深圳市建设工程交易服务中心2017-2018年信息 ... - 深圳市住房和建设局.docx

PAGE 深圳市建设工程交易服务中心 2017-2018年信息安全服务项目 招标文件 招 标 人：深圳市建设工程交易服务中心 日 期：2017年9月 PAGE \* MERGEFORMAT- 2 - 根据相关规定， 深圳市建设工程交易服务中心 以 公开招标 方式进行深圳市建设工程交易服务中心2017-2018年信息安全服务项目的采购工作，请按以下要求于 2017 年 10 月 9 日（星期一） 18:00 前将投标文件密封送至 深圳市福田区振兴路3号建艺大厦816室。 一、采购内容 1、深圳市建设工程交易服务中心2017-2018年信息安全服务 二、采购项目相关要求 （一）项目内容 根据相关要求，基于我中心信息安全现状，提供2017-2018年信息安全服务。本项目主要包括以下工作内容： 1.主机设备漏洞扫描服务 每季度第1个月，投标方需要制定交易中心当月的信息系统主机扫描计划（包含扫描时间、扫描设备信息、负责人等）并将其报送至交易中心信息安全负责人处，在得到交易中心授权后对其主机设备进行主机层漏洞扫描工作，严格按照扫描计划为交易中心开展信息系统主机漏洞扫描工作。 投标方在扫描开始前须对使用的扫描设备进行升级操作，确保扫描设备处于必威体育精装版更新状态；进行扫描操作时，扫描设备与被扫描设备不能有防火墙隔离。 风险评估脆弱性识别过程中，投标方需要对交易中心风评范围内设备、系统进行主机层面漏洞扫描。 扫描结束后，编制主机信息系统漏洞扫描报告，提交至交易中心，督促并协助其对主机信息系统的漏洞进行修复。针对高、中风险漏洞给出修复、加固解决方案，协助交易中心实施。 扫描频次：每季度1次。 扫描范围：交易中心所有信息系统使用的主机设备 2.网站及应用系统安全防护服务 每月开展1次扫描，包括发现扫描、复核扫描。至少用两种扫描工具进行交叉扫描，编制扫描报告，协助用户对高、中风险漏洞进行修复、加固。投标方需要制定交易中心的网站信息系统扫描计划（包含扫描时间、扫描设备信息、负责人等），并将其报送至交易中心信息安全负责人处，在得到交易中心授权后对其网站信息系统进行应用层漏洞扫描工作，应严格按照扫描计划为交易中心开展网站信息系统漏洞扫描工作。 投标方在扫描开始前须对使用的扫描设备进行升级操作，确保扫描设备处于必威体育精装版更新状态；进行扫描操作时，扫描设备与被扫描设备不能有防火墙隔离。 风险评估脆弱性识别过程中，投标方需要对风评范围内的信息系统（C/S架构除外）进行应用层漏洞扫描。 扫描结束后，编制网站信息系统漏洞扫描报告，提交至交易中心，督促并协助其对网站信息系统的漏洞进行修复。 扫描频次：每月1次。 扫描范围：交易中心所有网站及应用系统。 3.待上线网站、信息系统漏洞扫描服务 投标方需要在交易中心的新业务系统上线以及信息系统版本更新之前，对其系统网络层面、主机系统软件、安全配置、应用程序漏洞等进行安全评估，以确保系统上线后得到安全保障。 投标方需要对交易中心的网络环境、主机环境等多个层面对系统整体进行安全检测，使用网络层扫描工具、应用层扫描工具进行交叉扫描，从整体上发现系统可能存在的安全弱点，从不同层面对系统进行评估和改进，保障系统上线后能够安全稳定运行，为高、中风险漏洞给出修复、加固解决方案，协助交易中心整改。 扫描频次：全年不限次数 4.终端漏洞扫描服务 每季度第1个月，投标方需要制定交易中心当月的终端扫描计划（包含扫描时间、扫描设备信息、负责人等），并将其报送至交易中心信息安全负责人处，在得到交易中心授权后对其终端进行漏洞扫描工作，应严格按照扫描计划为交易中心开展终端漏洞扫描工作。 投标方在扫描开始前须对使用的扫描设备进行升级操作，确保扫描设备处于必威体育精装版更新状态；进行扫描操作时，扫描设备与被扫描设备不能有防火墙隔离。 扫描结束后，编制终端漏洞扫描报告，提交至交易中心，督促并协助其对终端的漏洞进行修复。针对高、中风险漏洞给出修复、加固解决方案，协助交易中心整改。 扫描频次：每季度1次。 扫描范围：交易中心所有在用的终端设备 5.系统渗透测试服务 每季度开展渗透测试工作，投标方需要对交易中心信息系统、终端、服务器、网络设备及数据库进行安全检测并编制渗透测试报告，如发现问题及时通知并协助整改。 每季度第1个月，投标方需要制定交易中心当季的渗透测试计划（包含测试时间、扫描设备信息、负责人等），并将其报送至交易中心信息安全负责人处，在得到交易中心授权后开展系统渗透测试工作，应严格按照渗透测试计划为交易中心开展系统渗透测试工作。 渗透频次：每季度1次 渗透范围：交易中心对互联网开放的信息系统及单位门户网站。 6.信息安全制度建设落实服务 按照联合检查相关指标和深圳市住房和建设局要求并结合交易中心实际情况，投标方需要协助交易中心完善各项信息安全制度及信息安全制度的