序号

服务名称

服务频率

服务内容

1

渗透测试服务

1次/年

1.对单位4个重要信息系统〔即：（1）职业健康监督综合管理系统（包括：职业健康综合管理平台小程序）、（2）职业健康监护数据分析与监管系统、（3）民营医疗机构系统（包括：群众就医系统、民营医疗机构【门诊、诊所及医务室】服务系统、卫生监管系统）、（4）龙岗卫生监督在线培训系统〕进行渗透测试，包括信息系统收集、网络层渗透测试、应用层渗透测试、系统权限提升等各种黑客常用方法及手段，服 (略) 内现有对外业务系统和后续新增的重要业务系统；
2.协助对渗透测试过程中发现的问题进行整改；
3.出具《渗透测试报告》。

2

业务逻辑漏洞专项检测

1次/年

1.对单位4个重要信息系统进行业务逻辑漏洞专项检测，对系统业务逻辑、数据流转各个环节进行检测，旨在发现系统功能技术实现上存在的逻辑问题，服务内容包括单位现有对外业务系统和后续新增的重要业务系统；
2.协助单位对业务逻辑漏洞专项检测过程中发现的问题进行整改；
3.出具《业务逻辑漏洞专项检测报告》。

3

数据安全咨询、风险评估服务

1次/年

1.根据对单位的数据安全现状评估的结果，按照数据安全生命周期的规律，以开展数据共享开放业务的自身需求出发，规划设计适用于单位业务的数据安全保障体系，出具相应数据安全解决方案；
2.根据单位信息系统的实际情况开展安全风险进行识别与分析，采用传统的风险评估方法，从资产、威胁、脆弱性的角度，进行风险值量化。通过安全管理体系评估安全策略、规章制度、程序、表单体系的完整性，及制度是否得到贯彻执行，是否及时更新，是否全面覆盖需进行信息安全风险评估的信息系统。从风险管理的角度，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生时可能造成的危害程度，并提出有针对性的防护对策和整改措施，将风险控制在可接受的水平，最大程度地保障信息安全。

4

信息安全风险评估

1次/年

对单位进行全面性的风险评估，制定资产分析、威胁分析、弱点分析、现有措施分析、风险分析，给出针对性的风险处理方案、评估报告、评估总结，减少单位核心业务系统安全风险。

5

安全制度建设

1次/年

按照等级保护及相关主管部门、上级单位信息安全相关要求修订单位信息安全相关制度和规范。

6

网络安全应急响应

全年

根据单位实际情况，提供网络信息安全应急响应服务，包括：应急预案、事件处置及问题修复、报告输出；提供 7x24小时重大安全事件的应急响应工作，应急响应主要针对突发的网站安全故障、网络安全事件、应用系统安全事件、主机安全事件、黑客攻击事件等进行诊断、分析并协助解决。

7

安全意识培训

1次/年

1.对单位全员安全意识培训：从安全办公、个人信息安全、账户安全等方面普及安全常识，对常见的信息安全隐患进行分析、讲解，提高员工信息安全意识，告诉员工哪些网络行为不可为，如实施违法行为将承担法律责任，构成犯罪的须承担刑事责任，并开展《中华人民共和国网络安全法》《中华人民共和国密码法》《等级保护系列标准》《数据安全管理办法》等国家法律法规和标准培训；
2.对网络安全管理相关部门进行安全管理工作方面培训。

8

漏洞扫描及加固服务

4次/年

1.对单位业务系统进行漏洞扫描；
2.对单位业务系统相关服务器进行漏洞扫描；
3.对单位业务系统和服务器漏洞加固指导；
4.对单位业务系统和服务器漏洞加固后验证测试；
5.对单位业务系统开展数据安全漏洞测试。

9

资产梳理

1次/年

（一）信息资产梳理

1.统计所有在使用的计算机终端资产登记造册的完整性统计信息，包含：计算机主机名、计算机IP地址、计算机MAC地址、计算机使用人或责任人、计算机使用人身份证号码、计算机所属部门、计算机的物理位置等7个属性；

