序号

物资名称

规格型号

计量单位

暂定数量

交货地点

采购人

暂定交货期

1

HW保障及安全运维服务

详见服务表

1

1

业主指定地点

中交长江 (略)

60个工作日内

序号

分类

服务项

服务内容

全年安全服务（一年）

1

安全管理体系建设

安全运营服务

提供可视化安全运营服务， (略) 可以随时查看服务报告、网络安全健康度、资产情况、拓扑结构等，也可以在迎接相关上级单位检查时， (略) 络安全一览展示的工具来使用。

2

下属单位安全检查服务

根据提供的企业清单，开展 (略) 络信息安全和数据保护评估测试，评估内容包括但不 (略) 络信息安全防护能力、数据分类分级管理、数据安全性保护能力等，以及重点被查系统的安全漏洞情况，通过现场评测够较为清晰地了解企业当前所面临的安全风险和重要信息系统的安全现状。协助单位对下属国有企业开展制度专项检查工作，主要对《网络安全法》《个人信息保护法》《数据安全法》及网络安全工作责任制落实工作指标等工作制度检查。
2、服务范围：下属重点企业单位
3、服务频次：1年不低于1次

3

安全咨询服务

根据系统现状、业务安全需求、法律法规及相 关标准要求，为被服务方提供信息安全整体建设规划咨询、网络技术咨询、安全技术咨询、安全需求分析等服务。

4

安全规划设计服务

对安全现状、存在的主要问题、机遇与挑战进行分析；提出未来信息安全工作的战略、方针和目标；梳理信息安全工作的主要任务和内容；形成相 (略) 线图；提出信息安全建设实施的重点工程；给出规划实施管理和保障相应措施的建议。

5

管理体系咨询建设

全面梳理采购人现有管理制度，参照国家及行业相关政策要求以及国内国际权威信息安全管理体系标准，完善和修订信息安全管理体系制度。

6

网络安全培训(意识+技术)

提供有 (略) 络安全培训，在职人员培训不少于 4 学时，专业人员不少于 8 学时，内容包括信息安全意识教育、安全技术、国家相关法律法规的培训。

7

安全演练

安全应急演练

通过提前制定应急演练预案，并协助单位开展预案演练，提高应对安全事件的处置能力，预防和减少安全事件造成的危害和损失。

8

安全技术体系建设

资产测绘与维护

对资产进行梳理并定期更新，包括 (略) 络拓扑、IP 规划使用情况、应用系统、应用端口、系统版本、中间件、安全策略、硬件设备等

9

漏洞扫描

对主机进行常态化安全漏洞扫描，提供主机漏洞台账与报告，并根据漏洞风险等级、漏洞被利用可能性、漏洞加固或规避措施等内容，为单位进行漏洞处置决策提供参考依据。

10

基线核查

针对业务系统的安全特性，制订针对性的《重庆两江新区 (略) 网络配置规范》，从系统部署和集成的层面规避操作系统、网络设备、数据库系统等脆弱性的存在。

11

风险评估服务

对关键业务系统进行风险评估，包含整改建议。对服务器操作系统漏洞、数据库漏洞、应用系统漏洞、网络设备漏洞等；扫描、分析上述系统的安全漏洞，及时发现安全隐患。

12

渗透测试

对采购人指定的重要信息系统、网络信息系统进行抵抗入侵攻击能力测试。

13

暴露面资产探测

对网络上的暴露面资产进行识别和分析，暴露面资产指的是组 (略) 上所暴露的各种信息和资源，包括 (略) 站、服务器、数据库、API接口等。

14

安全加固

针对漏洞扫描和安全评估过程中发现的各种安全隐患，通过打补*、修补漏洞、安全配置增强、系统架构和安全策略调整等方式及时进行加固和安全优化。

15

新系统上线测试

针对用户新开发的业务系统（1-3个内）或功能模块及支持其运行的操 (略) 络环境等基础架构，开展安全隐患排查工作，以评估新业务的安全缺陷和风险。

16

安全运营体系建设

安全监管服务

提供专用安全设备，现场为业主服务；通过资产、威胁、脆弱性三个维 (略) 络安全状况进行7*24小时实时监测。需实现以下功能（1）漏洞扫描功能模块。（2）可入侵漏洞监测验证。（3）漏洞跟踪管理模块。（4）敏感文件泄露监测（5）仿真蜜罐模块（不限制蜜罐启用数量）（6）基线核查模块（7）弱口令校验模块。（提供以上七项功能界面截图加盖公章）

