2025年中通阳光保险商城三级等保测评服务项目

采购询价公告

项目概况

按照采购计划，拟对2025年中通阳光保险商城三级等保测评服务项目进行公开询价采购，潜在供应商应在网上下载获取采购文件，并于2025年09月07日 17点30分（北京时间）前提交响应文件。

一、项目基本情况

项目编号：ZTYGXJ******

项目名称：2025年中通阳光保险商城三级等保测评服务项目

采购方式：公开询价

预算金额：肆万伍仟元整（人民币）

最高限价：肆万伍仟元整（人民币）

采购需求：三级等保测评服务

合同履行期限：自合同签订之日起至60日历日之内

工期（供货期）要求：自合同签订之日起至60日历日之内

本项目不接受联合体投标。

二、申请人的资格要求

1.服务商应当具备下列一般条件

(1) 具有独立承担民事责任的能力；

(2) 具有良好的商业信誉和健全的财务会计制度；

(3) 具有履行合同所必需的人员和专业技术能力；

(4) 有依法缴纳税收和社会保障资金的良好记录；

(5) 参加政府采购活动前3年内，在经营活动中没有重大违法记录；

(6) 法律、行政法规规定的其他条件。

2.服务商需具备以下特殊条件

(1) 服务商出具针对本项目所提供的维保服务人员本单位缴纳社会基本养老保险近3个月的社保缴费凭证。

(2) 服务商针对此项目中的各业务系统软件模块提供得维保服务应是设备制造商原厂服务，服务方式包括但不限于：电话技术支持服务、Internet在线支持、实时远程诊断服务、现场服务。

(3) 服务商出具针对本项目专业资质凭证，专业资质凭证包括但不限于：《信息安全管理体系认证证书》、《环境管理体系认证证书》、《职业健康安全管理体系认证证书》。

3.拒绝下述供应商参加本次采购活动

(1) 供应商单位负责人为同一人或者存在直接控股、管理关系的不同供应商，不得参加同一合同项下的采购活动。

(2) 凡为采购项目提供项目管理、监理、检测等服务的供应商，不得再参加本项目的采购活动。

(3) 供应商被“信用中国”网站（ww.creditchina.gov.cn）列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单。

三、项目需求

（一）项目范围

（二）项目测评内容

1.项目依据

按照网络安全等级保护2.0标准开展本次等保测评工作，测评的指标、内容及其程序需严格执行如下规范要求：

《中华人民共和国网络安全法》

《中华人民共和国数据安全法》

《中华人民共和国个人信息保护法》

《信息安全等级保护管理办法》(公通字[2007]43号)

《信息系统安全保护等级定级指南》（GB/T 22240-2008）

《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）

《信息安全技术网络安全等级保护安全设计技术要求》（GB/T 25070-2019）

《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）

《信息安全技术网络安全等级保护测评过程指南》（GB/T 28449-2018）

《信息安全技术网络安全等级保护定级指南》（GB/T 22240-2020）

《信息系统安全管理测评》（GA/T 713-2007）

《信息安全等级保护等级测评实施细则》

《信息安全风险评估规范》（GB/T 20984-2007）

《信息安全风险管理指南》（GB/Z 24364-2009）

《信息安全管理体系要求》（GB/T 22080-2008）

《信息安全管理实用规则》（GB/T 22081-2008）

《信息系统安全管理要求》（GB/T 20269-2006）

《信息安全事件分类分级指南》（GB/Z 20986-2007）

《信息安全事件管理指南》（GB/Z 20985-2007）

《信息系统灾难恢复规范》（GB/T 20988-2007）

《信息安全应急响应计划规范》（GB/T 24363-2009）

《网络安全审查办法》

2.服务内容及说明

2.1 等保保护测评

等保测评覆盖安全技术测评和安全管理测评两大类10******管理中心等5个层面上的安全控制测评；安全管理测评包括：安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等5个方面的安全控制测评。

