福建省纖維檢驗中心網(wǎng)絡(luò)安全運維服務(wù)項目招標(biāo)公告（FFIC2022003）

序號

名稱

服務(wù)器/虛擬機數(shù)量

部署位置

1

網(wǎng)站系統(tǒng)應(yīng)用與APP應(yīng)用

1

服務(wù)器區(qū)

2

抽檢平臺

1

服務(wù)器區(qū)

3

檢驗系統(tǒng)

1

服務(wù)器區(qū)

序號

服務(wù)項目

服務(wù)主要內(nèi)容

安全服務(wù)交付成果

頻率

1

網(wǎng)站安全檢測服務(wù)

web漏洞掃描服務(wù)：采用自動化檢測工具與平臺進行漏洞掃描。

《應(yīng)用安全檢測報告》

2次/年

漏洞人工驗證服務(wù)：安全專家對發(fā)現(xiàn)的安全漏洞進行人工驗證；

2次/年

2

業(yè)務(wù)系統(tǒng)安全檢測服務(wù)

漏洞深度測試服務(wù)：業(yè)務(wù)系統(tǒng)漏洞深度測試服務(wù)

《業(yè)務(wù)系統(tǒng)安全檢測報告》

2次/年　

漏洞人工驗證服務(wù)：安全專家對發(fā)現(xiàn)的安全漏洞進行人工驗證；

2次/年　

業(yè)務(wù)系統(tǒng)滲透測試服務(wù)：人工黑客模擬攻擊，覆蓋所有應(yīng)用功能模塊

2次/年　

3

滲透測試服務(wù)

人工黑客模擬攻擊，覆蓋所有應(yīng)用功能模塊

《滲透測試服務(wù)報告》

2次/年

4

新應(yīng)用上線測試服務(wù)

針對新上線的業(yè)務(wù)系統(tǒng)進行漏洞檢測與滲透測試服務(wù)

《應(yīng)用上線測試報告》

不超過3次/應(yīng)用

全年

5

網(wǎng)站安全監(jiān)控服務(wù)

網(wǎng)站可用性監(jiān)控服務(wù)：每5分鐘一次對網(wǎng)站首頁進行輪詢探測

《安全監(jiān)控報告》4次/年

全年

域名劫持監(jiān)控服務(wù)：每5分鐘一次對網(wǎng)站首頁進行域名劫持探測

全年

網(wǎng)頁掛馬監(jiān)控服務(wù)：每周一次對網(wǎng)站頁面進行網(wǎng)頁掛馬分析

全年

網(wǎng)站暗鏈監(jiān)控服務(wù)：每周一次對網(wǎng)站頁面進行暗鏈分析

全年

敏感內(nèi)容監(jiān)控服務(wù)：每周一次對關(guān)鍵網(wǎng)頁的敏感內(nèi)容進行監(jiān)控

全年

★網(wǎng)站監(jiān)控人工告警服務(wù)：針對網(wǎng)站監(jiān)控平臺發(fā)現(xiàn)的問題，進行人工驗證及電話告警。

全年

網(wǎng)站安全監(jiān)控報告：定期匯總安全監(jiān)控情況，并提交詳細的監(jiān)控報告。

4份/年

6

遠程安全巡檢服務(wù)

web漏洞測試服務(wù)：對web應(yīng)用進行遠程漏洞掃描，并對發(fā)現(xiàn)漏洞進行人工驗證服務(wù)。

《遠程安全巡檢報告》

4次/年

服務(wù)器遠程安全測試：對服務(wù)器進行遠程端口等掃描

4次/年

7

現(xiàn)場安全巡檢服務(wù)

