中國(guó)鐵路昆明局集團(tuán) 信息技術(shù)所2022統(tǒng)建系統(tǒng)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)項(xiàng)目公告

（招標(biāo)編號(hào)ZB2022-CB18）

一、項(xiàng)目概況

根據(jù)國(guó)鐵集團(tuán)的要求，以及集團(tuán)公司對(duì)請(qǐng)示的批示，需對(duì)昆明局集團(tuán)公司列車調(diào)度指揮系統(tǒng)（TDCS/CTC）、中國(guó)列車運(yùn)行控制系統(tǒng)（CTCS）、鐵路客票發(fā)售和預(yù)定系統(tǒng)等43個(gè)統(tǒng)建信息系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)。

項(xiàng)目編號(hào)：ZB2022-CB18

本項(xiàng)目資金已到位。

二、公示期

2022年10月12日至2022年10月17日

三、合格供應(yīng)商主要資質(zhì)條件

1、在中華人民共和國(guó)境內(nèi)依法注冊(cè)，具有獨(dú)立法人和增值稅一般納稅人資格的企業(yè)，且能提供符合國(guó)家規(guī)定的稅率的增值稅專用發(fā)票，注冊(cè)資本不小于2000萬元；

2、企業(yè)及其服務(wù)項(xiàng)目不在中國(guó)國(guó)家鐵路集團(tuán) 和中國(guó)鐵路昆明局集團(tuán) 暫?；蛲Ｖ购献麝P(guān)系期限內(nèi)；

3、滿足國(guó)家、中國(guó)國(guó)家鐵路集團(tuán) 、行業(yè)服務(wù)的有關(guān)規(guī)定和資質(zhì)要求；

4、服務(wù)商須具有公-安部第三研究所頒發(fā)的“網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)與監(jiān)測(cè)評(píng)估機(jī)構(gòu)服務(wù)認(rèn)證書”；

5、服務(wù)商須具備中國(guó)國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)頒發(fā)的“檢驗(yàn)監(jiān)測(cè)機(jī)構(gòu)資質(zhì)認(rèn)定證書（CMA）”；

6、投標(biāo)人須具備中國(guó)合格評(píng)定國(guó)家認(rèn)可委員會(huì)檢驗(yàn)機(jī)構(gòu)認(rèn)可證書（CNAS）；投標(biāo)人須具備中國(guó)合格評(píng)定國(guó)家認(rèn)可委員會(huì)實(shí)驗(yàn)室認(rèn)可證書（CNAS）；

7、投標(biāo)人須具備工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟頒發(fā)的“工業(yè)互聯(lián)網(wǎng)安全評(píng)估評(píng)測(cè)機(jī)構(gòu)”資質(zhì)；

8、服務(wù)商須具備中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心認(rèn)定的符合信息安全服務(wù)規(guī)范(CCRC-ISV-C01:2021)的二級(jí)或以上服務(wù)資質(zhì)；

9、服務(wù)商擬投入本項(xiàng)目的技術(shù)人員須具備如下條件：參與本項(xiàng)目組的成員至少有5人，且必須具備信息安全等級(jí)保護(hù)測(cè)評(píng)師資質(zhì)，項(xiàng)目經(jīng)理必須取得中級(jí)等級(jí)保護(hù)測(cè)評(píng)師資質(zhì)和注冊(cè)信息安全專業(yè)人員（CISP）資質(zhì)證書；

