重庆信息系统安全等级保护测评服务招标公告（重庆医科大学附属口腔医院2024）
重庆医科大学附属口腔医院信息系统安全等级保护测评服务需求询价公告采购公告
发布日期： 2024年5月9日
一、采购方式：
询价采购
二、项目详情概况
项目描述详情及简要技术要求见附件
三、供应商资格要求
参与采购活动的供应商需满足以下条件
（一）基本资格条件
1、具有独立承担民事责任的能力；
2、具有良好的商业信誉和健全的财务会计制度；
3、具有履行合同所必需的设备和专业技术能力；
4、有依法缴纳税收和社会保障资金的良好记录；
5、三年内在经营活动中无重大违纪记录；
6、法律、行政法规规定的其他条件。
四、获取采购文件的地点、方式、期限及售价
获取文件期限:2024年5月10日 至 2024年5月15日
文件购买费:0.00元
获取文件地点：凡愿意参加报价的投标人，请自行在“行采家”或“重庆医科大学附属口腔医院”或“中国采购招标网”下载需求咨询文件
方式或事项：
凡有意参加的供应商，请在“行采家”平台下载本项目需求咨询文件以及图纸、补遗等开标前公布的所有项目资料，无论供应商领取或下载与否，均视为已知晓所有咨询内容。
五、询价响应文件递交信息
询价响应文件递交开始时间： 2024年5月10日 09:00
询价响应文件递交结束时间： 2024年5月15日 17:30
询价响应文件递交地点：报价（需盖章PDF或图片电子版，按照后附报价格式要求）发送：sjk806@163.com，报价邮件名称和文件名称需写上《XXXX公司重庆医科大学附属口腔医院XXXXXX报价表》。
六、评审信息
询价时间： 2024年5月16日 09:30
询价地点：本次询价为确定预算需要，非正式采购，技术要求为初步要求，最终以正式发布招标公告的技术要求为准。
七、联系方式
1、采购人：重庆医科大学附属口腔医院
采购经办人：陈凯
采购人电话：88860001
采购人地址：渝北区松石北路426号口腔医院
八、附件
重庆医科大学附属口腔医院需求咨询（信息系统安全等级保护测评服务）20240509.docx
免责声明：
采购人在本页面发布的任何信息应当真实、有效、完整，并对发布的信息承担相应法律责任。
重庆医科大学附属口腔医院需求询价公告一、各供应商根据询价公告要求报价。二、报价需按照后附要求格式报价，对技术要求响应情况进行逐条备注，如“无差异”或“有差异，差异是”。本次询价为确定预算需要，非正式采购，技术要求为初步要求，最终以正式发布招标公告的技术要求为准。三、需求公告时间2024年5月10日至2024年5月15日17:30止四、报价（需盖章PDF或图片电子版，按照后附报价格式要求）发送：sjk806@163.com，报价邮件名称和文件名称需写上《XXXX公司重庆医科大学附属口腔医院XXXXXX报价表》。五、重庆医科大学附属口腔医院,采购联系人：陈老师023-88860001,技术联系人:李老师023-88860177。信息系统安全等级保护测评服务采购项目报价单位名称：联系人： 联系电话：报价产品生产商企业性质： （大型/中型/小型/微型）报价： 元（总价，附分项报价表），报价需含货物、人工、培训、运输、税费等全部费用。项目服务技术及商务要求响应情况附后备注：供应商还需提供投标产品成交记录:合同扫描件/中标通知书扫描件/公示结果网络链接及截图均可,能从中看出投标产品型号配置等信息。附件：第一篇项目技术/服务要求一、项目一览表序号项目内容等级要求服务次数备注1重庆医科大学附属口腔医院医院信息系统HIS（包括HIS、LIS、PACS、EMR）等保测评三级1次2互联网医院（包含互联网医院、微信挂号、包含OA、科研教学等）三级1次3集成平台系统三级1次二、项目技术服务要求2.1信息系统概况：本次进行等级保护测评服务的为：医院信息系统（主要指HIS,包含LIS,PACS，EMR等）（三级）、互联网医院（主要指互联网医院，微信挂号、包含OA、科研教学等）（三级）、集成平台系统（三级）。2.2测评依据:本项目信息安全等级保护测评目的和测评内容，必须与信息安全等级保护要求的基本安全控制要求相一致。内容按照GB/T22239-2019《信息安全技术信息系统安全等级保护基本要求》等国家相关标准进行测评，确保测评结论真实性。