No.

项目

工作说明

1

APP隐私数据合规评估

包括隐私政策评估、权限申请评估、数据传输安全评估、个人信息处理评估、第三方SDK评估、APP合规性检测、合规审查与报告

2

数据安全

数据安全治理产品导入

产品基本功能：
（1）数据自动发现与采集，通过 (略) 络端点、服务器、云存储和数据库中的数据，识别包含敏感信息的数据和文件。
掌握敏感数据的分布、数量和使用情况。
（2）数据分类分级，能够提供行业数据安全标准，制定内置识别模板，同时支持自定义数据分类、识别规则与数据分级，
支持按照系统别用户自助实施分类分级。
（3）可视化报告，提供详细的分类报告和仪表板，展示数据的分布、敏感度级别、潜在风险点等，可生成合规报告，
以证明数据保护措施的有效性。
（4）根据分级分类的结果，自动给出匹配控制策略，并记录策略的实施情况。
（5）支持在华为云、阿里云和腾讯云私有化部署
参考信息 数据库实例：100个，表：2,000个，字段：30,000个
含产品永久授权及3年原厂支持和升级服务

3

数据分级分类咨询和实施

（1）数据审计与梳理： 人工审核现有数据存储，识别数据源、数据类型、存储位置以及数据之间的关系。
分析数据内容，理解其业务价值、法律合规要求及潜在风险。
（2）制定分级分类标准： 根据法律法规要求、行业标准和企业内部政策，制定数据分级（如公开、内部、敏感、机密）和
分类（如个人数据、财务数据、知识产权等）的标准。
设定每级每类数据的访问控制、保护措施和保留期限等规则。
（3）数据标签与标记： 人工对数据进行逐条或批量审查，依据分类分级标准手动添加标签或元数据，如敏感度标签、
业务分类标签等。使用工具辅助，如文档批注、数据库字段标记等，提高人工分类的效率和准确性。
（4）质量检查与校验： 进行数据分类的复核，确保分类的准确性，并根据新数据或政策变化进行调整。
通过人工复查或比对样本，验证自动化分类工具的准确性和完整性。
（5）培训与指导： 对数据创建者和使用者进行数据保护意识培训，讲解数据分级分类的重要性及操作指南。
指导员工如何正确处理不同级别的数据，包括存储、传输、分享和销毁过程中的注意事项。
（6）合规咨询与支持： 提供数据保护法律、行业规范的咨询服务，帮助组织理解并遵守相关数据管理规定。
协助处理数据主体请求，如数据访问、更正、删除等。
（7）维护与优化： 建立数据分类分级的维护机制，跟踪数据变化，定期评估分类的适当性，并进行必要的调整。
优化分类流程，引入新的工具或技术以提升人工服务的效率和质量。
参考信息 数据库实例：100个，表：2,000个，字段：30,000个8

4

数据加密产品导入

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
（1）能对数据库存量数据使用加密算法SM4或AES256等进行数据加密
（2）SQL方面，能针对加密列支持条件查询语句，无条件查询语句，精确匹配查询（”=“、”<>, !=“、”is null“）且
加密前后查询结果一致。能针对加密列支持插入（insert）、更新（update）和数据删除（delete）语句
（3）能支持设置不同的用户/角色/权限等内容，实现低权限用户仅能查询密文，高权限人员查询明文的功能
（4）能支持对接主流的堡垒机，能通过堡垒机成功访问加密系统代理出来的数据库IP及端口
（5）能支持对密钥进行基本的查看及配置管理功能
（6）加密系统能支持查看系统CPU、内存、硬盘占用等常见的运维指标情况
（7）加密系统能支持基本的运维调试命令执行，例如进程显示命令等
（8）能支持密钥备份、密钥恢复、能支持加密系统自身策略、配置等的数据备份和恢复
（9）具备节点集群备份和扩展能力，主节点正常退出、宕机和离线的情况下，加密系统正常可用
（10）能支持对加密后的数据库密文解密恢复
（11）加密系统对数据库加密后，能正常支持业务前端使用业务，具备插入、查询、删除和更新新增业务数据功能
（12）加密方案能适配公有云（华为云、阿里云和腾讯云）上的数据库数据，对其数据进行字段级加密
规格要求：60个数据库实例
含产品永久授权及3年原厂支持和升级服务

