(略) 市规划和自然资源信息化是我市信息化 (略) 分，是保障我市对土地、矿产和海洋资源的监测、监管，提高国土资源开发利用水平的战略举措，是实现国土资源工作科学化、现代化，加强自然资源对经济的宏观调控能力的重要基础。作为国家信息化 (略) 分， (略) 业、各部门提供地理空间和自然资源环境方面的基础数据，成为国家 (略) 会发展信息化的重要支撑。近年来，规划 (略) 业务系统数量爆发式增长，业务使用对象 (略) 内用户扩大到政府用户，企业用户和公众用户，用户数量多， (略) 络环境复杂。原本的安全建设主要依托与满足政策要求和必要的安全防护，安全总体水平与最佳实践存在差距,信息安全建设滞后于业务和IT建设发展 ；在体系方面没有统 * 的总体规划，信息安全组织不完善，全面的安全管理防护体系还没有有效的建立起来，全员的安全意识不足；政务服 (略) 、 (略) 等单位也要求落实国家密码管理有关法律法规、政策和标准规范的要求，及时开展密码应用改造和评估工作，《 (略) 市金融和重要领域密码应用与创新发展重点任务工作台账（ * 年- * 年）》对密码工作提出了具体进度要求，需推进自然资源调查监测及监管、管理决策与服务、不动产登记等国土资源基础数据信息系统中的密码应用，及时开展密码应用评估和改造工作。

* 、总体要求

本项目在开展过程中，应充分考虑信息系统现状，严格落实《网络安全法》、网络安全等级保护、密码应用 (略) 络安全工作要求。

1、服务响应要求：投标供应商应建立7x * 小时服务响应热线，在服务期内 (略) 服务。 (略) 络、应用系统如果遇到重 (略) 全事件, 供应商技术人员必须在2小时内 (略) ，在4小时内发现原因尽快解决，或在4小时内提供临时解决方案并协助实施。工作结束后应出具安全事件的详细分析报告及解决方案,并提供不限次数7x2 (略) 服务。

2、组织实施要求：投标供应商应安排专职项目经理负责本次服务项目的实施，投标人必须为本项目成立本地化服务小组, 投标人派驻本项目的测评人员和项目经理必须固定，如有变更，必须经用户同意并签字确认。投标人必须提供人员管理及配备方案，安全服务项目经验、资质证书并确保其服务的高质量。

* 、服务内容

本项目是安全服务类项目，服务期为 * 年，工作内容包括：

1、网络安 (略) 规划服务

本次规划需求的服 (略) （含局机关、各直属单位和各派出机构），内容涵盖 * 大体系：安全管理体系、安全技术体系、 (略) 体系、合规监管体系，同时需制定各类信息安全工程、与安全管理建设的落地要求。其中，安全技术体系涵盖物理环境安全、安全基础设施、网络边界安全、服务器及终端安全、业务应用安全、大数据安全、移动应用安全 * 个方面的内容。

（1）安全管理体系设计

制度规范方面，应以《网络安全法》、新等保、关保相关法规为依据，形成基础制度、管理办法和操作规程 * 个 (略) 络安全管理制度体系框架,建立、完善项目采购单位各项安全管理制度规范，形成定期回顾、评审和修订的制度管理机制。

人员培养方面，需设计安全人员培养体系， (略) 络安全研究和应用实践，分专 (略) 络安全人才库， (略) 络 (略) ，培养 * 批高层次、创新型、 (略) 络安全技术人 (略) 。 (略) 机构开 (略) 络安全专项培训、技能竞赛、攻防演练等途径，实现人才多渠道培养选拔。 (略) 络安全人才管理制度，健全人才激励、评价和留用机制， (略) (略) * 。 (略) 络安全防护理念，树立 (略) 络安全观。常态 (略) 络安全意识教育培训，采用多种 (略) 网络安全意识宣贯。 (略) 络安全意识教育培训，力争做到人人懂安全、人人知安全， (略) 络安全工作的开展提供意识支撑。

（2）安全技术体系设计

参照最佳实践，对标编写物理环境安全基线、安全基础设施、网络边界安全基线、服务器及终端安全基线、业务应用安全基线、大数据安全基线、移动应用安全基线等。

设计物理环境安全、安全基础设施、网络边界安全、服务器及终端安全、业务应用安全、大数据安全安全架构及规范。对项目采购单位跨系统 (略) 研究，在仔细研究、分类分级的基础上，设计各类跨系统数据交换安全防护架构及规范。

