密码技术保证通信过程中数据的保密性。08可信验证a)可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。6.3安全区域边界测评6.3.1三级测评单元序号控制点安全要求项01边界防护a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；02b)应能够对非授权设备私自联到内部网络的行为进行检查或限制；03c)应能够对内部用户非授权连到外部网络的行为进行检查或限制；04d)应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。05访问控制a)应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；06b)应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；07c)应对源地址、目的地址，源端口、目的端口和协议等进行检查，以允许/拒绝数数据包进出；08d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；09e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。10入侵防范a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；11b)应在关键网络节点处检测、防止或限制从内部发起的网络政击行为；12c)应在关键网络节点处检测、防止或限制从内部发起的网络政击行为；13d)应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；14恶意代码和垃圾邮件防范a)应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新；15b)应在关键网络节点处对垃圾邮件进行检测和防护并维护垃圾邮件防护机制的升级和更新。16安全审计a)应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；17b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；18c)应对审计记录进行保护，定期备份，避免受到未预期的删除 、修改或覆盖；19d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。20可信验证a)可甚于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。6.4 安全计算环境测评6.4.1三级测评单元序号控制点安全要求项01身份鉴别a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；02b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；03c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听；04d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。05访问控制a)应对登录的用户分配账户和权限；06b)应重命名或删除默认账户，修改默认账户的默伙口令；07c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；08d)应授予管理用户所需的最小权限，实现管理用户的权限分离；09e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；10f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；11g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。12安全审计a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；13b)审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息；14c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；15d)应对审计进程进行保护，防止未经授权的中断。16入侵防范a)应遵循最小安装的原则仅安装需要的组件和应用程序；17b)应关闭不需要的系统服务、默认共享和高危端口；18c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；19d)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；20e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；21h)应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。22恶意代码防范a)应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。23可信验证a)可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。24数据完整性a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限千鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；25b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。26数据保密性a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；27b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。28数据备份恢复a)应提供重要数据的本地数据备份与恢复功能；29b)应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；30c)应提供重要数据处理系统的热冗余，保证系统的高可用性。31剩余信息保护a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除；32b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。33个人信息保护a)应仅采集和保存业务必需的用户个人信息；34b)应禁止未授权访问和非法使用用户个人信息。6.5 安全管理中心测评6.5.1三级测评单元序号控制点安全要求项01系统管理a)应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作行为进行审计；02b)应通过系统管理员对系统的资源和运行进行配置、控制和管理,包括用户的身份、系统资源配置、系统加载和启动，系统运行的异常处理、数据和设备的备份与恢复等。03审计管理a)应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行操作，并对这些操作进行审计；04b)应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储，管理和查询等。05安全管理a)应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作行为进行审计；06b)应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。07集中管控a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控；08b)应能够建立一条安全的信息传输路径， 对网络中的安全设备或安全组件进行管理；09c)应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；10d)应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求；11e)应对安全策略，恶意代码、补丁升级等安全相关事项进行集中管理；12f）应能对网络中的各类安全事件进行识别、报警和分析。6.6 安全管理制度测评6.6.1三级测评单元序号控制点安全要求项01安全策略a)应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。02管理制度a)应对安全管理活动中的各类管内容中建立安全管理制度；03b)应对管理人员或操作人员执行的日常管理操作建立操作规程；04c)应形成由安全策略、管理制度、操作规程，记录表单等构成的全面的安全管理制度体系。05制定和发布a)应指定或授权专门的部门或人员负责安全管理制度的制定；06b）安全管理制度应通过正式、有效的方式发布，并进行版本控制。07评审和修订a)应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。6.7 安全管理机构测评6.7.1三级测评单元序号控制点安全要求项01岗位设置a)应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权；02b)应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；03c)应设立系统管理员、 审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。04人员配备a)应配备一定数量的系统管理员、审计管理员和安全管理员等；05b)应配备专职的安全管理员，不可兼职。06授权和审批a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；07b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按审批程序执行审批过程， 对重要活动建立逐级审批制度；08c)应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批等信息。09沟通和合作a)应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作，定期召开协调会议，共同协作处理网络安全问题；10b)应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通；11c)应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。12审核和检查a)应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据份等情况；13b)应定期进行全面安全检套，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；14c)应制定安全检查表格实施安全，汇总安全检查数据,并对安全检查结果进行通报。6.8 安全管理人员测评6.8.1三级测评单元序号控制点安全要求项01人员录用a)应指定或授权专门的部门或人员负责人员录用；02b)对被录用人员的身份，安全背景，专业资格或资质等进行审查，对其所具有的技术技能进行考核；03c)应与被录用人员签署保密协议，与关键岗位人员签署岗位责任协议。04人员离岗a)应及时终止离岗人员的所有访问放限，取回各种身份证、钥匙、徽章等以及机构提供的各种软硬件设备；05b)应办理严格的调离手续，并承诺调离后的保密义务后方可离开。06安全意识教育和培训a)应对各类人员进行安全意识教育和机构技能培训,并告知相关的安全责任和惩戒措施；07b)应针对不同岗位制定不同的培训计划,对安全基础如识、岗位操作规程等进行培训；08c)应定期对不同岗位的人员进行技能培训。09外部人员访问管理a)应在外部人员物理访问受控区前先提出书面申请，批准后由专人全程陪同，并登记备案；10b)应在外部人员接入受控网络访问系统前先提出书面申请,批准后由专人开设账户、分配权限，并登记备案；11c)外部人员离场后应及时清除其所有的访问权限；12d)获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，复制和泄露任何敏感信息。6.9 安全建设管理测评6.9.1 三级测评单元序号控制点安全要求项01定级和备案a)应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由；02b）应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定；03c)应保证定级结果经过相关部门的批准；04d）应将备案材料报主管部门和相应公安机关备案。05安全方案设计a)应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；06b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行整体安全体划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；07c)应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施。08安全产品采购和使用a)应确保网络安全产品采购和使用符合国家的有关规定；09b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；10c)应预先对产品进行选型测试，确定产品的候选范围,并定期审定和更新候选产品名单。11自行软件开发a)应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；12b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；13c)应制定代码编写安全规范，要求开发人员参照规范编写代码；14d)应具备软件设计的相关文档和使用指南，并对文档使用进行控制；15e)应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在恶意代码进行检测；16f)应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制；17g)应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查。18外包软件开发a)应在软件交付前检测其中可能存在的恶意代码；19b)应保证开发单位提供软件设计文档和使用指南；20c)应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。21工程实施a)应指定或授权专门的部门或人员负责工程实施过程的管理；22b)应制定安全工程实施方案控制实施过程；23c)应通过第三方工程监理控制项目的实施过程。24测试验收a)应制订测试验收方案，并依据测试验收方案实施测试验收,形成测试验收报告；25b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。26系统交付a)应制定交付清单， 并根据交付清单对所交接的设备、软件和文档等进行清点；27b)对负责运行维护的技术人员进行相应的技能培训；28c)应提供建设过程文档和运行维护文档。29等级测评a)应定期进行等级测评，发现不符合相应等级保护标准要求的应及时整改还；30b)应在发生重大变更或级别发生变化时进行等级测评；31c)应确保测评机构的选择符合国家有关规定。32服务供应商的选择a)应确保服务供应商的选择符合国家的规定；33b)应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务；34c)应定期监督、评审和审核服务供应商提供的服务,并对其变更服务内容加以控制。6.10 安全运维管理测评6.10.1三级测评单元序号控制点安全要求项01环境管理a)应指定专门的部门或人是负责机房安全、对机房的出入进行管理，定期对机房供配电、空调、温湿度控制，消防等设施进行维护管理；02b)应建立机房安全管理制度，对有关物理访问、物品进出和环境安全等方面的管理作出规定；03c)应不在重要区域接待来访人员，不随意放置含有敏感信息的纸质文件和移动介质等。04资产管理a)应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；05b)根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；06c）应对信息分类与标识方法作出规定，并对信息的使用，传输和存储等进行规范化管理。07介质管理a)应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储介质专人管理，并根据存档介质的目录清单定期查点；08b)应对介质的物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归等进行登记记录。09设备维护管理a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门成人员定期进行维护管理；10b)应建立配套设施、软硬件维护方面的管理制度。对其维护进行有效管理，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等；11c)信息处理设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密；12d）含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据和授权软件无法被恢复重用；13e)应来取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补；14f）应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题。