招标代理公司（立即查看） 受业主单位（立即查看） 委托，于2023-07-20在采购与招标网发布 2023-2024年度大洋网网络信息安全运维服务项目。现邀请全国供应商参与投标，有意向的单位请及时联系项目联系人参与投标。 （略）”）拟对（略）-（略）络信息安全运维服务采购项目通过询价方式选择服务单位，欢迎符合资格条件的单位参加。一、项目基本情况1.项目名称：（略）-（略）络信息安全运维服务项目2.项目类别：服务类3.采购控制价：（略）4.采购方式：公开询价5.采购内容：详见第三点项目需求描述。二、报价单位的资格条件1.报价单位应为在中华人民共和国（略）的具有独立民事责任的法人或其他组织，并取得与本项目相关经营范围许可。（略）支机构报价的，须提（略）出具（略）取得的相关资质证书对（略）支机构有效，法律法规或者行业另有规定的除外。2.报价单位不得存在以下情况：（1）被责令停业；（2）被暂停或取消报价资格；（3）财产被接管或者冻结；（4）在最近三年内在经营活动中有重大违法记录、有重大未了结债务纠纷。（提供《资格声明函》）。3（略）络安（略）或（略）的信息安全服务资质认证证书信息安全风险评估（三级或以上）；提供相关的资质认证证书复印件并（略），4.本项目不接受联合体报价。（提供《资格声明函》）。三、项目需求注：本招标文件中凡标有“★”的地方均被视为重要的指标要求。投标人要特别加以注意，必须对此具体、明确响应并完全满足这些要求，但带“★”的指标不按投标无效处理。1.概（略）络攻击，公司在进行数字化转型以及技术迭代（略）的底座和基石，因（略）安全合规性、杜绝或避免安全事件发生是势在必行，也是务必篡实的红线。单位内部资产包括不限于（略）站（人民（略）机房）的关键基础设施提供日常信息安全监测预警、（略）的（略）络设备（略）络架构、安全技术措施、安全管理制度等方面，提供专项渗透测试、风险评估服务、重要时期值（略）攻防演练、日常应急响应服务等。1（略）站安全监控预警、漏洞监控预警、重要时（略）进行专项渗透测试和信息安全风险评估。2（略）进行风险评估识别和评价，对内部所有信息安全现状进行风险（略）析、计算与评价服务。3）实施应急响应服务、攻防演练服务、入侵痕迹（略）析的安全技术手段进行（略）已采取的安全措施的合理性和有效性进行技术评估，并通过评估过程中发现的问题以及采取的安全措施，进行综合（略）析（略）面临安全事件的防护能力。4（略）的（略）体信息安全评估，包括漏洞扫描、数据安全评估服务，作为后期的信息安全规划作为有力的（略）风险评估报告，包含高危风险漏洞的安全监控，完成重大活动期间监控。提供的安全服务风（略）站实施技术加固。5）实施迎检自查专项服务，提前摸清与梳理单位内部资产及安全防御现状，通过使用各种评估手段，不限于渗透测试、漏洞扫描、合规配置检查、敏感数据梳理等服务，提前做好安全加固及防御，满足上级部门监管及考核要求。6）安全意识（略）络安全运营是一个复杂的动态过程，需要人员全员参与，共同提升安全意识及技能，可以做到降低某个环节的单点安全隐患的发生；对于专业的IT管理人员需要进一步提升技能及安全管理知识提升，降低安全运营过程中的误操作和意识错误发生的安全事件，因此对于这些专业人员获取相关专业IT安全证书，是非常有必要的。2.安全运维服务要（略）络安全运维服务，包括核实现有的IT资产，完善各类信息管理制度（略）络、资产（主机、（略）络设备等）中存在的潜在威胁及风险，制定可行（略）安全（略）改（略）的稳定持续运行，提高核心业务数据安全保护能力。