2.1.1 等保测评内容

根据国家对网络安全等级保护工作的相关法律和技术标准要求，结合本项目的系统保护等级开展实施与之相应的检查工作，具体检查内容应包括：

（1）安全物理环境

测评内容主要包括：物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等。

（2）安全通信网络

测评内容主要包括：网络架构、通信传输、可信验证等。

（3）安全区域边界

测评内容主要包括：边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证等。

（4）安全计算环境

测评内容主要包括：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护等。

（5******管理中心

测评内容主要包括：系统管理、审计管理、安全管理、集中管控等。

（6）安全管理制度

测评内容主要包括：安全策略、管理制度、制定和发布、评审和修订等。

（7）安全管理机构

测评内容主要包括：岗位设置、人员配备、授权和审批、沟通和合作、审核和检查等。

（8）安全管理人员

测评内容主要包括：人员录用、人员离岗、安全意识教育和培训、外部人员访问管理等。

（9）安全建设管理

测评内容主要包括：定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商选择等。

（10）安全运维管理

测评内容主要包括：环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理等。

2.1.2等保测评目标

（1）识别信息安全风险。通过对信息系统在安全技术和安全管理方面的分析，发现信息系统在安全技术和安全管理方面与相应安全等级保护要求之间的差距，并进行风险分析，出具差距分析报告，明确信息系统面临的风险。

（2）增强安全防护能力。依据差距分析报告的结果，并结合实际情况，区分轻重缓急，制定针对性的安全整改计划，通过安全整改不断提高信息系统的整体安全保护水平。

（3）测评结果分析

? 单项测评结果判定

? 单元测评结果判定

? 整体测评分析

? 形成测评分析报告

? 针对测评分析报告的整改建议

2.2 渗透测试

选取可能发起攻击的测试点，使用渗透测试的方式查找可能存在的渗透点,发现信息系统防护体系的薄弱环节，找出可能发生的恶意攻击事件和违规行为。

2.2.1 渗透测试内容

工作内容包括渗透测试及提供漏洞修复方案。本次渗透测试工作为黑盒测试。

（1）需要包含如下阶段

? 前期交互阶段：与用户组织进行讨论，确定渗透测试范围和目标。

? 信息搜集阶段：采用各种方法搜集用户方的所有相关信息。

? 威胁建模阶段：使用在信息搜集阶段所获取到的信息，标识出目标系统上可能存在的安全漏洞与弱点。

? 漏洞分析阶段：综合前面几个环节获取到的信息，从中分析和理解，找出攻击途径和攻击方法。

? 渗透攻击阶段：针对确定好的攻击途径和攻击方法实施渗透攻击，获取系统相关权限。

? 后渗透攻击阶段：以特定的业务系统作为目标，识别出关键的基础设施，找出用户组织最具价值和尝试进行安全保护的信息和资产，找出能够对用户组织造成重要业务影响的攻击途径。

? 报告阶段：将渗透测试结果编制成文档提交给用户，提供安全解决方案。并将在渗透测试阶段产生的垃圾数据进行清理。

（2）渗透测试工作要求

本次渗透攻击测试工作应当以不破坏用户应用系统为前提条件，不做危害用户应用系统的工作行为，遵守职业道德，遵守行业规则，严格遵守保密制度，保密要求，不得擅自修改、拷贝用户数据，不得泄露、传播用户的敏感信息，如有违反将负法律责任。

3.服务成果

本次安全服务应提交以下成果：

《信息系统等级测评报告》，包括单元测评分析结果、整改测评分析结果、测评结论和安全整改建议等。

《信息系统渗透测试报告》，包含但不限于如下方面的内容：渗透测试的方法、目标、范围；测试的人员、时间、策略。测试的工具、风险规避措施；测试的过程、漏洞利用截图，测试的结果等。

4.项目总体要求

1）合同签订后60个日历日内完成相关测评工作。测评单位需根据阳光公司实际情况合理安排测评进度，阳光公司可能因为各类突发状况导致测评周期的不确定性，供应商需要配合公司进行进度的合理安排。项目工作人员需遵守等保检测规定，采用符合标准的检测工具和检测方法实施检测，如因违规操作造成对检测系统的破坏，则应承担相应责任。

2）测评单位必须针对此次测评给出详细方案，内容包含测评计划、测评实施、风险管控、协助整改。要求方案充分考虑到行业特性，结合业务要求，提出切实可行的整改方案。

3）测评单位需针对此次测评列出本项目组织管理架构及主要参与人员情况介绍。项目实施过程中实行专人专职原则，保证各安全层面的测评全面有效，能够发现实际存在安全风险，现场实施人员均需持有等级保护测评师证书。项目组人员必须熟练掌握信息安全相关标准与规范，具备丰富的信息安全测评工作经验，具有成熟的信息安全技术和项目管理能力，能够应对可能的突发性安全事件应急工作。