15网络和系统安全管理a)应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限；16b)应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户进行控制；17c)应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与补丁、口令周期更新等方面做出规定；18d)应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等；19e)应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置、修改等内容；20f)应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为；21g)应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志,操作结束后应同步更新配置信息库；22h）应严格控制运维工具的使用，经过审批才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工中的敏感数据；23i)应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道,操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道；24j)应保证所有与外部的连接均得到授权和批准，应定期的检查违反规定无线上网及其他违反网络安全策略的行为。25恶意代码防范管理a)应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；26b)应定期验证防范恶意代码攻击的技术措施的有效性。27配置管理a) 应记录和保有基本配宣信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。28b)应将基本配置信息改变纳入变更范畴， 实施对配置信息改变的控制，并及时更新基本配置信息库29密码管理a)应遵循密码相关的国家标准和行业标准；30b)应使用国家密码管理主管部门认证核准的密码技术和产品。31变更管理a）应明确变更需求，变更前根据变更需求制定变更方案.变更方案经过评审、审批后才可实施；32b)应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程；33c)应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练。34备份与恢复管理a)应识别需要定期备份的重要业务信息、系统表据及软件系统等；35b)应规定备份信息的备份方式、备份频度、存储介质、保存期等；36c)应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。37安全事件处置a)应及时向安全管理部门报告所发现的安全弱点和可疑事件；38b)应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等；39c)应在安全事件报告和响应处理过程中分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训；40d)对造成系统中断和造成信息泄露的重大安全事件应采用不同的处理程序和报告程序。41应急预案管理a)应规定统一的应急预案框架，包括启动预案的条件、应急组织构成、应急资金保障、事后教育和培训等内容；42b)应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容；43c)应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练；44d)应定期对原有的应急预要重新评估，修订完善。45外包运维管理a)应确保外包运维服务商的选择符合国家的有关规定；46b)应与选定的外包运维服务商签订相关的协议，明确规定外包运维的范围、工作内容；47c)应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确；48d)应在与外包运维服务商签定的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访问、处理、存储要求，对1T基础设施中断服务的应急保障要求等。6.11 云计算安全扩展要求6.11.1三级测评单元序号控制点安全要求项01基础设施位置a)应保证云计算基础设施位于中国境内。01网络架构a)应保证云计算平台不承载高于其安全保护等级的业务应用系统；02b)应实现不同云服务客户虚拟网络之间的隔离；03c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范制等安全机制的能力；04d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略；05e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或云计算平台选择第三方安全服务。01访问控制a)应在虚拟化部署访问控制机制，并设置访问控制机则；02b)应在不同等级的网络区域边界部署访访问控制机制,设置访问控制规则。03入侵防范a）应能检测到云服务客户发起的网络络攻击行为，并能记录攻击类型、攻击时时间、攻击流量等；04b)应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；05c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量；06d)应在检测到网络攻击行为、异常流量情况时进行告警。07安全审计a)应对服务商或云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；08b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。01身份鉴别a)当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。02访问控制a)应保证当虚拟机迁移时，访问控制策略随其迁移；03b)应允许云服务客户设置不同虚拟机之间的访问控制策略。04入侵防范a)应能检测虚拟机之间的资源隔离失效，并进行告警；05b）应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警；06c)应能够检测恶意代码感染及在虚拟机间蔓廷的情况，并进行告警。07镜像和快照保护a)应针对重要业务系统提供加固的操作系统镜像像或操作系统安全加固服务；08b)应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改；09c)应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资被非法访问。10数据完整性和保密性a)应确保云服务客户数据、用户个大信息等存储于中国境内，如需出境应遵循国家相关规定；11b)应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据管理权限；12c)应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到整性受到破坏时采取必要的恢复措施；13d)应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。14数据备份恢复a)云服务客户应在本地保存其业务数据的备份；15b）应提供查询云服务客户数据及备份存储位置的能力；16c)云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本，各副本之间的内容应保持一致；17d)应为云服务客户将业务系统和数据迁移到其他云计算平台和本地系统提供技术手段，并协助完成迁移过程。18剩余信息保护a）应保证虚拟机所使用的内存和存储空间回收时得到完全清除；19b)云服务客户删除业务应用数据时，云计算平台应将云存储中所有副本删除。01集中管控a)应能对物理资源和虚拟资源按照策略做统一管理调度与分配；02b)应保证云计算平台管理流量与云服务客户业务流量分离；03c)应根据云服务商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计；04d)应根据云服务商和云服务客户的职责划分，实现各自控制部分，包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中监测。01云服务商选择a)应选择安全合规的云服务商，其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力；02b)应在服务水平协议中规定云服务的各项服务内容和具体技术指标；03c)应在服务水平协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；04d)应在服务水平协议中规定服务合约到期时，完整提供云服务客户数据，并承诺相关数据在云计算平台上清除；05e)应与选定的云服务商签署保密协议，要求其不得泄露云服务客户数据。07供应链管理a）应确保供应商的选择符合国家有关规定；08b)应提供应链安全事件信息或安全威胁信息及时传达到云服务客户；09c)应将供应商的重要变更及时的传达到云服务客户，并评估变更带来的安全风险，采取措施对风险进行控制。01云计算环境管理a)云计算平台的运维地点应位于中国境内，其他对境内云计算平台实施运维操作应遵循国家相关规定。6.12 移动互联安全扩展要求6.12.1三级测评单元序号控制点安全要求项01无线接入点的物理位置a)应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。01边界防护a)应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。02访问控制a)无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。03入侵防范a)应能检测到非授权的无线接入设备和非授权的移动终端的接入行为；04b)应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为；05c)应能够检测到无线设备的SSID广播、WPS等高风险功能的开启状态；06d）应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认 证等；07e)应禁止多个AP使用同一个鉴别密钥；08f)应能够阻断非授权无线接入设备或非授权移动终端。01移动终端管控a)应保证移动终端安装、注册并运行终端管理客户端软件；02b)移动终端应接受移动终端管理服务端的设备命周期管理、设备远程控制，如：远程锁定、远程擦除等。03移动应用管控a)应具有选择应用软件安装、运行的功能；04b)应只允许指定证书签名的应用软件安装和运行；05c)应具有软件白名单功能，应能根据白名单控制应用软件安装、运行。01移动应用软件采购a)应保证移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名；02b)应保证移动终端安装、运行的应用软件由指定的开发者开发。03移动应用软件开发a)应对移动业务应用软件开发者进行资格审查；04b)应保证开发移动业务应用软件的签名证书合法性。01配置管理a)应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。6.13 物联网安全扩展要求6.13.1三级测评单元序号控制点安全要求项01感知节点设备物理防护a)感知节点设备所处的物理环境应不对感知节点设备造成物理破坏，如挤压，强振动；02b)感知节点设备在工作状态所处物理环境应能正确反应环境状态(如温湿度传感器不能安装在阳光直射区域）；03c)感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、阻挡屏蔽等；04d)关键感知节点设备应具有可供长时间工作的电力供应(关键网关节点设备应具有持久稳定的电力供应)。01接入控制应保证只有授权的感知节点可以接入。02入侵防范a)应能够限制与感知节点通信的目标地址，以避免陌生地址的攻击行为；03b)应能够限制与网关节点通信的目标地址，以避免对陌生地址的攻击行为。01感知节点设备安全a)应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更；02b)应具有对其连接的网关节点设备（包括读卡器)进行身份标识和鉴别的能力；03c)应具有对其连接的其他感知节点设备(包括路由节点)进行身份标识和鉴别的能力。04网关节点设备安全a)应设置最大并发连接数；05b)应具备合法的连接设备(包括终端节点、路由节点、数据处理中心)进行标识和鉴别的能力；06c)应具备过滤非法节点和伪造节点所发送的数据的能力；07d)授权用户应能够在设备使用过程中对关键密钥进行在线更新；08e)授权用户应能够在设备使用过程中对关键配置参数进行在线更新。09抗数据重放a)应能够鉴别数据的新鲜性，避免历史数据的重放攻击；10b)应能够鉴别历史数据的非法修改，避免数据的修改重放攻击。11数据融合处理a)应对来自传感网的数据进行数据融合处理，使不同种类的数据可以在同一个平台被使用。01感知节点管理a)应指定人员定期巡视感知节点设备、网关节点设备的部署环境，对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护；02b)应对感知节点设备、网关节点设备入库、存储、部署、携带、维修、丢失和报废等过程作出明确的规定，并进行全程管理；03c)应加强对感知节点设备、网关节点设备部署环境的保密性管理，包括负责检查和维护的人员调离工作岗位应立即交还相关检查工具和检查维护记录等。（2)技术服务要求1、服务能力项目实施所需的设施设备(与本项目完成有关的软硬件配置，提供设施设备清单)。二、技术标准和规范（一）主要依据《计算机信息系统安全保护等级划分准则》（GB 17859-1999)；《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019)；《信息安全技术信息系统安全等级保护定级指南》(GB/T 22240-2020)；《信息安全技术网络安全等级保护实施指南》（GB/T 25058-2019)；《信息安全技术网络安全等级保护安全设计技术要求》（GB/T 25070-2019)；《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019)；《信息安全技术网络安全等级保护测评过程指南》（GB/T 28449-2018)；《信息安全技术网络安全等级保护测试评估技术指南》（GB/T 36627-2018)。（二）参考依据《网络安全等级保护条例（征求意见稿)》（20180627)《信息安全技术网络基础安全技术要求》(GB/T20270-2006)《信息安全技术信息系统通用安全技术要求》(GB/T20271-2006)《信息安全技术操作系统安全技术要求》(GB/T20272-2006)《信息安全技术数据库管理系统通用安全技术要求》(GB/T20273-2006)《信息安全技术信息系统安全等级保护基本模型》(GA/T709-2007)IATF：《信息保障技术框架》。为信息与信息基础设施的安全建设提供了技术指南。《信息安全管理体系要求ISO/IEC27001》《信息安全管理实用规则ISO/IEC17799》国家标准GB50173-1993《电子计算机机房设计指南》《电子计算机机房设计规范》（GB50174-1993)国家标准GB2887-2000《计算站场地技术条件》国家标准GB9361-1988《计算站场地安全要求》《电子计算机场地通用规范》（GB2887-2000)GB/T 31167 — 2014 信息安全技术 云计算服务安全指南GB/T 31168 — 2014 信息安全技术 云计算服务安全能力要求（三）法律依据《中华人民共和国保守国家秘密法》（2010101)《中华人民共和国网络安全法》（20170601)序号控制点安全要求项01物理位置选择a)机房场地应选择在具有防震、防风和防雨等能力的建筑内；02b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。03物理访问控制a)机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。04防盗窃和防破坏a)应将设备或主要部件进行固定，并设置明显的不易除去的标识；05b)应将通信线缆铺设在隐蔽安全处；06c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。07防雷击a)应将各类机柜、设施和设备等通过接地系统安全接地；08b)应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等。09防火a)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火；10b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；11c)应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。12防水和防潮a)应采取措施防止雨水通过机房窗户、 屋顶和墙壁渗透；13b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；14c)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。15防静电a)应采用防静电地板或地面并采用必要的接地防静电措施；16b)应采取措施防上静电的产生，例如采用静电消除器、佩戴防静电手环等。17湿温度控制a)应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。18电力供应a)应在机房供电线路上配置稳压器和过电压防护设备；19b)应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求；20c)应设置冗余或并行的电力电缆线路为计算机系统供电。21电磁防护a)电源线和通信线缆应隔离铺设，避免互相干扰；22b)应对关键设备实施电磁屏蔽。序号控制点安全要求01网络架构a)应保证网络设备的业务处理能力满足业务高峰期需要；02b)应保证网络各个部分的带宽满足业务高峰期需要；03c)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；04d)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；05e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。06通信传输a)应采用校验技术或密码技术保证通信过程中数据的完整性；07b)应采用密码技术保证通信过程中数据的保密性。08可信验证a)可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。序号控制点安全要求项01边界防护a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；02b)应能够对非授权设备私自联到内部网络的行为进行检查或限制；03c)应能够对内部用户非授权连到外部网络的行为进行检查或限制；04d)应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。