5

数据动态脱敏产品导入

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
数据动态脱敏产品需对敏感信息通过脱敏算法对进行数据的变形，实现应用系统实时使用、对外实时共享等动态环境下敏感隐私数据的可靠保护，具备敏感数据识别、应用实时脱敏、脱敏权限管控、黑白名单脱敏、脱敏效果预览和审计、脱敏算法和任务管理等能力。
规格要求：60个数据库实例，脱敏峰值处理能力：*单元格/秒；40M/秒；*SQL/秒
含产品永久授权及3年原厂支持和升级服务

6

API安全

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
（1）API安全检测
对业务接口调用的流量进行分析，识别业务系统API，检测API存在的未授权、弱认证等脆弱性问题 ，监测API访问行为，
及时发现针对API的恶意攻击行为发出告警。
产品需提供API资产发现、API攻击检测、基于API的敏感数据传输以及API的风险检测等功能，支持1Gbps混合流量接入，
兼容Vmware、K (略) ，适用于华为、阿里和腾讯云云环境。
检测范围需要覆盖华为云上所有业务系统API接口
（2） (略) （1个）
接收来自API检测系统检测日志，实现API资产管理、威胁检测与分析、敏感数据泄露风险分析、异常行为访问分析以及风险API分析，向API检测系统和API防护系统下发检测策略和管控策略。
产品需具备包括API威胁分析、API漏洞分析、API资产管理等功能。 默认授权10个数据源（探针）的采集能力。
含产品永久授权及3年原厂支持和升级服务

7

特权账号

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
产品基于特权账号生命周期管理流程，提供特权账号的发现和纳管、自动改密、验证和巡检、访问权限控制、锁定和释放等功能。产品功能模块包括：
（1）特权访问控制台，包括产品核心功能和密码保险箱，核心功能包括账号生命周期管理、账号威胁分析、角色权限管理、访问控制、策略管理、审计、工单系统等；
（2）策略执行器，能与现有堡垒机联动，支持策略执行，包括账号发现，账号改密、账号验证。授权2,500个被管资源数。
含产品永久授权及3年原厂支持和升级服务

8

(略) 资产和敏感信息发现服务

全年不间断的实施以下扫描和发现
（1）未知资产探测：能够自动发现组 (略) 上未知的、未受管理的资产，包括但不限于域名、IP地址、子域、开放端口、服务和应用程序。
（2）敏感信息发现：通过高级搜索技术和模式识别（ (略) 交易信息识别），查找和分类公开泄露的敏感信息，如个人身份信息（PII）、财务数据、知识产权、源代码等。
针对以上扫描结果，每月提交报告，并协助问题调查和对应。

9

攻防演练和应急演练

1.人工服务
（1）攻防演练设计与实施：提供全面的攻防演练方案设计，包括但不限于渗透测试、红蓝对抗演练、社交工程测试等，
覆盖所有关键业务系统和基础设施。
（2）应急响应演练：设计并执行涵盖各类突发事件（如数据泄露、系统瘫痪、勒索软件攻击等）的应急响应演练，确保预案的实用性和有效性。
（3）培训与教育：针对不同层级员工开展 (略) 络安全意识培训，以及面向技术团队的应急处理技能培训。
2..在人工攻防演练基础上，能够提供BAS服务，包括以下功能;:
（1）网络攻击模拟：BAS能够自动模拟对 (略) 络的攻击，包括外部突破 (略) 后的横向移动
（2）恶意软件攻击模拟：能够模拟对端点的恶意软件攻击
（3）数据泄露过程模拟：模拟数据泄露的过程
（4）持续监控与评估：持续进行攻击模拟，及时地检测和评估组织对于新出现的威胁的防御能力。
（5）安全设备策略验证：验证WAF、IPS、EDR等安全设备的有效性，确保安全策略得有效性
（6） (略) 径可视化：提供图形化 (略) 径，帮助安全团队更好地理解攻击过程和潜在的安全漏洞
（7）自动化与周期性测试：支持周期性自动化测试， (略) (略) 的集成，提供完整有效的修复建议。
（8）持续更新：对于新威胁、新攻击手段的持续更新，确保BAS系统能够应对最新的安全挑战。

10

(略)

