网络安全运营服务院内竞争性谈判采购公告

• 分类：通知公告
• 作者：
• 来源：
• 发布时间：2****5-0**$3-0**$3 1**$3:3**$3
• 访问量：

【概要描述】

【概要描述】

• 分类：通知公告
• 作者：
• 来源：
• 发布时间：2****5-0**$3-0**$3 1**$3:3**$3
• 访问量：

根据医院临床医疗需要，湖南医药学院总医院(以下简称“采购人”)对下列采购项目进行院内竞争性谈判，欢迎符合资格条件的经销商、厂商投标，现将采购事项公告如下。

一、采购项目信息

1、项目名称：医院网络安全运营服务

2、项目编号：2***2注册后查看1注册后查看5

3、采购项目内容与数量：

4、付款方式：先服务后付款，每年服务期满后，根据考核结果及安全责任条款扣款后，开具符合采购人财务要求的发票，按年无息付清合同年度服务款。

二、项目采购方式：院内竞争性谈判。

三、项目技术要求：见附件一。

五、投标人需提供的相关材料和标书要求：

1、投标人资格要求

(1)具备《中华人民共和国政府采购法》第二十二条资格条件，未列入严重失信行为名单和其他不良信用记录；

(2)具备有独立承担民事责任能力的，在中华人民共和国境内注册的法人或其他组织；

(3本项目不接受联合体投标；

(4)法定代表人或者负责人为同一人或者存在控股、管理关系的两个以上供应商，不得参加同一采购项目投标。

2、投标文件需要的相关材料

(1)投标函加盖单位公章

(2)投标报价一览表

(3)项目服务要求响应/偏离表(供应商未写入投标文件响应偏离表的技术、商务参数条款均视作偏离，供应商自行承担一切责任)。

(4)投标人认为需提供的其他资料

(5)投标公司及产品的资质证明材料

①投标公司的营业执照复印件加盖单位公章；

②法定代表人身份证明书或法人授权委托书、授权代表的身份证复印件加盖单位公章；

③投标人信用信息查询记录、查询网页截图、打印、盖章材料；

(6)报名时需单独提供(5)①-③条款资格性报名审核材料(复印件)，未通过报名审核的投标人不进入评标程序。

(7)投标文件的编写：

投标文件要求一正两副，标书必须“A4规格纸张胶制(非打孔或夹装)装订成册，并编制总目录”,要求密封。投标报价函单独密封。否则视为符合性审查不合格，作无效投标处理。

★六、投标公司须提供真实、合法的投标材料，并应如实响应采购需求参数，提供虚假投标材料或虚假响应参数谋取中标的投标公司将按照相关法律法规承担相应责任，并将纳入医院供应商诚信黑名单，3年内不得参与医院采购项目投标。

七、中标单位需入驻湖南省政府采购电子卖场。

八、其他事项：本项目采购需求未尽事宜，合同签订时双方约定。

九、投标人对以上采购文件的内容有质疑的，应当在本采购公告报名截止时间前以书面形式向采购人提交，逾期将不予受理。

十、报名时间：2****5年4月1日-2****5年4月8日1**$3：3**$3时止

开标时间：2****5年4月9日1**$3:1**$3

开标地点：湖南医药学院总医院评标室(教学楼9楼)

联系电话：王老师1***1注册后查看1****1

报名地点：湖南医药学院总医院招标与管理科(第三住院楼4***3)

湖南医药学院总医院

2****5年4月1日

附件一：项目要求

医院网络安全运维服务项目要求

一、技术要求

(一)服务概述

提供安全运营中心可对接医院现有下一代防火墙、终端安全防护软件和态势感知等安全设备，通过云端安全中心和安全专家团队有效协同的“人机共智”模式7*2**$3H持续性开展网络安全保障工作，与用户一同构建持续(7*2**$3小时)、主动、闭环的安全运营体系，提供项目厂商售后服务承诺函，并加盖印章。

(二)服务内容

1、对现状评估及处置加固

资产发现与识别：借助安全工具对用户服务器、网络及安全设备等资产进行全面发现和深度识别，并在后续服务过程中触发资产变更等相关服务流程，确保安全运营中心资产信息的准确性和全面性。