05访问控制a)应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；06b)应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；07c)应对源地址、目的地址，源端口、目的端口和协议等进行检查，以允许/拒绝数数据包进出；08d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；09e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。10入侵防范a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；11b)应在关键网络节点处检测、防止或限制从内部发起的网络政击行为；12c)应在关键网络节点处检测、防止或限制从内部发起的网络政击行为；13d)应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；14恶意代码和垃圾邮件防范a)应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新；15b)应在关键网络节点处对垃圾邮件进行检测和防护并维护垃圾邮件防护机制的升级和更新。16安全审计a)应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；17b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；18c)应对审计记录进行保护，定期备份，避免受到未预期的删除 、修改或覆盖；19d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。20可信验证a)可甚于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。序号控制点安全要求项01身份鉴别a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；02b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；03c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听；04d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。05访问控制a)应对登录的用户分配账户和权限；06b)应重命名或删除默认账户，修改默认账户的默伙口令；07c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；08d)应授予管理用户所需的最小权限，实现管理用户的权限分离；09e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；10f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；11g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。12安全审计a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；13b)审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息；14c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；15d)应对审计进程进行保护，防止未经授权的中断。16入侵防范a)应遵循最小安装的原则仅安装需要的组件和应用程序；17b)应关闭不需要的系统服务、默认共享和高危端口；18c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；19d)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；20e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；21h)应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。22恶意代码防范a)应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。23可信验证a)可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。24数据完整性a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限千鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；25b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。26数据保密性a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；27b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。28数据备份恢复a)应提供重要数据的本地数据备份与恢复功能；29b)应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；30c)应提供重要数据处理系统的热冗余，保证系统的高可用性。31剩余信息保护a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除；32b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。33个人信息保护a)应仅采集和保存业务必需的用户个人信息；34b)应禁止未授权访问和非法使用用户个人信息。序号控制点安全要求项01系统管理a)应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作行为进行审计；02b)应通过系统管理员对系统的资源和运行进行配置、控制和管理,包括用户的身份、系统资源配置、系统加载和启动，系统运行的异常处理、数据和设备的备份与恢复等。03审计管理a)应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行操作，并对这些操作进行审计；04b)应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储，管理和查询等。05安全管理a)应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作行为进行审计；06b)应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。07集中管控a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控；08b)应能够建立一条安全的信息传输路径， 对网络中的安全设备或安全组件进行管理；09c)应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；10d)应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求；11e)应对安全策略，恶意代码、补丁升级等安全相关事项进行集中管理；12f）应能对网络中的各类安全事件进行识别、报警和分析。序号控制点安全要求项01安全策略a)应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。02管理制度a)应对安全管理活动中的各类管内容中建立安全管理制度；03b)应对管理人员或操作人员执行的日常管理操作建立操作规程；04c)应形成由安全策略、管理制度、操作规程，记录表单等构成的全面的安全管理制度体系。05制定和发布a)应指定或授权专门的部门或人员负责安全管理制度的制定；06b）安全管理制度应通过正式、有效的方式发布，并进行版本控制。07评审和修订a)应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。序号控制点安全要求项01岗位设置a)应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权；02b)应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；03c)应设立系统管理员、 审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。04人员配备a)应配备一定数量的系统管理员、审计管理员和安全管理员等；05b)应配备专职的安全管理员，不可兼职。06授权和审批a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；07b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按审批程序执行审批过程， 对重要活动建立逐级审批制度；08c)应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批等信息。09沟通和合作a)应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作，定期召开协调会议，共同协作处理网络安全问题；10b)应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通；11c)应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。12审核和检查a)应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据份等情况；13b)应定期进行全面安全检套，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；14c)应制定安全检查表格实施安全，汇总安全检查数据,并对安全检查结果进行通报。序号控制点安全要求项01人员录用a)应指定或授权专门的部门或人员负责人员录用；02b)对被录用人员的身份，安全背景，专业资格或资质等进行审查，对其所具有的技术技能进行考核；03c)应与被录用人员签署保密协议，与关键岗位人员签署岗位责任协议。04人员离岗a)应及时终止离岗人员的所有访问放限，取回各种身份证、钥匙、徽章等以及机构提供的各种软硬件设备；05b)应办理严格的调离手续，并承诺调离后的保密义务后方可离开。06安全意识教育和培训a)应对各类人员进行安全意识教育和机构技能培训,并告知相关的安全责任和惩戒措施；07b)应针对不同岗位制定不同的培训计划,对安全基础如识、岗位操作规程等进行培训；08c)应定期对不同岗位的人员进行技能培训。09外部人员访问管理a)应在外部人员物理访问受控区前先提出书面申请，批准后由专人全程陪同，并登记备案；10b)应在外部人员接入受控网络访问系统前先提出书面申请,批准后由专人开设账户、分配权限，并登记备案；11c)外部人员离场后应及时清除其所有的访问权限；12d)获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，复制和泄露任何敏感信息。序号控制点安全要求项01定级和备案a)应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由；02b）应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定；03c)应保证定级结果经过相关部门的批准；04d）应将备案材料报主管部门和相应公安机关备案。05安全方案设计a)应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；06b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行整体安全体划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；07c)应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施。08安全产品采购和使用a)应确保网络安全产品采购和使用符合国家的有关规定；09b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；10c)应预先对产品进行选型测试，确定产品的候选范围,并定期审定和更新候选产品名单。11自行软件开发a)应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；12b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；13c)应制定代码编写安全规范，要求开发人员参照规范编写代码；14d)应具备软件设计的相关文档和使用指南，并对文档使用进行控制；15e)应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在恶意代码进行检测；16f)应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制；17g)应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查。18外包软件开发a)应在软件交付前检测其中可能存在的恶意代码；19b)应保证开发单位提供软件设计文档和使用指南；20c)应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。21工程实施a)应指定或授权专门的部门或人员负责工程实施过程的管理；22b)应制定安全工程实施方案控制实施过程；23c)应通过第三方工程监理控制项目的实施过程。24测试验收a)应制订测试验收方案，并依据测试验收方案实施测试验收,形成测试验收报告；25b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。26系统交付a)应制定交付清单， 并根据交付清单对所交接的设备、软件和文档等进行清点；27b)对负责运行维护的技术人员进行相应的技能培训；28c)应提供建设过程文档和运行维护文档。29等级测评a)应定期进行等级测评，发现不符合相应等级保护标准要求的应及时整改还；30b)应在发生重大变更或级别发生变化时进行等级测评；31c)应确保测评机构的选择符合国家有关规定。32服务供应商的选择a)应确保服务供应商的选择符合国家的规定；33b)应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务；34c)应定期监督、评审和审核服务供应商提供的服务,并对其变更服务内容加以控制。序号控制点安全要求项01环境管理a)应指定专门的部门或人是负责机房安全、对机房的出入进行管理，定期对机房供配电、空调、温湿度控制，消防等设施进行维护管理；02b)应建立机房安全管理制度，对有关物理访问、物品进出和环境安全等方面的管理作出规定；03c)应不在重要区域接待来访人员，不随意放置含有敏感信息的纸质文件和移动介质等。04资产管理a)应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；05b)根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；06c）应对信息分类与标识方法作出规定，并对信息的使用，传输和存储等进行规范化管理。07介质管理a)应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储介质专人管理，并根据存档介质的目录清单定期查点；08b)应对介质的物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归等进行登记记录。09设备维护管理a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门成人员定期进行维护管理；10b)应建立配套设施、软硬件维护方面的管理制度。对其维护进行有效管理，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等；11c)信息处理设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密；12d）含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据和授权软件无法被恢复重用；13e)应来取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补；14f）应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题。15网络和系统安全管理a)应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限；16b)应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户进行控制；17c)应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与补丁、口令周期更新等方面做出规定；18d)应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等；19e)应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置、修改等内容；20f)应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为；21g)应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志,操作结束后应同步更新配置信息库；22h）应严格控制运维工具的使用，经过审批才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工中的敏感数据；23i)应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道,操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道；24j)应保证所有与外部的连接均得到授权和批准，应定期的检查违反规定无线上网及其他违反网络安全策略的行为。25恶意代码防范管理a)应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；26b)应定期验证防范恶意代码攻击的技术措施的有效性。