系統(tǒng)安全加固服務(wù)：

業(yè)務(wù)系統(tǒng)所在操作系統(tǒng)加固，數(shù)據(jù)庫系統(tǒng)加固建議。

《現(xiàn)場安全巡檢報告》

4次/年

2) Web服務(wù)器（中間件）加固輔導(dǎo)：

針對Apache/IIS/Tomcat等Web應(yīng)用服務(wù)器（中間件）進行配置加固輔導(dǎo)與建議。

4次/年

數(shù)據(jù)庫安全評估服務(wù)：

對數(shù)據(jù)庫服務(wù)器進行安全配置核查

4次/年

數(shù)據(jù)庫安全加固建議：提供對數(shù)據(jù)庫系統(tǒng)實施數(shù)據(jù)庫的安全加固建議

4次/年

攻擊行為審計分析服務(wù)：對服務(wù)器系統(tǒng)及網(wǎng)站訪問日志進行分析

4次/年

現(xiàn)場安全巡檢報告：針對現(xiàn)場安全巡檢發(fā)現(xiàn)的問題提出加固建議和輔導(dǎo)服務(wù)

4次/年

8

遠程安全咨詢服務(wù)

7*24小時電話咨詢或即時通訊或郵件等方式解疑答惑。

安全咨詢

全年

9

現(xiàn)場應(yīng)急響應(yīng)服務(wù)

市區(qū)2小時內(nèi)突發(fā)安全事件現(xiàn)場應(yīng)急響應(yīng)服務(wù)

《應(yīng)急響應(yīng)報告》發(fā)生安全事件時提交

全年

10

安全通告服務(wù)

最新公布漏洞或0DAY漏洞及解決方法安全通告、最新的病毒動態(tài)及防治、操作系統(tǒng)、其它應(yīng)用系統(tǒng)及安全組織的安全通告。

一年不少于6期《安全通告》

全年

11

安全檢查專題服務(wù)

安全檢查協(xié)助：在監(jiān)管部門安全檢查期間，應(yīng)按要求進行專門的全面安全檢查協(xié)助服務(wù)和保障協(xié)助。

安全檢測報告

全年

管理制度輔助建設(shè)：在監(jiān)管部門安全檢查期間，協(xié)助制定管理制度

安全檢查相關(guān)制度

全年

12

應(yīng)急演練服務(wù)

網(wǎng)絡(luò)與信息安全應(yīng)急預(yù)案：定制5個預(yù)案場景的《安全應(yīng)急預(yù)案》

《安全應(yīng)急預(yù)案》

1次/年

網(wǎng)絡(luò)與信息安全應(yīng)急演練：針對1個預(yù)案場景進行應(yīng)急演練，并提交《安全應(yīng)急演練報告》

《安全應(yīng)急演練報告》

1次/年

13

漏洞跟蹤服務(wù)

針對外網(wǎng)存在每個高風(fēng)險漏洞進行人工跟蹤

漏洞跟蹤函

全年

評標(biāo)項目

評標(biāo)分值

評標(biāo)方法描述

1、服務(wù)響應(yīng)情況

48

根據(jù)各投標(biāo)人所投服務(wù)對第五章《招標(biāo)內(nèi)容及要求》“二、技術(shù)和服務(wù)要求”作出明確的逐項響應(yīng)承諾,并在《技術(shù)和服務(wù)要求響應(yīng)表》中列明是否偏離，并對其真實性負責(zé)，完全滿足招標(biāo)文件要求的得48分；技術(shù)參數(shù)中標(biāo)注“▲”號的參數(shù)，每負偏離一項扣3分（共16項）；扣完為止，正偏離不加分。 注：招標(biāo)文件中技術(shù)指標(biāo)若有要求投標(biāo)人提供相應(yīng)佐證材料的，投標(biāo)人未提供相應(yīng)佐證材料或者投標(biāo)人的響應(yīng)承諾與其佐證材料不一致的，評標(biāo)委員會將以不利于投標(biāo)人的內(nèi)容為準(zhǔn)進行評審（負偏離）。

