服務類

名稱：****三級等保測評服務采購項目

服務范圍：本次參于網絡安全等級保護測評的系統如下：

服務要求：

（1）實施原則

規范性原則：****工作中的過程和文檔，具有很好的規范性，可以便于項目的跟蹤和控制；

標準性原則：測評方案的設計與實施應依據國家等級保護的相關標準進行。

可控性原則：測評的工具、方法和過程需在雙方認可的范圍之內并符合進度表的安排，保證采購人對服務工作的可控性；

整體性原則：測評和分析的范圍和內容應當整體全面，包括安全涉及的各個層面，避免由于遺漏造成未來的安全隱患；

最小影響原則：測評工作應盡可能小的影響系統和網絡的正常運行，不能對現網的運行和業務的正常提供產生顯著影響(包括系統性能明顯下降、網絡擁塞、服務中斷，如無法避免出現這些情況應在應答書上詳細描述)；

保密原則：對測評的過程數據和結果數據嚴格保密，未經授權不得泄露給任何單位和個人，不得利用此數據進行任何侵害采購人網絡的行為，否則采購人有權追究責任。

（2）測評依據

《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019）

《信息安全技術 網絡安全等級保護定級指南》（GB/T 22240-2020）

《信息安全技術 網絡安全等級保護測評要求》（GB/T 28448-2019）

《信息安全技術 網絡安全等級保護測評過程指南》（GB∕T 28449-2018）

（3）等級保護測評內容

根據國家等級保護相關標準，本次項目的網絡安全等級保護測評應包括以下內容：

安全技術測評：包括安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、****中心等五個方面的安全測評；

安全管理測評：包括安全管理制度、安全管理機構、安全管理人員、安全建設管理和安全運維管理等五個方面的安全測評。

a） 安全物理環境

安全物理環境是對機房和辦公場所的物理環境安全防護情況進行測評，包括物理位置選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護等方面的安全狀況。

b） 安全通信網絡

安全通信網絡測評是對網絡系統安全防護情況進行測評，包括網絡架構、通信傳輸、可信驗證等方面的安全狀況。

c） 安全區域邊界

安全區域邊界是對邊界防護、訪問控制、入侵防范、惡意代碼防范、安全審計、可信驗證等方面的測評。

d） 安全計算環境

安全計算環境是對身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、可信驗證、數據完整性、數據保密性、數據備份恢復、剩余信息保護、個人信息保護等方面的測評。

e） ****中心

****中心是對系統管理、審計管理、安全管理、集中管控等方面的測評。

f） 安全管理制度

安全管理制度測評是對安全策略、管理制度、制定和發布、評審和修訂進行測評。

g） 安全管理機構

安全管理機構測評是對崗位設置、人員配備、授權和審批、溝通和**、審核和檢查等情況進行測評。

h） 安全管理人員

安全管理人員測評是對人員錄用、人員離崗、安全意識教育和培訓、外部人員訪問管理等情況進行測評。

i） 安全建設管理

安全建設管理測評是對建設過程中安全方案設計、產品采購和使用、自行軟件開發、外包軟件開發、 工程實施、測試驗收、系統交付、 等級測評、密碼產品相關測評、服務供應商選擇等情況進行測評。

j） 安全運維管理

安全運維管理測評是對環境管理、資產管理、介質管理、設備維護管理、漏洞和風險管理、網絡和系統安全管理、惡意代碼防范管理、配置管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、 應急預案管理、外包運維管理等情況進行測評。

服務時間：

符合采購文件要求