2.信息系统资产包含：信息系统名称、定级情况、责任人及联系方式、访问URL(内网、公网)、系统架构（B/S或C/S）、系统相关主机IP清单、操作系统版本、托管物理位置、中间件类型和版本、数据库类型及版本、开发语言、开发框架等12个属性。

（二）暴露面梳理

1、通过主域名、IP网段、关键字、图标、备案号等方式主动发现单位所有互联网资产，资产包含子域名、IP、开放端口服务应用、资产变动情况、HTTP响应码、HTTP请求头、HTTP响应报文、端口banner、https证书信息、是否为登录入口、是否包含登录验证码等；

2、根据单位提供的业务相关关键词或商标icon，搜索互联网上存活IP，识别出归属客户的互联网“影子资产”。

10

建立（修订）应急预案并开展应急演练

1次/年

根据《 (略) 网络与信息安全突发事件应急预案》并结合单位实际情况制定与完善具有可操作性的网络及信息安全突发事件应急预案，确保应急预案可以适应信息系统的最新情况和外部的最新安全威胁。编写应急演练方案，定期开展安全事件应急演练，强化突发安全事件时单位的应急操作水平，最终实现应急人员、应急预案和应急操作的协调，提升单位的应急保障能力。

11

网络安全联合检查服务

全年按需

根据上级主管部门针对网络安全检查要求，提供安全迎检服务，以及现场检查迎检资料和技术支撑工作。

12

专项安全排查

全年按需

根据业界最新安全舆情、主管部门下发的漏洞和安全威胁开展安全排查并提供安全修复建议等。

13

驻点服务

2次/年

安排专业安全服务工程师进行驻场，专职提供技术服务，驻场工程师需具有一定的网络安全处理能力，能够实时监控网络情况，及时协助解决网络安全问题；具备日志分析能力能够更好地使用态势感知、防火墙、日志审计系统等安全设备，同时处理误报告警；同时沟通资源开展各项安全业务，协助办公室完成有关安全工作。

14

云防护

全年按需

1、提供云端防护账号交付，以 SaaS 的方式为用户提供网站安全防护服务（非硬件盒式WAF、非盒式抗DDoS攻击产品、非集成WAF及抗D功能的防火墙类产品，非虚拟机化WAF）；

2、支持HTTPS网站防护。支持细粒度的WEB防护配置，至少支持对24大类Web安全漏洞类型对设置白名单，当设置生效后，针对某URL的该类WEB攻击不再防护（提供产品功能界面截图）；

3、搜索引擎（百度、谷歌、必应、360、搜狗、神马搜索）及恶意爬虫防护，开启后即有默认防护配置（宽松/中等/严格），支持针对URL做单独的爬虫防护配置。支持配置强制缓存功能，当触发爬虫攻击防护时，可对用户自定义配置的URL按照选定的类型进行缓存，如延时、JS、图片、HTTPS验证。支持内置完备的敏感词信息库，可主动监测网站首页有无敏感词，支持URL匹配内容（提供产品功能界面截图）；

4、支持WEB攻击统计报表，CC攻击统计报表，CC攻击URL TopN报表等。WEB攻击日志至少包含攻击类型、攻击IP、IP归属地、攻击URL及参数，攻击次数等参数。CC攻击日志至少包含攻击类型、攻击IP、IP归属地、攻击URL、攻击事件、攻击次数等参数（提供产品功能界面截图）；

5、支持对Web攻击、CC攻击、爬虫攻击、DDOS攻击日志进行自定义攻击阈值告警。同时支持自定义统计周期、告警方式（邮件、短信）、告警接收人、告警接收组信息。支持将多个告警人添加为一个告警组，支持对同一告警组下所有告警人做相同告警配置（提供产品功能界面截图）；

6、支持超级管理员、普通管理员、审计管理员等管理员角色。支持安卓/IOS版手机APP运维客户端，可支持手机接入防护、一键关站（一键处置）、一键回源、WEB防火墙开启/关闭、缓存开关设置、账号管理等功能（提供产品功能界面截图）；

