采购服务内容
（一）教委中心机房网络与信息安全测评
本次需要测评的系统包括被测系统运行密不可分的物理环境、网络区域环境、安全计算环境、安全管理中心及安全管理制度等。
1.工具扫描
使用专业的安全分析工具（至少包含专业的主机网络安全分析、应用系统安全析工具）对待测系统进行安全分析。在与我方深入沟通的基础上，对系统进行渗透，对过程进行记录并最终形成工具扫描、渗透报告。
2.等级测评
本项目信息安全等级保护测评目的和测评内容，必须与信息安全等级保护要求的基本安全控制要求相一致。本项目测评人员应依据测评目的和测评内容，选取、实施特定测评操作的方式方法。测评主要包括以下几个方面的内容：
2.1网络安全通用测评
2.1.1安全物理环境测评
依次对信息系统重要非涉密系统所在位置进行检查：物理位置的选择、是否有物理访问控制、是否有防盗窃和防破坏、是否有防雷击、是否有防火设施设计、是否有防水和防潮、是否有防静电、是否有温湿度控制、是否有电力供应UPS、是否有电磁防护等防护项目进行检查测评。
2.1.2安全通信网络测评
安全通信涉及的测评对象包括：系统网络结构，通信传输完整性，可信验证的检测和防范。
网络安全测评所对应生成的检查记录表包括：系统网络结构安全核查记录、通信传输完整性安全核查记录、可信验证安全核查记录。
2.1.3安全区域边界测评
测评对象包括接入边界防护情况，访问控制情况，入侵防范情况，恶意代码防范情况，安全审计情况，可信验证情况。
2.1.4安全计算环境测评
安全计算环境是针对身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护的情况进行检查。
2.1.5安全管理中心测评
安全管理中心员检测是否进行身份鉴别，是否只允许其通过特定的命令或操作界面进行系统管理操作，是否对这些操作进行审计。
测评对象为：系统管理、审计管理、安全管理、集中管控。
2.1.6安全管理制度测评
安全管理制度的测评将采用访谈、检查文档的方式测评该信息系统的管理制度方面的安全保障情况。
安全管理制度的测评对象为：安全策略、管理制度 、制定和发布、评审和修订文档记录等。
2.1.7安全管理机构测评
安全管理机构的测评将采用访谈、检查文档的方式测评该信息系统在安全管理机构方面的安全保障情况。
安全管理机构的测评对象为：岗位设置、人员配备、授权和审批、沟通和合作 、审核和检查。
2.1.8安全管理人员测评
安全管理人员的测评将采用访谈、检查文档的方式测评该信息系统在人员安全管理方面的安全保障情况。
人员安全管理的测评对象为：人员录用、人员离岗、安全意识教育和培训、外部人员访问管理。
2.1.9安全建设管理测评
安全建设管理的测评将采用访谈、检查文档的方式测评该信息系统在系统建设管理方面的安全保障情况。
系统建设管理的测评对象为：定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商选择。
2.1.10安全运维管理测评
安全运维管理的测评将采用访谈、检查文档的方式测评该信息系统在系统运维管理方面的安全保障情况。
系统运维管理的测评对象为：环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理 、外包运维管理。
2.2安全扫描与测试
对信息系统设备进行安全测试与扫描。
2.3分析与报告
通过测评信息收集分析，形成针对被测评系统的网络安全等级保护测评报告等。主要包括系统测评记录、工具扫描及渗透测试报告、系统风险分析，系统等级测评报告等，并根据测评结果和风险分析结果，提供详细的整改方案。
3.质量保证
测评中应严格按照GB/T
*****-2018 《信息系统安全等级保护测评过程指南》标准的要求实施，加强质量监督和复查，保证测评工作质量。
4.技术要求
测评过程中，应针对关键设备、重点网段和高危漏洞进行渗透测试，形成相应的实施和分析报告。
（二）网络安全设备升级改造
1. 防火墙系统升级
（1）应用识别库、URL分类特征库、病毒防护特征库、入侵防御特征库升级服务及威胁情报订阅服务；