（3） (略) 体系设计

根据信息系统安全建设评估报告内容，建立完整软件安全建设管理体系，包括：建设管理制度、流程和技术，优化现有工作机制， (略) 需的安全功能检查表单，加强系统架构安全管控，加强开发安全测试，优化工作流程。

(略) 维护管理技术保障体系和制度体系，加强自动化运维建设和管理，使安全工作中创建配置、变更申请、策略审批、 (略) 、持续优化等工作形成闭环，形成安全运维能力迭代循环提升的机制。

建立专 (略) 团队，应基于安全体系规 (略) 体系，结合信息化体系和人力资源特点， (略) (略) ，涵盖组织结构、汇报关系、成员构成、岗位设置、职级划分、岗位职责等方面。根据岗位职责， (略) 络安全人才框架能力模型，确定各个岗位能力要求，建立 * 支具 (略) (略) 。

(略) 支撑协同平台， (略) 络安全资产管理、 (略) 置协同等功能，将其作为安全工作流程发布、任务分派、跟踪的平台，加强安全工作协 (略) 落地能力，提升效率。

完善应急响应体系。细化信息安全事件的分级分类，编 (略) (略) 景下的应急预案。完善资产梳理、安全事件监控、 (略) 置、安全演练等技术措施，提升项 (略) 络安全事件应急响应能力。

（4）安全合规及监管体系设计

完善安全检查体系，首先，从制度层面对安全检查提出明确的管理要求， (略) 络安全检查如何与法定自查相结合的问题；其次，应建立体系化、规范化、可量化的安全检查机制，细化操作规程和检查内容，确保安全检查覆盖信 (略) 涉及的各项工作。逐步 (略) 络安全考核体系，包括考核内容、考核指标及考核数据的获取。

（5）网络安全应急专家服务

服务期内， (略) 络安 (略) * ， (略) 络安全事件应急专家组， (略) 络安 (略) 置咨询服务。主要职责是对 * (略) 络安全事件 (略) (略) 与研判建议；对与预案相关的规章制度的制定和项目建设提供参考意见；对应急工作中存在的问题和不足提出改进建议；参与相关应急培训和教材编审工作。

2、安全防护能力评估服务（红队评估服务）

针对项目采购单位的业务应 (略) 络安全防护评估服务。采用完全模拟黑客攻击的手法， (略) (略) 中不限定攻击路径和手段，在不干扰项目采购单位信息 (略) 、不造成数据损失等不可逆损害的前提下， (略) 络、业务系统、人员、软件等 (略) 多混合、基于对抗性的模拟攻击，从攻击的角度尽可能发现有可能被黑客利用的安全漏洞以及安全威胁，整体评估项目 (略) 网络存在的安全风险和 (略) 程度，形成报告， (略) 之有效的风险整改建议，以降低项目采购 (略) 络安全风险， (略) 络安全防护水平。

（1）以漏洞利用为主，以 (略) 络攻击的手段，绕过项目采购单位的安全防御体系，以“获取业务权限、数据、网站攻击留痕”为目标，检验项目 (略) 网络在遭遇高级 (略) 络攻击时的纵深防御能力、威胁发现能力、告警响应能力、 (略) 置能力；

（2） (略) 络层攻击、应用渗透、后渗透维持等多种攻防手法完全模拟高级 (略) 络攻击，从黑客角度对 (略) 安全评估；

（3）通 (略) 为、绕开安全防护系统、夺取单个目标 (略) 横向移动攻击更多信息系统等形式，对项目 (略) (略) 深度、全面的评估；

（4）绘制评估的完整攻击路线过程，对系统的安全性做深度评估，对 (略) 总结并输出《安全防护能力评估报告》；

（5）服务提供商在输出完报告之后须提出整改建议方案，并协助项目 (略) 整改工作，整改 (略) 复评验证，以确认漏洞是否被完全修复。

3、密码应用安全评估：按照商用密码应用安全性分类分级评估的要求，依据《信息系统密码应用基本要求》（GM/T 点击查看>> ）要求及信息系统等级保护定级情况，对 (略) 市规划 (略) 的7个等保 * 级 (略) * 次商用密码应用安全性评估服务，最终输出7个系统的《密码应用安全性评估报告》，协助 * 方对其中的电子政务平台系统制定密码应用升级改造方案，完成对改造方案的评审，出具《信息系统商用密码应用方案评估意见》，满足商用密码应用安全性评估工作验收要求。

（1）评估要求：按照密码应用评估工作要求，从《商用密码应用安全性评估试点机构目录》中选择商用密码应用安全性评估机构开展评估工作。

（2）评估范围： (略) 市规划 (略) 的电子政务平台（等保 * 级）、 (略) 市不动产登记系统（等保 * 级）、 (略) 市多规合 * 信息平台（等保 * 级）、外网数字 (略) 空间基础信息平台系统（等保 * 级）、 (略) 市产业用地用房供需服务平台（等保 * 级）、 (略) （等保 * 级）、不动产籍信息基础平台（等保 * 级）共7个信息系统。如果 (略) 市规划 (略) 定级备案的信息系统有变化，可以按照调整 (略) 商用密码应用安全性评估服务，评估总量不变，仍然是7个信息系统.

