本项目服务要求

一、项目概况：

为保护信息系统重要资产，发现安全风险，对重要信息系统的物理环境、主机、网络、业务应用系统、安全管理制度等方面进行综合测评，在全面了解相关国家政策和自身信息系统的基础上，对全市纳入统筹范围的重要信息系统及机房、政务网络等进行等级保护测评工作。

需实现的功能或者目标：对重要信息系统的物理环境、主机、网络、业务应用系统、安全管理制度等方面进行综合测评，通过对信息系统安全保护状态的分析，发现安全风险， 采取相应的安全机制，对全市纳入统筹范围的重要信息进行等级保护测评，达到保护信息系统重要资产的作用。

二、服务要求：

本次进行信息安全等级保护测评服务的测评对象是：5 个三级信息系统和 4 个二级信息系统,为保证测评服务质量，项目组应由不少于 6 个测评师组成。

  1、根据信息系统的保护等级，并依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》、《信息系统安全等级保护测评准则》等相关标准的条款要求，对信息系统的安全保护等级进行测评，测评的内容包括但不限于以下内容：

1.1安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等五个方面的安全测评；

1.2安全管理测评：安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个方面的安全测评。

（1）安全物理环境

  根据信息系统机房和现场安全测评记录，针对机房和现场在“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等安全物理环境方面所采取的措施进行，判断出与其相对应的各测评项的测评结果。

（2）安全通信网络

根据信息系统安全通信网络现场测评记录，针对安全通讯网络方面在“网络结构”、“通信传输”、“可信验证”等安全通信网络方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

（3）安全区域边界

根据信息系统安全区域边界现场测评记录，针对安全区域边界方面在“边界防护”、“访问控制”、“入侵防范”、“恶意代码和垃圾邮件防范”、“安全审计”、“可信验证”等安全区域边界方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

（4）安全计算环境

根据信息系统安全计算环境现场测评记录，针对安全计算环境方面在“身份鉴别”、“访问控制”、“安全审计”、“入侵防范”、“恶意代码防范”、“可信验证”、“数据完整性”、“数据保密性”、“数据备份恢复”、“剩余信息保护”、“个人信息保护” 等安全计算环境方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

（5）安全管理中心

根据信息系统安全管理中心现场测评记录，针对安全管理中心方面在现“ 系统管理”、“审计管理”、“安全管理”、“集中管控”等安全管理中心方面所采取的措施进行检查， 判断出与其相对应的各测评项的测评结果。

（6）安全管理制度

根据现场安全测评记录，针对信息系统在安全管理制度方面的“安全策略”、“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。

（7）安全管理机构

根据现场安全测评记录，针对信息系统在安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。

（8）安全管理人员

根据现场安全测评记录，针对信息系统在人员安全管理方面的“人员录用”、“人员离岗”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。

（9）安全建设管理

根据现场安全测评记录，针对信息系统在系统建设管理方面的“定级和备案”、“人员配备”、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“等级测评”以及“安全服务商选择”等测评指标，判断出与其相对应的各测评项的测评结果。

（10）安全运维管理

根据现场安全测评记录，针对信息系统在系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备维护管理”、 “漏洞和风险管理”、“网络和系统安全管理”、“恶意代码防范管理”、“配置管理”、“密码管理”、“变更管理”、“备份与恢复管理”、“安全事件处置”、“应急预案管理”以及“外包运维管理”等测评指标， 判断出与其相对应的各测评项的测评结果。

2、项目交付或者实施的时间和地点：

交付时间：签订合同后，测评任务下达之日起 40 天（日历日）测评完毕并提交测评报告，并达到验收通过。

3、服务交付物

等级保护测评提交的文档至少包括如下文件：

《信息安全等级保护测评报告》

《系统安全整改建议书》。

交付地点：采购人指定地点；

4、服务标准、期限、效率等要求：

服务标准：执行国家标准及采购文件的要求； 服务期限：自签订合同之日起一年。

服务效率：优质高效。