资产信息梳理与管理：结合安全工具发现的资产信息，首次进行服务范围内资产的全面梳理，并将信息录入到安全运营平台中进行管理。

安全现状实时动态评估：包含脆弱性、病毒类事件、攻击行为、失陷类事件等安全现状的评估；通过不同方式(包括不限于微信、邮箱、电话、短信等方式)进行告知，协助院方加强网络安全防护能力。

2、持续有效运营

(1)漏洞管理

漏洞分析与管理：通过漏洞扫描工具识别系统安全漏洞，结合多种信息对识别的漏洞进行优先级排序，最后提出切实可行的漏洞修复指导；同时，借助漏洞跟踪管理平台，可以有效地追踪资产漏洞生命周期，清楚地掌握资产的脆弱性状况，实现漏洞全生命周期的可视、可控和可管。

弱口令分析与管理：实现信息化资产不同应用弱口令猜解检测，如：SMB、Mssql、Mysql、Oracle、smtp、VNC、ftp、telnet、ssh、mysql、tomcat等。针对不同行业提供行业密码字典，有针对性的进行内网弱口令检测，并将检测发现的问题通过工单系统跟踪修复状态。

漏洞协助处置：输出可行的漏洞处置方案，客户审核通过后，由服务人员协助用户对漏洞进行验证处置工作，并对已修复后的漏洞进行复测，帮助服务使用方将漏洞的影响降到可接受范围内。

(2)威胁管理

威胁分析与通告：实时监测网络安全状态，对攻击事件自动化生成工单,及时进行分析与预警。攻击事件包含境外黑客攻击事件、高级黑客攻击事件、持续攻击事件。实时监测网络安全状态，对病毒事件自动化生成工单,及时进行分析与预警。病毒类型包含勒索型、流行病毒、挖矿型、蠕虫型、外发DOS型、C&C访问型、文件感染型、木马型等。

流行威胁通告与排查：结合威胁情报，安全专家排查是否对用户资产造成威胁，当发现威胁时通知用户并协助用户及时进行安全加固

主动分析与响应：每月主动分析病毒类、攻击类、漏洞利用类、失陷类的安全事件，并提供相应解决方案。

策略管理：安全专家每月对安全组件上的安全策略进行统一管理工作，确保安全组件上的安全策略始终处于最优水平，针对威胁能起到最好的防护效果。

持续攻击对抗：通过攻击日志分析，发现持续性攻击，立即采取行动实时对抗。

根据用户需求或网络安全形势和变化，随时进行响应、介入和防范、解决安全问题。

(3)事件管理

事件分析与处置：实时针对异常流量分析、攻击日志和病毒日志分析，经过海量数据脱敏、聚合发现安全事件。

针对分析得到的勒索病毒、挖矿病毒、篡改事件、webshell、僵尸网络等安全事件，通过工具和方法对恶意文件、代码进行根除，帮助用户快速恢复业务，消除或减轻影响。

应急响应：通过事件检测分析，提供抑制手段，降低入侵影响，协助快速恢复业务，同时还原攻击路径，分析入侵事件原因，指导、协助用户进行安全加固、提供整改建议、防止再次入侵。

3、定期汇报：每年不得低于四次服务进展汇报。

4、服务交付物

提交安全相关材料，针对季度进行服务汇总并形成材料，内容：《漏洞管理举证报告》、《漏洞清单》、《服务资产表》、《安全服务报告》、《应急响应报告》、《事件分析与处置报告》、《安全通告》、《综合分析报告》等。

5、服务要求和考核

服务时间为：贰年。

提供7*2**$3小时服务热线。响应时间：接电话 1**$3 分钟内响应；若电话中无法解决，运营人员2小时内上门服务；2**$3小时内解决，超过2**$3小时未解决，提供更高级别工程师处置服务直至问题处置结束。

对于高威胁安全事件持续动态监控和及时处置，针对网络安全攻击事件1**$3分钟响应，3**$3分钟之内汇报并及时处置，避免安全事件的发生。

该项目为全包费用，在整个维护期间不再增加任何费用；对于整体安全运维服务，院方将纳入考核，保留网络安全事件追责的权利。

(三)安全条款

投标人在项目服务期间应确保采购人使用软件系统、相关中间件、第三方软件安全可用无安全漏洞风险，在官方安全漏洞修复补丁公布后及时主动完成漏洞修复，确保采购方不因该漏洞产生任何影响。

