采购需求

（仅供参考，最终以招标文件为准）

前注：

1.本采购需求中提出的服务方案仅为参考，如无明确限制，投标人可以进行优化，提供满足采购人实际需要的更优（或者性能实质上不低于的）服务方案，且此方案须经评标委员会评审认可。

2.中标人必须确保整体通过采购人及有关主管部门验收,所发生的验收费用由中标人承担；如投标人因未及时现场考察而导致的报价缺项漏项、或中标后无法完工，投标人自行承担一切后果。

第4包：

一、采购需求前附表

二、项目概况

等级保护已经成为我国信息安全领域的基本制度、基本法律，根据《中华人民共和国网络安全法》，《信息安全技术网络安全等级保护基本要求》等相关文件要求，合肥市公安局拟对采购人信息化项目实施安全等级测评，以期明确系统的安全保护水平与国家信息安全等级保护相关要求之间的差距以及存在的安全隐患，为后续的安全建设和整改工作提供建议和决策依据。

对于采购人使用市级财政性资金或用市级财政性资金作为还款来源、补贴资金投资建设的信息化项目，本次招标要求中标人按照国家网络安全等级保护要求对合肥市公安局2020年至2022年数据资源局批复的已建信息化项目的安全等级保护测评服务，2020年批复15个项目资金约111万元；合肥市公安局2020年至2022年新建且需开展等保测评的信息化项目以及运维专项中等保测评项目，最终以数据资源局的批复为准；全局由区级或其他渠道筹备经费建设并需要开展等保测评的信息化项目，经其所在区县财政、审计部门同意后，可以适用本次招标成果。具体如下。

主要工作内容是：对合肥市公安局的信息系统进行定级咨询、安全等级测评、找出安全风险并提出整改建议；测评驻场前结合单位的网络和系统环境编写系统等级测评方案，测评结束后出具测评整改建议书和符合公安机关要求的（年度）网络安全保护等级测评报告；提供安全等级保护技术咨询和培训。

服务期间，人员要与投标文件中提供该项目具体人员名单保持一致，不一致的按照每人2000元扣除。如果需要更换，需提供同样水平及证书的人员替换，经业主许可后，方可更换。在业主不满意中标人提供服务的情况下，以整改通知单的形式要求整改，如果业主不满意整改结果或者中标人不整改，每个整改通知单扣除中标人2000元。如有3个整改通知单，中标人不响应或业主不满意整改结果，业主有权提前解除合同，采购人并报主管部门进行查处。

注：最终进行测评的项目，以合肥市数据资源局的批复为准。

三、服务需求

依据《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求》（等保2.0标准）为基础，结合ISO/IEC 27001、ISO/IEC 20000、ISO 22301、ITIL和ITSS等行业最佳实践经验对各信息系统进行的定级备案提供咨询、指导，并完成各信息系统的等级保护测评，内容包括：

1、定级备案咨询、指导：针对采购人信息系统需要进行等级保护建设的要求，协助采购人完成已有和新建信息系统的定级备案工作，协助撰写定级报告、备案表等内容，并提供培训、咨询和指导，协助采购人取得相应系统的备案证明。

2、等级保护测评：完成包括安全管理机构、安全管理制度、安全管理人员、安全建设管理、安全运维管理五个管理层面和安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心五个技术层面的测评工作。

3、提出安全整改建议、整改咨询服务：依据前期测评结果，以《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）为基础，结合ISO 27001、ISO 20000和ITIL等行业最佳实践，对各信息系统进行网络安全等级保护现状分析，形成相应的安全问题列表和整改建议报告，协助采购人进行整改。

4、提供安全培训服务。

中标人需要为采购人提供不少于线上、线下各5次的信息安全技术培训，确保管理人员和技术人员掌握关于等级保护相关规范、信息安全策略、信息安全管理制度和相关流程等，通过专业技能培训提升采购人相关应急处理专业能力。

5、提供安全运维服务。中标人需提供包括但不限于以下内容的安全运维服务：

（1）基础设施日常运维服务：

1）中标人在合同履行期间安排1名初级及以上测评师每周专职驻点不少于2天,遵守采购人行政班工作时长和管理考核要求，自带办公电脑等常用物品，按照采购人要求配合完成各项网络安全管理及运维服务工作，提升全网整体网络安全水平，日常运维过程应在《日常运维记录》中记录。

2）辅助采购人完成各项安全检查工作，专注于采购人的网络安全，及时发现安全事件，如黑客攻击、新病毒入侵，发现第一时间着手处理并及时汇报采购人，处理结束编制好安全事件分析汇报交付采购人。

（2）信息安全巡检服务：

1）漏洞扫描服务。按照采购人要求，每季度对客户单位系统信息安全状态进行检查，对服务器、网络设备、信息系统进行漏洞扫描，提交扫描报告。

2）渗透服务。对采购人指定的信息系统进行一次全面渗透测试，发现漏洞，验证漏洞，挖掘未知的漏洞，最终提交测试报告。

3）安全事件处置与应急响应服务：针对采购人信息系统提供最新安全漏洞跟踪与处置服务，提供各种安全问题的应急响应技术服务。

6、技术服务响应

能提供良好的本地化服务，提供服务前向采购人提供办公地址房屋产权证或者租赁合同。

测评机构需要具备及时响应能力，签订后根据采购人安排的日期时间进场测评，出具整改报告协助完成系统建设整改及完成整体项目。同时如发生故障，在得到用户通知后，1小时内响应，4小时以内到现场处理，24小时内修复的售后响应能力。

7、保密责任要求

中标人必须对从采购活动中获得的采购人相关资料承担保密责任。注：每个信息系统具备出具基本符合的条件后两周内出具等级测评报告。

四、报价要求

本项目采用费率报价，投标人须按要求报出投标费率，所报费率精确到整数数（如91%）；如所报费率包含小数，则小数点后的数字将全部舍去不进行四舍五入（如所报费率为91.67%，最终所取费率及最终结算费率为91%）。投标人的报价包含服务、利润、税金、政策性文件规定及合同包含的所有风险、责任、义务等，即为完成招标文件要求的服务内容所包含的一切应有费用，采购人后期不再追加费用，投标人自行考虑投标风险。投标费率上限为100%，超过的以投标无效处理。

五、其他要求

1、本项目拟招3家单位，投标人不少于4家。

中标人数量与有效投标人数量关系详见下表：

2、项目分配原则：原则上根据综合评分分数的排名（得分高的优先）依次轮流安排。经数字资源局批复的合肥市公安局2020年至2022年需开展等保测评的信息化项目及运维专项中等保测评项目，按批复顺序依次分配；如中标人出现人员设备不足、技术水平有限或采购人对提供的服务不满意等特殊情况，采购人有权根据业绩、价格、技术等综合因素重新分配项目或决定该中标人不参与项目分配（待该中标人整改满意后再重新参与分配），中标人无条件配合。采购人拥有项目分配最终解释权。

3、如果出具虚假报告测评报告，出现影响被评测网络正常运行或因评测不到位未发现网络中存在相关漏洞隐患，导致被测评网络发生重大网络安全事件的，测评实施期间导致被测评网络发生宕机等严重网络安全事件的等违反相关办法规定和法律法规的情况，采购人有权追究相关责任。

4、为确保本项目能尽快完成，中标人为本项目配备的小组成员不少于6名，进场服务前提供人员名单及相关材料供采购人核实。

5、每个信息系统具备出具基本合格的条件后两周内出具等级测评报告。中标人要对参与的项目全部内容进行保密，如果发生泄密情况和影响项目验收等问题，采购人有权追究相关责任并上报主管部门处理，并不予支付费用。