27配置管理a) 应记录和保有基本配宣信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。28b)应将基本配置信息改变纳入变更范畴， 实施对配置信息改变的控制，并及时更新基本配置信息库29密码管理a)应遵循密码相关的国家标准和行业标准；30b)应使用国家密码管理主管部门认证核准的密码技术和产品。31变更管理a）应明确变更需求，变更前根据变更需求制定变更方案.变更方案经过评审、审批后才可实施；32b)应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程；33c)应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练。34备份与恢复管理a)应识别需要定期备份的重要业务信息、系统表据及软件系统等；35b)应规定备份信息的备份方式、备份频度、存储介质、保存期等；36c)应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。37安全事件处置a)应及时向安全管理部门报告所发现的安全弱点和可疑事件；38b)应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等；39c)应在安全事件报告和响应处理过程中分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训；40d)对造成系统中断和造成信息泄露的重大安全事件应采用不同的处理程序和报告程序。41应急预案管理a)应规定统一的应急预案框架，包括启动预案的条件、应急组织构成、应急资金保障、事后教育和培训等内容；42b)应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容；43c)应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练；44d)应定期对原有的应急预要重新评估，修订完善。45外包运维管理a)应确保外包运维服务商的选择符合国家的有关规定；46b)应与选定的外包运维服务商签订相关的协议，明确规定外包运维的范围、工作内容；47c)应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确；48d)应在与外包运维服务商签定的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访问、处理、存储要求，对1T基础设施中断服务的应急保障要求等。序号控制点安全要求项01基础设施位置a)应保证云计算基础设施位于中国境内。01网络架构a)应保证云计算平台不承载高于其安全保护等级的业务应用系统；02b)应实现不同云服务客户虚拟网络之间的隔离；03c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范制等安全机制的能力；04d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略；05e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或云计算平台选择第三方安全服务。01访问控制a)应在虚拟化部署访问控制机制，并设置访问控制机则；02b)应在不同等级的网络区域边界部署访访问控制机制,设置访问控制规则。03入侵防范a）应能检测到云服务客户发起的网络络攻击行为，并能记录攻击类型、攻击时时间、攻击流量等；04b)应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；05c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量；06d)应在检测到网络攻击行为、异常流量情况时进行告警。07安全审计a)应对服务商或云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；08b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。01身份鉴别a)当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。02访问控制a)应保证当虚拟机迁移时，访问控制策略随其迁移；03b)应允许云服务客户设置不同虚拟机之间的访问控制策略。04入侵防范a)应能检测虚拟机之间的资源隔离失效，并进行告警；05b）应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警；06c)应能够检测恶意代码感染及在虚拟机间蔓廷的情况，并进行告警。07镜像和快照保护a)应针对重要业务系统提供加固的操作系统镜像像或操作系统安全加固服务；08b)应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改；09c)应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资被非法访问。10数据完整性和保密性a)应确保云服务客户数据、用户个大信息等存储于中国境内，如需出境应遵循国家相关规定；11b)应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据管理权限；12c)应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到整性受到破坏时采取必要的恢复措施；13d)应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。14数据备份恢复a)云服务客户应在本地保存其业务数据的备份；15b）应提供查询云服务客户数据及备份存储位置的能力；16c)云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本，各副本之间的内容应保持一致；17d)应为云服务客户将业务系统和数据迁移到其他云计算平台和本地系统提供技术手段，并协助完成迁移过程。18剩余信息保护a）应保证虚拟机所使用的内存和存储空间回收时得到完全清除；19b)云服务客户删除业务应用数据时，云计算平台应将云存储中所有副本删除。01集中管控a)应能对物理资源和虚拟资源按照策略做统一管理调度与分配；02b)应保证云计算平台管理流量与云服务客户业务流量分离；03c)应根据云服务商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计；04d)应根据云服务商和云服务客户的职责划分，实现各自控制部分，包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中监测。01云服务商选择a)应选择安全合规的云服务商，其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力；02b)应在服务水平协议中规定云服务的各项服务内容和具体技术指标；03c)应在服务水平协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；04d)应在服务水平协议中规定服务合约到期时，完整提供云服务客户数据，并承诺相关数据在云计算平台上清除；05e)应与选定的云服务商签署保密协议，要求其不得泄露云服务客户数据。07供应链管理a）应确保供应商的选择符合国家有关规定；08b)应提供应链安全事件信息或安全威胁信息及时传达到云服务客户；09c)应将供应商的重要变更及时的传达到云服务客户，并评估变更带来的安全风险，采取措施对风险进行控制。01云计算环境管理a)云计算平台的运维地点应位于中国境内，其他对境内云计算平台实施运维操作应遵循国家相关规定。序号控制点安全要求项01无线接入点的物理位置a)应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。01边界防护a)应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。02访问控制a)无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。03入侵防范a)应能检测到非授权的无线接入设备和非授权的移动终端的接入行为；04b)应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为；05c)应能够检测到无线设备的SSID广播、WPS等高风险功能的开启状态；06d）应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认 证等；07e)应禁止多个AP使用同一个鉴别密钥；08f)应能够阻断非授权无线接入设备或非授权移动终端。01移动终端管控a)应保证移动终端安装、注册并运行终端管理客户端软件；02b)移动终端应接受移动终端管理服务端的设备命周期管理、设备远程控制，如：远程锁定、远程擦除等。03移动应用管控a)应具有选择应用软件安装、运行的功能；04b)应只允许指定证书签名的应用软件安装和运行；05c)应具有软件白名单功能，应能根据白名单控制应用软件安装、运行。01移动应用软件采购a)应保证移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名；02b)应保证移动终端安装、运行的应用软件由指定的开发者开发。03移动应用软件开发a)应对移动业务应用软件开发者进行资格审查；04b)应保证开发移动业务应用软件的签名证书合法性。01配置管理a)应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。序号控制点安全要求项01感知节点设备物理防护a)感知节点设备所处的物理环境应不对感知节点设备造成物理破坏，如挤压，强振动；02b)感知节点设备在工作状态所处物理环境应能正确反应环境状态(如温湿度传感器不能安装在阳光直射区域）；03c)感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、阻挡屏蔽等；04d)关键感知节点设备应具有可供长时间工作的电力供应(关键网关节点设备应具有持久稳定的电力供应)。01接入控制应保证只有授权的感知节点可以接入。02入侵防范a)应能够限制与感知节点通信的目标地址，以避免陌生地址的攻击行为；03b)应能够限制与网关节点通信的目标地址，以避免对陌生地址的攻击行为。01感知节点设备安全a)应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更；02b)应具有对其连接的网关节点设备（包括读卡器)进行身份标识和鉴别的能力；03c)应具有对其连接的其他感知节点设备(包括路由节点)进行身份标识和鉴别的能力。04网关节点设备安全a)应设置最大并发连接数；05b)应具备合法的连接设备(包括终端节点、路由节点、数据处理中心)进行标识和鉴别的能力；06c)应具备过滤非法节点和伪造节点所发送的数据的能力；07d)授权用户应能够在设备使用过程中对关键密钥进行在线更新；08e)授权用户应能够在设备使用过程中对关键配置参数进行在线更新。09抗数据重放a)应能够鉴别数据的新鲜性，避免历史数据的重放攻击；10b)应能够鉴别历史数据的非法修改，避免数据的修改重放攻击。11数据融合处理a)应对来自传感网的数据进行数据融合处理，使不同种类的数据可以在同一个平台被使用。01感知节点管理a)应指定人员定期巡视感知节点设备、网关节点设备的部署环境，对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护；02b)应对感知节点设备、网关节点设备入库、存储、部署、携带、维修、丢失和报废等过程作出明确的规定，并进行全程管理；03c)应加强对感知节点设备、网关节点设备部署环境的保密性管理，包括负责检查和维护的人员调离工作岗位应立即交还相关检查工具和检查维护记录等。序号控制点安全要求项01物理位置选择a)机房场地应选择在具有防震、防风和防雨等能力的建筑内；02物理位置选择b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。03物理访问控制a)机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。04防盗窃和防破坏a)应将设备或主要部件进行固定，并设置明显的不易除去的标识；05防盗窃和防破坏b)应将通信线缆铺设在隐蔽安全处；06防盗窃和防破坏c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。07防雷击a)应将各类机柜、设施和设备等通过接地系统安全接地；08防雷击b)应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等。09防火a)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火；10防火b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；11防火c)应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。12防水和防潮a)应采取措施防止雨水通过机房窗户、 屋顶和墙壁渗透；13防水和防潮b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；14防水和防潮c)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。15防静电a)应采用防静电地板或地面并采用必要的接地防静电措施；16防静电b)应采取措施防上静电的产生，例如采用静电消除器、佩戴防静电手环等。17湿温度控制a)应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。18电力供应a)应在机房供电线路上配置稳压器和过电压防护设备；19电力供应b)应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求；20电力供应c)应设置冗余或并行的电力电缆线路为计算机系统供电。21电磁防护a)电源线和通信线缆应隔离铺设，避免互相干扰；22电磁防护b)应对关键设备实施电磁屏蔽。序号控制点安全要求01网络架构a)应保证网络设备的业务处理能力满足业务高峰期需要；02网络架构b)应保证网络各个部分的带宽满足业务高峰期需要；03网络架构c)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；04网络架构d)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；05网络架构e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。06通信传输a)应采用校验技术或密码技术保证通信过程中数据的完整性；07通信传输b)应采用密码技术保证通信过程中数据的保密性。08可信验证a)可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。序号控制点安全要求项01边界防护a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；02边界防护b)应能够对非授权设备私自联到内部网络的行为进行检查或限制；03边界防护c)应能够对内部用户非授权连到外部网络的行为进行检查或限制；04边界防护d)应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。05访问控制a)应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；06访问控制b)应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；07访问控制c)应对源地址、目的地址，源端口、目的端口和协议等进行检查，以允许/拒绝数数据包进出；08访问控制d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；09访问控制e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。10入侵防范a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；11入侵防范b)应在关键网络节点处检测、防止或限制从内部发起的网络政击行为；12入侵防范c)应在关键网络节点处检测、防止或限制从内部发起的网络政击行为；13入侵防范d)应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；14恶意代码和垃圾邮件防范a)应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新；15恶意代码和垃圾邮件防范b)应在关键网络节点处对垃圾邮件进行检测和防护并维护垃圾邮件防护机制的升级和更新。16安全审计a)应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；17安全审计b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；18安全审计c)应对审计记录进行保护，定期备份，避免受到未预期的删除 、修改或覆盖；19安全审计d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。20可信验证a)可甚于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。序号控制点安全要求项01身份鉴别a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；02身份鉴别b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；03身份鉴别c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听；04身份鉴别d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。05访问控制a)应对登录的用户分配账户和权限；06访问控制b)应重命名或删除默认账户，修改默认账户的默伙口令；07访问控制c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；08访问控制d)应授予管理用户所需的最小权限，实现管理用户的权限分离；09访问控制e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；10访问控制f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；11访问控制g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。