范围：站点包含*dayoo.com*dayoo.cn*Lifeofguangzhou.com、以及主机托管于较场西机房的其它代运维站点。三大机房：人（略）机房服务器和安全设施。2.1关键基础设施协同监测预警1（略）站安全监（略）进行长期监控，监控服务不限于SQL注入、跨站、信息泄露、可用性等。2漏洞监控预警,扫描结果人工验证。3敏感信息监测预警，对站内敏（略）站出现非法敏感。4重要时期监测，根据需求提供高频监控，监控周期最短半小时1次。5安全预警通（略）爆发的漏洞，及时发布预警通报和修复漏洞。2.2（略）站安全专项渗透测试1针对监管部门、第三方安全服务机构和日常安全运营过程中发现的Web漏洞，需要开展漏洞验证工作，以二次确认该漏洞是否真实存在，避免误报或漏报，同时针对单（略）开展深度渗透测试，最后指导管理员进行漏洞加固。2以远程或（略）方式提供服务，根据甲方要求不限次数进行Web漏洞验证、每（略）的渗透测试。2.3信息安全风险评估服务1）信息资产识别与评（略）进行风险评估的资产进行识别与评价。威胁识别与（略）进行各种威胁识别与评价。2）脆弱性识别与评价，对单位内部需要进行风险评估的资产进行脆弱性识别与评价（包括基线配置核查（略）漏洞扫描、（略）个，半年一次，共二次。3）风险（略）析与计算、评价，目前对单位内部所有信息安全现状进行风险（略）析、计算与评价服务。4）报告编制与项目验收，对所有安全问题，根据信息安全现状进行报告编制，同时完成所有交付物，进行项目验收工作。2.4关键基础设施攻防（略）的攻防实战演练方案，并根据（略）攻防实战演练，及时复盘演练情况，更新应急预案和安全防御措施。每一季度一次，全年共四次。2.5应急响应服务针对信息安全领域疑似非法攻击事件进行处置，包括突发安全事件远程技术支持、突发安全事件（略）技术支持、安全事件溯源及调查取证、保障业务连续性和安全事态控制。按实际情况全年不少于6次。计次以完成当次（略）个应急响应事件的保障服务。2.6漏洞扫描主要是根据已有的安全漏洞知识库，模拟黑客（略）等各种信息资产所存在的安全隐患和漏洞。安全扫描的方式（略）络扫描。针对用户全量服务器设备，每季度一次2.7迎检自查（上级部门检查）1）投标人熟悉国家安全合规政策、同时熟悉单位内部的业务流程和标准，以及对迎检流程熟悉。按照迎检要求，提供相关服务工作，（略）站渗透测试、（略）安全检测、漏洞扫描、基线配置核查等，并提供安全（略）改协助和回归测试服务。2）由资深安全专家提供远程和（略）迎检自查服务，服务周期内按需提供服务及相关迎检资料输出。2.8重要时期值守安全保障1）投标人在重要时期，包括但不限于：两会、五一、国庆、春节等重大节假日和重要活动。通过（略）或远程值守、应急响应、突发事件处（略）提供重大（略）安全技（略）在重大时期间能够及时应对各类信息安（略）安全稳定运行。2）由资深安全专家提供远程或（略）值守服务，不少于（略）天、（略）人（8小时班）次，服务周期内按需提供服务及相关报告输出。2.9数据安全审计1（略）络安全法》、《数据安全法》、《个人信息保护法》、《数据安全管理办法（草案）》、《个人信息安全规范》等法律法规与标准，从数据的生命周期（略），如采集、传输、存储、处理、交换、销毁，以及组织管理、合规管理与管理安全进行数据安全评估，满足国家安全合规政策以及提升数据安全防护水平。2）抽查5（略），以远程与（略）结合方式提供服务，服务周期内提供一次审计实施服务。2.（略）络安全培训1）对单位内部的相关人员进行（略）络安全政策解读、国际安全（略）络安全意识宣传等内容，使相关人员提高信息安（略）安全合规工作要求。以及提升管理人员的资质水平，开展安全从业人员培训及人员认证。