其他测评规范性文件还需参照：《信息安全等级保护管理办法》（公通字〔2007〕43号）《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）《信息安全等级保护备案实施细则》GB/T22240-2008《信息安全技术信息系统安全保护等级定级指南》；GB/T17859-1999《计算机信息系统安全等级保护划分准则》；GB/T25058-2019《信息安全技术信息系统安全等级保护实施指南》；GB/T28448-2019《信息安全技术信息系统安全等级保护测评要求》；GB/T28449-2019《信息安全技术信息系统安全等级保护测评过程指南》；GB/T25070-2019《信息安全技术信息系统等级保护安全设计技术要求》；GB/T20271-2006《信息安全技术信息系统通用安全技术要求》；GB/T20270-2006《信息安全技术网络基础安全技术要求》；GB/T21052-2007《信息安全技术信息系统物理安全技术要求》；GB/T20274《信息安全技术信息系统安全保障评估框架》；GB/T20282-2006《信息安全技术信息系统安全工程管理要求》；GB/T20269-2006《信息安全技术信息系统安全管理要求》；GB/T20984-2007《信息安全技术信息安全风险评估规范》；2.3测评内容:安全保护等级为三级的，测评指标应包括GB/T22239-2019“技术要求”中的3级通用指标类（G3），3级业务信息安全指标类（S3），3级系统服务安全指标类（A3），以及第3级“管理要求”中的全部指标类。从安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心五个技术层面和安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理五个管理层面，对重庆医科大学附属口腔医院HIS系统（主要指HIS,包含LIS,PACS，EMR等）、互联网医院（主要指互联网医院，微信挂号，包含OA、科研教学等）、集成平台系统行等级测评，找出系统安全保护现状与所定等级的保护要求之间的差距，分析差距可能导致的系统风险，给出等级测评结论并形成系统测评报告。本次测评的详细测评指标情况，如下表1所示：安全类别安全层面序号测评指标技术安全8.1.1 安全物理环境1 8.1.1.1 物理位置选择技术安全8.1.1 安全物理环境2 8.1.1.2 物理访问控制技术安全8.1.1 安全物理环境3 8.1.1.3 防盗窃和防破坏技术安全8.1.1 安全物理环境4 8.1.1.4 防雷击技术安全8.1.1 安全物理环境5 8.1.1.5 防火技术安全8.1.1 安全物理环境6 8.1.1.6 防水和防潮技术安全8.1.1 安全物理环境7 8.1.1.7 防静电技术安全8.1.1 安全物理环境8 8.1.1.8 温湿度控制技术安全8.1.1 安全物理环境9 8.1.1.9 电力供应技术安全8.1.1 安全物理环境10 8.1.1.10 电磁防护技术安全8.1.2 安全通信网络11 8.1.2.1 网络架构技术安全8.1.2 安全通信网络12 8.1.2.2 通信传输技术安全8.1.2 安全通信网络13 8.1.2.3 可信验证技术安全8.1.3 安全区域边界14 8.1.3.1 边界防护技术安全8.1.3 安全区域边界15 8.1.3.2 访问控制技术安全8.1.3 安全区域边界16 8.1.3.3入侵防范技术安全8.1.3 安全区域边界17 8.1.3.4 恶意代码和垃圾邮件防范技术安全8.1.3 安全区域边界188.1.3.5 安全审计技术安全8.1.3 安全区域边界198.1.3.6 可信验证技术安全8.1.4 安全计算环境20 8.1.4.1 身份鉴别技术安全8.1.4 安全计算环境218.1.4.2 访问控制技术安全8.1.4 安全计算环境22 8.1.4.3 安全审计技术安全8.1.4 安全计算环境23 8.1.4.4 入侵防范技术安全8.1.4 安全计算环境24 8.1.4.5 恶意代码防范技术安全8.1.4 安全计算环境25 8.1.4.6 可信验证技术安全8.1.4 安全计算环境268.1.4.7 数据完整性技术安全8.1.4 安全计算环境278.1.4.8 数据保密性技术安全8.1.4 安全计算环境288.1.4.9 数据备份与恢复技术安全8.1.4 安全计算环境298.1.4.10 剩余信息保护技术安全8.1.4 安全计算环境308.1.4.11 个人信息保护技术安全8.1.5 安全管理中心31 8.1.5.1 系统管理技术安全8.1.5 安全管理中心32 8.1.5.2 审计管理技术安全8.1.5 安全管理中心33 8.1.5.3 安全管理技术安全8.1.5 安全管理中心34 8.1.5.4 集中管控管理安全8.1.6 安全管理制度35 8.1.6.1 安全策略管理安全8.1.6 安全管理制度368.1.6.2 管理制度管理安全8.1.6 安全管理制度37 8.1.6.3 制定和发布管理安全8.1.6 