12安全审计a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；13安全审计b)审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息；14安全审计c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；15安全审计d)应对审计进程进行保护，防止未经授权的中断。16入侵防范a)应遵循最小安装的原则仅安装需要的组件和应用程序；17入侵防范b)应关闭不需要的系统服务、默认共享和高危端口；18入侵防范c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；19入侵防范d)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；20入侵防范e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；21入侵防范h)应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。22恶意代码防范a)应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。23可信验证a)可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。24数据完整性a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限千鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；25数据完整性b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。26数据保密性a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；27数据保密性b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。28数据备份恢复a)应提供重要数据的本地数据备份与恢复功能；29数据备份恢复b)应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；30数据备份恢复c)应提供重要数据处理系统的热冗余，保证系统的高可用性。31剩余信息保护a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除；32剩余信息保护b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。33个人信息保护a)应仅采集和保存业务必需的用户个人信息；34个人信息保护b)应禁止未授权访问和非法使用用户个人信息。序号控制点安全要求项01系统管理a)应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作行为进行审计；02系统管理b)应通过系统管理员对系统的资源和运行进行配置、控制和管理,包括用户的身份、系统资源配置、系统加载和启动，系统运行的异常处理、数据和设备的备份与恢复等。03审计管理a)应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行操作，并对这些操作进行审计；04审计管理b)应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储，管理和查询等。05安全管理a)应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作行为进行审计；06安全管理b)应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。07集中管控a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控；08集中管控b)应能够建立一条安全的信息传输路径， 对网络中的安全设备或安全组件进行管理；09集中管控c)应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；10集中管控d)应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求；11集中管控e)应对安全策略，恶意代码、补丁升级等安全相关事项进行集中管理；12集中管控f）应能对网络中的各类安全事件进行识别、报警和分析。序号控制点安全要求项01安全策略a)应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。02管理制度a)应对安全管理活动中的各类管内容中建立安全管理制度；03管理制度b)应对管理人员或操作人员执行的日常管理操作建立操作规程；04管理制度c)应形成由安全策略、管理制度、操作规程，记录表单等构成的全面的安全管理制度体系。05制定和发布a)应指定或授权专门的部门或人员负责安全管理制度的制定；06制定和发布b）安全管理制度应通过正式、有效的方式发布，并进行版本控制。07评审和修订a)应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。序号控制点安全要求项01岗位设置a)应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权；02岗位设置b)应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；03岗位设置c)应设立系统管理员、 审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。04人员配备a)应配备一定数量的系统管理员、审计管理员和安全管理员等；05人员配备b)应配备专职的安全管理员，不可兼职。06授权和审批a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；07授权和审批b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按审批程序执行审批过程， 对重要活动建立逐级审批制度；08授权和审批c)应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批等信息。09沟通和合作a)应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作，定期召开协调会议，共同协作处理网络安全问题；10沟通和合作b)应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通；11沟通和合作c)应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。12审核和检查a)应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据份等情况；13审核和检查b)应定期进行全面安全检套，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；14审核和检查c)应制定安全检查表格实施安全，汇总安全检查数据,并对安全检查结果进行通报。序号控制点安全要求项01人员录用a)应指定或授权专门的部门或人员负责人员录用；02人员录用b)对被录用人员的身份，安全背景，专业资格或资质等进行审查，对其所具有的技术技能进行考核；03人员录用c)应与被录用人员签署保密协议，与关键岗位人员签署岗位责任协议。04人员离岗a)应及时终止离岗人员的所有访问放限，取回各种身份证、钥匙、徽章等以及机构提供的各种软硬件设备；05人员离岗b)应办理严格的调离手续，并承诺调离后的保密义务后方可离开。06安全意识教育和培训a)应对各类人员进行安全意识教育和机构技能培训,并告知相关的安全责任和惩戒措施；07安全意识教育和培训b)应针对不同岗位制定不同的培训计划,对安全基础如识、岗位操作规程等进行培训；08安全意识教育和培训c)应定期对不同岗位的人员进行技能培训。09外部人员访问管理a)应在外部人员物理访问受控区前先提出书面申请，批准后由专人全程陪同，并登记备案；10外部人员访问管理b)应在外部人员接入受控网络访问系统前先提出书面申请,批准后由专人开设账户、分配权限，并登记备案；11外部人员访问管理c)外部人员离场后应及时清除其所有的访问权限；12外部人员访问管理d)获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，复制和泄露任何敏感信息。序号控制点安全要求项01定级和备案a)应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由；02定级和备案b）应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定；03定级和备案c)应保证定级结果经过相关部门的批准；04定级和备案d）应将备案材料报主管部门和相应公安机关备案。05安全方案设计a)应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；06安全方案设计b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行整体安全体划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；07安全方案设计c)应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施。08安全产品采购和使用a)应确保网络安全产品采购和使用符合国家的有关规定；09安全产品采购和使用b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；10安全产品采购和使用c)应预先对产品进行选型测试，确定产品的候选范围,并定期审定和更新候选产品名单。11自行软件开发a)应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；12自行软件开发b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；13自行软件开发c)应制定代码编写安全规范，要求开发人员参照规范编写代码；14自行软件开发d)应具备软件设计的相关文档和使用指南，并对文档使用进行控制；15自行软件开发e)应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在恶意代码进行检测；16自行软件开发f)应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制；17自行软件开发g)应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查。18外包软件开发a)应在软件交付前检测其中可能存在的恶意代码；19外包软件开发b)应保证开发单位提供软件设计文档和使用指南；20外包软件开发c)应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。21工程实施a)应指定或授权专门的部门或人员负责工程实施过程的管理；22工程实施b)应制定安全工程实施方案控制实施过程；23工程实施c)应通过第三方工程监理控制项目的实施过程。24测试验收a)应制订测试验收方案，并依据测试验收方案实施测试验收,形成测试验收报告；25测试验收b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。26系统交付a)应制定交付清单， 并根据交付清单对所交接的设备、软件和文档等进行清点；27系统交付b)对负责运行维护的技术人员进行相应的技能培训；28系统交付c)应提供建设过程文档和运行维护文档。29等级测评a)应定期进行等级测评，发现不符合相应等级保护标准要求的应及时整改还；30等级测评b)应在发生重大变更或级别发生变化时进行等级测评；31等级测评c)应确保测评机构的选择符合国家有关规定。32服务供应商的选择a)应确保服务供应商的选择符合国家的规定；33服务供应商的选择b)应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务；34服务供应商的选择c)应定期监督、评审和审核服务供应商提供的服务,并对其变更服务内容加以控制。序号控制点安全要求项01环境管理a)应指定专门的部门或人是负责机房安全、对机房的出入进行管理，定期对机房供配电、空调、温湿度控制，消防等设施进行维护管理；02环境管理b)应建立机房安全管理制度，对有关物理访问、物品进出和环境安全等方面的管理作出规定；03环境管理c)应不在重要区域接待来访人员，不随意放置含有敏感信息的纸质文件和移动介质等。04资产管理a)应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；05资产管理b)根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；06资产管理c）应对信息分类与标识方法作出规定，并对信息的使用，传输和存储等进行规范化管理。07介质管理a)应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储介质专人管理，并根据存档介质的目录清单定期查点；08介质管理b)应对介质的物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归等进行登记记录。09设备维护管理a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门成人员定期进行维护管理；10设备维护管理b)应建立配套设施、软硬件维护方面的管理制度。对其维护进行有效管理，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等；11设备维护管理c)信息处理设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密；12设备维护管理d）含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据和授权软件无法被恢复重用；13设备维护管理e)应来取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补；14设备维护管理f）应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题。15网络和系统安全管理a)应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限；16网络和系统安全管理b)应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户进行控制；17网络和系统安全管理c)应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与补丁、口令周期更新等方面做出规定；18网络和系统安全管理d)应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等；19网络和系统安全管理e)应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置、修改等内容；20网络和系统安全管理f)应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为；21网络和系统安全管理g)应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志,操作结束后应同步更新配置信息库；22网络和系统安全管理h）应严格控制运维工具的使用，经过审批才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工中的敏感数据；23网络和系统安全管理i)应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道,操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道；24网络和系统安全管理j)应保证所有与外部的连接均得到授权和批准，应定期的检查违反规定无线上网及其他违反网络安全策略的行为。25恶意代码防范管理a)应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；26恶意代码防范管理b)应定期验证防范恶意代码攻击的技术措施的有效性。27配置管理a) 应记录和保有基本配宣信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。28配置管理b)应将基本配置信息改变纳入变更范畴， 实施对配置信息改变的控制，并及时更新基本配置信息库29密码管理a)应遵循密码相关的国家标准和行业标准；30密码管理b)应使用国家密码管理主管部门认证核准的密码技术和产品。31变更管理a）应明确变更需求，变更前根据变更需求制定变更方案.变更方案经过评审、审批后才可实施；32变更管理b)应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程；33变更管理c)应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练。34备份与恢复管理a)应识别需要定期备份的重要业务信息、系统表据及软件系统等；35备份与恢复管理b)应规定备份信息的备份方式、备份频度、存储介质、保存期等；36备份与恢复管理c)应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。37安全事件处置a)应及时向安全管理部门报告所发现的安全弱点和可疑事件；38安全事件处置b)应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等；39安全事件处置c)应在安全事件报告和响应处理过程中分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训；40安全事件处置d)对造成系统中断和造成信息泄露的重大安全事件应采用不同的处理程序和报告程序。41应急预案管理a)应规定统一的应急预案框架，包括启动预案的条件、应急组织构成、应急资金保障、事后教育和培训等内容；42应急预案管理b)应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容；43应急预案管理c)应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练；44应急预案管理d)应定期对原有的应急预要重新评估，修订完善。