10、服務(wù)商擁有等級(jí)測(cè)評(píng)師人數(shù)要求50人以上，并提供等級(jí)測(cè)評(píng)師證書；

11、投標(biāo)人能夠保證被測(cè)系統(tǒng)的安全穩(wěn)定運(yùn)行，具備7×24小時(shí)應(yīng)急響應(yīng)能力；

12、服務(wù)商應(yīng)熟悉被測(cè)系統(tǒng)的技術(shù)架構(gòu)及業(yè)務(wù)流程；

13、投標(biāo)人須提供等保測(cè)評(píng)技術(shù)人員6個(gè)月以上的社保繳存證明復(fù)印件以備核查；

14、本項(xiàng)目不接受聯(lián)合體及代理商投標(biāo)。

四、服務(wù)內(nèi)容和要求

（一）服務(wù)內(nèi)容

1.按照國(guó)家有關(guān)規(guī)定和要求，根據(jù)《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》（GB/T 22240-2008），服務(wù)提供商須深入調(diào)研被測(cè)單位信息系統(tǒng)實(shí)際情況，開展業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全等方面的分析，確定信息系統(tǒng)等級(jí)，協(xié)助被測(cè)單位編制《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)報(bào)告》。

2.測(cè)評(píng)前期協(xié)助被測(cè)單位，調(diào)查系統(tǒng)測(cè)評(píng)中需要的基本信息，包括系統(tǒng)基礎(chǔ)信息、物理機(jī)房、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器或存儲(chǔ)設(shè)備、終端或現(xiàn)場(chǎng)設(shè)備、系統(tǒng)管理軟件或平臺(tái)、業(yè)務(wù)應(yīng)用系統(tǒng)或平臺(tái)、關(guān)鍵數(shù)據(jù)類型、數(shù)據(jù)類別、安全相關(guān)人員、安全管理文檔、網(wǎng)絡(luò)拓?fù)涞取?/p>

3.協(xié)助被測(cè)單位從安全管理和安全技術(shù)等方面，針對(duì)各個(gè)系統(tǒng)具體的安全需求，在等級(jí)保護(hù)前期工作基礎(chǔ)上，提供專業(yè)的安全技術(shù)解決方案，提供技術(shù)咨詢服務(wù)。

4.在安全等級(jí)測(cè)評(píng)過程中，每個(gè)工作階段、流程、內(nèi)容及成果交付嚴(yán)格遵循《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》(GB/T 28448-2019)和《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)過程指南》(GB/T 28449-2018)文件要求，從每個(gè)信息系統(tǒng)的安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理十個(gè)層面進(jìn)行等級(jí)保護(hù)測(cè)評(píng)。并通過安全控制層面間、區(qū)域間和系統(tǒng)結(jié)構(gòu)間的綜合分析進(jìn)行整體測(cè)評(píng)和風(fēng)險(xiǎn)分析，出具《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告》及《系統(tǒng)風(fēng)險(xiǎn)整改問題庫(kù)》。

5.通過專業(yè)掃描工具對(duì)網(wǎng)絡(luò)、系統(tǒng)應(yīng)用、主機(jī)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等安全漏洞進(jìn)行掃描，發(fā)現(xiàn)安全漏洞并給出整改建議。

6.對(duì)測(cè)評(píng)系統(tǒng)進(jìn)行安全滲透測(cè)試。

7.根據(jù)現(xiàn)場(chǎng)測(cè)評(píng)結(jié)論，給被測(cè)單位出具安全技術(shù)和安全管理層面的有針對(duì)性的安全整改建議，指導(dǎo)被測(cè)單位進(jìn)行安全整改加固，并開展復(fù)測(cè)，最終使安全管理和技術(shù)兩方面達(dá)到相應(yīng)等級(jí)的保護(hù)要求。

8.提供《系統(tǒng)風(fēng)險(xiǎn)整改問題庫(kù)》（包括系統(tǒng)名稱、測(cè)評(píng)，漏掃，滲透測(cè)試中發(fā)現(xiàn)的高、中、低風(fēng)險(xiǎn)問題、系統(tǒng)等級(jí)、問題風(fēng)險(xiǎn)等級(jí)、問題整改建議、問題涉及的對(duì)象設(shè)備或IP等）。

（二）服務(wù)要求：

1.2022年12月30日前出具測(cè)評(píng)報(bào)告。

2.質(zhì)量保證期：驗(yàn)收通過后，在服務(wù)期間（1年內(nèi)）對(duì)測(cè)評(píng)范圍內(nèi)的系統(tǒng)提供免費(fèi)技術(shù)支持，現(xiàn)場(chǎng)應(yīng)急服務(wù)。