安全管理制度38 8.1.6.4 评审和修订管理安全8.1.7 安全管理机构39 8.1.7.1 岗位设置管理安全8.1.7 安全管理机构40 8.1.7.2 人员配备管理安全8.1.7 安全管理机构41 8.1.7.3 授权和审批管理安全8.1.7 安全管理机构42 8.1.7.4 沟通和合作管理安全8.1.7 安全管理机构43 8.1.7.5 审核和检查管理安全8.1.8 安全管理人员44 8.1.8.1 人员录用管理安全8.1.8 安全管理人员45 8.1.8.2 人员离岗管理安全8.1.8 安全管理人员468.1.8.3 安全意识教育和培训管理安全8.1.8 安全管理人员478.1.8.4 外部人员访问管理管理安全8.1.9 安全建设管理48 8.1.9.1 定级和备案管理安全8.1.9 安全建设管理49 8.1.9.2 安全方案设计管理安全8.1.9 安全建设管理50 8.1.9.3 产品采购和使用管理安全8.1.9 安全建设管理51 8.1.9.4 自行软件开管理安全8.1.9 安全建设管理52 8.1.9.5 外包软件开发管理安全8.1.9 安全建设管理53 8.1.9.6 工程实施管理安全8.1.9 安全建设管理54 8.1.9.7 测试验收管理安全8.1.9 安全建设管理55 8.1.9.8 系统交付管理安全8.1.9 安全建设管理56 8.1.9.9 等级测评管理安全8.1.9 安全建设管理57 8.1.9.10 服务商供应商选择管理安全8.1.10 安全运维管理58 8.1.10.1 环境管理管理安全8.1.10 安全运维管理59 8.1.10.2 资产管理管理安全8.1.10 安全运维管理60 8.1.10.3 介质管理管理安全8.1.10 安全运维管理61 8.1.10.4 设备维护管理管理安全8.1.10 安全运维管理62 8.1.10.5 漏洞和风险管理管理安全8.1.10 安全运维管理63 8.1.10.6 网络和系统安全管理管理安全8.1.10 安全运维管理64 8.1.10.7 恶意代码防范管理管理安全8.1.10 安全运维管理658.1.10.8 配置管理管理安全8.1.10 安全运维管理66 8.1.10.9 密码管理管理安全8.1.10 安全运维管理67 8.1.10.10 变更管理管理安全8.1.10 安全运维管理68 8.1.10.11 备份与恢复管理管理安全8.1.10 安全运维管理69 8.1.10.12 安全事件处置管理安全8.1.10 安全运维管理70 8.1.10.13 应急预案管理管理安全8.1.10 安全运维管理718.1.10.14外包运维管理2.4工具测试:使用专业的安全分析工具对待测系统进行安全分析,最终形成扫描、渗透报告。2.5信息系统安全保护等级测评工作要求:在投标人的技术应标书中，提供针对本项目建设的详细实施计划，提供本项目详细工作实施组织方案，包括(但不限于)以下内容：组织机构、工作时间进度表、工作程序和步骤、管理和协调方法、关键步骤的思路和要点。在项目实施过程中，中标的等保测评机构应成立相应的项目组，并指定一名专职的项目经理，项目经理需为中级测评师及以上。主要负责人力资源调度、项目的总体计划、与采购人协调和项目调度等工作。2.6信息系统安全保护整改:根据测评结果和风险分析结果，提供详细的整改建议指导服务，其内容包含技术和管理两大方面。技术方面应包含：物理安全、网络安全、主机安全、应用安全、工具扫描和数据安全及备份恢复。管理方面应包含：安全管理制度、安全管理机构、人员安全管理、系统建设安全管理和系统运维安全管理。2.7质量保证及售后服务：1、测评指标和测评对象确定须符合国家标准《GB/T22239-2019信息安全技术-网络安全等级保护基本要求》等相关标准的要求。测评过程和结论需执行《GB/T28449-2018信息安全技术网络安全等级保护测评过程指南》和《GB/T22239-2019信息安全技术网络安全等级保护基本要求》的相关要求。中标单位应提供相关的安全咨询技术服务。提供的整改建议要有高度的性价比并且符合等保测评的相关规定。2、中标的等保测评机构应为我院提供提供完善信息安全管理体系、信息安全目标战、IT安全基础、安全防护措施，为被测信息系统建立风险评估和整改机制，确保安全防护体系的有效性，符合信息安全等级保护要求。3、中标的等保测评单位应按照等级保护测评要求制定测评详细计划和方案。测评过程中，应针对重要的主机操作系统、数据库系统、信息系统、网络设备等进行渗透测试,形成安全检测报告和整改建议方案，并指导完成高风险漏洞的安全整改，并具有较强的安全服务能力，能够利用测评、评估、漏洞扫描等方法发现系统安全隐患并提出合理的整改建议；对系统漏洞能够及时定位，并对后续修复的情况进行验证。