45外包运维管理a)应确保外包运维服务商的选择符合国家的有关规定；46外包运维管理b)应与选定的外包运维服务商签订相关的协议，明确规定外包运维的范围、工作内容；47外包运维管理c)应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确；48外包运维管理d)应在与外包运维服务商签定的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访问、处理、存储要求，对1T基础设施中断服务的应急保障要求等。序号控制点安全要求项01基础设施位置a)应保证云计算基础设施位于中国境内。01网络架构a)应保证云计算平台不承载高于其安全保护等级的业务应用系统；02网络架构b)应实现不同云服务客户虚拟网络之间的隔离；03网络架构c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范制等安全机制的能力；04网络架构d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略；05网络架构e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或云计算平台选择第三方安全服务。01访问控制a)应在虚拟化部署访问控制机制，并设置访问控制机则；02访问控制b)应在不同等级的网络区域边界部署访访问控制机制,设置访问控制规则。03入侵防范a）应能检测到云服务客户发起的网络络攻击行为，并能记录攻击类型、攻击时时间、攻击流量等；04入侵防范b)应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；05入侵防范c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量；06入侵防范d)应在检测到网络攻击行为、异常流量情况时进行告警。07安全审计a)应对服务商或云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；08安全审计b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。01身份鉴别a)当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。02访问控制a)应保证当虚拟机迁移时，访问控制策略随其迁移；03访问控制b)应允许云服务客户设置不同虚拟机之间的访问控制策略。04入侵防范a)应能检测虚拟机之间的资源隔离失效，并进行告警；05入侵防范b）应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警；06入侵防范c)应能够检测恶意代码感染及在虚拟机间蔓廷的情况，并进行告警。07镜像和快照保护a)应针对重要业务系统提供加固的操作系统镜像像或操作系统安全加固服务；08镜像和快照保护b)应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改；09镜像和快照保护c)应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资被非法访问。10数据完整性和保密性a)应确保云服务客户数据、用户个大信息等存储于中国境内，如需出境应遵循国家相关规定；11数据完整性和保密性b)应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据管理权限；12数据完整性和保密性c)应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到整性受到破坏时采取必要的恢复措施；13数据完整性和保密性d)应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。14数据备份恢复a)云服务客户应在本地保存其业务数据的备份；15数据备份恢复b）应提供查询云服务客户数据及备份存储位置的能力；16数据备份恢复c)云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本，各副本之间的内容应保持一致；17数据备份恢复d)应为云服务客户将业务系统和数据迁移到其他云计算平台和本地系统提供技术手段，并协助完成迁移过程。18剩余信息保护a）应保证虚拟机所使用的内存和存储空间回收时得到完全清除；19剩余信息保护b)云服务客户删除业务应用数据时，云计算平台应将云存储中所有副本删除。01集中管控a)应能对物理资源和虚拟资源按照策略做统一管理调度与分配；02集中管控b)应保证云计算平台管理流量与云服务客户业务流量分离；03集中管控c)应根据云服务商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计；04集中管控d)应根据云服务商和云服务客户的职责划分，实现各自控制部分，包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中监测。01云服务商选择a)应选择安全合规的云服务商，其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力；02云服务商选择b)应在服务水平协议中规定云服务的各项服务内容和具体技术指标；03云服务商选择c)应在服务水平协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；04云服务商选择d)应在服务水平协议中规定服务合约到期时，完整提供云服务客户数据，并承诺相关数据在云计算平台上清除；05云服务商选择e)应与选定的云服务商签署保密协议，要求其不得泄露云服务客户数据。07供应链管理a）应确保供应商的选择符合国家有关规定；08供应链管理b)应提供应链安全事件信息或安全威胁信息及时传达到云服务客户；09供应链管理c)应将供应商的重要变更及时的传达到云服务客户，并评估变更带来的安全风险，采取措施对风险进行控制。01云计算环境管理a)云计算平台的运维地点应位于中国境内，其他对境内云计算平台实施运维操作应遵循国家相关规定。序号控制点安全要求项01无线接入点的物理位置a)应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。01边界防护a)应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。02访问控制a)无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。03入侵防范a)应能检测到非授权的无线接入设备和非授权的移动终端的接入行为；04入侵防范b)应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为；05入侵防范c)应能够检测到无线设备的SSID广播、WPS等高风险功能的开启状态；06入侵防范d）应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认 证等；07入侵防范e)应禁止多个AP使用同一个鉴别密钥；08入侵防范f)应能够阻断非授权无线接入设备或非授权移动终端。01移动终端管控a)应保证移动终端安装、注册并运行终端管理客户端软件；02移动终端管控b)移动终端应接受移动终端管理服务端的设备命周期管理、设备远程控制，如：远程锁定、远程擦除等。03移动应用管控a)应具有选择应用软件安装、运行的功能；04移动应用管控b)应只允许指定证书签名的应用软件安装和运行；05移动应用管控c)应具有软件白名单功能，应能根据白名单控制应用软件安装、运行。01移动应用软件采购a)应保证移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名；02移动应用软件采购b)应保证移动终端安装、运行的应用软件由指定的开发者开发。03移动应用软件开发a)应对移动业务应用软件开发者进行资格审查；04移动应用软件开发b)应保证开发移动业务应用软件的签名证书合法性。01配置管理a)应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。序号控制点安全要求项01感知节点设备物理防护a)感知节点设备所处的物理环境应不对感知节点设备造成物理破坏，如挤压，强振动；02感知节点设备物理防护b)感知节点设备在工作状态所处物理环境应能正确反应环境状态(如温湿度传感器不能安装在阳光直射区域）；03感知节点设备物理防护c)感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、阻挡屏蔽等；04感知节点设备物理防护d)关键感知节点设备应具有可供长时间工作的电力供应(关键网关节点设备应具有持久稳定的电力供应)。01接入控制应保证只有授权的感知节点可以接入。02入侵防范a)应能够限制与感知节点通信的目标地址，以避免陌生地址的攻击行为；03入侵防范b)应能够限制与网关节点通信的目标地址，以避免对陌生地址的攻击行为。01感知节点设备安全a)应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更；02感知节点设备安全b)应具有对其连接的网关节点设备（包括读卡器)进行身份标识和鉴别的能力；03感知节点设备安全c)应具有对其连接的其他感知节点设备(包括路由节点)进行身份标识和鉴别的能力。04网关节点设备安全a)应设置最大并发连接数；05网关节点设备安全b)应具备合法的连接设备(包括终端节点、路由节点、数据处理中心)进行标识和鉴别的能力；06网关节点设备安全c)应具备过滤非法节点和伪造节点所发送的数据的能力；07网关节点设备安全d)授权用户应能够在设备使用过程中对关键密钥进行在线更新；08网关节点设备安全e)授权用户应能够在设备使用过程中对关键配置参数进行在线更新。09抗数据重放a)应能够鉴别数据的新鲜性，避免历史数据的重放攻击；10抗数据重放b)应能够鉴别历史数据的非法修改，避免数据的修改重放攻击。11数据融合处理a)应对来自传感网的数据进行数据融合处理，使不同种类的数据可以在同一个平台被使用。01感知节点管理a)应指定人员定期巡视感知节点设备、网关节点设备的部署环境，对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护；02感知节点管理b)应对感知节点设备、网关节点设备入库、存储、部署、携带、维修、丢失和报废等过程作出明确的规定，并进行全程管理；03感知节点管理c)应加强对感知节点设备、网关节点设备部署环境的保密性管理，包括负责检查和维护的人员调离工作岗位应立即交还相关检查工具和检查维护记录等。无采购包1：3.2.4设施设备要求本项目要求项目经理1人，测评工程师不低于2人。采购包1：3.2.3人员配置要求采购包1：3.3.2服务地点自合同签订之日起60日采购包1：3.3.1服务期限3.3、商务要求采购包1：3.3.4支付方式1）验收组织方式：自行验收2）是否邀请本项目的其他供应商：否3）是否邀请专家：否4）是否邀请服务对象：是5）是否邀请第三方检测机构：否6）履约验收程序：一次性验收7）履约验收时间：供应商提出验收申请之日起7日内组织验收8）验收组织的其他事项：无9）技术履约验收内容：按磋商文件及成交人响应文件内容为准10）商务履约验收内容：按磋商文件及成交人响应文件内容为准11）履约验收标准：本项目采购人将严格按照政府采购相关法律法规、《财政部关于进一步加强政府采购需求和履约验收管理的指导意见》（财库〔2016〕205号）以及《政府采购需求管理办法》（财库〔2021〕22号）的要求进行验收。采购包1：3.3.3验收标准和方法采购人指定地点采购包1：3.3.6违约责任与解决争议的方法采购包1：付款条件说明：验收合格后，达到付款条件起30日，支付合同总金额的70.00%。采购包1：付款条件说明：合同签定后支付预付款，达到付款条件起30日，支付合同总金额的30.00%。3.3.5支付约定分期付款1、★3.3.1服务期限、★3.3.2服务地点、★3.3.4支付方式、★3.3.5支付约定（注：以上标注“★”的条款为实质性要求，不允许有负偏离。）2、相同排名规则：供应商报价相同的，优先选择属于不发达地区或少数民族地区的供应商。报价相同，但无供应商属于不发达地区或少数民族地区或供应商均属于不发达地区或少数民族地区的并列，由评审委员会选择现场抽签的方式选择成交候选人。：3.4其它要求合同履行期间,若双方发生争议，可协商或由有关部门调解解决，协商或调解不成的，由当事人依法向采购人住所地人民法院提起诉讼以维护其合法权益。四川政输入查询内容搜索中国政运维电话：：400-160-0900意向公开更正公告废标公告2022.11-11南充市身心医院2022年度政府采购意向公告（第10批【息发布主体：南充市身心医院】【发布时间：2022-11-1115-38:01】【字号大中小】打印】【关闭】为便于供应商及时了政府采购信息，根据《四川省财政厅关于开展意向公开工作的通知》（川财采[2021]153号）要求，现将南充市身心医院2022年度（第10批）采购意向公开如下：号采购项目名称采购需求预算金额万元十采购时间备注南充市身心医院智慧医院二期建设项目采购内容：智慧医院二期建设主要功能或目标：智慧医院二期建设需满足的要求：智慧医院二期建设。1,948,5600002022年12月无南充市身心医院等保测评服务采购内容：等保则平。主要功能或目标：等保评需满足的要求：等保效评.48,0000002022年12月无本次公开的采购意向是本单位政府采购工作的初步安排，具体采购项目情况以相关采购公告和采购文件为准南充市身心医院2022年11月11日南充市市本级政府采购实施计划备案表备案编号：51130022210200000948[2022]00535备案日期：2022年11月29日采购单位南充市身心医院项目名称南充市身心医院等保测评服务预算总金额(元)480,000.00大写(人民币)：肆拾捌万元整采购控制价(元)480,000.00大写(人民币)：肆拾捌万元整项目类别服务，执行方式项目采购采购方式竞争性谈判，组织形式分散采购是否专门面向中中小企业小企业采购是否涉及进口产，是否为政府购买否否品采购，服务项目单位联系人于建军，联系电话0817-8281818采购内容数量(单预算金额预算采购方是否采购进序号采购品目标的名称位)（元）式口产品测试评估认网络安全等级保11480,000.00非公开招标否证服务护测评服务竞竞争争性性谈谈判判文文件件（服务类）（服务类）采购项目名称：等保测评服务采购项目名称：等保测评服务采购项目编号：N5113012022000304，采购项目编号：南充市身心医院南充市身心医院四川思渠国际招标有限公司共同编制四川思渠国际招标有限公司共同编制2022年年11月月30日日-第1页-第一章竞争性谈判邀请第一章竞争性谈判邀请四川思渠国际招标有限公司（以下简称“代理机构”）受南充市身心医院委托，拟对等保测评服务采用竞争性谈判采购方式进行采购，兹邀请供应商参加本项目的竞争性谈判。一、项目编号：N5113012022000304一、项目编号：二、项目名称：等保测评服务二、项目名称：等保测评服务三、谈判项目简介：三、谈判项目简介：南充市身心医院拟采购等保测评服务一项，本项目为一个包。四、邀请供应商：四、邀请供应商：本次采购采取公告征集邀请谈判的供应商。公告征集：本次竞争性谈判邀请在四川政府采购网（www.ccgp-sichuan.gov.cn）上以公告形式发布，公告期限自公告发布之日起3个工作日。五、供应商参加本次政府采购活动应具备的条件五、供应商参加本次政府采购活动应具备的条件（一）满足《中华人民共和国政府采购法》第二十二条规定；（二）落实政府采购政策需满足的资格要求：执行政府采购促进中小企业发展的相关政策：采购包1（合同包一）：属于专门面向中小企业采购。（三）本项目的特定资格要求：采购包1：无六、电子化采购相关事项六、电子化采购相关事项本项目实行电子化采购，使用的电子化交易系统为：四川省政府采购一体化平台（以下简称“采购一体化平台”）的项目电子化交易系统（以下简称项目电子化交易系统），登录方式及地址：通过四川政府采购网（www.ccgp-sichuan.gov.cn）首页供应商用户登录采购一体化平台，进入项目电子化交易系统。供应商应当按照以下要求，参与本次电子化采购活动。（一）供应商应当自行在四川政府采购网-办事指南查看相应的系统操作指南，并严格按照操作指南要求进行系统操作。在登录、使用采购一体化平台前，应当按照要求完成供应商注册和信息完善，加入采购一体化平台供应商库。（二）供应商应当使用纳入全国公共资源交易平台（四川省）数字证书互认范围的数字证书及签章（以下简称“互认的证书及签章”）进行系统操作。供应商使用互认的证书及签章登录采购一体化平台进行的一切操作和资料传递，以及加盖电子签章确认采购过程中制作、交换的电子数据，均属于供应商真实意思表示，由供应商对其系统操作行为和电子签章确认的事项承担法律责任。已办理互认的证书及签章的供应商，只需校验证书及签章的有效性后，即可按照系统操作要求进行身份信息绑定、权限设置和系统操作；未办理互认的证书及签章的供应商，应当按要求办理互认的证书及签章后，按照系统操作要求进行身份信息绑定、权限设置和系统操作。互认的证书及签章的办理与校验，可查看四川政府采购网-办事指南。供应商应当加强数字证书和电子签章日常校验和妥善保管，确保在参加采购活动期间数字证书和电子签章能够正常使用；供应商应当严格数字证书和电子签章的内部授权管理，防止非授权操作。（三）供应商应当自行准备适应电子化采购所需的计算机终端、软硬件及网络环境，承担因准备不足产生的不利后果。（四）采购一体化平台技术支持：-第2页-在线客服：通过四川政府采购网-在线客服进行咨询400服务电话：4001600900CA及签章服务：通过四川政府采购网-办事指南进行查询七、竞争性谈判文件获取时间、方式及地址七、竞争性谈判文件获取时间、方式及地址（一）谈判文件获取时间：详见采购公告或邀请书（二）在谈判文件获取开始时间前，采购人或代理机构将本项目谈判文件上传至项目电子化交易系统，免费向供应商提供。供应商通过项目电子化交易系统获取谈判文件。成功获取谈判文件的，供应商将收到已获取谈判文件的回执函。未成功获取谈判文件的供应商，不得参与本次采购活动，不得对谈判文件提起质疑。成功获取谈判文件后，采购人或代理机构进行澄清或者修改的，澄清或者修改的内容可能影响响应文件编制的，采购人或代理机构将通过项目电子化交易系统发布澄清或者修改后的谈判文件，供应商应当重新获取谈判文件。供应商未重新获取谈判文件或者未按照澄清或者修改后的谈判文件编制响应文件进行响应的，自行承担不利后果。注：获取的谈判文件主体格式包括pdf、word两种格式版本，其中以pdf格式为准。八、提交首次响应文件截止时间及开启时间、地点、方式：八、提交首次响应文件截止时间及开启时间、地点、方式：（一）提交首次响应文件截止时间及开启时间：详见采购公告或邀请书（二）响应文件提交方式、地点：供应商应当在提交首次响应文件截止时间前，通过项目电子化交易系统提交响应文件。