7、提供四份以上原厂商公开发布的专门针对中国的APT攻击事件研究报告。提供四份以上原厂商公开发布的专门针对网站安全相关安全研究报告（提供产品报告截图）。

序号

服务名称

服务频率

服务内容

1

渗透测试服务

1次/年

1.对单位4个重要信息系统〔即：（1）职业健康监督综合管理系统（包括：职业健康综合管理平台小程序）、（2）职业健康监护数据分析与监管系统、（3）民营医疗机构系统（包括：群众就医系统、民营医疗机构【门诊、诊所及医务室】服务系统、卫生监管系统）、（4）龙岗卫生监督在线培训系统〕进行渗透测试，包括信息系统收集、网络层渗透测试、应用层渗透测试、系统权限提升等各种黑客常用方法及手段，服 (略) 内现有对外业务系统和后续新增的重要业务系统；
2.协助对渗透测试过程中发现的问题进行整改；
3.出具《渗透测试报告》。

2

业务逻辑漏洞专项检测

1次/年

1.对单位4个重要信息系统进行业务逻辑漏洞专项检测，对系统业务逻辑、数据流转各个环节进行检测，旨在发现系统功能技术实现上存在的逻辑问题，服务内容包括单位现有对外业务系统和后续新增的重要业务系统；
2.协助单位对业务逻辑漏洞专项检测过程中发现的问题进行整改；
3.出具《业务逻辑漏洞专项检测报告》。

3

数据安全咨询、风险评估服务

1次/年

1.根据对单位的数据安全现状评估的结果，按照数据安全生命周期的规律，以开展数据共享开放业务的自身需求出发，规划设计适用于单位业务的数据安全保障体系，出具相应数据安全解决方案；
2.根据单位信息系统的实际情况开展安全风险进行识别与分析，采用传统的风险评估方法，从资产、威胁、脆弱性的角度，进行风险值量化。通过安全管理体系评估安全策略、规章制度、程序、表单体系的完整性，及制度是否得到贯彻执行，是否及时更新，是否全面覆盖需进行信息安全风险评估的信息系统。从风险管理的角度，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生时可能造成的危害程度，并提出有针对性的防护对策和整改措施，将风险控制在可接受的水平，最大程度地保障信息安全。

4

信息安全风险评估

1次/年

对单位进行全面性的风险评估，制定资产分析、威胁分析、弱点分析、现有措施分析、风险分析，给出针对性的风险处理方案、评估报告、评估总结，减少单位核心业务系统安全风险。

5

安全制度建设

1次/年

按照等级保护及相关主管部门、上级单位信息安全相关要求修订单位信息安全相关制度和规范。

6

网络安全应急响应

全年

根据单位实际情况，提供网络信息安全应急响应服务，包括：应急预案、事件处置及问题修复、报告输出；提供 7x24小时重大安全事件的应急响应工作，应急响应主要针对突发的网站安全故障、网络安全事件、应用系统安全事件、主机安全事件、黑客攻击事件等进行诊断、分析并协助解决。

7

安全意识培训

1次/年

1.对单位全员安全意识培训：从安全办公、个人信息安全、账户安全等方面普及安全常识，对常见的信息安全隐患进行分析、讲解，提高员工信息安全意识，告诉员工哪些网络行为不可为，如实施违法行为将承担法律责任，构成犯罪的须承担刑事责任，并开展《中华人民共和国网络安全法》《中华人民共和国密码法》《等级保护系列标准》《数据安全管理办法》等国家法律法规和标准培训；
2.对网络安全管理相关部门进行安全管理工作方面培训。

8

漏洞扫描及加固服务

4次/年

1.对单位业务系统进行漏洞扫描；
2.对单位业务系统相关服务器进行漏洞扫描；
3.对单位业务系统和服务器漏洞加固指导；
4.对单位业务系统和服务器漏洞加固后验证测试；
5.对单位业务系统开展数据安全漏洞测试。

9

资产梳理

1次/年

（一）信息资产梳理

1.统计所有在使用的计算机终端资产登记造册的完整性统计信息，包含：计算机主机名、计算机IP地址、计算机MAC地址、计算机使用人或责任人、计算机使用人身份证号码、计算机所属部门、计算机的物理位置等7个属性；