4、支撑保障服务，在测评年度内以及下一年测评前，协助在重大信息安全检查工作或重大网络安全安保工作中提供远程或现场相关的技术支撑服务。（如发生安全事故，3小时到达事故现场）。提供医院新系统上线前的安全扫描服务。提供重大节假日或重大网络安全安保工作前的系统安全检测服务。5、安全咨询服务，在测评年度内以及下一年测评前，提供相关的安全咨询服务。提供的安全咨询建议、策略、规范和整改建议要切合招标单位实际情况，满足GBT22239-2019《信息安全技术-信息系统安全等级保护基本要求》等标准、规范的相关要求。6、安全培训，在测评年度内以及下一年测评前，提供一次网络安全等级保护相关的安全培训，参会人数由招标方自拟。7、安全检测，在测评年度内以及下一年测评前，除等保测评报告外，免费提供一次以上所有系统的安全检测服务出扫描报告。2.8项目成果：项目成果应包含：系统测评记录、工具扫描报告、系统风险分析、系统等级测评报告、系统整改加固方案等。测评方应按照等级保护测评要求制定测评详细计划和方案。在项目实施过程中能够严格遵循等级测评流程规范、质量保证和过程管理规范，形成规范、详尽、统一的过程文档、工作记录、进度报告等。交付物：1、《医院信息系统等级保护测评进度计划表》纸质版、电子版2、《医院信息系统等级保护测评实施方案》纸质版、电子版3、《医院信息系统等级保护测评差距分析报告》纸质版、电子版4、《互联网医院等级保护测评进度计划表》纸质版、电子版5、《互联网医院等级保护测评实施方案》纸质版、电子版6、《互联网医院等级保护测评差距分析报告》纸质版、电子版7、《集成平台系统等级保护测评进度计划表》纸质版、电子版8、《集成平台系统等级保护测评实施方案》纸质版、电子版9、《集成平台系统等级保护测评差距分析报告》纸质版、电子版10、《医院信息系统等级保护测评最终测评报告》纸质版、电子版11、《互联网医院等级保护测评最终测评报告》纸质版、电子版12、《集成平台系统等级保护测评最终测评报告》纸质版、电子版13、《LIS、PACS、EMR、手麻、合理用药、供应室追溯、院感及传染病上报、移动医护、微信挂号、互联网医院随访、OA、HRP、科研教学扫描报告、人事管理系统、电子发票、不良事件上报、心电管理、病理系统、影像云、输血管理、电子签名扫描报告》纸质版、电子版。2.9人员保障要求：投标人拟投入本项目的等级保护测评小组至少由5名测评人员构成（其中，中、高级测评师至少分别1人），且测评人员均具有***认证的测评师证书，为保证项目实施质量，要求项目骨干人员具有3年及以上相关工作经验。2.10保密要求：中标方要保守测评中所有涉及招标方的数据、安全问题、测评报告等结果与数据、资料的秘密，并与招标方签订保密协议。若因中标方原因，泄露招标方测评结果，安全漏洞、数据、资料等的，将承担由此产生的一切责任。2.11投标人需要有本地服务团队，当发生突发网络安全公共事件时，能在第一时间派出技术团队协助处置突发事件，技术人员须具有中级及以上测评师资质且在本次项目现场测评人员名单内。（提供承诺函，格式自拟）第二篇项目商务要求一、交货期、交货地点及验收方式1.1交货期中标人应在采购合同签订后，根据采购人的通知前来测评,测试工期两个月。1.2交货地点交货地点：采购人指定地点。1.3验收方式1.3.1服务内容与采购合同一致，达到合同及招投标规定的标准。1.3.2在规定时间内完成交货并验收，并经采购人确认。1.4.投标人提供的服务未达到招标文件规定要求，且对采购人造成损失的，由投标人承担一切责任，并赔偿所造成的损失。二、报价要求2.1.谈判报价包括完成本项目所需的本项目报价总价，本次报价须为人民币报价，包含：人工、保险费、安装费、调试费、售后服务费、税费、培训费等所有费用，因成交供应商自身原因造成漏报、少报皆由其自行承担责任，采购人不再补偿。三、实施范围采购人可以根据自己单位信息化的进展情况，决定全部测评或部分测评，并根据实际测评系统的数量与单价支付测评费用。四、付款方式项目通过采购人验收合格，并移交最终测评报告与发票后30个工作日内，采购人支付测评合同金额的95%；剩余5%自采购人签署验收报告之日起1年内中标人完成安全监测服务后，一次性付清。
投标 / 标书制作要点（原创）
本信息系统安全等级保护测评服务涉及「招标公告」，投标方需重点关注：① 营业执照经营范围须含招标公告或对应服务类目；② 提供同类项目业绩证明；③ 报价方案与售后响应须明确；④ 紧盯投标截止与开标节点，建议提前完成标书制作与盖章。重庆项目常要求本地化服务能力与快速响应，务必在投标文件中凸显。
标书制作联系冯经理：17551026086
