广西骨伤医院信息系统安全等级保护测评项目 招标公告

    一、项目名称：广西骨伤医院信息系统安全等级保护测评项目

二、项目编号：GXGSYY-CGB-XXWLZX-2023-04

三、项目概况  

（一）项目上控价：55000元。

（二）服务内容要求

1、总体要求

依照《中华人民共和国网络安全法》、《信息系统安全等级保护管理办法》，以及自治区公安厅等相关文件的要求，依据《网络安全等级保护基本要求》（GB/T 22239-2019）对医院信息（HIS、LIS、PACS、EMR）系统（三级）开展网络安全等级保护测评工作；并出具符合国家信息安全等级保护管理部门规范要求、公安机关认可的信息系统网络安全等级测评报告。

基本原则：逐一出具符合国家信息安全等级保护管理部门规范要求、公安机关认可的信息系统安全等级测评报告；测评方案的设计与实施应依据国内、国际的相关标准进行；测评服务商工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制；测评的方法和过程要在双方认可的范围之内，安全咨询的进度要按照进度表进度的安排，保证采购方对于服务工作的可控性；安全体系设计的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患；测评工作应尽可能小地影响系统和网络的正常运行，不能对招标方各系统的运行和业务的正常开展造成影响；对测评过程中获得的采购方数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害采购方利益的行为。

2、标准依据

等级保护测评过程中，必须依照以下标准：

《信息系统安全等级保护定级指南》（GB/T22240-2020）

《计算机信息系统安全保护等级划分准则》（GB 17859-1999)

《网络安全等级保护基本要求》（GB/T 22239-2019）

《网络安全等级保护测评要求》（GB/T 28448-2019）

《网络安全等级保护测评过程指南》（GB/T 28449-2018)

《网络安全等级保护设计技术要求》（GB/T 25070-2019）

《网络安全等级保护测试评估技术指南》（GB/T 36627-2018）

3、测评内容

（1）安全通用要求

安全通用要求测评内容应包括安全技术和安全管理两大类，其中技术类应包括对安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个方面的测评，安全管理类测评应包括对安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面的测评。

（2）安全扩展要求

如本项目执行时发现等级保护对象涉及测评标准安全扩展要求（云计算、移动互联网、物联网、大数据、工业控制）方面内容的，则根据实际情况选定适用的安全扩展要求测评内容开展本项目测评工作。

4、测评方法

在测评实施过程中，应采用访谈、检查和测试、渗透测试等测评方法进行，并与国家相关规范及标准的要求相符。
    访谈是指测评人员通过引导信息系统相关人员进行有目的的（有针对性的）交流以帮助测评人员理解、分析或取得证据的过程；
   检查是指测评人员通过对测评对象（如管理制度、操作记录、安全配置等）进行观察、查验、分析以帮助测评人员理解、分析或取得证据的过程；

测试是测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看和分析结果以帮助测评人员获取证据的过程；

渗透测试是模拟黑客的攻击方法，对受保护对象的应用系统、主机、网络进行攻击，从而验证测评对象的弱点、技术缺陷或漏洞的一种评估方法。

四、商务要求

1、保密要求

中标供应商在提供服务时，严格遵守双方的有关规章制度；保证不擅自将用户提供的纸质及电子文档复制给其他单位或个人，不将服务产生的报告等资料泄露给其他单位或个人；中标供应商必须与医院签订保密协议。

2、项目工期

本项目共两次进场测评：初测和复测。签订合同之后起5个工作日内完成该项目现场测评工作。现场测评结束后5个工作日内提供该项目的差距分析整改清单。经招标人整改完成后，再与中标供应商确定复测日期。自招标人出具项目复测通知书之日起3个工作日内完成该项目现场复测，复测完成后20个工作日内提供该项目的最终测评报告，整个工期应在2个月完成。

3、付款方式：中标供应商出具最终《网络安全等级保护测评报告》且分数在70分以上，通过网络安全等级保护测评2.0三级后十个工作日内支付合同价格100%合同款；

4、服务成果

中标供应商完成初次测评后应提出具体整改意见并指导整改，待整改完毕后再进行正式测评，并出具符合国家信息安全等级保护管理部门规范要求、公安网安部门认可的《网络安全等级保护测评报告》且分数在70分以上，通过网络安全等级保护测评2.0三级。纸质版 2份；电子版 1 份。