17

安全巡检服务

对安全设备运行状态进行巡检，巡检范围包含所有安全设备运行状态、策略、特征库/规则库、系统版本、授权状态进行维护和监测。根据招标方需求配合安全设备厂商完成安全系统升级、改造等工作。
巡检工作结束后，围绕本次的巡检工作，总结此次发现的问题，针对问题提出相应的处置方法与建议。

18

网站/公众号安全监测

高效、准确识别页面中的恶意代码，远程实时监测目标站点页面状况，发现页面被挂马、篡改情况，实时监测目标站点页面状况，发现页面出现敏感关键词等。

19

漏洞预警通告

对最新安全威胁信息及安全事件及时通告;提供及时的、针对性的各类安全信息，帮助单位及时了解最新安全动态，并协助采购人进行补*更新，做好安全调整，完善安全保护措施；提供电子邮件通告方式和电话通告方式进行预警通告服务，并提供临时处理方案或解决方案。
2、对最新暴露出的具有重大影响的漏洞需要及时对单位进行自查，确认单位相关重要信息系统是否受影响，提供临时规避措施和解决方案。

20

应急响应

(略) 络病毒/木马、黑客入侵、DOS攻击以及 (略) 络安全事件时，派出安全专家团队进行现场排查处理安全事件，保障业务系统的连续性，阻止和减小安全事件带来的负面影响，专家团队必须第一时间通过电话进行远程指导，远程解决不了的一小时内到达现场进行处置

重保服务

21

重保专项服务

（需求方指定时间起60日）

攻防演练保障人员支撑服务

针对国家级、公安省部级、行业级、其他主管部门组织的攻防演台应用等集成，提供免费SDK； (略) 部署安全设备的可用性进行监控，定制开发剧本对设备进行自动化巡检。（3）安全编排能力：①支持灵活的构建剧本可视化界面，拖拽式编辑，对剧本库进行管理；②支持迁移导入、导出、克隆等，多种模式（按告警、手工、定时）触发剧本库；③允许用户编写python脚本程序来实现剧本中的需求。提供以上功能截图加盖投标人鲜章。

专项服务

23

网络安全专项检测服务

（一次）

网络安全专项检测服务

一、 (略) 资产暴露面管理

1 资产发现任务

2 对外服务、端口梳理任务

3 清查、 (略) 上有关本单位的敏感信息

二、资产清查与管理

4 IT资产梳理

5 边缘资产梳理

6 资产探针部署

三、网络安全加固

7 网络规划清晰，划分安全域并进行安全隔离防护

8 禁止使用IPSEC等方 (略)

9 合理规划并规范使用IP地址

10 加强 (略) 络的准入控制

11 禁 (略) (略) 络使用NAT

四、主机安全加固

12 各单位主机漏洞修复

13 各单位主机账号口令更改

14 操作系统替换

15 堡垒机安全加固

16 各单位主机防护系统（安全狗）版本升级，告警规则优化

17 主机疑似历史入侵遗留的webshell清查

18 国产操作系统加固

五、中间件安全加固

19 按照基线对本单位的中间件进行安全加固

六、数据库安全加固

20 全面排查数据库，删除、关停无用数据库

21 按照基线对数据库实施整改

22 全面排查数据库特权账号，整改弱口令

七、应用安全加固

23 (略) 系统安全检测

24 内网应用渗透测试

25 移动应用检测

26 系统漏洞扫描

27 小程序安全加固

八、终端安全加固

28 终端防护系统替换

29 提升终端安全防护系统安装率

30 对全集团所有终端实施统一的漏洞修复、病毒查杀等安全加固

九、数据安全防护

31 数据梳理排查

32 梳理系统对外接口

33 收紧账号权限

34 梳理数据库服务器

十、账号及口令安全专项

35 无密认证系统推广

36 交建通绑定用户手机号安全确认

37 (略) 等手段监测系统弱口令

38 本单位各类设备、系统弱口令/空口令/通用口令整改

十一、项目部安全专项

39 项目部安全加固

十二、网络安全意识宣贯

40 (略) 络安全意识宣贯，提高员工安全意识

序号

物资名称

规格型号

计量单位

暂定数量

交货地点

采购人

暂定交货期

1

HW保障及安全运维服务

详见服务表

1

1

业主指定地点

中交长江 (略)