成功提交的，供应商将收到已提交响应文件的回执函。九、谈判方式九、谈判方式本项目谈判小组与供应商通过项目电子化交易系统以在线方式进行谈判。谈判会议由谈判小组在线主持，供应商代表在线参加。供应商应随时关注项目电子化交易系统信息，及时参与在线谈判。供应商登录项目电子化交易系统，与谈判小组进行在线谈判、提交供应商响应表，供应商响应表应加盖供应商（法定名称）电子印章。十、供应商信用融资十、供应商信用融资根据《四川省财政厅关于推进四川省政府釆购供应商信用融资工作的通知》（川财采﹝2018﹞123号）文件，为助力解决政府采购成交供应商资金不足、融资难、融资贵的困难，促进供应商依法诚信参加政府采购活动，有融资需求的供应商可登录四川政府釆购网—金融服务平台，选择符合自身情况的“政采贷”银行及其产品，凭项目成交结果、成交通知书等信息在线向银行提出贷款意向申请、查看贷款审批情况等。十一、联系方式十一、联系方式采购人：南充市身心医院，采购人：南充市身心医院地址：四川省南充市营山县锦城街99号邮编：637700联系人：于建军联系电话：0817-8281818代理机构：四川思渠国际招标有限公司，代理机构：四川思渠国际招标有限公司地址：四川省成都市金牛区茶店子西街36号金璐天下1栋2单元1819室、项目咨询地址：四川省南充市顺庆区万年西路春风大厦17楼邮编：637000联系人：陈良语联系电话：0817-2327281采购监督机构：南充市财政局，采购监督机构：南充市财政局-第3页-联系人：南充市财政局政府采购监督管理科联系电话：0817-2666926-第4页-第二章供应商须知第二章供应商须知2.1供应商须知前附表供应商须知前附表序号应知事项说明和要求1采购预算（实质性要求）本项目各包采购预算金额如下：采购包1：480,000.00元供应商采购包报价高于采购包采购预算的，其响应文件将按无效处理。2最高限价（实质性要求）本项目各包最高限价详见第三章：采购包1：480,000.00元供应商的采购包响应报价高于最高限价的，其响应文件将按无效处理。3评审方法采购包1：最低评标价法（详见第五章）4是否接受联合体采购包1：不接受如以联合体响应的，联合体各方均应当具备本谈判文件要求的资格条件和能力。（1）联合体各方均应具有承担本谈判项目必备的条件，如相应的人力、物力、资金等。（2）谈判文件对供应商资格条件有特殊要求的，联合体各个成员都应当具备规定的相应资格条件。（3）同一专业的单位组成的联合体，应当按照资质等级较低的单位确定联合体的资质等级。如：某联合体由三个单位组成，其中两个单位资质等级为甲级，另一单位资质等级为较甲级更低的乙级，则该联合体资质等级为乙级。5落实节能、环保、无线局域网、信息安全产品政策1.根据《财政部发展改革委生态环境部市场监管总局关于调整优化节能产品、环境标志产品政府采购执行机制的通知》（财库〔2019〕9号）相关要求，政府采购节能产品、环境标志产品实施品目清单管理。财政部、发展改革委、生态环境部等部门确定实施政府优先采购和强制采购的产品类别，以品目清单的形式发布并适时调整。2.本项目采购的无产品属于节能产品政府采购品目清单中应强制采购的产品范围，供应商应当提供国家确定的认证机构出具的、处于有效期之内的节能产品认证证书，否则作无效响应处理。3.本项目采购无产品属于节能产品政府采购品目清单中应优先采购的产品范围，本项目采购无产品属于环境标志产品政府采购品目清单中应优先采购的产品范围，响应报价相同的，按供应商提供的优先采购产品认证证书数量由多到少顺序排列。4.响应产品属于中国政府采购网公布的《无线局域网认证产品政府采购清单》且在有效期内的，按《财政部国家发展改革委信息产业部关于印发无线局域网产品政府采购实施意见的通知》（财库〔2005〕366号）要求优先采购。5.本项目采购无产品属于信息安全产品，根据《关于信息安全产品实施政府采购的通知》（财库〔2010〕48号）的要求，供应商应当提供由中国网络安全审查技术与认证中心按国家标准认证颁发的有效认证证书和销售许可证，否则其响应文件将被视为无效响应处理。具体详见《信息安全产品强制性认证目录》。（实质性要求）-第5页-6小微企业（监狱企业、残疾人福利性单位视同小微企业）价格扣除（仅非预留份额采购项目或预留份额采购项目中的非预留部分采购包适用）关于本项目采购包中执行小微企业（监狱企业、残疾人福利性单位视同小微企业）价格扣除情况、具体扣除比例和规则详见第五章。7充分、公平竞争保障措施（实质性要求）核心产品允许有多个，不同供应商提供了任意一个相同品牌的核心产品，即视为提供相同品牌的供应商。提供相同品牌产品且通过资格审查、符合性审查的不同供应商参加同一合同项下采购活动的，按一家供应商计算，评审后得分最高的同品牌供应商获得成交供应商推荐资格；最后评审得分相同的，由采购人或者采购人委托磋商小组采取随机抽取方式确定一个供应商获得成交供应商推荐资格，其他同品牌供应商不作为成交候选人。核心产品清单详见第三章。在符合性审查、有效报价环节提供核心产品品牌不足3个的，视为有效响应供应商不足3家。8不正当竞争预防措施（实质性要求）在谈判过程中，谈判小组认为供应商报价明显低于其他通过符合性审查供应商的报价，有可能影响产品质量或者不能诚信履约的，谈判小组应当要求其在合理的时间内通过项目电子化交易系统进行书面说明，必要时提交相关证明材料。供应商提交的书面说明，应当加盖供应商公章，在谈判小组要求的时间内通过项目电子化交易系统进行提交，否则视为不能证明其响应报价合理性。供应商不能证明其响应报价合理性的，谈判小组应当将其响应文件作为无效处理。（注：供应商报价低于最高限价50%或者低于其他有效供应商报价算术平均价40%的，谈判小组可以认为该供应商“报价明显低于其他实质性响应的供应商报价”。）9谈判保证金本项目不收取谈判保证金。10履约保证金（实质性要求）采购包1：不缴纳11响应有效期（实质性要求）提交响应文件的截止之日起不少于90天。12招标代理服务费（实质性要求）本项目收取代理服务费代理服务费用收取对象：中标/成交供应商代理服务费收费标准：按预算金额的1.5%成交人收取。13采购结果公告采购结果将在四川政府采购网予以公告。14成交通知书领取采购结果公告后，采购人或代理机构通过项目电子化交易系统向成交供应商发出成交通知书；成交供应商通过项目电子化交易系统获取成交通知书。15政府采购合同公告、备案政府采购合同签订之日起2个工作日内，采购人将政府采购合同在四川政府采购网予以公告；政府采购合同签订之日起7个工作日内，采购人将政府采购合同报本级财政部门备案。16进口产品不允许17是否组织潜在供应商现场考察采购包1：组织现场踏勘：否-第6页-18特殊情况出现下列情形之一的，采购人或者代理机构应当中止电子化采购活动，并保留相关证明材料备查：（一）交易系统发生故障（包括感染病毒、应用或数据库出错）而无法正常使用的；（二）因组织场所停电、断网等原因，导致采购活动无法继续通过交易系统实施的；（三）其他无法保证电子化交易的公平、公正和安全的情况。出现上述的情形，不影响采购公平、公正的，采购人或者代理机构可以待上述情形消除后继续组织采购活动；影响或者可能影响采购公平、公正的，采购人或者代理机构应当依法终止采购活动。19报价/分值精确度报价/分值精确度仅保留“所有数据项默认最多可输入/展示至小数点后2位，超出小数点位的数值采用四舍五入的方式进行精确。”2.2总则总则（一）适用范围1.本竞争性谈判文件仅适用于本次竞争性谈判采购项目。2.本竞争性谈判文件的最终解释权由南充市身心医院和四川思渠国际招标有限公司享有。竞争性谈判文件中供应商参加本次政府采购活动应当具备的条件、技术清单、参数、商务及其他要求由南充市身心医院负责解释。除上述竞争性谈判文件内容，其他内容由四川思渠国际招标有限公司负责解释。（二）有关定义1.“采购人”是指依法进行政府采购的各级国家机关、事业单位、团体组织。本次谈判的采购人是南充市身心医院。2.“供应商”是指在按照采购公告规定获取谈判文件，拟参加响应和向采购人提供货物的法人、其他组织或自然人。3.“代理机构”是指集中采购机构和集中采购机构以外的代理机构。本项目的代理机构是四川思渠国际招标有限公司4.“网上开启”是指供应商通过项目电子化交易系统在线完成签到、响应文件解密后，采购人或者采购代理机构通过项目电子化交易系统在线完成已解密响应文件的开启工作。5.“电子评审”是指通过项目电子化交易系统在线完成谈判小组组建，开展资格和符合性审查、出具谈判报告、推荐成交候选供应商等活动。2.3、竞争性谈判文件、竞争性谈判文件2.3.1竞争性谈判文件的构成竞争性谈判文件的构成一、竞争性谈判文件是供应商准备响应文件和参加谈判的依据，同时也是评审的重要依据。竞争性谈判文件用以阐明采购项目所需的资质、技术清单、参数及报价等要求、谈判程序、有关规定和注意事项以及合同草案条款等。本竞争性谈判文件包括以下内容：（一）竞争性谈判邀请；（二）供应商须知；（三）谈判项目技术、服务、商务及其他要求；（四）谈判过程中可实质性变动的内容；（五）谈判办法；（六）响应文件格式；（七）拟签订采购合同文本。二、供应商应认真阅读和充分理解谈判文件中所有的事项、格式条款和规范要求。供应商没有对谈判文件全面作出实质性响应所产生的风险由供应商承担。2.3.2竞争性谈判文件的澄清和修改竞争性谈判文件的澄清和修改-第7页-一、在提交首次响应文件截止时间前，采购人或者代理机构可以对已发出的谈判文件进行必要的澄清或者修改。二、澄清或者修改的内容为谈判文件的组成部分，采购人或者代理机构将在四川政府采购网发布更正公告，供应商应及时关注本项目更正公告信息，按更正后公告要求进行响应。更正内容可能影响响应文件编制的，采购人或者代理机构将通过项目电子化交易系统发布更正后的谈判文件，供应商应依据更正后的谈判文件编制响应文件。若供应商未按前述要求进行响应的，自行承担不利后果。2.4、响应文件、响应文件2.4.1响应文件的语言（实质性要求）响应文件的语言（实质性要求）一、供应商提交的响应文件以及供应商与谈判小组在谈判过程中的所有来往书面文件均须使用中文。响应文件中如附有外文资料，主要部分要对应翻译成中文并附在相关外文资料后面。未翻译的外文资料，谈判小组将其视为无效材料。二、翻译的中文资料与外文资料如果出现差异和矛盾时，以中文为准。涉嫌提供虚假材料的按照相关法律法规处理。三、如因未翻译而造成对供应商的不利后果，由供应商承担。2.4.2计量单位（实质性要求）计量单位（实质性要求）除谈判文件中另有规定外，本项目均采用国家法定的计量单位。2.4.3响应货币（实质性要求）响应货币（实质性要求）本次项目均以人民币报价。2.4.4知识产权（实质性要求）知识产权（实质性要求）一、供应商应保证在本项目中使用的任何技术、产品和服务（包括部分使用），不会产生因第三方提出侵犯其专利权、商标权或其它知识产权而引起的法律和经济纠纷，如存在前述情形，由供应商承担所有相关责任。采购人享有本项目实施过程中产生的知识成果及知识产权。二、供应商将在采购项目实施过程中采用自有或者第三方知识成果的，使用该知识成果后，供应商需提供开发接口和开发手册等技术资料，并承诺提供无限期支持，采购人享有使用权（含采购人委托第三方在该项目后续开发的使用权）。三、如采用供应商所不拥有的知识产权，则在报价中必须包括合法使用该知识产权的相关费用。2.4.5响应文件的组成（实质性要求）响应文件的组成（实质性要求）供应商应按照谈判文件的规定和要求编制响应文件。响应文件包括响应函、资格响应文件、商务技术响应文件和报价响应文件以及最后报价文件（若有）具体内容详见第六章。2.4.6响应文件格式响应文件格式1.供应商应按照谈判文件第六章中提供的“响应文件格式”填写相关内容。2.对于没有格式要求的响应文件由供应商自行编写。2.4.7响应报价（实质性要求）响应报价（实质性要求）一、供应商的报价是供应商响应谈判项目要求的全部工作内容的价格体现，包括供应商完成本项目所需的一切费用。二、响应文件报价出现前后不一致的，按照谈判文件第五章谈判办法规定予以修正，修正后的报价经供应商以书面形式通过项目电子化交易系统进行确认，并加盖供应商（法定名称）电子印章，供应商逾时确认的，其响应无效。2.4.8响应文件有效期响应文件有效期响应有效期详见第二章“供应商须知前附表”，响应文件未明确响应有效期或者响应有效期小于“供应商须知前附表”中响应有效期要求的，其响应文件按无效处理。2.4.9响应文件的制作、签章和加密（实质性要求）响应文件的制作、签章和加密（实质性要求）一、响应文件应当根据谈判通知书进行编制。供应商应通过四川政府采购网-办事指南下载响应客户端，使用客户端编制响应文件。二、供应商应按照客户端操作要求，对应谈判文件的每项资格、符合性要求，逐一对应进行响应；未逐一对应进行响应或-第8页-者响应内容不符合谈判文件对应项的要求的，其响应文件作无效处理。三、供应商完成响应文件编制后，应按照响应文件第一章明确的签章要求，使用互认的证书及签章对响应文件进行电子签章和加密。四、谈判文件澄清或者修改的内容可能影响响应文件编制的，代理机构将重新发布澄清或者修改后的谈判文件，供应商应重新获取澄清或者修改后的谈判文件，按照澄清或者修改后的谈判文件进行响应文件编制、签章和加密。2.4.10响应文件的提交（实质性要求）响应文件的提交（实质性要求）一、供应商应当在提交首次响应文件截止时间前，通过项目电子化交易系统完成响应文件提交。二、在提交首次响应文件截止时间后，代理机构不再接受供应商提交响应文件。供应商应充分考虑影响响应文件提交的各种因素，确保在提交首次响应文件截止时间前完成提交。2.4.11响应文件的补充、修改和撤回（实质性要求）响应文件的补充、修改和撤回（实质性要求）响应文件提交截止时间前，供应商可以补充、修改或者撤回已成功提交的响应文件；对响应文件进行补充、修改的，应当先行撤回已提交的响应文件，补充、修改后重新提交。供应商响应文件撤回后，视为未提交过响应文件。2.5、开启、资格审查、谈判和确定成交供应商、开启、资格审查、谈判和确定成交供应商2.5.1谈判开启程序谈判开启程序一、本项目为竞争性谈判项目。网上开启的开始时间为响应文件提交截止时间。成功提交或成功提交和解密电子响应文件的供应商不足3家的，不予开启，采购人或代理机构将终止采购活动。二、谈判开启准备工作响应文件开启时间前，供应商登录项目电子化交易系统-“开标/开启大厅”，等待代理机构开启谈判。三、解密响应文件（实质性要求）响应文件提交截止时间后，成功提交响应文件的供应商符合响应文件规定数量的，代理机构将启动响应文件解密程序，解密时间为30分钟；供应商应在规定的解密时间内，使用互认的证书及签章通过项目电子化交易系统进行响应文件解密。供应商未在规定的解密时间内完成解密的，按无效响应处理。开启过程中，各方主体均应遵守互联网有关规定，不得发表与采购活动无关的言论。供应商对开启过程和开启记录有疑义，以及认为采购人或代理机构相关工作人员有需要回避的情形的，及时向工作人员提出询问或者回避申请。采购人或代理机构对供应商提出的询问或者回避申请应当及时处理。2.5.2查询及使用信用记录查询及使用信用记录开启结束后，采购人或代理机构根据《关于在政府采购活动中查询及使用信用记录有关问题的通知》（财库〔2016〕125号）的要求，通过“信用中国”网站（www.creditchina.gov.cn）、“中国政府采购网”网站（www.ccgp.gov.cn）等渠道，查询供应商在响应文件提交截止时间前的信用记录并保存信用记录结果网页截图，拒绝列入失信被执行人名单、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单中的供应商参加本项目的采购活动。两个以上的自然人、法人或者其他组织组成一个联合体，以一个供应商的身份共同参加政府采购活动的，将对所有联合体成员进行信用记录查询，联合体成员存在不良信用记录的，视同联合体存在不良信用记录。2.5.3资格审查资格审查详见谈判文件第四章。2.5.4谈判谈判详见谈判文件第五章。2.5.5、成交通知书、成交通知书一、采购人或者谈判小组确认成交供应商后，代理机构在四川政府采购网发布成交结果公告、通过项目电子化交易系统发出成交通知书，成交供应商通过项目电子化交易系统获取成交通知书。-第9页-二、成交通知书是采购人和成交供应商签订政府采购合同的依据，是合同的有效组成部分。如果出现政府采购法律法规、规章制度规定的成交无效情形的，将以公告形式宣布发出的成交通知书无效，成交通知书将自动失效，并依法重新确定成交供应商或者重新开展采购活动。三、成交通知书对采购人和成交供应商均具有法律效力。2.6、签订及履行合同和验收、签订及履行合同和验收2.6.1签订合同签订合同一、采购人应在成交通知书发出之日起三十日内与成交供应商签订采购合同。二、采购人和成交供应商签订的采购合同不得对谈判文件确定的事项以及成交供应商的响应文件作实质性修改。2.6.2合同分包和转包（实质性要求）合同分包和转包（实质性要求）2.6.2.1合同分包合同分包一、供应商根据谈判文件的规定和采购项目的实际情况，拟在成交后将成交项目的非主体、非关键性工作分包的，应当在响应文件中载明分包承担主体，分包承担主体应当具备相应资质条件且不得再次分包。二、分包履行合同的部分应当为采购项目的非主体、非关键性工作，不属于成交供应商的主要合同义务。三、采购合同实行分包履行的，成交供应商就采购项目和分包项目向采购人负责，分包供应商就分包项目承担责任。四、中小企业依据《政府采购促进中小企业发展管理办法》（财库〔2020〕46号）规定的政策获取政府采购合同后，小型、微型企业不得将合同分包或转包给大型、中型企业，中型企业不得将合同分包或转包给大型企业。采购包1：不允许合同分包；2.6.2.2合同转包合同转包一、严禁成交供应商将本项目转包。本项目所称转包，是指将本项目转给他人或者将本项目全部肢解以后以分包的名义分别转给他人的行为。二、成交供应商转包的，视同拒绝履行政府采购合同，将依法追究法律责任。2.6.3采购人增加合同标的的权利采购人增加合同标的的权利采购合同履行过程中，采购人需要追加与合同标的相同的货物或者服务的，在不改变合同其他条款的前提下，可以与成交供应商协商签订补充合同，但所有补充合同的采购金额不得超过原合同采购金额的百分之十。2.6.4履行合同履行合同一、合同一经签订，双方应严格履行合同规定的义务。二、在合同履行过程中，如发生合同纠纷，合同双方应按照《中华人民共和国民法典》规定及合同条款约定进行处理。2.6.5履约验收方案履约验收方案采购包1：1）验收组织方式：自行验收2）是否邀请本项目的其他供应商：否3）是否邀请专家：否4）是否邀请服务对象：是5）是否邀请第三方检测机构：否6）履约验收程序：一次性验收7）履约验收时间：供应商提出验收申请之日起7日内组织验收8）验收组织的其他事项：无9）技术履约验收内容：按磋商文件及成交人响应文件内容为准-第10页-第五章谈判办法第五章谈判办法5.1、总则、总则一、根据《中华人民共和国政府采购法》《中华人民共和国政府采购法实施条例》《政府采购非招标采购方式管理办法》等法律制度，结合本采购项目特点制定本次竞争性谈判评审方法。二、评审工作由代理机构组织，具体评审事务由依法组建的谈判小组负责。三、评审工作应遵循客观、公正、审慎的原则，并以相同的谈判程序和标准对待所有的供应商。四、本项目采取电子化评审，通过项目电子化交易系统完成评审工作。谈判小组成员、采购人、代理机构和供应商应当按照本谈判文件规定和项目电子化交易系统操作要求开展或者参加评审活动。五、评审过程中的书面材料往来均通过项目电子化交易系统传递，评审委员会成员使用互认的证书及签章进行签名后生效，供应商通过互认的证书及签章加盖其电子印章后生效。