3.人員培訓(xùn)：由服務(wù)方負(fù)責(zé)免費(fèi)對(duì)被測(cè)方管理人員、應(yīng)用人員進(jìn)行信息安全技術(shù)現(xiàn)場(chǎng)培訓(xùn)，使其具備檢測(cè)、應(yīng)急處置能力。

4.服務(wù)方不得以任何形式向第三方透露被測(cè)方在測(cè)評(píng)過程中提供的系統(tǒng)網(wǎng)絡(luò)拓?fù)湫畔ⅰ⑾到y(tǒng)配置信息、數(shù)據(jù)庫(kù)相關(guān)信息、系統(tǒng)運(yùn)行的數(shù)據(jù)、管理制度及流程，以及經(jīng)被測(cè)方聲明需要保密的其他信息。

5.應(yīng)急服務(wù)速度：接到通知遠(yuǎn)程立即響應(yīng)，具備7×24小時(shí)應(yīng)急響應(yīng)能力。

6.服務(wù)商提供《竣工報(bào)告》，包含完整準(zhǔn)確的受測(cè)評(píng)系統(tǒng)的《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告》、《系統(tǒng)風(fēng)險(xiǎn)整改問題庫(kù)》等內(nèi)容；

7.技術(shù)服務(wù)成果需滿足《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》(GB/T 22239-2019)。

8.提交的資料符合國(guó)家、中國(guó)國(guó)家鐵路集團(tuán) （原中國(guó)鐵路總公司、原鐵道部）網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)相關(guān)技術(shù)標(biāo)準(zhǔn)。

（三）其他要求

1．投標(biāo)方應(yīng)牢固樹立“安全第一”的指導(dǎo)思想，建立健全各項(xiàng)安全管理規(guī)章制度，制訂并落實(shí)各項(xiàng)安全防護(hù)措施。

2. 投標(biāo)方全面負(fù)責(zé)其作業(yè)人員日常安全管理工作，依照《勞動(dòng)法》、《安全生產(chǎn)法》以及國(guó)家、云南省等其他有關(guān)法律法規(guī)的規(guī)定，對(duì)作業(yè)人員身份進(jìn)行相關(guān)審核，建立合法勞動(dòng)關(guān)系，依法承擔(dān)相應(yīng)的各項(xiàng)安全職責(zé)，保證其作業(yè)人員的合法權(quán)益。

3.作業(yè)過程中的勞動(dòng)人身安全、現(xiàn)場(chǎng)安全管理工作由投標(biāo)方負(fù)責(zé)。投標(biāo)方人員在作業(yè)期間發(fā)生的傷害事故由投標(biāo)方負(fù)全部責(zé)任，與招標(biāo)方無關(guān)。

4.項(xiàng)目實(shí)施相關(guān)人員應(yīng)簽訂保密協(xié)議與安全責(zé)任書，確保被測(cè)系統(tǒng)的數(shù)據(jù)安全，保證系統(tǒng)的安全穩(wěn)定運(yùn)行。

5.測(cè)評(píng)過程及結(jié)果對(duì)第三方保密。

6.投標(biāo)人從2016年11月1日至今，至少有1個(gè)鐵路行業(yè)信息系統(tǒng)等級(jí)保護(hù)測(cè)評(píng)三級(jí)及以上系統(tǒng)和關(guān)鍵基礎(chǔ)設(shè)施的實(shí)施業(yè)績(jī)，并提供有效合同；

7.能夠提供與鐵路行業(yè)相關(guān)的對(duì)等保三級(jí)以上信息系統(tǒng)滲透測(cè)試未產(chǎn)生影響的證明并加蓋被測(cè)單位公章。

五、

六、其他

凡有意參加本項(xiàng)目潛在供應(yīng)商請(qǐng)與昆明局集團(tuán) 信息技術(shù)所聯(lián)系，在2022年10月17日18：00前書面報(bào)名參與。

                                             中國(guó)鐵路昆明局集團(tuán) 信息技術(shù)所

                                2022年10月12日