60个工作日内

序号

分类

服务项

服务内容

全年安全服务（一年）

1

安全管理体系建设

安全运营服务

提供可视化安全运营服务， (略) 可以随时查看服务报告、网络安全健康度、资产情况、拓扑结构等，也可以在迎接相关上级单位检查时， (略) 络安全一览展示的工具来使用。

2

下属单位安全检查服务

根据提供的企业清单，开展 (略) 络信息安全和数据保护评估测试，评估内容包括但不 (略) 络信息安全防护能力、数据分类分级管理、数据安全性保护能力等，以及重点被查系统的安全漏洞情况，通过现场评测够较为清晰地了解企业当前所面临的安全风险和重要信息系统的安全现状。协助单位对下属国有企业开展制度专项检查工作，主要对《网络安全法》《个人信息保护法》《数据安全法》及网络安全工作责任制落实工作指标等工作制度检查。
2、服务范围：下属重点企业单位
3、服务频次：1年不低于1次

3

安全咨询服务

根据系统现状、业务安全需求、法律法规及相 关标准要求，为被服务方提供信息安全整体建设规划咨询、网络技术咨询、安全技术咨询、安全需求分析等服务。

4

安全规划设计服务

对安全现状、存在的主要问题、机遇与挑战进行分析；提出未来信息安全工作的战略、方针和目标；梳理信息安全工作的主要任务和内容；形成相 (略) 线图；提出信息安全建设实施的重点工程；给出规划实施管理和保障相应措施的建议。

5

管理体系咨询建设

全面梳理采购人现有管理制度，参照国家及行业相关政策要求以及国内国际权威信息安全管理体系标准，完善和修订信息安全管理体系制度。

6

网络安全培训(意识+技术)

提供有 (略) 络安全培训，在职人员培训不少于 4 学时，专业人员不少于 8 学时，内容包括信息安全意识教育、安全技术、国家相关法律法规的培训。

7

安全演练

安全应急演练

通过提前制定应急演练预案，并协助单位开展预案演练，提高应对安全事件的处置能力，预防和减少安全事件造成的危害和损失。

8

安全技术体系建设

资产测绘与维护

对资产进行梳理并定期更新，包括 (略) 络拓扑、IP 规划使用情况、应用系统、应用端口、系统版本、中间件、安全策略、硬件设备等

9

漏洞扫描

对主机进行常态化安全漏洞扫描，提供主机漏洞台账与报告，并根据漏洞风险等级、漏洞被利用可能性、漏洞加固或规避措施等内容，为单位进行漏洞处置决策提供参考依据。

10

基线核查

针对业务系统的安全特性，制订针对性的《重庆两江新区 (略) 网络配置规范》，从系统部署和集成的层面规避操作系统、网络设备、数据库系统等脆弱性的存在。

11

风险评估服务

对关键业务系统进行风险评估，包含整改建议。对服务器操作系统漏洞、数据库漏洞、应用系统漏洞、网络设备漏洞等；扫描、分析上述系统的安全漏洞，及时发现安全隐患。

12

渗透测试

对采购人指定的重要信息系统、网络信息系统进行抵抗入侵攻击能力测试。

13

暴露面资产探测

对网络上的暴露面资产进行识别和分析，暴露面资产指的是组 (略) 上所暴露的各种信息和资源，包括 (略) 站、服务器、数据库、API接口等。

14

安全加固

针对漏洞扫描和安全评估过程中发现的各种安全隐患，通过打补*、修补漏洞、安全配置增强、系统架构和安全策略调整等方式及时进行加固和安全优化。

15

新系统上线测试

针对用户新开发的业务系统（1-3个内）或功能模块及支持其运行的操 (略) 络环境等基础架构，开展安全隐患排查工作，以评估新业务的安全缺陷和风险。

16

安全运营体系建设

安全监管服务

提供专用安全设备，现场为业主服务；通过资产、威胁、脆弱性三个维 (略) 络安全状况进行7*24小时实时监测。需实现以下功能（1）漏洞扫描功能模块。（2）可入侵漏洞监测验证。（3）漏洞跟踪管理模块。（4）敏感文件泄露监测（5）仿真蜜罐模块（不限制蜜罐启用数量）（6）基线核查模块（7）弱口令校验模块。（提供以上七项功能界面截图加盖公章）

