招標(biāo)信息

序號

服務(wù)

階段

技術(shù)要求

1

互聯(lián)網(wǎng)資產(chǎn)發(fā)現(xiàn)

事前

1、根據(jù)采購方提供的公網(wǎng)IP，探測其開放的端口、端口運(yùn)行的服務(wù)、承載服務(wù)的組件、組件版本等信息
2、探測完成后提交資產(chǎn)清單表格
3、★本服務(wù)實施頻率為每月1次或以上

2

漏洞掃描

事前

• 需使用國產(chǎn)品牌漏洞掃描設(shè)備
  2、掃描對象為web應(yīng)用和主機(jī)
  3、漏掃設(shè)備漏洞庫涵蓋OWASP TOP10、操作系統(tǒng)、應(yīng)用程序等漏洞
  4、掃描完成后需提供漏洞掃描報告，包含漏洞詳情和修復(fù)建議
  5、提供漏洞修復(fù)咨詢服務(wù)，指導(dǎo)采購方進(jìn)行修復(fù)
  6、采購方修復(fù)后，免費(fèi)復(fù)測1次

7、★漏洞掃描資產(chǎn)數(shù)量不少于100個
8、★web應(yīng)用掃描頻率和主機(jī)掃描頻率為每季度1次或以上

3

風(fēng)險評估

事前

1、按照《信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》（GB/T 20984-2007），對采購方信息系統(tǒng)進(jìn)行風(fēng)險評估
2、風(fēng)險評估流程包括資產(chǎn)識別、威脅識別、脆弱性識別、已有安全措施分析、風(fēng)險計算等
3、完成后出具風(fēng)險評估報告
4、★此項服務(wù)每年提供5次或以上，具體內(nèi)容時間由采購方確定。

4

危情推送

事前

1、及時提供威脅情報解讀，高危漏洞預(yù)警，安全熱點資訊

2、完成后出具安全威脅通告

3、★此項服務(wù)每年提供12次或以上

5

安全制度規(guī)劃

事前

• 對目前的網(wǎng)絡(luò)安全管理方式進(jìn)行整體部署和規(guī)劃
• 對各種安全防范手段的范圍和互相之間的銜接與冗余防護(hù)進(jìn)行統(tǒng)計和規(guī)劃
• 對今后的網(wǎng)絡(luò)規(guī)模和應(yīng)用范圍的擴(kuò)展設(shè)計一定的安全防護(hù)升級空間

4、出具信息安全規(guī)劃建設(shè)方案

6

現(xiàn)場攻防演練

事前

1、協(xié)助采購方制定符合現(xiàn)狀的應(yīng)急預(yù)案
2、★協(xié)助采購方準(zhǔn)備至少2個安全事件發(fā)生的場景，編寫演練活動腳本、臺詞等
3、安全事件場景可使用模擬漏洞，也可使用真實系統(tǒng)漏洞，若使用模擬漏洞則需投標(biāo)方自行搭建環(huán)境；若使用真實系統(tǒng)漏洞則需要投標(biāo)方提前進(jìn)行漏洞挖掘
4、協(xié)助采購方組織進(jìn)行應(yīng)急演練，測試安全事件發(fā)生時各責(zé)任部門的應(yīng)急處理協(xié)同能力
5、★本服務(wù)實施頻率為至少每年2次，并協(xié)助采購方編寫安全攻防演練報告

7

網(wǎng)頁可用性檢測

事前

1、通過HTTP、DNS協(xié)議，檢測網(wǎng)站可用性
2、支持郵件或短信告警
3、7*24實時監(jiān)測

8

應(yīng)急響應(yīng)

事中

• 當(dāng)采購方發(fā)生網(wǎng)絡(luò)安全事件時，迅速采取措施和行動，以最快速恢復(fù)系統(tǒng)的保密性、完整性和可用性，阻止和降低安全威脅事件帶來的嚴(yán)重性影響
  2、服務(wù)方式為遠(yuǎn)程或現(xiàn)場支持
  3、服務(wù)范圍:病毒傳播、網(wǎng)絡(luò)入侵和安全故障
  4、響應(yīng)時限:電話響應(yīng)15分鐘內(nèi)。若遠(yuǎn)程無法處理，則人員4小時內(nèi)到場

5、恢復(fù)后出具安全應(yīng)急響應(yīng)報告

6、★此項服務(wù)具體時間由采購方根據(jù)實際情況安排。

9

重保服務(wù)

事中

1、節(jié)假日或重大事件期間提供重保服務(wù)
2、重保內(nèi)容包括重點系統(tǒng)的漏洞掃描、安全加固、應(yīng)急響應(yīng)、人員值守等
3、★此項服務(wù)具體時間由采購方根據(jù)實際情況安排

10

滲透測試服務(wù)

事中

• 針對采購方授權(quán)的信息系統(tǒng)模擬黑客攻擊，挖掘漏洞，并嘗試獲取系統(tǒng)管理員權(quán)限
  2、測試范圍包括owasp Top10漏洞測試、第三方組件測試，權(quán)限認(rèn)證測試、社會工程學(xué)等
  3、完成后出具滲透測試報告，包含漏洞復(fù)現(xiàn)詳情及修復(fù)建議
  4、提供漏洞修復(fù)整改方案并協(xié)助整改
  5、采購方修復(fù)后，免費(fèi)復(fù)測1次

6、出具《滲透測試報告》以及符合網(wǎng)絡(luò)安全行政主管部門要求的檢測結(jié)果通報文件

7、★滲透測試系統(tǒng)數(shù)量不少于5個或以上

8、★滲透測試頻率為每季度1次或以上

11

安全運(yùn)維咨詢服務(wù)

事后

• 對采購方服務(wù)器、安全設(shè)備進(jìn)行定期巡檢
  2、巡檢內(nèi)容包括設(shè)備狀態(tài)、資源占用率、日志、告警、安全策略等
  3、完成后出具巡檢報告，并提出優(yōu)化改進(jìn)建議
  4、采購方提出安全相關(guān)問題時，需通過電話、即時通信軟件等方式及時解答

5、★本服務(wù)實施頻率為至少每月2次或以上

12

人員培訓(xùn)

事后

1、制定有針對性，符合最新形勢，符合需求的信息安全培訓(xùn)方案，確定培訓(xùn)課程，并根據(jù)實際情況進(jìn)行授課安排和實際操作體驗。時長不低于2小時。內(nèi)容包括法律法規(guī)、安全意識、攻防實操技能等
2、培訓(xùn)結(jié)束出具安全培訓(xùn)報告

3、★本服務(wù)實施頻率為每年至少2次或以上

13

安全制度制定

事后

• 提高信息安全管理水平、加強(qiáng)內(nèi)部管控、降低運(yùn)營風(fēng)險、建立一體化和規(guī)范化的信息安全運(yùn)營機(jī)制
• 提高外部威脅的應(yīng)對能力和防護(hù)水平，根據(jù)事前事中網(wǎng)絡(luò)安全的評估情況結(jié)合國家省市最新要求，及制定符合本院實際情況的安全防范、處理制度

3、出具安全制度建設(shè)方案

14

通報與整改

事后

1、采購方接到上級部門網(wǎng)絡(luò)安全通報后，提供修復(fù)建議，協(xié)助完成整改
2、此項服務(wù)實施頻率不定，根據(jù)實際通報進(jìn)行

3、出具事件處理報告