(略) (略) 的产品购买和实施
（1）漏洞管理与扫描：创建、监控扫描任务；按等级、来源筛选漏洞；支持工单流转。
（2）渗透与应急响应：管理渗透测试与应急任务，含文件上传交付；提供操作指引。
（3）重保管理：项目化管理重保工作，模板引导；图形化展示进度与自定义工作流。
（4）工作流与任务：自定义工作流，支持第三方集成；任务统计与可视化。
（5）资产发现：多样化资产发现任务管理；详尽资产信息记录。
（6）数据聚合与分析： (略) 能够跨不同的安全层和数据源（如终端、网络、云环境、电子邮件、威胁情报等）收集数据，并对数据进行关联分析。
（7）威胁检测：能够实时监测和识别已知及未知的威胁，包括恶意软件、勒索软件、高级持续性威胁（APT）等。
（8）自动响应与编排：一旦检测到威胁，可以自动触发一系列响应措施。同时，支持响应策略的自定义和编排。
（9）调查与取证：提供详细 (略) 和上下文信息，帮助安全分析师快速 (略) 径，理解攻击的全貌。
（10）可视化与报告：配备有直观的仪表板，展示安全状况、威胁概况、响应行动效果等关键指标。
接入和管控资源数量：2,500个
含产品永久授权及3年原厂支持和升级服务

11

年度系统等级保护测评

（1）系统定级，对所有系统（约50个）实施评估和定级。
（2）根据定级情况，提出2级和3级系统合并方案。
（3）协助实施2级和3级系统公安备案，并对之前的备案进行变更。
（4）6个3级系统等级保护测评，包括初测和复测。
（5）差距分析和整改建议
（6）协助提交测评报告

12

护网和重保服务

服务内容包括
（1）安全资产评估、漏洞扫描、策略核查、加固支撑；
（2）7*24 持续安全监控服务，针对入侵及告警事件监控分析，开展风险处置；应急响应支撑服务，在出现入侵事件后提供应急止损，帮助快速恢复业务；
（3）全面完整的暴露面管理服务，7*24监控FTMS对外暴露资产及脆弱性数据，并提供专家预警及应急响应服务。
通过但不限于以上服务，确保FTMS在2024 (略) 行动中0失分。

No.

项目

工作说明

1

APP隐私数据合规评估

包括隐私政策评估、权限申请评估、数据传输安全评估、个人信息处理评估、第三方SDK评估、APP合规性检测、合规审查与报告

2

数据安全

数据安全治理产品导入

产品基本功能：
（1）数据自动发现与采集，通过 (略) 络端点、服务器、云存储和数据库中的数据，识别包含敏感信息的数据和文件。
掌握敏感数据的分布、数量和使用情况。
（2）数据分类分级，能够提供行业数据安全标准，制定内置识别模板，同时支持自定义数据分类、识别规则与数据分级，
支持按照系统别用户自助实施分类分级。
（3）可视化报告，提供详细的分类报告和仪表板，展示数据的分布、敏感度级别、潜在风险点等，可生成合规报告，
以证明数据保护措施的有效性。
（4）根据分级分类的结果，自动给出匹配控制策略，并记录策略的实施情况。
（5）支持在华为云、阿里云和腾讯云私有化部署
参考信息 数据库实例：100个，表：2,000个，字段：30,000个
含产品永久授权及3年原厂支持和升级服务

3

数据分级分类咨询和实施

（1）数据审计与梳理： 人工审核现有数据存储，识别数据源、数据类型、存储位置以及数据之间的关系。
分析数据内容，理解其业务价值、法律合规要求及潜在风险。
（2）制定分级分类标准： 根据法律法规要求、行业标准和企业内部政策，制定数据分级（如公开、内部、敏感、机密）和
分类（如个人数据、财务数据、知识产权等）的标准。
设定每级每类数据的访问控制、保护措施和保留期限等规则。
（3）数据标签与标记： 人工对数据进行逐条或批量审查，依据分类分级标准手动添加标签或元数据，如敏感度标签、
业务分类标签等。使用工具辅助，如文档批注、数据库字段标记等，提高人工分类的效率和准确性。
（4）质量检查与校验： 进行数据分类的复核，确保分类的准确性，并根据新数据或政策变化进行调整。
通过人工复查或比对样本，验证自动化分类工具的准确性和完整性。
（5）培训与指导： 对数据创建者和使用者进行数据保护意识培训，讲解数据分级分类的重要性及操作指南。
指导员工如何正确处理不同级别的数据，包括存储、传输、分享和销毁过程中的注意事项。
（6）合规咨询与支持： 提供数据保护法律、行业规范的咨询服务，帮助组织理解并遵守相关数据管理规定。
协助处理数据主体请求，如数据访问、更正、删除等。
（7）维护与优化： 建立数据分类分级的维护机制，跟踪数据变化，定期评估分类的适当性，并进行必要的调整。
优化分类流程，引入新的工具或技术以提升人工服务的效率和质量。
参考信息 数据库实例：100个，表：2,000个，字段：30,000个8