17

安全巡检服务

对安全设备运行状态进行巡检，巡检范围包含所有安全设备运行状态、策略、特征库/规则库、系统版本、授权状态进行维护和监测。根据招标方需求配合安全设备厂商完成安全系统升级、改造等工作。
巡检工作结束后，围绕本次的巡检工作，总结此次发现的问题，针对问题提出相应的处置方法与建议。

18

网站/公众号安全监测

高效、准确识别页面中的恶意代码，远程实时监测目标站点页面状况，发现页面被挂马、篡改情况，实时监测目标站点页面状况，发现页面出现敏感关键词等。

19

漏洞预警通告

对最新安全威胁信息及安全事件及时通告;提供及时的、针对性的各类安全信息，帮助单位及时了解最新安全动态，并协助采购人进行补*更新，做好安全调整，完善安全保护措施；提供电子邮件通告方式和电话通告方式进行预警通告服务，并提供临时处理方案或解决方案。
2、对最新暴露出的具有重大影响的漏洞需要及时对单位进行自查，确认单位相关重要信息系统是否受影响，提供临时规避措施和解决方案。

20

应急响应

(略) 络病毒/木马、黑客入侵、DOS攻击以及 (略) 络安全事件时，派出安全专家团队进行现场排查处理安全事件，保障业务系统的连续性，阻止和减小安全事件带来的负面影响，专家团队必须第一时间通过电话进行远程指导，远程解决不了的一小时内到达现场进行处置

重保服务

21

重保专项服务

（需求方指定时间起60日）

攻防演练保障人员支撑服务

针对国家级、公安省部级、行业级、其他主管部门组织的攻防演台应用等集成，提供免费SDK； (略) 部署安全设备的可用性进行监控，定制开发剧本对设备进行自动化巡检。（3）安全编排能力：①支持灵活的构建剧本可视化界面，拖拽式编辑，对剧本库进行管理；②支持迁移导入、导出、克隆等，多种模式（按告警、手工、定时）触发剧本库；③允许用户编写python脚本程序来实现剧本中的需求。提供以上功能截图加盖投标人鲜章。

专项服务

23

网络安全专项检测服务

（一次）

网络安全专项检测服务

一、 (略) 资产暴露面管理

1 资产发现任务

2 对外服务、端口梳理任务

3 清查、 (略) 上有关本单位的敏感信息

二、资产清查与管理

4 IT资产梳理

5 边缘资产梳理

6 资产探针部署

三、网络安全加固

7 网络规划清晰，划分安全域并进行安全隔离防护

8 禁止使用IPSEC等方 (略)

9 合理规划并规范使用IP地址

10 加强 (略) 络的准入控制

11 禁 (略) (略) 络使用NAT

四、主机安全加固

12 各单位主机漏洞修复

13 各单位主机账号口令更改

14 操作系统替换

15 堡垒机安全加固

16 各单位主机防护系统（安全狗）版本升级，告警规则优化

17 主机疑似历史入侵遗留的webshell清查

18 国产操作系统加固

五、中间件安全加固

19 按照基线对本单位的中间件进行安全加固

六、数据库安全加固

20 全面排查数据库，删除、关停无用数据库

21 按照基线对数据库实施整改

22 全面排查数据库特权账号，整改弱口令

七、应用安全加固

23 (略) 系统安全检测

24 内网应用渗透测试

25 移动应用检测

26 系统漏洞扫描

27 小程序安全加固

八、终端安全加固

28 终端防护系统替换

29 提升终端安全防护系统安装率

30 对全集团所有终端实施统一的漏洞修复、病毒查杀等安全加固

九、数据安全防护

31 数据梳理排查

32 梳理系统对外接口

33 收紧账号权限

34 梳理数据库服务器

十、账号及口令安全专项

35 无密认证系统推广

36 交建通绑定用户手机号安全确认

37 (略) 等手段监测系统弱口令

38 本单位各类设备、系统弱口令/空口令/通用口令整改

十一、项目部安全专项

39 项目部安全加固

十二、网络安全意识宣贯

40 (略) 络安全意识宣贯，提高员工安全意识