品 名

数量

中标家数

常规安全服务及互联网系统监测服务

1项

1家

服务

名称

服务内容

工作范围及要求

网络架构安全评估

根据合理规划、区域隔离、风险可控的要求，对江西银行数据中心网络架构或新上线的网络规划进行风险分析，并结合实际业务系统部署情况，分析网络架构、区域划分存在的安全隐患，并提出整改建议。

一年不少于一次；非现场咨询不限次数。

漏洞扫描

通过专业安全扫描评估工具以本地扫描的方式对数据中心目标信息系统相关网络通讯、服务器操作系统以及数据库应用等进行漏洞识别与风险分析，并提供专业的解决方案。

互联网区主机漏洞扫描，每半年不少于一次

生产区漏洞扫描不少于一次。

重要系统上线前漏洞扫描。

基线配置核查

通过专业的基线配置检查工具，对江西银行生产中心关键信息系统所涉网络设备、操作系统、数据库以及相关软件进行口令安全、默认策略、基本服务、日志审计等进行配置安全性检查，确保系统配置的安全性。

生产系统的资产配置核查，一年不少于一次

安全设备日志分析

通过定期对江西银行生产中心及灾备中心机房的安全设备日志记录、控制策略进行检查和分析，发现潜在的安全问题，并及时进行策略优化和安全整改。

每半年不少于一次

代码审计

代码审计服务人员对被审计系统的所有源代码进行整体的安全审计，代码覆盖率为100%，整体源代码审计采用源代码扫描和人工分析确认相结合的方式进行分析，发现源代码存在的安全漏洞。

1个项目

安全应急响应

当江西银行出现紧急安全事件的时候，由安全专家提供有效的综合响应措施，对已发生或可能发生的有重大危害的网络与信息安全事件进行响应，以尽量降低可能造成损失。

一年不少于四次

信息安全评估

信息安全评估及整改，对江西银行信息安全管理情况进行现状调研，编制、修订信息安全现状分析与评估报告，协助落实江西银行信息安全评估整改。

一年一次

信息科技监管评级整改

信息科技监管评级问题整改，根据监管机构出具整改清单梳理关于信息科技部具体整改内容清单，根据信息科技部所确认的整改内容清单编制信息科技监管评级整改计划，协助江西银行信息科技监管评级整改。

不限次数

网络信息安全咨询服务

根据《网络安全法》、《商业银行信息科技风险管理指引》、《信息安全技术 网络安全等级保护基本要求》（GBT 22239-2019）和江西银行每年网络信息安全管理要求，对江西银行IT治理、风险管理、信息安全、开发测试、运行管理、外包管理、业务连续性以及IT审计等八个方面的管理制度、操作规程以及执行过程进行梳理和差距分析，以有效发现潜在的合规性问题和其他安全隐患，将发现的制度、流程不合理、不完善的地方，进行修订、整改和制度新增；对于执行过程不规范的地方，提供符合监管要求的模板。

日常咨询

互联网暴露资产

利用信息收集、深度挖掘等技术，对互联网暴露的进行全面核查，特别对一些“三无”资产要及时发现，及时处置，对一些存在明显缺陷的资产对缺陷及时整改，无法整改的应该关停系统，对一些代码托管平台进行监控排查。

一年一次

资产梳理及全面基础安全检查

通过前期的互联网资产检查，网络架构的分析梳理确定保障资产，对需要保障的资产制定关系映射表，便于事件的快速定位和应急响应，利用弱口令扫描，入侵痕迹排查，敏感信息检查，安全机制校验等手段全面检查基础安全，对风险进行闭环管理，尽量做到“不带病保障”。

一年一次

互联网安全监测服务

1. 网站安全监测。远程网页挂马及黑链监测服务；远程网站平稳度监测服务；远程用户资产变更监测；远程网页篡改监测服务；远程钓鱼网站监测服务；远程网站漏洞扫描服务；远程网站域名解析监测服务；基于威胁情报的互联网资产核查服务（含代码泄漏监测）。

2. 移动应用APP钓鱼仿冒应用监测。对全网不少于500家主流应用市场、手机应用商店、软件下载站进行7*24小时的监测，发现疑似仿冒应用及时预警，并协助甲方进行下架处理。

3. 小程序、公众号钓鱼仿冒监测。对主流平台，如支付宝、微信、今日头条等，进行定期监测，发现疑似仿冒后，预警并协助甲方进行下架处理。

4.暗网监测。通过爬虫和暗网搜索引擎对暗网主流论坛中内容进行监测监察，监测到涉及江西银行的信息后及时通告事件详情并提供相关处理安全建议。每月提供《暗网监测报告》。

一年，7*24小时

常规渗透测试服务

1.对财务进项税管理（外部后台应用）、财务进项税数据库(数据库系统安全)、网联测试环境外网、网银测试、网银/pos测试、智慧短信、企业云开户、深信服VPN、掌上银行测试（掌上银行应用）、智慧信贷测试（微信银行应用）、HCE（Olypay）、银企直联系统、一体化运维平台、信用卡权益平台（惠生活）、信用卡积分商城、信用卡微信银行、借记卡积分商城、壕享收业务管理平台、惠享精彩Android客户端、惠享精彩IOS客户端、江西银行网络学院、信用卡网申平台、金e融Android客户端、金e融IOS客户端、信用卡交互式系统、食堂消费系统、微企贷和现金管理系统进行渗透测试，共28个系统，每年进行一次。

《**系统渗透测试报告》，共28份。

2.对新上线的互联网类系统进行渗透测试，不少于4个系统。

《**系统渗透测试报告》，至少4份。

3.村镇银行个人网银、企业网银、手机银行IOS/Android、ATM系统进行渗透测试，共5个系统，每年进行一次。

《**系统渗透测试报告》，共5份。