2、服務(wù)工具

3

2.1鑒于服務(wù)報告內(nèi)容敏感性，服務(wù)報告提交需基于安全文檔管理工具進行，對服務(wù)報告的提交、查看進行權(quán)限控制，防止泄密，提供功能截圖。服務(wù)工具應(yīng)為國產(chǎn)，提供功能截圖證明的得3分，其它情況不得分，滿分3分。

3

2.2投標(biāo)人在安全服務(wù)中所采用的服務(wù)工具能夠?qū)?shù)據(jù)資產(chǎn)進行脆弱性分析，可發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)中的失蹤資產(chǎn)、僵尸資產(chǎn)、復(fù)用資產(chǎn)、未知資產(chǎn)、不明資產(chǎn)、新增資產(chǎn)、暴露資產(chǎn)、銷毀資產(chǎn)和忽略資產(chǎn)，并提供截圖。服務(wù)工具應(yīng)為國產(chǎn)，具有供應(yīng)商或所投安全運維服務(wù)提供商自主知識產(chǎn)權(quán)，具備定制化開發(fā)能力。提供數(shù)據(jù)安全監(jiān)管系統(tǒng)的國家著作權(quán)證書復(fù)印件（原件備查），同時提供著作權(quán)證書和功能截圖證明的得3分，其它情況不得分，滿分3分。

3

2.3投標(biāo)人在安全服務(wù)中所采用的服務(wù)工具采用基于動態(tài)貝葉斯博弈的APT攻擊預(yù)測技術(shù)，提供詳細的技術(shù)實現(xiàn)方法說明，且該技術(shù)實現(xiàn)方法獲得省級及以上政府權(quán)威機構(gòu)網(wǎng)站發(fā)表，提供網(wǎng)站證明截圖及網(wǎng)址，提供該技術(shù)的省級及以上政府權(quán)威機構(gòu)認證的相關(guān)證明材料（原件備查）得3分。否則不得分

3

2.4投標(biāo)人在安全服務(wù)中所采用的服務(wù)工具能夠進行網(wǎng)絡(luò)安全工作任務(wù)管理，展示任務(wù)的總體趨勢、任務(wù)來源分布、任務(wù)完成情況的相關(guān)報表數(shù)據(jù)、展示任務(wù)責(zé)任部門的列表用于展示各部門的發(fā)布任務(wù)數(shù)、指派率、轉(zhuǎn)任務(wù)率、任務(wù)及時率的情況，并提供功能截圖。提供功能截圖證明的得3分。

3

2.5投標(biāo)人在安全服務(wù)中所采用的工具支持分布式網(wǎng)絡(luò)安全監(jiān)控技術(shù)，提供詳細的技術(shù)實現(xiàn)方法說明，且該技術(shù)實現(xiàn)方法獲得省級及以上政府權(quán)威機構(gòu)網(wǎng)站發(fā)表，提供網(wǎng)站證明截圖及網(wǎng)址，提供該技術(shù)的省級及以上政府權(quán)威機構(gòu)認證的相關(guān)證明材料（原件備查）得3分，否則不得分。

3

2.6投標(biāo)人在安全服務(wù)中所采用的工具采用基于博弈體系的APT防御技術(shù)，提供詳細的技術(shù)實現(xiàn)方法說明，且該技術(shù)實現(xiàn)方法獲得省級及以上政府權(quán)威機構(gòu)網(wǎng)站發(fā)表，提供網(wǎng)站證明截圖及網(wǎng)址，提供該技術(shù)的省級及以上政府權(quán)威機構(gòu)認證的相關(guān)證明材料（原件備查）得3分，否則不得分。

3

2.7投標(biāo)人在安全服務(wù)中所采用的服務(wù)工具需具備工作臺功能，支持展示受攻擊事件詳情，包括時間、源IP、目的IP、協(xié)議、威脅類型等，同時支持協(xié)議解析功能，能夠針對協(xié)議類型、文件類型進行文件還原。提供功能截圖。服務(wù)工具應(yīng)為國產(chǎn)，提供威脅檢測與防御系統(tǒng)的國家著作權(quán)證書復(fù)印件（原件備查）的得2分，同時提供著作權(quán)證書和功能截圖證明的得3分，其它情況不得分，滿分3分。

