序号

产品（项目）名称

服务要求

数量

计量单位

1

云南中医药大学系统等级保护测评服务

按照《网络安全法》、《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求》、《信息系统安全等级保护测评过程指南》文件要求开展信息系统测评工作。服务供应商依据网络安全等级保护相关标准，从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理十个层面完成云南中医药大学2个三级系统、5个二级系统开展测评工作，输出测评报告。针对本次测评工作，服务供应商应根据测评指标中的单个测评项，结合具体测评对象，客观、准确地分析测评证据；汇总统计分析单项测评结果，给出测评对象的整体测评结果。分析被测系统整体安全状况及对单项测评结果的修订情况，分析被测系统存在的风险情况，提出安全建设整改建议，得出等级测评结论，输出测评报告。为保障采购单位信息系统，服务供应商开展测评工作时，使用的等保测评检查工具需要对等保测评检查工具技术指标给出详细功能说明和功能截图。检查工具具备计算机软件著作权登记证书，需要给出详细功能说明和功能截图。详细功能如下：

（1）网络边界完整性检查

要求以远程网络扫描方式，不需要部署客户端,不需要在互联网部署监听端，完成对下列违规行为的检测和定位：要求能够提供针对私接无线AP的检测，包括以桥接模式或NAT模式（包含地址克隆后的NAT模式）接入的无线AP；要求能够提供对市场主流随身Wifi设备和免费Wifi接入进行检测；要求能够提供对windows系统双网卡之间的共享网络行为进行检测；要求能够提供对内部windows终端通过智能手机以USB共享网络方式进行非法外联的行为进行检测；要求能够提供对内部windows终端通过无线网卡连接智能手机个人热点方式进行非法外联的行为进行检测；要求能够对网络内部同时启用多块网卡或单网卡配置多IP的终端设备提供统一查询和报表输出；

（2） 网络资产管理

要求通过网络扫描，能够对网络内部的资产进行自动识别和分类，要求至少能够自动区分终端PC、应用服务设备，网络设备、网络打印机、视频监控设备及安全运维类设备；

要求能够对Intel AMT（INTEL Active Management Technology(英特尔主动管理技术)）地址进行识别；要求能够对主流视频监控设备、打印设备以及安全运维设备的品牌进行远程扫描识别；要求能够对资产的操作系统进行扫描识别，能够区分Window系统以及非Windows 系统，能够对Windows系统区分Server版本和非Server版本，操作系统类型识别至少应包括：Windows XP、Window 7、Windows 8、Window 10、Windows Sever 2003、Windows Server 2008、Windows Server 2012以及Kylin、Ubuntu、RedHat、Debian、FreeBSD、CentOS等；要求提供资产的操作系统类型查询及相应报表。

（3）网络设备端口监管

接入层交换设备端口和下联MAC地址的关联定位，应可自动识别接入层交换设备端口下联的MAC地址及其对应的IP地址；应对每一设备端口的接入历史提供详细审计，应可查询任一设备端口在过去某一时段曾接入的MAC地址和其对应的IP地址；能够明确标识网络设备端口是否下联违规设备（包括无线AP、随身Wifi等）；要求可自动识别HUB接入端口，自动识别网络设备之间的级联端口，应提供对HUB接入端口的统一查询和定位，防止私接HUB设备；应提供对接入层交换设备端口安全绑定状态的统一监控，能够识别交换设备端口是否经过MAC与端口的安全绑定设置；

（4）安全管理

基于WEB管理，须提供Https安全访问模式；应提供定点登录机制，即只允许用户从指定的地址登录，防止系统遭暴力破解和攻击。

测评交付物要求，包括但不限于下列材料：

1、《信息系统测评方案》（纸版和电子版）

2、《信息系统测评实施计划》（纸版和电子版）

3、《测评过程记录文件》（电子版）

4、《网络安全等级保护测评报告》（纸版和电子版）

5、《网络安全等级保护整改建议》（纸版和电子版）

6、其它应交付的文档（纸版和电子版）

测评及安全服务人员要求

供应商参与项目组的人员不少于4人，包括1名项目负责人和不少于3名技术成员，其中项目负责人具有网络安全等级测评师证书、注册信息安全专业人员（cisp）证书、信息安全保障人员认证证书（CISAW）、IT服务项目经理、高级信息信息系统项目管理师、软件性能测试高级工程师。拟投入项目组的每个成员具有网络安全等级测评师证书、注册信息安全专业人（CISP-PTE）证书、CCSS-M信息安全网络安全专业技术人员认证证书、CIIP-A重要信息系统保护人员证书。

1

项