2.信息系统资产包含：信息系统名称、定级情况、责任人及联系方式、访问URL(内网、公网)、系统架构（B/S或C/S）、系统相关主机IP清单、操作系统版本、托管物理位置、中间件类型和版本、数据库类型及版本、开发语言、开发框架等12个属性。

（二）暴露面梳理

1、通过主域名、IP网段、关键字、图标、备案号等方式主动发现单位所有互联网资产，资产包含子域名、IP、开放端口服务应用、资产变动情况、HTTP响应码、HTTP请求头、HTTP响应报文、端口banner、https证书信息、是否为登录入口、是否包含登录验证码等；

2、根据单位提供的业务相关关键词或商标icon，搜索互联网上存活IP，识别出归属客户的互联网“影子资产”。

10

建立（修订）应急预案并开展应急演练

1次/年

根据《 (略) 网络与信息安全突发事件应急预案》并结合单位实际情况制定与完善具有可操作性的网络及信息安全突发事件应急预案，确保应急预案可以适应信息系统的最新情况和外部的最新安全威胁。编写应急演练方案，定期开展安全事件应急演练，强化突发安全事件时单位的应急操作水平，最终实现应急人员、应急预案和应急操作的协调，提升单位的应急保障能力。

11

网络安全联合检查服务

全年按需

根据上级主管部门针对网络安全检查要求，提供安全迎检服务，以及现场检查迎检资料和技术支撑工作。

12

专项安全排查

全年按需

根据业界最新安全舆情、主管部门下发的漏洞和安全威胁开展安全排查并提供安全修复建议等。

13

驻点服务

2次/年

安排专业安全服务工程师进行驻场，专职提供技术服务，驻场工程师需具有一定的网络安全处理能力，能够实时监控网络情况，及时协助解决网络安全问题；具备日志分析能力能够更好地使用态势感知、防火墙、日志审计系统等安全设备，同时处理误报告警；同时沟通资源开展各项安全业务，协助办公室完成有关安全工作。

14

云防护

全年按需

1、提供云端防护账号交付，以 SaaS 的方式为用户提供网站安全防护服务（非硬件盒式WAF、非盒式抗DDoS攻击产品、非集成WAF及抗D功能的防火墙类产品，非虚拟机化WAF）；

2、支持HTTPS网站防护。支持细粒度的WEB防护配置，至少支持对24大类Web安全漏洞类型对设置白名单，当设置生效后，针对某URL的该类WEB攻击不再防护（提供产品功能界面截图）；

3、搜索引擎（百度、谷歌、必应、360、搜狗、神马搜索）及恶意爬虫防护，开启后即有默认防护配置（宽松/中等/严格），支持针对URL做单独的爬虫防护配置。支持配置强制缓存功能，当触发爬虫攻击防护时，可对用户自定义配置的URL按照选定的类型进行缓存，如延时、JS、图片、HTTPS验证。支持内置完备的敏感词信息库，可主动监测网站首页有无敏感词，支持URL匹配内容（提供产品功能界面截图）；

4、支持WEB攻击统计报表，CC攻击统计报表，CC攻击URL TopN报表等。WEB攻击日志至少包含攻击类型、攻击IP、IP归属地、攻击URL及参数，攻击次数等参数。CC攻击日志至少包含攻击类型、攻击IP、IP归属地、攻击URL、攻击事件、攻击次数等参数（提供产品功能界面截图）；

5、支持对Web攻击、CC攻击、爬虫攻击、DDOS攻击日志进行自定义攻击阈值告警。同时支持自定义统计周期、告警方式（邮件、短信）、告警接收人、告警接收组信息。支持将多个告警人添加为一个告警组，支持对同一告警组下所有告警人做相同告警配置（提供产品功能界面截图）；

6、支持超级管理员、普通管理员、审计管理员等管理员角色。支持安卓/IOS版手机APP运维客户端，可支持手机接入防护、一键关站（一键处置）、一键回源、WEB防火墙开启/关闭、缓存开关设置、账号管理等功能（提供产品功能界面截图）；

7、提供四份以上原厂商公开发布的专门针对中国的APT攻击事件研究报告。提供四份以上原厂商公开发布的专门针对网站安全相关安全研究报告（提供产品报告截图）。