2021年系统等级保护测评采购项目技术和服务要求

《2021年系统等级保护测评采购项目技术和服务要求》由会员分享，可在线阅读，更多相关《2021年系统等级保护测评采购项目技术和服务要求（7页珍藏版）》请在装配图网上搜索。

1、2021年系统等级保护测评采购项目技术和服务要求1项目背景根据网络安全法和闽卫规划发明电(2020) 295号 文：福建 省卫生健康委员会福建省公安厅关于进一步推进全省卫生健康行业 网络安全等级保护工作的通知要求，我院拟对医院信息系统(HIS)、 电子病历系统(EMR)、医学影像系统(PACSRIS)、实验室信息管理 系统(LIS)、门户网站、移动APP系统、互联网+健康医疗系统、集 成平台、公共显示大屏播报系统开展2021年度安全等级保护测评。2技术服务要求2.1业务系统清单序号系统名称测评等级医院信息系统(HIS) 电了病历系统(EMR)、医学影像系统1 (PACSRIS)、实验室信息管理

2、三级系统(LIS)、门户网站、移动APP系统、互联网+健康医疗系 统、集成平台、公共显示大屏播报系统2.2等级保护测评服务依据标准投标人需依据国家等级保护相关标准开展工作。/GB/T 17859-1999计算机信息系统安全保护等级划分准则/GB/T 22239-2019信息安全技术网络安全等级保护基本要求GB/T 25070-2019信息安全技术网络安全等级保护安全设 计技术要 求/GB/T 28448-2019信息安全技术网络安全等级保护测评要求GB/T 22240-2008信息安全技术信息系统安全等级保护定级 指南GB/T 28449-2018信息安全技术网络安全等级保护测评过程指南/ 信

3、息安全等级保护管理办法（公通字（2007）43号）/ 测评要求需符合国家最新要求2.3技术服务内容2. 3.1信息系统评估与测评服务通过风险评估、安全扫描、渗透测试、现场访谈和资料查阅等 测评手段，准确反映采购人待测信息系统的安全防护能力现状，对发现的问题进行深入分析，提出安全整改建议，最终出具信息系统等 级保护测评报告和安全风险评估报告。根据公安部第十一局关于印发网络安全等级保护测评机构 管理办法（公信安（2018） 765号）的要求，投标 人须具有等保 测评资质（须在网络安全等级保护网（）中“全国网络安全等级保护测评机构推荐 目录”可查阅）。2. 3.等级保护测评服务内容根据国家等级保护相

4、关标准，投标人对采购人信息系统安全等级保 护测评的内容包括：序号测评内容（1）安全物理环境（物理位置选择，物 理访问控制，防盗窃和防破坏，防雷击，1 技术测评 防火，防水和防潮，防静电，温湿度控制， 电力供应，电磁防护）；（2）安全通信网络（网络架构，通信传输，可信验证）；（3）安全区域边界（边界防护，访问控 制，入侵防范，恶意代码和垃圾邮件防范，安 全审计，可信验证）；（4）安全计算环境（身份鉴别，访问控 制，安全审计，入侵防范，恶意代码防范， 可 信验证，数据完整性，数据保密性，数据备 份恢复，剩余信息保护，个人信息保护）；（5）安全管理中心（系统管理，审计管理，安全管理，集中管控）；（1

5、）安全管理制度（管理制度，制定和 发 布，评审和修订）；（2）安全管理机构（岗位设置，人员配 备，授权和审批，沟通和合作，审核和 检查）：2管理测评（3）安全管理人员（人员录用，人员离 岗，安全意识教育和培训，外部人员访问管 理）；（4）安全建设管理（定级和备案，安全 方 案设计，产品采购和使用，自行软件开发， 外包软件开发，工程实施，测试验收，系统 交付，等级测评，服务投标人选择）；（5）安全运维管理（环境管理，资产管理，介质管理，设备维护管理，漏洞和风险 管理，网络与系统安全管理，恶意代码防范 管理，配置管理，密码管理，变更管理，备 份与恢复管理，安全事件处置，应急预案管 理，外包运维管理

6、）；（1）安全物理环境（基础设施位置）；（2）安全通信网络（网络架构）；（3）安全区域边界（访问控制，入侵防 扩展测评范，安全审计）；3云计算 （4）安全计算环境（身份鉴别，访问控 制， 入侵防范，镜像和快照保护，数据完 整性和 保密性，数据备份恢复，剩余信息保护）；（5）安全管理中心（集中管控）；（6）安全建设管理（云服务商选择，供应链管理）；（7）安全运维管理（云计算环境管理）；4项目成果文档资料：网络安全等级保护测评报告。2. 3. 3测评原则本次安全保护等级保护测评实施应满足以下原则：（1）保密原则：中标人对测评的过程数据和结果数据须严 格保 密，未经授权不得泄露给任何单位和个人，不得

7、利用此数据进行任 何侵害采购人的行为，否则采购人有权追究其责任。（2）标准性原则：测评方案的设计与实施须依据国家等级保护 的相关标准进行。（3）规范性原则：评测工作中的过程和文档，须具有很好的规 范性，便于采购人对项目的跟踪和控制。（4）可控性原则：测评服务的进度要跟上进度表的安排，保证 采购人对于测评工作的可控性。（5）整体性原则：测评的范围和内容应当整体全而，包括国家 等级保护相关要求涉及的各个层面。（6）最小影响原则：测评工作应尽可能小的影响系统和网络， 并在可控范围内；测评工作不能对现有信息系统的正常 运行、业务 的正常开展产生任何影响。2. 3.等级测试的整体要求（1）等级保护测评实施过程中所使用到的各种工具软件均由中 标人推荐，经采购人确认后由中标人提供并在测评中使用。（2）安全测评工具软件运行需要的所有硬件平台（如笔记 本电 脑、PC、工作站等）和操作系统软件等均由中标人推荐，经采购人 确认后由中标人提供并在测评中使用。（3）安全测评需要的运行环境（如场地、网络坏境等）由采购 人提供，中标人应根据项目需要向采购人说明需要的运 行环境的具 体要求。