项目编号：TYZX20230616

江苏省澳门新京ww6692am智慧校园建设已进入施工实施阶段，为保障智慧校园软件系统达到好用、能常态化推广程度，达成设计方案、招投标书的功能与要求，让智慧校园软件系统可靠、有效地在学校教育、教学工作发挥作用，经上级部门同意，澳门新京ww6692am决定进行智慧校园项目等保服务公司招标工作。有关事项如下：

一、招标项目简要说明

本项目共采购《江苏省澳门新京ww6692am相关系统等级保护测评服务》中相关的等保测评、测评报告、第三方服务等所有需求等，价格按《无锡市锡山区重点建设项目管理中心》（以下简称区建管中心）议价要求签订合同，投标要求详细见本招标文件的投标文件格式。

预算：10万元（含）以内。

二、投标人资格要求

投标人参加本次学校采购活动必须具备：

A、为有效期内经国家工商行政管理机关注册并登记的有相关资质的法人企业、公司；

B、具有《网络安全等级测评与检测评估机构服务认证证书》。

三、其他要求：

1．投标书正本一份、副本五份（投标时必须密封）。

2．此项目需要投标单位报名前到学校项目负责部门教务处实地了解技术具体情况，报名后，视作已经全部了解项目要求。

3．项目完成周期：同江苏省澳门新京ww6692am智慧校园软件完成竣工验收，及运维期三年结束后的一个月内，特殊产品除外。中标单位中标后在一周内，必须与区建管中心签订相关服务合同，如区建管中心允许的情况下，可以与澳门新京ww6692am先签订实施服务协议，如因区建管中心延期签订合同，视作符合招投标时效，具体付款方式，由区建管中心确定。

4．项目有效期：同江苏省澳门新京ww6692am整个智慧校园系统软件系统，大数据局验收完成；

5．付款金额与方式：由区建管中心与中标单位双方议价签订合同（含付款金额与方式等）。

6．项目验收：本项目依据无锡市大数据管理局文件锡数发〔2021〕24号《关于印发《无锡市使用财政性资金信息化项目验收管理办法（试行）》的通知》相关文件要求进行验收。

四、招标文件发布

1、招标文件发布时间：2023年6月5日

2、招标文件发布方式：校园网对外、邀请招标 

3、招投标报名时间：2023年6月6日—6月14日 (工作日8：00—11:00；13:30—16：30)

4、报名地点：江苏省澳门新京ww6692am财务处（综合楼一楼财务处A123室）；联系电话：88223007

5、招标文件领取方式：电子文档（自带U盘）。

6、答疑时间：2023年6月12日上午10:00。

7、答疑地点：江苏省澳门新京ww6692am天一综合楼A103会议室。

五、开标有关信息

1．开标时间：2023年6月16日上午8:00。

2．开标地点：江苏省澳门新京ww6692am天一综合楼A103会议室。

六、本次招标联系事项

联系人：蒋俊、钟华、冯丹沁、俞金炎（信息中心技术答疑） 

电  话：0510-88223006   88223007   88223002 （教务处技术答疑）

传  真：0510-82269600

地  址：江苏省澳门新京ww6692am总务处、财务处、教务处

邮  编：214101                    网  址：/

七、有关本次招投标活动方面的问题，可来人、来函(传真)或电话联系，本项目最终解释权归江苏省澳门新京ww6692am所有。

江苏省澳门新京ww6692am

二○二三年六月五日

澳门新京ww6692am等保服务公司项目报名表

说明：报名时提供：1、报名表；2、有效的营业执照复印件；3、法人身份证复印件或者代理人授权书及代理人身份证复印件。4、符合软件第三方测评资质的证明材料；5、提供保密承诺书

附1：委托书格式文件：

(投标人)法定代表人授权委托书(格式)：

法定代表人授权委托书

江苏省澳门新京ww6692am：

无锡市锡山区重点建设项目管理中心：

                          系中华人民共和国合法企业，特授权             代表澳门新京ww6692am公司(单位)全权办理针对本项目(项目名称：澳门新京ww6692am等保服务公司；项目编号：TYZX20230616)的参与谈判、签约等具体工作，并签署全部有关的文件、协议及合同。