具体培训课题以双方沟通结果为准，不限于（略）或线下进行安全培训。2）以远程或（略）方式提供服务，服务周期内提供2（略）络安全方面培训和1名CISP相关方向的认证培训。3.服务清单及报告要求四、服务支撑要求4．1项目实施要求1）（略）络结构、业务流程和标准，以及对迎检工作流程熟悉，并按高质量交付项目。2）项目实施前，投标人需求制定项目实施方案，包括进度计划、人员（略）工、风险规避及质量保证等；3）实施漏洞扫描、渗透测试工作前，必须将实施方法、实施时间、实施人员、实施工具等具体实施方案提交招标方技术（略）相应授权后才进行实施。投标（略）对漏洞扫描、渗透测试所有细节和风险知晓、（略）控制下进行。否则（略）风险，由投标人承担；★4）投标人在广州本地应具有（略）支机构，并拥有专属本地化团队和社保证明，能及时响应项目要求。5）保（略）书面许可，投标人不得将评估工作中涉及的内容及评估报告的任何（略）以外（略）书面许可，投标人才允许将评估报告（限于必要部（略））向第三方披露，并保证第三方不将相关信息透露给其它人；6）在项目实施过程中，投标人应具备项目质量控制的保障措施，确保项目实施高质量地交付，所有交付物严格经过质量审计、评审，（略）。★4.2安全服务支撑工具要求为更好辅助安全风险评估实施工作，投标人应（略）、不同的业务需求，自动化生成风险评估报告、漏洞管控和趋势（略）析，参选人在参选（略）的原厂授权证明，同时（略）功能要求如下：1）资产管理支持通过不同的业务需求，导入不一样的资（略）络安全设备、服务器、存储设备，并且自动关联对应项目。导入后可以展示，展示列表有名（略）、地址等。支持通过资产库，以及以往的项目，一键导入资产，以及相对应的客户单位。2（略）中发现所有接口、所有接口请求方法。支持接口访问量、URL数量、敏感接口数量、访问IP数量、日均访问量查看、排序的功能。3）生成报告支持通过风险扫描，自动生成基线报告、支持对基线报告的创建、编辑、删除功能，支持展示检测发现的所有重要资产（略）。支持展示合规报告的具体检查情况，具体项目如：检查点、风险描述、测评类别、判定依据等。支持通过调研表、漏洞扫描记录、渗透测试报告、基线表、自动生（略）风险评估报告。支持把风险评估报告、风险表以word、html的形式（略）到线下（略）析支持通过富文本编辑器描写报告某项、通过html自动插入到报告。4）（略）管理（略）支持环境扫描检测、判断是否机器操作还是人为操作、支持用户账号密码加密传输、支持SHA（略）、MD5加密，检测是否弱密码、支持LDAP（略）接入、支持（略）接口多参数验证校验。支持用户（略）存活验证时长设置、支持（略）次数限制、（略）IP限制、用户账号限制等。5）权限管理支持对用户访问菜单、访问接口、对应（略）色、可访问客户、项目等权限设置；支持对接口访问权限单独设置、支持对敏感应用设置、包括数据库、日志、（略）、校验参数等；支持对敏感接口、敏感数据检测，对大量敏感数据接口进行优化、限制IP白名单。6）知识库支持知识库多版本管理，支持多版本的数据互相流通、互相导入。支持威胁库、弱点库、风险库、基线库、漏洞库、测试工具库等新增、编辑、删除管理。支持对基线表进行风险描述判定。7）项目管理支持对客户信息，包括单位名称、联系人、地址以及负责人等编辑、新增、删除等支持对项目管理、进行项目状态判断、对项目以及评估单位进行关联、支持生成风险评估报告时、指定知识库以及项目生成支持对项目资料管理、对调研表等资料的（略）、自动（略）析，生成对应结果等。8）风险统计（略）析支持对基线弱点自动判断、生成对应的风