3

2.8投標(biāo)人在安全服務(wù)中所采用的工具采用防泄密的服務(wù)器網(wǎng)絡(luò)安全裝置，提供詳細的技術(shù)實現(xiàn)方法說明，且該技術(shù)實現(xiàn)方法獲得省級及以上政府權(quán)威機構(gòu)網(wǎng)站發(fā)表，提供網(wǎng)站證明截圖及網(wǎng)址，提供該技術(shù)的省級及以上政府權(quán)威機構(gòu)認證的相關(guān)證明材料（原件備查）得3分，否則不得分。

評標(biāo)項目

評標(biāo)分值

評標(biāo)方法描述

F3.1

3

投標(biāo)人所投安全服務(wù)商投入本項目的項目經(jīng)理須具備較強的項目管理能力與信息安全集成能力，即具有IT服務(wù)項目經(jīng)理（ITSS）認證，同時具有CCSK云計算安全知識認證書并獲得國家信息安全測評中心認證的注冊信息安全專業(yè)人員（CISP）證書，并獲得國家信息安全技術(shù)水平證書。提供相關(guān)證書復(fù)印件和近6個月的社保部門出具的社會保險繳納證明材料，材料齊全的得3分，其它情況不得分，滿分3分。

F3.2

3

投標(biāo)人所投安全服務(wù)商的安全服務(wù)團隊具有至少3名工程師具備安全服務(wù)實施能力，國家信息安全測評中心認證的注冊信息安全專業(yè)人員（CISP）證書。提供相關(guān)證書復(fù)印件和近6個月的社保部門出具的社會保險繳納證明材料，材料齊全的得3分，其它情況不得分，滿分3分。

F3.3

3

投標(biāo)人所投安全服務(wù)商的安全服務(wù)團隊具有至少3名工程師具備風(fēng)險評估實施能力，具備CISAW風(fēng)險評估證書。提供相關(guān)證書復(fù)印件和近6個月的社保部門出具的社會保險繳納證明材料，材料齊全的得3分，其它情況不得分，滿分3分。

F3.4

3

投標(biāo)人承諾在本項目期間不得隨意更換項目負責(zé)人員，如需更換需征得采購人同意，且需保證項目的正常進行，不影響提供的技術(shù)服務(wù)及其質(zhì)量。（承諾函格式自擬，有承諾的得3分，未承諾的不得分；若投標(biāo)人承諾后，在服務(wù)期內(nèi)發(fā)現(xiàn)投標(biāo)人未能按承諾中執(zhí)行，按中標(biāo)人提供虛假材料謀取中標(biāo)、成交的，采購人有權(quán)追究其相應(yīng)的法律責(zé)任且對采購人造成的損失做出賠償）

F3.5

3

投標(biāo)人提供的服務(wù)響應(yīng)時間進行承諾，服務(wù)響應(yīng)時間≤2小時的得3分，（承諾函格式自擬，有承諾的得3分，未承諾的不得分；若投標(biāo)人承諾后，在服務(wù)期內(nèi)發(fā)現(xiàn)投標(biāo)人未能按承諾中執(zhí)行，按中標(biāo)人提供虛假材料謀取中標(biāo)、成交的，采購人有權(quán)追究其相應(yīng)的法律責(zé)任且對采購人造成的損失做出賠償）。

F3.6

3

投標(biāo)人從2017年1月1日起至本項目投標(biāo)截止時間止（業(yè)績認定時間以合同簽訂時間為準(zhǔn)）具有國內(nèi)同類安全服務(wù)實施業(yè)績，每提供一份得1分，總分3分。注：需提供中標(biāo)或成交公告、中標(biāo)或成交通知書、采購合同文本復(fù)印件，未能提供上述證明材料者不得分。