（2）提供升级服务≥5年；
（3）能够无缝导入城域网原有的安全设备，提供制造商售后服务证明文件；
（4）如提供的全功能模块升级库不能兼容原有的设备，投标单位需提供一台网络层吞吐量≥20Gbps，且配置相对应3年的应用识别库、URL分类特征库、病毒防护特征库、入侵防御特征库升级服务及威胁情报订阅服务。
（5）在服务期限内提供7×24小时的售后服务，承担本项目所有的管理、运维、咨询及安全保障工作。
2.VPN设备
（1）支持千兆电口≥8个，千兆光口≥2个；标准1U机箱，多核非X86架构，配置硬盘容量≥1T，运行内存≥2G，采用节能设计，整机功耗＜30W；
（2）配置SSL VPN使用授权许可≥100个，配置IPSec VPN使用授权许可≥100个。
（3）VPN许可永久使用，永久服务，后续无服务费用、无升级费用，提供制造商售后服务证明文件。
（4）详细记录使用用户的访问行为，确保用户的访问过程可追溯。
5.在服务期限内提供7×24小时的售后服务，承担本项目所有的管理、运维、咨询及安全保障工作。
（三）服务要求部分
1.实施要求与保密
（1）供应商必须承诺对本项目技术文件以及由用户提供的所有内部资料、技术文档和信息予以保密。供应商须按用户的要求签订保密协议，未经用户书面许可，不得以任何形式向第三方透露本项目标书以及本项目的任何内容。
（2）供应商在项目实施过程中，需对项目进行规范化管理，要有项目管理组织、项目管理计划、服务资产管理等。同时，供应商应根据项目实际情况制定项目实施计划，严格按照项目实施计划推动项目实施，确保项目进度。
（3）供应商应加强本项目资料的保密管控，必须针对本项目建立项目纸质、声音、影像、图像、电子等各种形态资料及其载体的保密管控措施，记录资料由生成到销毁整个生命周期内的使用日志，并根据实际工作情况及时对制度进行调整。供应商应加强本项目在用户工作场所使用设备，特别是笔记本电脑、移动存储介质等便携设备使用的保密管理。接入系统网络内使用的设备，必须遵守该系统关于终端安全管理、移动存储介质管理等要求。
（4）在项目实施过程中，供应商应成立相应的项目组，指定一名专职的项目经理协调和调度项目实施工作。
（5）依据《网络安全等级保护测评机构管理办法》相关规定：“属于异地测评项目的，测评机构应从项目管理系统中生成测评项目基本情况表，并于测评项目实施前报送或传至被测评网络备案公安机关”。属于异地测评项目的,成交供应商应在合同签订前提交审核通过的《测评项目基本情况表》。如出现不能按时提交或备案不通过的，视为成交供应商不具备签订合同的基本条件，采购人有权按评审排名依序顺延。
（6）供应商协助甲方对相关网络安全制度进行修改调整和完善，形成完整的安全管理制度手册和体系；提供安全管理体系建设及网络信息安全合规性顾问咨询服务，协助完成网络信息安全体系建设和网络信息安全合规性建设。
2.售后服务要求
投标时按照如下要求提供三年售后服务承诺，加盖公司鲜章。
（1）定期对甲方重要的信息系统、服务器、核心网络设备及安全设备进行设备健康状态检查、策略配置维护、数据备份等服务。
（2）每次巡检，漏扫、渗透测试、应急响应等服务完成后都需对发现的问题协助进行整改和加固，及时消除因安全漏洞被恶意攻击者利用从而引发的风险。
（3）在举行重大活动、处理重要事件、以及特殊保障期（如两会、法定节日、敏感时期等）等时间节点，在活动前进行安全检查，活动期间实行7*24小时远程安全值守，保证按照上级要求做到及时处理。
（4）当甲方遭受网络病毒/、黑客入侵、DOS攻击以及发生其他网络安全事件时，服务供应商派出安全专家团队进行现场排查处理安全事件，保障业务系统的连续性，阻止和减小安全事件带来的负面影响，并针对此次事件的问题现象、发生原因以及处理过程，预防措施与建议进行总结报告。
（5）当甲方被其他单位检测出有安全漏洞时，服务供应商应及时按照要求修复安全漏洞，并出具相应的整改报告。
3.实施时间
自合同签订之日起30个工作日内交货
4.交付地点
采购人指定地点。
5.项目验收
成交供应商提交有效的信息系统等级保护测评报告及相关材料，最终等级测评报告提交并通过公安局的检查。
