湖南招标网

品目号

品目名

数量（单位）

1-1

X工略信息系统等级保护测评和风险评估服务

1次

本次等级保护测评对象为：X工程职业技术、教务管理系统、学管系统、办公系统、人事系统、数字化信息门户、移动APP、略、一卡通、课程资源管理系统等10个系统。

2.服务内容

对被测评信息系统开展二级安全等级保护测评。略完成等级保护备案。测评内容包括：

①物理安全测评

②网络安全测评

③主机安全测评

④应用安全测评

⑤数据安全测评

⑥安全管理制度测评

⑦安全管理机构测评

⑧人员安全管理测评

⑨系统建设管理测评

⑩系统运维管理测评

对略风险评估，评估内容包括：网络结构评估、操作系统配置核查、应用系统安全评估、数据库安全评估、漏洞扫描、渗透测试、管理制度评估、风险分析及计算、略置建议。略加固。

网络设备和安全设备安全配置检查主要是以人工的方式验证其安全配置是否符合其安全策略要求，检查的内容至少包括：远程管理服务、认证方式、管理IP地址控制、console端口管理、Service password密码、enable密码、帐户登录空闲时间、密码长度、更改SNMP的团体串、转存日志、日志保存要求、login banner信息、NTP服务使用、BGP认证、略络设备端口控制、MAC绑定、网络端口等。

主要对操作系统的略检查，检查内容至少包括：管理远程工具、访问控制、限制系统无用的默认账号登录、账号远程登录、口令策略、日志记录、日志存储、日志保存、日志系统配置文件保护、日志文件保护、服务优化、文件权限、控制用户登录会话、关键文件的安全保护等相关配置。

主要对数据库管理系统的略检查，检查内容应至少包括主机管理员帐号、数据库帐号、默认帐号、重要帐号设置、口令策略、帐号策略、public权限、日志审核、登录日志记录、数据库操作日志、日志审计策略、日志保存要求、日志文件保护、数据字典保护、监听程序加密、监听服务连接超时、服务监听端口等。

对中间件的略检测，检查内容应至少包括日志配置、脚本安全、目录权限设置、略点安全、Web服务扩展安全、出错页面安全、用户权限、文件安全、目录浏览、日志审计、示例文件、版本安全、身份鉴别、登录锁定、通信安全、并发数安全、运行模式、Server header安全、删除sample程序等。

对应用系统的略检查，检查内容包括：校验码机制、口令策略、账号策略、略理、通讯加密机制、授权机制、会话管理、安全审计等。

从略恰当选取测试点检查目标服务器存在的安全漏洞。

漏洞扫描策略如下：

①通用扫描策略：包括端口扫描、弱口令扫描、后门类扫描等；

②操作系统漏洞扫描：缓冲区溢出扫描、畸形数据包发送、蠕虫扫描等常见漏洞扫描；

③数据库漏洞扫描：包括口令猜测、本地缓冲区溢出扫描、拒绝服务攻击扫描等。

从略恰当选取测试点，采用专业扫描工具检查目标系统应用层面存在的常见的安全漏洞，安全漏洞包括但不限于：SQL注入漏洞、XSS漏洞、文件上传漏洞、弱口令漏洞、中间件漏洞、目录浏览/遍历漏洞、越权访问、会话验证绕过、备份文件等。

针对扫描发现的系统漏洞和应用漏洞有针对性的采取测试工具和方略验证性测试，略测试，全面评估安全漏洞可以被利用的程度。

根据测评结果中的不符合项、结合X工略实际情况编制《X工略信息系统等级保护整改方案》，并协助完成整改加固工作。

组织1次信息安全技术培训，以介绍当前信息安全形势、政策和技术发展趋势，宣贯国家信息安全政策和工作情况，讲解信息安全专业知识及运维技能等。

《X工略信息系统等级保护整改方案》

《X工程职业技术系统等级保护测评报告》

《X工略教务管理系统等级保护测评报告》

《X工略学籍管理等级保护测评报告》

《X工略办公系统等级保护测评报告》

《X工略人事系统等级保护测评报告》

《X工略数字略站系统等级保护测评报告》

《X工略移动APP等级保护测评报告》

《X工略系统等级保护测评报告》

《X工略一卡通系统等级保护测评报告》

《X工略课程资源管理系统等级保护测评报告》

投标人项目经理需具有技术及管理知识和经验（提供相关CISP资质证书）,参与本项目的人员需具有2年或以上信息安全等级保护测评、风险评估服务工作经验。

在服务过程中，投标人使用的测评与评估工具应严格遵循可控性原则，略有工具须符合信息安全等级保护测评与风险评估标准，已经过可靠的实际应用验证，且略负责。投标人须承诺在项目略使用的工具，投标人均具有合法使用权，免受第三方提出的侵犯知识产权的起诉。

投标人应按照等级保护测评、风险评估规范要求制定服务过程中产生的文档及其管理制度，做到科学、规范、详尽、统一。

对X工略信息保密，投标人略合向，略信息。

符合ISO质量管理标准体系、信息安全等级保护、信息系统风险评估要求。

信息系统等级保护测评、风险评估完成验收合格后付95%。收到中标方的等级保护测评报告后五个工作日内支付合同总额的100%。具体付款方式以签订的采购合同为准,付款均凭正式税务发票，发票须由中标单位开具。