澳门新京ww6692am公司(单位)对被授权人的签名负全部责任。

在撤销授权的书面通知送达你处以前，本授权书一直有效，被授权人签署的所有文件(在授权书有效期内签署的)不因授权的撤销而失效。

被授权人情况：

姓名：                                性别：                              

身份证件号码：                        电话：                                             

被授权人(签字或盖章)：                   

单位名称(盖章)：                       

授权人：法定代表人(签字或盖章)：               电话：                

日期：                                  

采购需求

一、项目背景

为贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神；同时，根据《中华人民共和国网络安全法》的要求，将对《智慧校园项目等保服务》系统开展信息安全等级保护测评。

二、项目依据

1、法律法规及相关政策依据

1)                      《中华人民共和国网络安全法》

2)                      《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)

3)                      《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号)

4)                      《关于信息安全等级保护工作的实施意见》(公通字〔2004〕66号)

5)                      《信息安全等级保护管理办法》(公通字〔2007〕43号)

6)                      关于开展信息安全等级保护安全建设整改工作的指导意见(公信安〔2009〕1429号)

7)                      《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安〔2010〕303号）

2、技术标准

1)                      《信息安全技术信息系统安全等级保护实施指南》(GB/T 25058-2010)

2)                      《计算机信息系统安全保护等级划分准则》(GB 17859-1999 )

3)                      《信息安全技术信息系统安全等级保护定级指南》(GBT 22240—2020)

4)                      《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）

5)                      《信息安全技术 网络安全等级保护测评要求》(GB/T 28448-2019)

6)                      《信息安全技术 网络安全等级保护过程指南》（GB/T28449-2018）

7)                      《信息安全技术信息安全风险评估规范》（GB/T 20984—2007）

8)                      《信息安全技术信息技术安全性评估准则》（GB/T 18336）

9)                      《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）

10)                      《信息安全技术网络基础安全技术要求》（GB/T20270-2006）

11)                      《信息安全技术操作系统安全技术要求》（GB/T20272-2006）

12)                      《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006）

13)                      《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）

14)                      《信息安全技术信息系统安全管理要求》（GB/T 20269—2006）

15)                      《信息安全技术信息系统安全管理测评》（GA/T 713-2007）

16)                      《信息技术安全技术信息安全管理体系要求》（GB/T22080-2008）

17)                      《信息技术安全技术信息安全管理实用规则》（GB/T22081-2008）

18)                      《信息安全技术信息系统安全保障评估框架》（GB/T 20274）

三、项目内容及要求

通过风险评估、安全扫描和渗透测试等测评手段，准确反映平台的安全防护能力现状，对发现的问题进行深入分析，最终出具信息系统等级保护测评报告。

1、项目实施原则

（1）客观性和公正性原则：

测评人员在项目实施过程中应无偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式和解释，实施测评活动。

（2）可重复性和可再现性原则：

依照同一要求，使用同一测评方式，对每个测评实施过程的重复执行应该得到同样的结果。可再现性和可重复性的区别在于，前者与不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。