4

数据加密产品导入

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
（1）能对数据库存量数据使用加密算法SM4或AES256等进行数据加密
（2）SQL方面，能针对加密列支持条件查询语句，无条件查询语句，精确匹配查询（”=“、”<>, !=“、”is null“）且
加密前后查询结果一致。能针对加密列支持插入（insert）、更新（update）和数据删除（delete）语句
（3）能支持设置不同的用户/角色/权限等内容，实现低权限用户仅能查询密文，高权限人员查询明文的功能
（4）能支持对接主流的堡垒机，能通过堡垒机成功访问加密系统代理出来的数据库IP及端口
（5）能支持对密钥进行基本的查看及配置管理功能
（6）加密系统能支持查看系统CPU、内存、硬盘占用等常见的运维指标情况
（7）加密系统能支持基本的运维调试命令执行，例如进程显示命令等
（8）能支持密钥备份、密钥恢复、能支持加密系统自身策略、配置等的数据备份和恢复
（9）具备节点集群备份和扩展能力，主节点正常退出、宕机和离线的情况下，加密系统正常可用
（10）能支持对加密后的数据库密文解密恢复
（11）加密系统对数据库加密后，能正常支持业务前端使用业务，具备插入、查询、删除和更新新增业务数据功能
（12）加密方案能适配公有云（华为云、阿里云和腾讯云）上的数据库数据，对其数据进行字段级加密
规格要求：60个数据库实例
含产品永久授权及3年原厂支持和升级服务

5

数据动态脱敏产品导入

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
数据动态脱敏产品需对敏感信息通过脱敏算法对进行数据的变形，实现应用系统实时使用、对外实时共享等动态环境下敏感隐私数据的可靠保护，具备敏感数据识别、应用实时脱敏、脱敏权限管控、黑白名单脱敏、脱敏效果预览和审计、脱敏算法和任务管理等能力。
规格要求：60个数据库实例，脱敏峰值处理能力：*单元格/秒；40M/秒；*SQL/秒
含产品永久授权及3年原厂支持和升级服务

6

API安全

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
（1）API安全检测
对业务接口调用的流量进行分析，识别业务系统API，检测API存在的未授权、弱认证等脆弱性问题 ，监测API访问行为，
及时发现针对API的恶意攻击行为发出告警。
产品需提供API资产发现、API攻击检测、基于API的敏感数据传输以及API的风险检测等功能，支持1Gbps混合流量接入，
兼容Vmware、K (略) ，适用于华为、阿里和腾讯云云环境。
检测范围需要覆盖华为云上所有业务系统API接口
（2） (略) （1个）
接收来自API检测系统检测日志，实现API资产管理、威胁检测与分析、敏感数据泄露风险分析、异常行为访问分析以及风险API分析，向API检测系统和API防护系统下发检测策略和管控策略。
产品需具备包括API威胁分析、API漏洞分析、API资产管理等功能。 默认授权10个数据源（探针）的采集能力。
含产品永久授权及3年原厂支持和升级服务

7

特权账号

本项目包括产品购买和实施，需为软件产品解决方案，主要包括以下要求：
产品基于特权账号生命周期管理流程，提供特权账号的发现和纳管、自动改密、验证和巡检、访问权限控制、锁定和释放等功能。产品功能模块包括：
（1）特权访问控制台，包括产品核心功能和密码保险箱，核心功能包括账号生命周期管理、账号威胁分析、角色权限管理、访问控制、策略管理、审计、工单系统等；
（2）策略执行器，能与现有堡垒机联动，支持策略执行，包括账号发现，账号改密、账号验证。授权2,500个被管资源数。
含产品永久授权及3年原厂支持和升级服务

