采购需求

自治区人力资源和社会保障厅

2020年度网络安全等级保护测评项目

招标方案

为进一步加强我区人力资源社会保障网络安全防护能力，切实做好2020年度人力资源社会保障信息系统安全等级保护测评工作，根据《中华人民共和国网络安全法》《信息安全等级保护管理办法》《宁夏回族自治区计算机信息系统安全保护条例》《网络安全等级保护测评机构管理办法》等相关规定，结合我厅实际，制定本方案。

一、项目目标

通过开展信息系统安全等级保护测评和安全建设整改（以下简称安全等级保护工作），促管促改促防，增强安全意识，落实安全责任，分析安全风险，评估安全状况，排查安全隐患，完善防护措施，全面巩固人力资源社会保障信息系统的安全管理和防护体系，提升人力资源社会保障信息系统安全防护能力，确保信息系统安全保护能力达到等级保护要求，切实保障全区人力资源社会保障关键信息基础设施的安全稳定运行。

二、项目内容

（一）测评范围

1.网络安全等级保护测评范围包括我厅3个三级系统,其中包括宁夏事业单位人事综合管理系统、人力资源综合管理系统（含劳动关系综合管理平台、劳动监察系统、劳动人事争议调解仲裁系统和就业综合系统），宁夏人力资源社会保障公共服务系统（含宁夏12333电话咨询服务系统、自助服务终端系统、12333微信公众号、网上人社系统、社保云信息交换系统等公共服务系统）。3个二级系统，其中包括宁夏职业技能培训项目质量管理系统、宁夏人力资源社会保障三级视频会议系统、厅OA协同办公系统。

2.按照《网络安全法》关于“定期对从业人员进行网络安全教育、技术培训和技能考核”的要求，在信息系统等级保护测评过程中，由中标单位提供2人次注册信息安全专业人员（CISP）认证培训（包含培训费、教材费、考试费、认证费）。

3.提供网络安全攻防演练服务2次。根据国家人社部、自治区公安厅等部门要求，协助自治区人力资源和社会保障厅组织实施网络安全攻防演练。

（二）测评依据

本次测评所有工作将完全遵循下述国家相关部门的标准和规范，以体现科学、客观、公正和高效的测评原则。

1．《关于进一步推进人力资源社会保障信息安全等级保护工作的通知》（人社部函[2011] 246 号）；

2.《信息安全等级保护管理办法》（公通字[2007]43号）；

3．《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号）；

4．《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）；

5．《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）

6.《网络安全等级保护定级指南》（GA/T 1389-2017）；

7.《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）；

8.《信息安全管理体系要求》（GB/T 22080-2008）；

9.《信息系统安全管理要求》（GB/T 20269-2006）；

10.《网络安全等级保护测评机构管理办法》（公信安[2018]765号）；

11.《信息系统安全等级保护测评过程指南》（GB/T 28449-2018）；

12.《信息系统安全等级保护测评要求》（GB/T 28448-2019）；

13.《信息安全技术 网络安全等级保护安全设计技术要求》（GB/T 25070-2019）。

（三）测评内容

根据《信息安全技术 网络安全等级保护测评要求》等相关国家标准，厅本级2020年网络安全等级保护测评内容包括：检测评估信息系统的物理安全、网络安全、主机安全、应用安全、数据安全、安全管理制度、系统建设管理、系统运维管理等。

（四）实施要求

1.中标方须提供完善的测评实施方案和计划、测评方案，经我厅审核通过后实施，完成我厅对安全管理制度的补充完善和整理工作，配合对我厅信息系统进行整改测评服务。

2.中标方须与我厅签订项目合同、保密协议和现场评测授权书、风险预判告知书，核实驻场测评师资质与投标时对本项目配备的测评师是否一致。确因工作调配需更换测评师，需提前10个工作日向我厅信息数据管理中心书面报备，并提供更换测评师资质证明。

3.提供网络安全攻防演练服务2次。组建攻击队（至少2人）和防守队伍（至少2人），免费提供网络安全防护产品和设备，按照相关要求做好网络安全攻防演练工作。

4.测评结束后，中标方需免费提供整改咨询服务和免费质保服务，并提供为期一年的售后服务，就本项目成果中的具体内容提供解释，提供信息系统等级保护工作的技术支持，以帮助招标人提高安全防护能力。

5.在合同服务期内，中标方须提供应急事件处理及应急响应服务。一旦被测系统出现紧急重大安全事件，受到用户方的服务请求，测评单位工程师在3小时内到达用户现场， 提供服务。

（五）成果交付物

根据《宁夏信息安全等级保护测评活动管理规范》（宁公信安[2017]65号）要求，成果交付物为：

1.所有登记备案的信息系统测评方案3套。

2.所有登记备案的信息系统出具由测评机构法人审签的正式纸质测评报告3套。

3.所有登记备案的信息系统出具纸质整改加固指导方案3套。

4.所有登记备案的信息系统出具风险评估报告3份。

5.测评活动原始记录材料1份。