4）供应商必须单独配备安全测评工具，包含但不限于以下种类工具：网络漏洞扫描系统、web 漏洞扫描系统。供应商必须在技术方案内明确专项检查所需要的所有技术检测工具，至少包含以下内容：名称、型号、主要功能、数量等。

5）在测评过程中保证客观性和公正性原则，测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案开展。

6）测评工作应该尽可能小地影响系统和网络的正常运行，不能对业务的正常运行产生明显的影响（包括系统性能明显下降、网络阻塞、服务中断等），如无法避免，则应做出说明。详细描述在测评过程中如何通过技术手段控制和规避可能对公司业务系统造成的影响。对于项目实施过程中出现的异常情况如何处理，保证公司系统正常运行以及测评的可进行性。

7）协助整改，针对差距测评结果，给公司提出合理、可行的整改方案和建议，并在整改完毕后给出系统定级报告。

8）提供详尽、明确的技术培训，同时提供本次乃至后续的培训方案，方案应包含网络安全相关课程内容以及详细培训体系流程。

9）本次等级保护测评项目不得转包或者分包，所有驻场测评师必须持证上岗，未经采购方同意，项目组成员不得更改。

5.项目实施方案要求

供应商需根据本项目服务内容编制详细的项目实施方案，包括测评内容、测评指标以及测评方法的详细方案；测评工作流程；测评工作的详细实施方案；测评过程中的渗透测试服务方案；测评工具的详细介绍；培训方案；人员配置方案以及供应商认为需要提供的其它方案。

6.项目服务期限

供应商应当在合同签订后60个日历日内完成采购文件规定的项目并交付公司使用。

7.项目验收标准及要求

项目完成后，供应商须按照项目采购服务内容及要求，按国家、行业或企业等标准，提供相应的服务内容及交付成果，供应商完成全部项目内容并经采购人验收合格后，项目整体验收合格。

8.付款条件

项目合同签订，成交供应商人员服务到位，完成测评并形成纸质稿信息系统等级保护测评报告和渗透测试报告，采购人一次性支付全部项目款80%；成交供应商完成项目合同的所有工作，采购人于一个月内完成项目验收，并支付剩余20%尾款。每次付款前成交供应商应向采购人开具发票，采购人收到发票并确认无误后10日内向成交供应商支付相应款项。

四、评标方法和定标原则

(1) 参加询价采购活动的供应商，应当按照询价文件的规定一次报出不得更改的价格。

(2) 询价小组应当从质量和服务均能满足采购文件实质性响应要求的供应商中，根据报价最低的原则确定成交供应商。

五、响应文件提交

截止时间：2025年9月7日17点30分（北京时间）

提交邮箱地址：******

U盘邮寄地点：湖南省长沙市芙蓉区远大二路236号

1.响应文件的组成

(1) 响应单位法定代表人身份证扫描件；

(2) 响应单位代理人身份证扫描件；

(3) 授权委托书（格式见附件）扫描件；

(4) 在有效期内的企业营业执照副本扫描件；

(5)《响应报价一览表》（格式见附件）扫描件；

(6) 《参加本项目成员一览表》（格式见附件）扫描件；

(7) 《承诺书》（格式见附件）扫描件。

2.文件的签署和密封要求

（1）询价响应文件均应采用打印或使用不能擦去的黑色或蓝色墨水书写，由响应单位法定代表人或其授权代表在询价文件要求处亲自签署或盖章，然后扫描成PDF或图片格式投递。

（2）响应文件仅需提交电子件壹份（U盘拷贝后邮寄或电子邮件形式投递），邮件标题上应注明“XX公司2025年中通阳光保险商城三级等保测评服务项目询价响应文件”；

（3）采购单位有权拒绝未按上述要求制作的询价响应文件。

六、开启

时间：2025年9月8日9点30分（北京时间）

地点：湖南省长沙市芙蓉区远大二路236号

七、公告期限

自本公告发布之日起3个工作日。

八、合同模板（律师审核后的合同）

九、其他补充事宜

无

十、凡对本次采购提出询问，请按以下方式联系。

1.采购人信息

名　称：******有限公司

地　址：湖南省长沙市芙蓉区远大二路236号

2.项目联系方式

项目联系人：曾先生

邮件地址：******

电　话：******

2025中通阳光保险商城三级等保询价附件.docx