（3）连续性原则：

确保在高速变化的信息安全环境中，在有效的服务期间内，保证等级测评结论的准确性和及时性，对于新投产的信息系统和服务，或新建立的信息化项目，进行局部系统的重新测评。

（4）扩展性原则：

在测评过程结束后，信息安全等级保护测评过程要保持扩展性，从扩展的属性上进一步加强测评结束后采购方的安全管理有效性和可用性。

（5）保密原则：

在测评过程中，需严格遵循保密原则，双方签订保密协议，对服务过程中涉及到的任何用户信息未经允许不向其他任何第三方泄漏，以及不得利用这些信息损害采购方利益。

（6）互动原则：

在整个测评过程中，强调采购方的互动参与，每个阶段都能够及时根据行内要求和实际情况对测评的内容、方式做出相关调整，进而更好的进行等级测评工作。

（7）最小影响原则：

测评工作应该尽可能小地影响系统和网络的正常运行，不能对业务的正常运行产生明显的影响（包括系统性能明显下降、网络阻塞、服务中断等），如无法避免，则应做出说明。

（8）规范性原则：

信息安全等级保护测评服务的实施必须由专业的测评服务人员依照规范的操作流程进行，对操作过程和结果要有相应的记录，并提供完整的服务报告。

（9）质量保障原则：

在整个测评过程中，须特别重视项目质量管理。项目的实施将严格按照项目实施方案和流程进行，并由项目协调小组从中监督，控制项目的进度和质量。

2、项目内容

根据各信息系统的安全保护等级需求，依据国家及行业等级保护标准，通过信息安全等级保护测评的方法，在澳门新京ww6692am智慧校园项目实施方案讨论期间、实施过程中、实施完成后的初步验收过程、运维3年期间，提供四个阶段的服务，查找整个智慧校园软件系统各安全层面与相应安全保护等级标准的差距，明确存在的安全问题及现有安全措施的有效性，并针对安全问题关联的资产、威胁、脆弱性，综合分析信息系统面临的安全风险，寻求风险降低或规避的方法、提出建设整改建议（分三次）、编制建设整改方案、提供整改实施技术支持。并在整改实施完成后，通过开展等级测评工作，验证建设整改的效果及与标准的符合度，明确信息系统是否达到了相应安全保护等级的防护能力。编制提交《信息系统安全等级测评报告》，同时为以后的安全决策、安全管理、安全运维、持续整改提供依据，整个服务期，为建设期+运维期3年，合计会超过4年(具体同澳门新京ww6692am智慧校园项目进度)。

具体工作内容及要求如下：

1、开展信息系统安全等级保护现状测评工作

依据相关标准，结合行业特点和自身安全需求，为信息系统开展信息系统安全等级保护现状测评工作，提供包括但不限于以下服务内容：

1）信息收集：对项目涉及的所有信息系统开展调研工作，明确所有系统的物理环境及机房基础设施情况，网络架构，网络设备、安全设备部署情况，服务器分布及操作系统、数据库系统使用情况，应用系统业务流程、数据流向、用户群体情况，数据传输及存储备份情况，系统的高可用性需求情况，安全管理制度建设及执行情况。并根据收集的信息建立基础台账。

2）方案编制：根据收集的基础信息，识别各信息系统网络结构及其网络覆盖范围，系统构成、资产识别与赋值、威胁识别与赋值，明确检测评估目的及流程、明确检测评估对象及指标、明确检测评估方法及工具扫描接入点、明确检测评估实施步骤及配合需求、明确检测评估的实施计划。并据此编制实施方案、开发实施指导书。

3）现场检测评估实施：依据测评方案、参照实施指导书，通过访谈、检查、测试、实地查看等方法开展现场检测评估活动，详细记录每个检测评估对象的安全现状。形成现场检测评估记录表。

4）数据汇总分析：根据现场检测评估记录，按照物理安全、网络安全、主机安全、应用安全、数据安全、安全管理几个安全层面，汇总各安全层面测评对象的安全现状，明确已有安全措施的有效性，识别测评对象关联资产的脆弱性。形成安全措施汇总表、安全问题汇总表。

5）安全问题交流：通过交流会的形式，对安全措施汇总表、安全问题汇总表中的内容进行沟通交流，明确安全问题是否真实存在，如有遗漏或不确定项需进行补充检测并详细记录结果；并针对存在的问题，结合威胁被利用的可能性、威胁被利用后的后果严重性，交流降低或规避风险的方法，提出初步的建设整改建议。

6）建设整改方案设计：在明确安全问题的基础上，依据交流的建设整改建议，结合平台实际情况，编制建设整改方案，为整改实施提供依据。

2、开展信息系统安全等级保护符合性测评工作

采购方建设整改工作完成后，针对现状测评过程中存在的安全差距开展符合性测评工作，确认之前存在的问题是否已经解决，验证整改活动是否已经切实有效的执行。若未完成，需配合采购方继续进行安全建设整改工作；当整改工作中的主要安全问题已基本解决，则编制提交《信息系统安全等级测评报告》。

3、安全培训工作

向江苏省澳门新京ww6692am提供一次网络安全等级保护相关安全培训；

4、项目实施方案，技术支持和服务保障

（1）针对本项目所描述项目需求进行业务分析并提出项目总体实施方案、测评方案。

（2）实施方案，包括项目进度表和组织机构。

（3）技术支持和服务,要求制定详细的支持和服务保障方案，提供服务项目清单及自身服务承诺 (包括服务周期时间、费用)。

（4）为完成本项目，投标方应组建工作小组、明确组成人员职责。

（5）在项目现场实施周期内，投标人须为本项目成立等级保护测评小组，安排包括项目经理和核心技术人员在内现场驻场服务；驻场人员未经采购方同意项目实施途中不得随意更换；成员均须具有信息安全等级测评师资格，必须符合投标时投标文件中明确的人员。

投标文件

（投标单位根据采购需求自行制定）