1、投标人在项目服务期间未能主动发现并修复系统、相关中间件、使用的第三方软件存在的安全漏洞风险，或未在官方安全漏洞修复补丁公布后及时完成漏洞修复，上述问题被采购方安全自查发现，投标人应承担以下违约责任：

采取措施，并承担因此产生的一切费用，包括但不限于系统漏洞修复、系统安全加固、第三方索赔等；

向采购人支付违约金，每次违约金的数额视后果而定，为合同总金额的1‰-5‰；

立即采取必要措施以减轻安全事件的影响，并承担因此产生的一切费用，包括但不限于数据恢复、系统修复、第三方索赔等；

若安全事件给采购人造成其他损失(具体安全事件包括但不限于：采购人被网信办、公安机关、卫健委等行政部门安全通报，或在国家、省级、市级护网攻防演练过程中发现系统存在漏洞，或因系统漏洞导致安全事件的发生。)投标人还应承担赔偿责任，赔偿范围包括但不限于直接损失、间接损失、声誉损失等。

2、投标人在项目服务期间未能主动发现并修复系统、相关中间件、使用的第三方软件存在的安全漏洞风险，或未在官方安全漏洞修复补丁公布后及时完成漏洞修复，上述问题导致采购人被网信办、公安机关、卫健委等行政部门安全通报和国家、省级、市级护网攻防演练过程中发现系统存在漏洞，及因系统漏洞导致安全事件的发生，采购人在发现安全漏洞后有权要求投标人提供详细的漏洞报告和修复计划，以确保采购人能够及时发现并证明投标人的违约行为。投标人应承担以下违约责任：

采取措施，并承担因此产生的一切费用，包括但不限于系统漏洞修复、系统安全加固、第三方索赔等；

向采购人支付违约金，每次违约金的数额视后果而定，为合同总金额的1%-3%(市级1%，省级2%，国家级3%)；

立即采取必要措施以减轻安全事件的影响，并承担因此产生的一切费用，包括但不限于数据恢复、系统修复、第三方索赔等；

若安全事件给采购人造成其他损失，投标人还应承担赔偿责任，赔偿范围包括但不限于直接损失、间接损失、声誉损失等。

3、若投标人在收到采购人关于系统、相关中间件、使用的第三方软件的安全漏洞风险报告后，未在3个工作日内完成整改并提交整改报告，投标人应承担以下违约责任：

(1)投标人应在每逾期一日向采购人支付违约金，违约金的数额为合同总金额的千分之五(5‰)。

(2)若投标人的迟延整改导致安全漏洞未被及时修复，进而引发安全事件，投标人除需承担上述违约金和赔偿责任外，还应按照第一项的违约责任承担全部后果。

(3)采购人有权要求投标人限期完成整改，若投标人在限期内仍未完成整改，造成不良后果和影响的，采购人有权解除合同并要求投标人承担合同总金额5%-1**$3%的违约金。

二、商务要求

根据资产管理、脆弱性管理、威胁管理、事件管理、报告交付及汇报的交付内容的准确性和及时性进行评价（详见附件二），全满足支付年度服务款；否则根据不满足项目进行扣款，每不符合一项扣年度服务款的5%,扣完为止。付款前须提供付款申请函、符合财务要求的发票、服务交付物等资料。本项目为全包费用，在整个维护期间不再增加任何费用；对于整体安全运维服务，院方将纳入考核，保留网络安全事件追责的权利。

备注：以上所有项目要求必须满足，不允许偏离，否则视为无效投标

附件二：考核表

附件三：投标报价一览表

医院网络安全运营服务

(第轮)

供应商名称(盖单位公章)：

法定代表人(单位负责人)或其授权的代理人(签字或印章)：

日期：年月日

报价说明：

1、投标人应根据采购人要求，在投标文件中提供完整的《投标报价一览表》。

2、所报的价格应包含所有费用(含税费等)。其他表外内容，不得再额外收费。

3、报价采取两轮报价，第一轮报价单需单独密封和标书一起提交，第二轮报价为现场报价，符合采购文件要求且报价最低者中标。最终报价均相同的，由评审委员会采取随机抽取方式确定排名入选。