（3）评估内容：按照国 (略) 门的相关标准开展商用密码应用安全性评估，从总体要求、物理和环境、网络和通信、设备和计算、应用和数据、密钥管理、安全管理等方面开展评估。

（4）评估技术要求：投标方必须提供完整的技术实施方案，基本实施参考要求有：

密码评估的工作流程

密码评估的检测要求

1、 (略) 依据及参考的标准

（1）《 (略) 省人民政府办公厅关于印发 (略) 省数字政府改革建设 * 年工作要点的通知》

（2）《 (略) 市金融和重要领域密码应用与创新发展重点任务工作台账（ * 年- * 年）》

2、项目采购范围

（1）服务名称： (略) 市规划 (略) 信 (略) 服务及密码应用安全性评估

（2）服务地点： (略) 市

（3）服务内容：网络安 (略) 规划服务，安全防护能力评估服务（红队评估服务）以及密码应用安全性评估。

3、项目服务期限：本项目服务期限为 * 年，时间自合同签订日开始 * 年。

4、组织实施要求：投标供应商应安排专职项目经理负责本次服务项目的实施，投标人必须为本项目成立本地化服务小组, 投标人派驻本项目的测评人员和项目经理必须固定，如有变更，必须经用户同意并签字确认。投标人必须提供人员管理及配备方案，安全服务项目经验、资质证书并确保其服务的高质量。

5、成果要求：

本项目属于安全服务采购项目，主要工作成果包括：

6、培训及售后服务要求：

（1）提供7x * 小时服务响应热线，提供多种方式与渠道 (略) 及 (略) 技术支持服务，参与采购人的信息安全应急技术演练，并针对采购人需求提供 * 次信息安全技术培训。

（2）合同签订后，中标人提供项目服务期内《维护服务承诺函》。

(略) 市规划和自然资源信息化是我市信息化 (略) 分，是保障我市对土地、矿产和海洋资源的监测、监管，提高国土资源开发利用水平的战略举措，是实现国土资源工作科学化、现代化，加强自然资源对经济的宏观调控能力的重要基础。作为国家信息化 (略) 分， (略) 业、各部门提供地理空间和自然资源环境方面的基础数据，成为国家 (略) 会发展信息化的重要支撑。近年来，规划 (略) 业务系统数量爆发式增长，业务使用对象 (略) 内用户扩大到政府用户，企业用户和公众用户，用户数量多， (略) 络环境复杂。原本的安全建设主要依托与满足政策要求和必要的安全防护，安全总体水平与最佳实践存在差距,信息安全建设滞后于业务和IT建设发展 ；在体系方面没有统 * 的总体规划，信息安全组织不完善，全面的安全管理防护体系还没有有效的建立起来，全员的安全意识不足；政务服 (略) 、 (略) 等单位也要求落实国家密码管理有关法律法规、政策和标准规范的要求，及时开展密码应用改造和评估工作，《 (略) 市金融和重要领域密码应用与创新发展重点任务工作台账（ * 年- * 年）》对密码工作提出了具体进度要求，需推进自然资源调查监测及监管、管理决策与服务、不动产登记等国土资源基础数据信息系统中的密码应用，及时开展密码应用评估和改造工作。

* 、总体要求

本项目在开展过程中，应充分考虑信息系统现状，严格落实《网络安全法》、网络安全等级保护、密码应用 (略) 络安全工作要求。

1、服务响应要求：投标供应商应建立7x * 小时服务响应热线，在服务期内 (略) 服务。 (略) 络、应用系统如果遇到重 (略) 全事件, 供应商技术人员必须在2小时内 (略) ，在4小时内发现原因尽快解决，或在4小时内提供临时解决方案并协助实施。工作结束后应出具安全事件的详细分析报告及解决方案,并提供不限次数7x2 (略) 服务。

2、组织实施要求：投标供应商应安排专职项目经理负责本次服务项目的实施，投标人必须为本项目成立本地化服务小组, 投标人派驻本项目的测评人员和项目经理必须固定，如有变更，必须经用户同意并签字确认。投标人必须提供人员管理及配备方案，安全服务项目经验、资质证书并确保其服务的高质量。