10.其他服务：中标供应商须协助招标人对未通过等保的项目进行整改。

五、投标文件的编制

1. 投标文件要求：每个投标人只能提交一份投标文件（1正本4副本）

2. 投标文件的组成  

（1）投标函、投标人情况简介、营业执照和相关资质等级证书复印件、法定代表人授权委托书（以上文件皆需盖单位公章）；

（2）投标报价单；

（3）服务内容要求及商务要求响应情况表；

（4）售后服务承诺；

（5）投入的专业技术人员的技术等级证书复印件；

（6）公司信誉查询信息截图；

（7）近期依法缴纳税收和社会保障资金证明材料。

六、投标人资格要求  

1. 本次招标要求投标人须具备以下相关资质：

（1）中国网络安全审查技术与认证中心颁发的安全风险评估服务资质，公安部颁发的《网络安全等级测评与检测评估机构服务认证证书》；

（2）提供iso9001质量管理认证证书、27001信息安全管理体系证书认证范围为“网络安全等保测评”、20000信息技术服务管理认证体系证书认证范围为“网络安全等保测评”；

（3）提供ITSS信息技术服务标准符合性证书；

（4）项目负责人同时具有信息安全等级测评师证书、高级信息系统项目管理师、cissp、cisp证书，团队人员至少配备1名高级等保测评师并提供最新等级保护网注册测评师相关证明文件。  

2. 信誉要求。

2.1根据最高人民法院等9部门《关于在招投标活动中对失信被执行人实施联合惩戒的通知》（法〔2016〕285号）规定，投标人、拟派项目负责人不得为失信被执行人（以评标阶段 “信用中国”网站（www.creditchina.gov.cn）查询信息为准）。

2.2近三年内投标人或其法定代表人不得有行贿犯罪行为（以评标阶段“中国裁判文书”网站（https://wenshu.court.gov.cn）查询信息为准）。

3. 其他投标条件要求：  

（1）本项目不接受联合体投标；  

（2）投标人有依法缴纳税收和社会保障资金的良好记录；

（3）参加政府采购活动近三年内，在经营活动中没有重大违法记录；

（4）本项目控制价为含税价格，投标人报价默认为含税价。

（5）投标材料请密封，封面请备注联系人的姓名、电话和邮箱，否则视为无效投标。

七、投标文件的递交

1. 投标报名表递交的截止时间为2023年9月11日北京时间18时00分，地点为广西骨伤医院行政办公区（南宁市青秀区东葛路一号锦华大酒店副楼401号房）

1.1 报名联系人及电话：刘工 18977085520

2.逾期送达的、未送达指定地点的或者不按照招标文件要求密封的投标文件，招标人将予以拒收。

3.投标文件必须由企业法定代表人或其授权的委托代理人递交，否则招标人将予以拒收。

八、评标办法  

（一）本项目采用竞争性谈判法。

（二）评审原则：

1.谈判小组构成：本项目谈判小组的评委分别由医院相关部门及医院评审专家共5人及以上单数构成。

2.评标依据：根据广西骨伤医院信息系统安全等级保护测评项目竞争性谈判文件的规定，谈判小组对投标供应商的投标文件进行审核，并分别与符合相应资格条件的供应商进行谈判，供应商进行二次（最终）报价。

（三）评定方法

1. 谈判小组从满足需求的供应商中，按照最终报价由低到高的顺序进行中标候选人排序，并编写评审报告。

（四）中标候选人推荐规则

谈判小组根据满足需求的供应商的最终报价，按照由低到高的顺序排序，推荐排名第一的投标供应商为中标候选人。排名第一的中标候选人放弃中标或因不可抗力提出不能履行合同，可以推荐排名第二的投标供应商为中标候选人，依此类推

附件：

广西骨伤医院信息系统安全等级保护测评项目竞争性谈判文件.docx