出现无法在线签章的特殊情况，评审委员会成员可以线下签署评标报告，由代理机构对原件扫描后以附件形式上传。六、评审过程应当独立、保密，任何单位和个人不得非法干预评审活动。供应商非法干预评审活动的，其响应文件将作无效处理；代理机构、采购人及其工作人员、采购人监督人员非法干预评审活动的，将依法追究其责任。5.2、谈判小组、谈判小组一、本项目谈判小组成员人数应为三人以上单数，其中评审专家不得少于成员总数的三分之二。采购预算金额达到公开招标数额标准的货物和服务采购项目，或者达到招标规模标准的政府采购工程，谈判小组成员人数应为五人以上单数。评审专家是采取随机方式在采购一体化平台的专家库系统（以下简称专家库系统）抽取。技术复杂、专业性较强的采购项目，评审专家中应当包含1名法律专家。二、谈判小组成员应当满足并适应电子化采购评审的工作需要，使用已身份认证并具备签章功能的证书，登录项目电子化交易系统进入项目评审功能模块确认身份、签到、推荐谈判小组组长。采购人代表可以使用采购人代表专用签章确认评审意见。三、谈判小组成员获取解密后的响应文件，开展评审活动。出现应当回避的情形时，谈判小组成员应当主动回避；代理机构按规定申请补充抽取评审专家；无法及时补充抽取的，采购人或者代理机构应当封存供应商响应文件，按规定重新组建谈判小组，解封响应文件后，开展评审活动。四、谈判小组按照谈判文件规定的谈判程序、评审方法和标准进行评审，并独立履行下列职责：（一）熟悉和理解谈判文件；（二）审查供应商响应文件是否满足谈判文件要求，并作出公正评价；（三）根据需要要求供应商对响应文件中含义不明确、同类问题表述不一致或者有明显文字和计算错误的内容等作出必要的澄清、说明或者更正；（四）推荐成交候选供应商，或者受采购人委托确定成交供应商；（五）起草谈判报告并进行签署；（六）向采购人、代理机构、财政部门或者其他监督部门报告非法干预评审工作的行为；（七）法律、法规和规章规定的其他职责。5.3评审程序评审程序5.3.1审查谈判文件和停止评审审查谈判文件和停止评审一、谈判小组正式评审前，应当对谈判文件进行熟悉和理解，内容主要包括谈判文件中供应商资格条件要求、采购项目技术、服务和商务要求、谈判办法和标准、政府采购政策要求以及政府采购合同主要条款等。-第37页-二、本谈判文件有下列情形之一的，谈判小组应当停止评审：（一）谈判文件的规定存在歧义、重大缺陷的；（二）谈判文件明显以不合理条件对供应商实行差别待遇或者歧视待遇的；（三）采购项目属于国家规定的优先、强制采购范围，但是谈判文件未依法体现优先、强制采购相关规定的；（四）采购项目属于政府采购促进中小企业发展的范围，但是谈判文件未依法体现促进中小企业发展相关规定的；（五）谈判文件将供应商的资格条件列为评分因素的；（六）谈判文件载明的成交原则不合法的；（七）谈判文件有违反国家其他有关强制性规定的情形。出现上述应当停止评审情形的，谈判小组应当通过项目电子化交易系统向采购组织单位提交相关说明材料，说明停止评审的情形和具体理由。除上述情形外，谈判小组不得以任何方式和理由停止评审。出现上述应当停止评审情形的，采购组织单位应当通过项目电子化交易系统书面告知参加采购活动的供应商，并说明具体原因，同时在四川政府采购网公告。采购组织单位认为谈判小组不应当停止评审的，可以书面报告采购项目同级财政部门依法处理，并提供相关证明材料。5.3.2资格审查资格审查响应文件解密完成后，由谈判小组对提交响应文件的供应商进行资格审查。谈判小组在资格审查过程中，谈判小组成员对供应商资格是否符合规定存在争议的，应当以少数服从多数的原则处理，但不得违反政府采购法和竞争性谈判文件规定。一般资格审查：，一般资格审查：采购包1：序号序号资格审查要求概况资格审查要求概况评审点具体描述评审点具体描述关联格式关联格式1具有独立承担民事责任的能力。①供应商若为企业法人：提供“统一社会信用代码营业执照”；未换证的提供“营业执照、税务登记证、组织机构代码证或三证合一的营业执照”；②若为事业法人：提供“统一社会信用代码法人登记证书”；未换证的提交“事业法人登记证书、组织机构代码证”；③若为其他组织：提供“对应主管部门颁发的准许执业证明文件或营业执照”；④若为个体工商户：提供“统一社会信用代码营业执照副本”或“营业执照、税务登记证”⑤若为自然人：提供“身份证明材料”。以上均提供复印件供应商应提交的相关资格证明材料2具有良好的商业信誉供应商需在项目电子化交易系统中按要求填写《投标（响应）函》完成承诺并进行电子签章。投标（响应）函-第38页-3具有健全的财务会计制度。1、可提供2020年度（含）至今（任意一年度）经审计的财务报告（包含审计报告和审计报告中所涉及的财务报表和报表附注）；2、也可提供2020年度（含）至今（任意一年度）供应商内部的财务报表（财务报表内容至少包含并体现资产负债表及利润情况表）；3、也可提供截止响应文件递交截止日一年内其基本开户银行出具的资信证明；4、供应商注册时间截止响应文件递交截止日不足一年的，也可提供加盖工商备案主管部门印章的公司章程。供应商应提交的相关资格证明材料4具有履行合同所必需的设备和专业技术能力。供应商需在项目电子化交易系统中按要求填写《投标（响应）函》完成承诺并进行电子签章。投标（响应）函5有依法缴纳税收和社会保障资金的良好记录。供应商需在项目电子化交易系统中按要求填写《投标（响应）函》完成承诺并进行电子签章。投标（响应）函6参加政府采购活动前三年内，在经营活动中没有重大违法记录。供应商需在项目电子化交易系统中按要求填写《投标（响应）函》完成承诺并进行电子签章。投标（响应）函7不存在与单位负责人为同一人或者存在直接控股、管理关系的其他供应商参与同一合同项下的政府采购活动的行为。供应商需在项目电子化交易系统中按要求填写《投标（响应）函》完成承诺并进行电子签章。投标（响应）函8不属于为本项目提供整体设计、规范编制或者项目管理、监理、检测等服务的供应商。供应商需在项目电子化交易系统中按要求填写《投标（响应）函》完成承诺并进行电子签章。投标（响应）函特殊资格审查：，特殊资格审查：采购包1：序号序号资格审查要求概况资格审查要求概况评审点具体描述评审点具体描述关联格式关联格式无无无无落实政府采购政策资格审查：，落实政府采购政策资格审查：采购包1：序号序号资格审查要求概况资格审查要求概况评审点具体描述评审点具体描述关联格式关联格式1本采购包属于专门面向中小企业采购。供应商结合自身实际，按照采购文件要求和关联格式要求，提供《中小企业声明函》、《残疾人福利性单位声明函》或者《监狱企业证明文件》进行响应。中小企业声明函残疾人福利性单位声明函监狱企业的证明文件5.3.3符合性审查符合性审查谈判小组依据本谈判文件的实质性要求，对符合资格的响应文件进行审查，以确定其是否满足本谈判文件的实质性要求。-第39页-本项目的符合性审查事项必须以本谈判文件的明确规定的实质性要求为依据。在符合性审查过程中，如果出现谈判小组成员意见不一致的情况，按照少数服从多数的原则确定，但不得违背政府采购基本原则和谈判文件规定。符合性审查标准见下表：采购包1：序号序号符合审查要求概况符合审查要求概况评审点具体描述评审点具体描述关联格式关联格式1不正当竞争预防措施（实质性要求）在谈判过程中，谈判小组认为供应商报价明显低于其他通过符合性审查供应商的报价，有可能影响产品质量或者不能诚信履约的，谈判小组应当要求其在合理的时间内通过项目电子化交易系统进行书面说明，必要时提交相关证明材料。供应商提交的书面说明，应当加盖供应商公章，在谈判小组要求的时间内通过项目电子化交易系统进行提交，否则视为不能证明其响应报价合理性。供应商不能证明其响应报价合理性的，谈判小组应当将其响应文件作为无效处理。（注：供应商报价低于最高限价50%或者低于其他有效供应商报价算术平均价40%的，谈判小组可以认为该供应商“报价明显低于其他实质性响应的供应商报价”。）分项报价表报价表2服务要求根据谈判文件服务要求进行响应，带“★”的参数需求为实质性要求，供应商必须响应并满足的参数需求，否则做无效响应处理。服务应答表3商务要求“3.3商务要求”中标注“实质性要求”和“3.4其他要求”中标注“实质性要求”（即带“★”的要求）为本次谈判采购活动体现满足采购需求、质量和服务相等的采购项目最低要求，不允许有负偏离。响应文件封面商务应答表5.3.4谈判谈判一、谈判小组按照谈判文件的规定与邀请参加谈判的供应商分别进行谈判，谈判顺序由谈判小组确定。二、谈判小组所有成员集中与单一供应商对技术、服务、合同条款等内容分别进行一轮或多轮的谈判。在谈判中，谈判的任何一方不得透露与谈判有关的其他供应商的技术资料、价格和其他信息。三、谈判小组可以根据谈判文件和谈判情况实质性变动第三章“谈判项目技术、服务、商务及其他要求”、第六章“拟签订的合同文本”，但不得变动谈判文件中的其他内容。实质性变动的内容，须经采购人代表确认。四、对谈判文件作出的实质性变动是谈判文件的有效组成部分，谈判小组应通过“承诺”功能，将变动情况通知所有参加谈判的供应商。谈判过程中，谈判小组可以根据谈判情况调整谈判轮次。五、谈判过程中，供应商可以根据谈判情况变更其响应文件，并将变更内容以“供应商响应表”形式在线提交谈判小组。“供应商响应表”作为响应文件的一部分，应加盖供应商（法定名称）电子印章，否则无效。六、经最终谈判后，响应文件仍有下列情况之一的，应按照无效响应处理：（一）响应文件仍不能实质响应谈判文件可实质性变动的实质性要求的；-第40页-（二）响应文件中仍有谈判文件规定的其他无效响应情形的。七、谈判过程中，谈判的任何一方不得透露与谈判有关的其他供应商的技术资料、价格和其他信息。八、谈判过程中，谈判小组发现或者知晓供应商存在违法行为的，应当谈判报告中予以记录，并向本级财政部门报告，依法应将该供应商响应文件作无效处理的，应当作无效处理。5.3.5最后报价最后报价一、方案评审采购包1：磋商/谈判/协商文件能够详细列明采购标的的技术、服务要求，磋商/谈判/协商结束后，磋商/谈判/协商小组可以根据磋商/谈判/协商情况要求所有实质性响应的供应商在规定时间内提交最后报价，提交最后报价的供应商不得少于3家。二、谈判小组开启报价后，供应商应随时关注项目电子化交易系统信息提醒，登录项目电子化交易系统，通过“等候大厅”进行报价并签章后提交。三、供应商在未提高响应文件中承诺的标准情况下，其最后报价不得高于对该项目之前的报价，否则，谈判小组将对其响应文件作无效处理，并通过电子化交易系统告知供应商，说明理由。四、供应商未在响应文件提交截止时间内提交报价或未按要求进行报价的，视为无效响应，由供应商自行承担不利后果。五、供应商未按谈判小组要求在规定时间内提交最后报价的，视为其退出谈判。六、最后报价一旦提交后，供应商不得以任何理由撤回。七、最后报价为有效报价应符合下列条件：（1）供应商所提供的最后报价是在规定的时间内提交。（2）供应商的最后报价应加盖供应商（法定名称）电子印章。（3）供应商的最后报价应符合谈判文件的要求。（4）最后报价唯一，且不高于最高限价。八、最后报价出现下列情况的，不需要供应商澄清，按以下原则处理：（1）报价中的大写金额和小写金额不一致的，以大写金额为准，但大写金额出现文字错误，导致金额无法判断的除外；（2）单价金额小数点或者百分比有明显错位的，应以总价为准，并修改单价；（3）总价金额与按单价汇总金额不一致的，以单价汇总金额计算结果为准；同时出现两种以上不一致的，按照前款规定的顺序修正。修正后的最后报价经加盖供应商（法定名称）电子印章后产生约束力，供应商不确认的，其最后报价无效。5.3.6价格扣除价格扣除采购包1：序号序号情形情形适用对象适用对象比例比例说明说明关联格式关联格式无无无无无无5.3.7解释、澄清、说明的有关问题解释、澄清、说明的有关问题1.评审过程中，谈判小组认为竞争性谈判文件有关事项表述不明确或需要说明的，可以提请代理机构书面解释。代理机构的解释不得改变竞争性谈判文件的原义或者影响公平、公正，解释事项如果涉及供应商权益的以有利于供应商的原则进行解释。2.谈判小组在对响应文件的有效性、完整性和响应程度进行审查时，可以要求供应商对响应文件中含义不明确、同类问题表述不一致或者有明显文字和计算错误的内容等作出必要的澄清、说明或者更正。供应商的澄清、说明或者更正不得超出响应文件的范围或者改变响应文件的实质性内容。3.代理机构宣布评审结束之前，供应商应通过项目电子化交易系统随时关注评审消息提示，及时响应谈判小组发出的澄清、说明或更正要求。供应商未能及时响应的，自行承担不利后果。4.谈判小组应当积极履行澄清、说明或者更正的职责，不得滥用权力。-第41页-5.3.8复核复核1.评审结束后，谈判小组应当进行复核，特别要对拟推荐为成交供应商的、报价最低的、响应文件被认定为无效的进行重点复核。2.评审结果汇总完成后，谈判小组拟出具谈判报告前，代理机构应当组织2名以上的工作人员，会同采购监督人员，依据有关的法律制度和竞争性谈判文件对评审结果进行在线复核，出具复核报告。代理机构复核过程中，谈判小组成员不得离开。3.除资格审查认定错误和价格计算错误外，采购人或者代理机构不得以任何理由组织重新评审。采购人、代理机构发现谈判小组未按照竞争性谈判文件规定的评定成交的标准进行评审的，应当重新开展采购活动，并同时书面报告本级财政部门。5.3.9推荐成交候选供应商推荐成交候选供应商采购包1：候选供应商数量3名。“本项目”按供应商经评审的最终报价从低到高顺序排列，确定成交候选供应商。最终报价相同的，按供应商提供的优先采购产品认证证书数量由多到少顺序排列；最终报价且提供的优先采购产品认证证书数量相同的并列。响应文件满足谈判文件全部实质性要求且最终报价最低的供应商为排名第一的成交候选供应商。经评审的最终报价是指对供应商最后报价完成价格修正和落实政府采购政策进行的价格扣除后的报价。5.3.10编写谈判报告编写谈判报告谈判小组在项目电子化交易系统中编制评审情况，生成谈判报告。谈判报告是谈判小组根据全体成员签字的原始评审记录和评审结果编写的报告，其主要内容包括：1、邀请供应商参加采购活动的具体方式和相关情况，以及参加采购活动的供应商名单；2、谈判日期和地点，评审委员会成员名单；3、参加报价的供应商名单及报价情况和未参加报价的供应商名单及原因；4、变动谈判文件实质性内容的有关资料及记录；5、供应商响应文件响应谈判文件实质性要求情况及供应商变动响应文件有关资料及记录；6、谈判情况记录和说明，包括对供应商的资格审查情况、供应商响应文件谈判情况等；7、推荐的成交候选供应商名单及理由。谈判报告应当由谈判小组全体人员签字或加盖电子签章认可。谈判小组成员对谈判报告有异议的，谈判小组按照少数服从多数的原则推荐成交候选供应商，采购程序继续进行。对谈判报告有异议的谈判小组成员，应当在报告上签署不同意见并说明理由，由谈判小组记录相关情况。谈判小组成员拒绝在报告上签字或加盖电子签章又不说明其不同意见和理由的，视为同意谈判报告。5.3.11谈判异议处理规则谈判异议处理规则在谈判过程中，对于符合性审查、对响应文件作无效响应处理的及其他需要共同认定的事项存在争议的，应当以少数服从多数的原则作出结论，但不得违背竞争性谈判文件规定。持不同意见的谈判小组成员应当在谈判报告中签署不同意见及理由，否则视为同意评审报告。持不同意见的谈判小组成员认为认定过程和结果不符合法律法规或者谈判文件规定的，应当及时向采购人或代理机构书面反映。采购人或代理机构收到书面反映后，应当书面报告采购项目同级财政部门依法处理。5.4、终止采购活动情形、终止采购活动情形有下列情形之一的，本项目终止采购活动：（一）因情况变化，不再符合规定的竞争性谈判采购方式适用情形的；（二）出现影响采购公正的违法、违规行为的；（三）提交首次响应文件的供应商不足三家的；（四）通过资格审查的供应商不足三家的；（五）通过符合性审查的供应商不足三家的；（六）提交最后报价的供应商不足三家的；-第42页-（七）通过最后报价审查的供应商不足三家的。注：公开招标转竞争性谈判只有两家供应商参与的情形除外。5.5、确定成交供应商、确定成交供应商一、评审结束后，代理机构在评审结束之日起2个工作日内将谈判报告及有关资料送交采购人确定成交供应商。二、采购人在收到谈判报告后5个工作日内，在谈判报告确定的成交候选供应商名单中按顺序确定1名成交供应商。成交候选供应商并列的，由采购人采取随机抽取的方式确定成交供应商。三、采购人逾期未确定成交供应商且不提出异议的，视为确定谈判报告提出的排序第一的供应商为成交供应商。四、根据采购人确定的成交供应商，代理机构在四川政府采购网上发布成交结果公告，同时向成交供应商发出成交通知书。五、采购人、代理机构不解释成交或未成交原因，不退回响应文件和其他响应资料。5.6、谈判小组成员义务、谈判小组成员义务（一）遵守评审工作纪律；（二）按照客观、公正、审慎的原则，根据采购文件规定的评审程序、评审方法和评审标准进行独立评审；（三）不得泄露评审文件、评审情况和在评审过程中获悉的商业秘密；（四）及时向监督管理部门报告评审过程中的违法违规情况，包括采购组织单位向评审专家作出倾向性、误导性的解释或者说明情况，供应商行贿、提供虚假材料或者串通情况，其他非法干预评审情况等；（五）发现采购文件内容违反国家有关强制性规定或者存在歧义、重大缺陷导致评审工作无法进行时，停止评审并通过项目电子化交易系统向采购组织单位书面说明情况，说明停止评审的情形和具体理由；（六）配合答复处理供应商的询问、质疑和投诉等事项；（七）法律、法规和规章规定的其他义务。5.7、谈判纪律、谈判纪律（一）遵行《中华人民共和国政府采购法》第十二条和《中华人民共和国政府采购法实施条例》第九条及财政部关于回避的规定。（二）评审前，应当将通讯工具或者相关电子设备交由采购组织单位统一保管。（三）评审过程中，不得与外界联系，因发生不可预见情况，确实需要与外界联系的，应当在监督人员监督之下办理。（四）评审过程中，不得干预或者影响正常评审工作，不得发表倾向性、引导性意见，不得修改或细化采购文件确定的评审程序、评审方法、评审因素和评审标准，不得接受供应商主动提出的澄清和解释，不得征询采购人代表的意见，不得协商评分，不得违反规定的评审格式评分和撰写评审意见，不得拒绝对自己的评审意见签字确认。（五）在评审过程中和评审结束后，不得记录、复制或带走任何评审资料，除因配合答复处理供应商的询问、质疑和投诉等事项外，不得向外界透露评审内容。（六）服从评审现场采购组织单位的现场秩序管理，接受评审现场监督人员的合法监督。（七）遵守有关廉洁自律规定，不得私下接触供应商，不得收受供应商及有关业务单位和个人的财物或好处，不得接受采购组织单位的请托。-第43页-第六章响应文件格式第六章响应文件格式采购包1：分册名称：投标响应文件分册详见附件：响应文件封面详见附件：投标（响应）函详见附件：中小企业声明函详见附件：残疾人福利性单位声明函详见附件：监狱企业的证明文件详见附件：供应商应提交的相关资格证明材料详见附件：商务应答表详见附件：报价表详见附件：分项报价表详见附件：服务应答表-第44页-第七章拟签订采购合同文本第七章拟签订采购合同文本详见附件：等保合同文本的主要条款.docx-第45页--第46页-
投标 / 标书制作要点（原创）
本等保测评服务涉及「招标公告」，投标方需重点关注：① 营业执照经营范围须含招标公告或对应服务类目；② 提供同类项目业绩证明；③ 报价方案与售后响应须明确；④ 紧盯投标截止与开标节点，建议提前完成标书制作与盖章。南充市项目常要求本地化服务能力与快速响应，务必在投标文件中凸显。
标书制作联系冯经理：17551026086