* 、服务内容

本项目是安全服务类项目，服务期为 * 年，工作内容包括：

1、网络安 (略) 规划服务

本次规划需求的服 (略) （含局机关、各直属单位和各派出机构），内容涵盖 * 大体系：安全管理体系、安全技术体系、 (略) 体系、合规监管体系，同时需制定各类信息安全工程、与安全管理建设的落地要求。其中，安全技术体系涵盖物理环境安全、安全基础设施、网络边界安全、服务器及终端安全、业务应用安全、大数据安全、移动应用安全 * 个方面的内容。

（1）安全管理体系设计

制度规范方面，应以《网络安全法》、新等保、关保相关法规为依据，形成基础制度、管理办法和操作规程 * 个 (略) 络安全管理制度体系框架,建立、完善项目采购单位各项安全管理制度规范，形成定期回顾、评审和修订的制度管理机制。

人员培养方面，需设计安全人员培养体系， (略) 络安全研究和应用实践，分专 (略) 络安全人才库， (略) 络 (略) ，培养 * 批高层次、创新型、 (略) 络安全技术人 (略) 。 (略) 机构开 (略) 络安全专项培训、技能竞赛、攻防演练等途径，实现人才多渠道培养选拔。 (略) 络安全人才管理制度，健全人才激励、评价和留用机制， (略) (略) * 。 (略) 络安全防护理念，树立 (略) 络安全观。常态 (略) 络安全意识教育培训，采用多种 (略) 网络安全意识宣贯。 (略) 络安全意识教育培训，力争做到人人懂安全、人人知安全， (略) 络安全工作的开展提供意识支撑。

（2）安全技术体系设计

参照最佳实践，对标编写物理环境安全基线、安全基础设施、网络边界安全基线、服务器及终端安全基线、业务应用安全基线、大数据安全基线、移动应用安全基线等。

设计物理环境安全、安全基础设施、网络边界安全、服务器及终端安全、业务应用安全、大数据安全安全架构及规范。对项目采购单位跨系统 (略) 研究，在仔细研究、分类分级的基础上，设计各类跨系统数据交换安全防护架构及规范。

（3） (略) 体系设计

根据信息系统安全建设评估报告内容，建立完整软件安全建设管理体系，包括：建设管理制度、流程和技术，优化现有工作机制， (略) 需的安全功能检查表单，加强系统架构安全管控，加强开发安全测试，优化工作流程。

(略) 维护管理技术保障体系和制度体系，加强自动化运维建设和管理，使安全工作中创建配置、变更申请、策略审批、 (略) 、持续优化等工作形成闭环，形成安全运维能力迭代循环提升的机制。

建立专 (略) 团队，应基于安全体系规 (略) 体系，结合信息化体系和人力资源特点， (略) (略) ，涵盖组织结构、汇报关系、成员构成、岗位设置、职级划分、岗位职责等方面。根据岗位职责， (略) 络安全人才框架能力模型，确定各个岗位能力要求，建立 * 支具 (略) (略) 。

(略) 支撑协同平台， (略) 络安全资产管理、 (略) 置协同等功能，将其作为安全工作流程发布、任务分派、跟踪的平台，加强安全工作协 (略) 落地能力，提升效率。

完善应急响应体系。细化信息安全事件的分级分类，编 (略) (略) 景下的应急预案。完善资产梳理、安全事件监控、 (略) 置、安全演练等技术措施，提升项 (略) 络安全事件应急响应能力。

（4）安全合规及监管体系设计

完善安全检查体系，首先，从制度层面对安全检查提出明确的管理要求， (略) 络安全检查如何与法定自查相结合的问题；其次，应建立体系化、规范化、可量化的安全检查机制，细化操作规程和检查内容，确保安全检查覆盖信 (略) 涉及的各项工作。逐步 (略) 络安全考核体系，包括考核内容、考核指标及考核数据的获取。

（5）网络安全应急专家服务

服务期内， (略) 络安 (略) * ， (略) 络安全事件应急专家组， (略) 络安 (略) 置咨询服务。主要职责是对 * (略) 络安全事件 (略) (略) 与研判建议；对与预案相关的规章制度的制定和项目建设提供参考意见；对应急工作中存在的问题和不足提出改进建议；参与相关应急培训和教材编审工作。

