太原公共交通控股（集团）有限公司一卡通系统进行等级测评事宜招标

太原公共交通控股（集团）有限公司一卡通系统进行等级测评事宜招标
尊敬的供应商： 您好!我公司就一卡通系统进行等级测评事宜向社会公开询价，诚邀贵公司参加，现将有关事项说明如下： 一、基本需求 后附《**公共交通控股（集团）有限公司网络安全等级保护测评技术参数》 二、注意事项 *、本次询价为整体测评工作，供应商报价时须写明单价及总价(价税分离)，合同期内，测评公司应不定期按甲方要求，针对相应的测评系统进行安全检测，满足**部信息安全等级三级要求，并结合甲方实际情况（如相应系统的升级、改版等）免费配合甲方完成后续整改和相关部门检查等工作，满足国家信息化、网信办、**局等相关部门的标准和要求。 *、成交原则：在符合询价需求、资质和服务相等的前提下，以提出报价最低的供应商作为成交供应商。供应商报价和承诺一经认可，即为成交合同价格。 *、供应商如对本询价函报价，即不可撤回，报价有效期**日历日。否则，供应商将在一年内不再作为潜在供应商受邀参加我公司任何采购活动。 *、供货期：合同签订后十日内。 *、供货地点：询价方指定。 *、付款方式：签订合同，出具测评方案及测评报告并提交**部门支付合同金额**%，满一年后支付剩余**%。供应商收款需提供全额增值税发票，价税分离。 *、本次询价采取邀请函询价，被询价供应商须于****年**月 **日**时携带密封的《报价函》一式两份至**西街**号公交集团大楼**层信息中心。 询价单位联系电话：*********** 联系人康文波 采 购 监 督 电话： ****-******* ****年**月**日 **公共交通控股（集团）有限公司 网络安全等级保护测评技术参数 ****年**月 * 采购内容 根据《中华人民**国网络安全法》、《信息安全技术 信息系统安全等级保护定级指南》、《信息安全技术 网络安全等级保护测评过程指南》要求，为**公共交通控股（集团）有限公司的公交一卡通系统提供网络安全等级保护测评工作，本次测评的系统为三级系统。测评内容涵盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等信息安全的各个层面。 * 资质条件 *.* 供应商应符合《中华人民**国政府采购网》第二十二条规定条件 （*） 具有独立承担民事责任的能力； （*） 本项目不接受联合体投标； （*） 具有良好的商业信誉和健全的财务会计制度； （*） 具有履行合同所必需的设备和专业技术能力； （*） 有依法缴纳税收和社会保障资金的良好记录； （*） 参加政府采购活动前三年内，在经营活动中没有重大违法记录； （*） 具有信息安全等级保护测评机构推荐证书； （*） 法律、行政法规规定的其他条件； （*） 投标人须在中国**政府采购网等级测评机构公示名单范围。 *.* 相关要求 （*）供应商必须具有国家网络安全等级保护工作协调小组办公室颁发的《网络安全等级保护测评机构推荐证书》,符合晋公通字【****】**号文件要求。 （*）对在“信用中国”网站(www.creditchina.gov.cn)、中国政府采购网(www.ccgp.gov.cn)等渠道列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单及其他不符合《中华人民**国政府采购法》第二十二条规定条件的供应商，不得参与此次政府采购活动。 * 技术要求 *.* 等级保护测评服务 *.*.* 目的 根据中华人民**国《网络安全法》的第二十一条及等级保护政策要求，网络运营者履行等级保护制度要求，为保障**公共交通控股（集团）有限公司信息系统的安全性，提高对安全事件的应急处置能力，根据《信息安全等级保护管理办法》（公通字[****]**号）文件要求，对**公共交通控股（集团）有限公司的公交一卡通系统进行等级测评，并交付相应报告。 *.*.* 测评依据 l 《信息安全等级保护管理办法》（公通字〔****〕**号） l 《信息安全技术 网络安全等级保护基本要求》（GB/T *****-****） l 《信息安全技术 网络安全等级保护安全设计技术要求》（GB/T *****-****） l 《信息安全技术信息系统安全等级保护实施指南》（GB/T *****-****） l 《信息系统安全等级保护体系框架》（GA/T ***-****） l 《信息系统安全等级保护基本模型》（GA/T ***－****） l 《信息安全技术 网络安全等级保护测评要求》（GB/T *****-****） l 《信息安全技术 网络安全等级保护测评过程指南》（GB/T *****-****） *.*.* 测评内容和方法 本次信息系统测评内容主要为：从技术上的安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心五个层面和管理上的安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个层面分别进行。 *.安全物理环境测评需通过访谈、文档审查和实地察看的方式测评信息系统的物理安全保障情况；涉及的安全控制点包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护； *.安全通信网络测评需通过核查和验证测试的方式验证通信网络安全性，主要验证对象为广域网、城域网和局域网等；涉及的安全控制点包括网络架构、通信传输和可信验证； *.安全区域边界测评需通过核查和验证测试的方式验证网络区域边界的安全性，主要对象为系统边界和区域边界等；涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计和可信验证等； *.安全计算环境测评需通过核查、验证测试、渗透测试等方式验证计算环境安全性，主要对象为边界内部的所有对象。包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等；涉及的控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护等； *.安全管理中心测评需通过核查和验证测试的方式验证安全管理中心的安全性，主要对象为集中管控平台、集中运维平台、日志审计系统等。涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控等； *.安全管理制度测评将通过访谈和检查的方式测评信息系统的安全管理制度建立情况。主要涉及对象为：信息安全管理体系、日常安全管理制度、重要操作规程及相关执行记录等； *.安全管理机构测评将通过访谈和检查的方式测评信息系统的安全管理机构建立情况。主要涉及对象为：安全管理机构设立文档、信息安全小组名单、岗位说明书等文档及执行记录； *.安全管理人员测评将通过访谈和检查的方式测评信息系统的人员安全管理方面情况。主要涉及对象为：人事管理制度、外部人员访问要求等安全管理制度及执行记录； *.系统建设管理测评将通过访谈和检查的方式测评信息系统的系统建设管理方面情况。主要涉及对象为：系统建设过程中涉及的相关文档，如：系统定级报告、安全设计方案、测试验收报告等文档及软件开发、工程实施等方面的安全管理制度及执行记录； **.系统运维管理测评将通过访谈和检查的方式测评信息系统的系统运维管理方面情况。主要涉及对象为：系统运维过程中涉及的安全管理制度及执行记录； *.*.* 测评过程 根据国家标准《信息安全技术—网络安全等级保护测评过程指南》的规定，测评过程分为四个阶段： （一）测评准备活动：主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。 （二）方案编制活动：主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等,形成测评方案。 （三）现场测评活动：主要任务是按照测评方案的总体要求，严格执行测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。 （四）报告编制活动：主要任务是根据现场测评结果和GB/T *****-****的有关要求，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。 *.*.* 等保测评文件输出 测评机构需在测评工作结束后，依据《网络安全等级保护测评报告模板****版》出具符合等保*.*测评要求的测评报告。