8

(略) 资产和敏感信息发现服务

全年不间断的实施以下扫描和发现
（1）未知资产探测：能够自动发现组 (略) 上未知的、未受管理的资产，包括但不限于域名、IP地址、子域、开放端口、服务和应用程序。
（2）敏感信息发现：通过高级搜索技术和模式识别（ (略) 交易信息识别），查找和分类公开泄露的敏感信息，如个人身份信息（PII）、财务数据、知识产权、源代码等。
针对以上扫描结果，每月提交报告，并协助问题调查和对应。

9

攻防演练和应急演练

1.人工服务
（1）攻防演练设计与实施：提供全面的攻防演练方案设计，包括但不限于渗透测试、红蓝对抗演练、社交工程测试等，
覆盖所有关键业务系统和基础设施。
（2）应急响应演练：设计并执行涵盖各类突发事件（如数据泄露、系统瘫痪、勒索软件攻击等）的应急响应演练，确保预案的实用性和有效性。
（3）培训与教育：针对不同层级员工开展 (略) 络安全意识培训，以及面向技术团队的应急处理技能培训。
2..在人工攻防演练基础上，能够提供BAS服务，包括以下功能;:
（1）网络攻击模拟：BAS能够自动模拟对 (略) 络的攻击，包括外部突破 (略) 后的横向移动
（2）恶意软件攻击模拟：能够模拟对端点的恶意软件攻击
（3）数据泄露过程模拟：模拟数据泄露的过程
（4）持续监控与评估：持续进行攻击模拟，及时地检测和评估组织对于新出现的威胁的防御能力。
（5）安全设备策略验证：验证WAF、IPS、EDR等安全设备的有效性，确保安全策略得有效性
（6） (略) 径可视化：提供图形化 (略) 径，帮助安全团队更好地理解攻击过程和潜在的安全漏洞
（7）自动化与周期性测试：支持周期性自动化测试， (略) (略) 的集成，提供完整有效的修复建议。
（8）持续更新：对于新威胁、新攻击手段的持续更新，确保BAS系统能够应对最新的安全挑战。

10

(略)

(略) (略) 的产品购买和实施
（1）漏洞管理与扫描：创建、监控扫描任务；按等级、来源筛选漏洞；支持工单流转。
（2）渗透与应急响应：管理渗透测试与应急任务，含文件上传交付；提供操作指引。
（3）重保管理：项目化管理重保工作，模板引导；图形化展示进度与自定义工作流。
（4）工作流与任务：自定义工作流，支持第三方集成；任务统计与可视化。
（5）资产发现：多样化资产发现任务管理；详尽资产信息记录。
（6）数据聚合与分析： (略) 能够跨不同的安全层和数据源（如终端、网络、云环境、电子邮件、威胁情报等）收集数据，并对数据进行关联分析。
（7）威胁检测：能够实时监测和识别已知及未知的威胁，包括恶意软件、勒索软件、高级持续性威胁（APT）等。
（8）自动响应与编排：一旦检测到威胁，可以自动触发一系列响应措施。同时，支持响应策略的自定义和编排。
（9）调查与取证：提供详细 (略) 和上下文信息，帮助安全分析师快速 (略) 径，理解攻击的全貌。
（10）可视化与报告：配备有直观的仪表板，展示安全状况、威胁概况、响应行动效果等关键指标。
接入和管控资源数量：2,500个
含产品永久授权及3年原厂支持和升级服务

11

年度系统等级保护测评

（1）系统定级，对所有系统（约50个）实施评估和定级。
（2）根据定级情况，提出2级和3级系统合并方案。
（3）协助实施2级和3级系统公安备案，并对之前的备案进行变更。
（4）6个3级系统等级保护测评，包括初测和复测。
（5）差距分析和整改建议
（6）协助提交测评报告

12

护网和重保服务

服务内容包括
（1）安全资产评估、漏洞扫描、策略核查、加固支撑；
（2）7*24 持续安全监控服务，针对入侵及告警事件监控分析，开展风险处置；应急响应支撑服务，在出现入侵事件后提供应急止损，帮助快速恢复业务；
（3）全面完整的暴露面管理服务，7*24监控FTMS对外暴露资产及脆弱性数据，并提供专家预警及应急响应服务。
通过但不限于以上服务，确保FTMS在2024 (略) 行动中0失分。