2、安全防护能力评估服务（红队评估服务）

针对项目采购单位的业务应 (略) 络安全防护评估服务。采用完全模拟黑客攻击的手法， (略) (略) 中不限定攻击路径和手段，在不干扰项目采购单位信息 (略) 、不造成数据损失等不可逆损害的前提下， (略) 络、业务系统、人员、软件等 (略) 多混合、基于对抗性的模拟攻击，从攻击的角度尽可能发现有可能被黑客利用的安全漏洞以及安全威胁，整体评估项目 (略) 网络存在的安全风险和 (略) 程度，形成报告， (略) 之有效的风险整改建议，以降低项目采购 (略) 络安全风险， (略) 络安全防护水平。

（1）以漏洞利用为主，以 (略) 络攻击的手段，绕过项目采购单位的安全防御体系，以“获取业务权限、数据、网站攻击留痕”为目标，检验项目 (略) 网络在遭遇高级 (略) 络攻击时的纵深防御能力、威胁发现能力、告警响应能力、 (略) 置能力；

（2） (略) 络层攻击、应用渗透、后渗透维持等多种攻防手法完全模拟高级 (略) 络攻击，从黑客角度对 (略) 安全评估；

（3）通 (略) 为、绕开安全防护系统、夺取单个目标 (略) 横向移动攻击更多信息系统等形式，对项目 (略) (略) 深度、全面的评估；

（4）绘制评估的完整攻击路线过程，对系统的安全性做深度评估，对 (略) 总结并输出《安全防护能力评估报告》；

（5）服务提供商在输出完报告之后须提出整改建议方案，并协助项目 (略) 整改工作，整改 (略) 复评验证，以确认漏洞是否被完全修复。

3、密码应用安全评估：按照商用密码应用安全性分类分级评估的要求，依据《信息系统密码应用基本要求》（GM/T 点击查看>> ）要求及信息系统等级保护定级情况，对 (略) 市规划 (略) 的7个等保 * 级 (略) * 次商用密码应用安全性评估服务，最终输出7个系统的《密码应用安全性评估报告》，协助 * 方对其中的电子政务平台系统制定密码应用升级改造方案，完成对改造方案的评审，出具《信息系统商用密码应用方案评估意见》，满足商用密码应用安全性评估工作验收要求。

（1）评估要求：按照密码应用评估工作要求，从《商用密码应用安全性评估试点机构目录》中选择商用密码应用安全性评估机构开展评估工作。

（2）评估范围： (略) 市规划 (略) 的电子政务平台（等保 * 级）、 (略) 市不动产登记系统（等保 * 级）、 (略) 市多规合 * 信息平台（等保 * 级）、外网数字 (略) 空间基础信息平台系统（等保 * 级）、 (略) 市产业用地用房供需服务平台（等保 * 级）、 (略) （等保 * 级）、不动产籍信息基础平台（等保 * 级）共7个信息系统。如果 (略) 市规划 (略) 定级备案的信息系统有变化，可以按照调整 (略) 商用密码应用安全性评估服务，评估总量不变，仍然是7个信息系统.

（3）评估内容：按照国 (略) 门的相关标准开展商用密码应用安全性评估，从总体要求、物理和环境、网络和通信、设备和计算、应用和数据、密钥管理、安全管理等方面开展评估。

（4）评估技术要求：投标方必须提供完整的技术实施方案，基本实施参考要求有：

密码评估的工作流程

密码评估的检测要求

1、 (略) 依据及参考的标准

（1）《 (略) 省人民政府办公厅关于印发 (略) 省数字政府改革建设 * 年工作要点的通知》

（2）《 (略) 市金融和重要领域密码应用与创新发展重点任务工作台账（ * 年- * 年）》

2、项目采购范围

（1）服务名称： (略) 市规划 (略) 信 (略) 服务及密码应用安全性评估

（2）服务地点： (略) 市

（3）服务内容：网络安 (略) 规划服务，安全防护能力评估服务（红队评估服务）以及密码应用安全性评估。

3、项目服务期限：本项目服务期限为 * 年，时间自合同签订日开始 * 年。

4、组织实施要求：投标供应商应安排专职项目经理负责本次服务项目的实施，投标人必须为本项目成立本地化服务小组, 投标人派驻本项目的测评人员和项目经理必须固定，如有变更，必须经用户同意并签字确认。投标人必须提供人员管理及配备方案，安全服务项目经验、资质证书并确保其服务的高质量。

5、成果要求：

本项目属于安全服务采购项目，主要工作成果包括：

6、培训及售后服务要求：

（1）提供7x * 小时服务响应热线，提供多种方式与渠道 (略) 及 (略) 技术支持服务，参与采购人的信息安全应急技术演练，并针对采购人需求提供 * 次信息安全技术培训。

（2）合同签订后，中标人提供项目服务期内《维护服务承诺函》。