序号

服务名称

技术参数

数量

单位

1

2023年龙岩市新罗区人民法院业务专网网络安全等级保护（三级）咨询及测评服务类采购项目成本清单（云集成）

2.1协助定级、备案（若有）
对要求定级、备案的项目系统进行梳理分析，编制《信息安全等级保护定级报告》，并协助用户通过专家评审，专家评审后填写《信息系统安全等级保护定级报告》、《信息系统安全等级保护备案表》和信息系统安全等级保护专家评审意见等材料上报主管进行审核，提交网安备案。
2.2等保资产分析服务
根据等级保护范围内的资产组成，对服务范围内各个测评对象整理的网络结构拓扑以及相关联的资产，开展安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理制度进行调研和梳理，编制《信息系统等级保护基本情况调研表》。
2.3等保风险分析服务
根据等级保护基本要求，开展安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心的现状分析，对现有的安全资产进行全方位的风险评估，结合信息资产属性、威胁、脆弱性等基本要素，分析信息系统安全风险评估分析，编制《等级保护安全评估与整改建议报告》。
2.4等保差距评估服务
在安全评估和信息系统定级的基础上，根据《GB/T*****-2019信息安全技术网络安全等级保护基本要求》将测评对象对应等级的等级保护的各项基本要求与信息安全现状进行比较分析。
3.5等保辅导服务
根据等级保护基本要求以及风险和差距分析结果，对服务范围内信息系统的关键资产编制安全整改实施方案，实施方案中应包括加固风险分析及风险规避说明。
因等保风险分析工作需要，基于数据安全和代码安全性考虑，投标人投入使用的安全检查工具须同时具备以下产品功能：1.包含系统漏洞扫描、web应用漏洞扫描、数据库漏洞扫描、基线配置核查以及弱口令检测等安全检测能力，并提供无限制IP数的正式版授权；2.web应用漏洞扫描应支持主动与被动扫描，解决复杂逻辑业务系统的漏洞检测；3.产品应支持漏洞一键验证功能，便于漏洞验证；4.产品应支持渗透测试功能与检查工具联动；5.投标人需承诺提供的检查工具为正式无限制授权许可且能够按投标人要求随时更新漏洞库。（以上功能须提供相关截图证明）。
对于需要增加投资，部署新的信息安全产品和技术的整改措施，双方根据整改方案另行协商和实施。
2.6等保制度建设服务
协助客户建设安全管理制度，为测评对象建立起信息安全策略、方针、各项安全管理制度、安全操作规范以及各类操作记录文档体系。提供涵盖等级保护基本要求所涉及的安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理5大类安全管理要求的方针、制度、各类记录表格模板，达到等级保护测评要求。提交《等级保护安全管理制度》。
2.7等保测评辅助服务
协助用户准备测评材料，指导用户单位配合测评机构开展等级测评工作，组织测评整改，并保障顺利通过等保测评获得测评报告。在测评阶段进行等级测评管理，展示本单位各定级对象测评情况，包括定级对象测评状态、测评报告及测评相关文档信息，辅助等级测评工作。
2.8等保台账管理服务
提供等保台账管理服务，服务过程中提供各个定级对象等保咨询服务涉及到的各个环节产生的资料归档，支持对单个定级对象的定级、备案、自评、测评、管理制度五大维度的单独归档文件管理。
3等级保护测评服务内容
根据信息系统的保护等级，并依据GB/T *****-2019《信息安全技术 网络安全等级保护基本要求》、《信息系统安全等级保护测评准则》等相关标准的条款要求，对信息系统的安全保护等级进行测评，测评的内容包括但不限于以下内容：
(1)安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等五个方面的安全测评；
(2)安全管理测评：安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个方面的安全测评。
①安全物理环境
根据信息系统机房和现场安全测评记录，针对机房和现场在“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等安全物理环境方面所采取的措施进行，判断出与其相对应的各测评项的测评结果。
②安全通信网络
根据信息系统安全通信网络现场测评记录，针对安全通讯网络方面在“网络结构”、“通信传输”、“可信验证”等安全通信网络方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。
③安全区域边界
根据信息系统安全区域边界现场测评记录，针对安全区域边界方面在“边界防护”、“访问控制”、“入侵防范”、“恶意代码和垃圾邮件防范”、“安全审计”、“可信验证”等安全区域边界方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。
④安全计算环境
根据信息系统安全计算环境现场测评记录，针对安全计算环境方面在“身份鉴别”、“访问控制”、“安全审计”、“入侵防范”、“恶意代码防范”、“可信验证”、“数据完整性”、“数据保密性”、“数据备份恢复”、“剩余信息保护”、“个人信息保护”等安全计算环境方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。
⑤安全管理中心
安全管理中心现场测评包括“系统管理”、“审计管理”、“安全管理”、“集中管控”几个方面的测评。
⑥安全管理制度
根据现场安全测评记录，针对信息系统在安全管理制度方面的“安全策略”、“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。
⑦安全管理机构
根据现场安全测评记录，针对信息系统在安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。
⑧安全管理人员
根据现场安全测评记录，针对信息系统在人员安全管理方面的“人员录用”、“人员离岗”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。
⑨安全建设管理
根据现场安全测评记录，针对信息系统在系统建设管理方面的“定级和备案”、“人员配备”、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“等级测评”以及“安全服务商选择”等测评指标，判断出与其相对应的各测评项的测评结果。
⑩安全运维管理
根据现场安全测评记录，针对信息系统在系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备维护管理”、 “漏洞和风险管理”、“网络和系统安全管理”、“恶意代码防范管理”、“配置管理”、“密码管理”、“变更管理”、“备份与恢复管理”、“安全事件处置”、“应急预案管理”以及“外包运维管理”等测评指标，判断出与其相对应的各测评项的测评结果。
(3)服务交付物
等级保护测评提交的文档至少包括如下文件：《网络安全等级保护测评报告》、《系统安全整改建议书》。

1

项