采购计划编号

项目名称

简要说明

数量

中标金额

中标供应商

赣购2017B********1

江西省环境保护厅信息系统安全咨询与运维服务项目续约

具体见

清单

1批

454000元

思创数码科技股份有限公司

服务期： 1年

简约技术要求：

1、渗透测试服务:以模拟黑客的攻击方法，对指定的网站和其他应用系统进行非破坏性质的攻击测试，查找存在的漏洞并给出详细的修复建议。

2、风险评估服务：从网络、主机、应用、终端、数据、物理、管理、数据流，共8个方面，对省厅的网络和和系统进行全面的评估。

3、等保差距分析：在安全咨询服务过程中将全程依照等级保护基本要求从物理安全、网络安全、主机安全、应用安全、数据安全、管理制度、管理机构、人员管理、建设管理、运维管理十个部分进行评估。

4、信息安全建设规划：对网络和应用系统进行综合的信息安全建设规划，范围包括省厅及省厅到各地市出口，规划年限为5年。

5、安全加固服务：需要全面支持各种类型的设备，包括操作系统、数据库、中间件、网络设备、安全设备、应用系统的存在的高位漏洞进行加固，防止恶意用户利用，对信息系统造成破坏。

6、应急响应服务：应急响应服务是在省环保厅发生安全事件时，服务提供商对安全事件进行响应、抑制、解决的安全服务。

7、安全保障服务：是指在重大节假日（国家规定的节假日，以及省厅定义的重大时间段）期间，对用户重要外网业务系统进行5*8或7*24小时（具体以采购人通知要求为准）的不间断实时保障。

8、安全运维巡检服务：安全运维服务主要对江西省环保厅所有的安全设备监控、维护、日志分析，要求服务工程师对交换路由设备以及防火墙、日志审计系统、数据库审计系统、vpn、网闸等安全设备能进行熟练调试，配置管理设置，以及日志的分析。

9、安全事件与漏洞通报服务：安全通告服务至少应包括紧急安全事件通告、安全漏洞通告、安全预警通告和安全建议，除每月为省厅提供一次通报服务外，在出现高危漏洞和突发重要事件时，也需提供安全通告。

10、信息安全自查服务：配合用户完成环保部、省政府等单位组织的信息安全自查，并编写自查报告，一年内不限次数。

11、安全管理制度服务：在用户的配合和支持下，建立一套完整的安全管理制度包括但不限于网络安全策略、应用安全策略、安全审计策略以及应急恢复策略等。按信息安全等级保护三级要求，编写安全管理制度，并需采购人完成书面确认。

12、专项安全技术培训：对全省环保系统安全管理人员，提供专项安全技术培训，提升安全管理人员的技术能力。

13、信息安全管理培训：为全省环保系统用户提供信息安全意识教育、信息安全技能培训、信息安全管理制度及标准培训等全方位的安全培训，全面提升用户人员的信息安全技能及意识水平。

14、安全认证培训：组织省环保厅网络安全管理人员参加中国软件测评中心组织的CISP认证培训，1人次，中标方须支付除差旅费外的所有费用，并确保参加培训人员能够拿到CISP认证证书。

编号

项目名称

服务期限

服务简要说明

1

渗透测试

服务

每年四次

对省环保厅所有业务应用系统（含每年的新建业务系统）实施配置管理、身份鉴别、输入验证等方面的渗透，并对发现的漏洞进行验证和利用，并提交相应的报告，服务方式为现场服务

2

风险评估

服务

每年两次

对省环保厅互联网、业务网、设备网和所有业务应用系统，从网络、主机、应用、管理等方面进行风险评估，并提交相应的报告，服务方式为现场服务

3

等保差距分析服务

根据实际情况确定

配合等保测评单位完成现场测评，服务方式为现场服务

4

信息安全建设规划

每年一次

对省环保厅未来 5 年进行安全技术、安全管理等方面的总体规划，并提交相应的规划方案，服务方式为远程+现场服务

5

安全加固服务

每周一次

对所有的操作系统、数据库、中间件、网络设备、安全设备、业务系统存在的安全漏洞和隐含及时进行加固，并提交相应的报告，服务方式为现场服务

6

应急响应服务

一年不限次数，具体根据实际情况确定

对省环保厅发生的紧急安全事件在 1 小时内现场响应，协助进行抑制和解决，并提交相应的报告，服务方式为远程+现场服务

7

安全保障服务

重大事件和节假日进行，具体根据实际情况确定

在重大事件和节假日期间，对省环保厅重要外网业务系统进行 5*8 或 7*24 小时（具体以采购人通知要求为准）的安全保障服务，并提交相应的报告，服务方式为远程+现场服务

8

安全运维服务

每周 5*8小时

安全运维主要对省环保厅所有的安全设备进行监控、维护、日志分析，安全巡检主要对核心关键资产进行健康检查，并提交相应的报告。安全运维服务安排 2 人负责，实现 A、B角，至少有 1 人常驻现场，服务方式为现场服务

9

信息安全自查服务

根据实际情况确定

配合用户完成环保部、省政府等单位组织的信息安全自查，并提交相应的报告，服务方式为现场服务

10

安全事件与漏洞通报服务

每月一次

安全通告内容包括紧急安全事件通告、安全漏洞通告、安全预警通告和安全建议等，并提交相应的报告，服务方式为远程服务

11

安全管理制度服务

根据实际情况确定

按照等级保护三级的标准要求，编写安全管理制度，服务方式为现场+现场服务

12

专项安全技术培训

根据实际情况确定

对安全现状、安全技术介绍、安全防护措施、安全产品介绍等内容进行培训，培训人数在200 人次以上，次数和时间根据实际情况定，服务方式为现场+现场服务

13

信息安全管理

根据实际情况确定

对目前国内外安全现状、安全意识、安全管理制度的重要性、安全事件分析等内容进行培训，培训人数在 500人次以上，次数和时间根据实际情况定，服务方式为现场+现场服务

14

培训

1人次

组织省环保厅网络安全管理人员参加中国软件测评中心组织的 CISP 认证培训，并支付除差旅费外的所有费用