青海省中医院信息系统等级保护复测

对医院指定系统（HIS、EMR系统）进行符合国家要求的网络安全三级等级保护测评服务，并出具符合国家标准的等级保护测评报告。

根据国家等级保护基本要求2.0中规定的三级系统测评内容，每个系统测评需检查71个控制点，211个要求项。具体测评服务事项为：

1：安全物理环境测评：10个控制点：

物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护；

2：安全通信网络测评：3个控制点：

网络架构、通信传输、可信验证；

3：安全区域边界测评：6个控制点：

边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证；

4：安全计算环境测评：11个控制点：

身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护；

5：安全管理中心测评：4个控制点：

系统管理、审计管理、安全管理、集中管控；

6：安全管理制度测评：4个控制点：

安全策略、管理制度、制定和发布、评审和修订；

7：安全管理机构测评：5个控制点：

岗位设置、人员配备、授权和审批、沟通和合作、审核和检查；

8：安全管理人员测评：4个控制点：

人员录用、人员离岗、安全意识教育和培训、外部人员访问管理；

9：安全建设管理测评：10个控制点：

定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、测试验收、系统交付、等级测评、服务供应商选择；

10：安全运维管理测评：14个控制点：

环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理；:

11：测评工作完成后，针对每个系统出具符合国家标准的等级保护测评报告。等级保护测评报告正式版一式两份。一份送省公安机关等级保护主管部门审核，一份送被测评单位留档被查。

12：所出具的等级保护测评报告格式、内容、检查项的检查结果记录应符合国家对于等级保护测评机构关于等级保护测评报告编写的要求。

2

55000

110000

投标报价
（10分）

报价分

10

磋商基准值=满足磋商文件要求且最后磋商报价最低的供应商的价格为磋商基准价。

磋商报价得分=（磋商基准价/最后磋商报价）×价格权值（10%）×100（四舍五入后保留小数点后两位）。

商务部分得分
（30分）

总体技术服务方案

6

依据所提供总体技术服务方案的合理性、可行性和规范性进行比较。好的得6分；较好的得3分；一般的得2分；差的或未提供的不得分。

信息安全保障服务方案

6

依据所提供信息安全保障服务方案的主动性、合理性进行比较。好的得6分；较好的得3分；一般的得2分；差的或未提供的不得分。

项目管理和质量保证

6

依据所提供项目管理和质量保证的明确性、可行性、完整性进行比较。好的得6分；较好的得3分；一般的得2分；差的或未提供的不得分。

应急响应服务方案

6

依据所提供应急响应服务方案的可行性、针对性、完整性进行比较。好的得6分；较好的得3分；一般的得2分；差的或未提供的不得分。

安全培训方案

6

针对用户提供专业化信息安全培训，根据所提供的培训方案的详细程度进行比较。好的得6分；较好的得3分；一般的得2分；差的或未提供的不得分。

技术部分得分

（55分）

服务人员及能力配置

55

1、根据机构具有资质人员数量比较。机构至少具有高级测评师1名，中级测评师5名，初级测评师10名；满足以上所有条件得5分，部分满足得2分，不满足不得分。（因人员变动等不可控原因，测评师数量以公安部网络等级保护网查询结果截图为主，截图作为评分依据。（http://www.djbh.net/）。

2、测评机构最近一次网络安全等级保护测评能力验证计划（MSTL）机构最终结果为满意（优秀）、满意（良好）得5分；结果为满意（中等）得1分；结果为不满意（较差）不得分。

3、提供中国网络安全审查技术与认证中心颁发的“ISO/IEC 27001信息安全管理体系认证证书”。提供得5分，未提供不得分。

4、提供中国网络安全审查技术与认证中心颁发的“信息安全风险评估”服务资质，一级得5分，二级得3分，三级得2分，未提供不得分。

5、提供中国网络安全审查技术与认证中心颁发的“信息安全应急处理”服务资质，一级得5分，二级得3分，三级得2分，未提供不得分。

6、测评师同时具备注册信息安全专业人员（CISP）能力认证的，每人加2.5分，满分5分。

7、服务方组建的项目组成员至少包含2名具备CCSS(网络安全服务能力认证) 中级及以上服务认证人员，每人2.5分，全部提供得5分，未提供不得分。

8、为了确保项目实施团队的全面性，测评师同时具备系统集成项目管理工程师的，每人加2分，满分4分。

9、为了确保项目实施团队的可靠性，服务方组建的项目组测评师需同时具备至少包含2名网络安全应急响应工程师（CSERE），每人2分，全部提供得4分，未提供或提供不全不得分。

10、为了确保项目实施团队的可靠性，服务方组建的项目组测评师需同时具备至少包含2名数据安全官（DSO），每人2分，全部提供得4分，未提供或提供不全不得分。

11、为了确保项目实施团队的可靠性，服务方组建的项目组测评师需同时具备至少包含2名信息安全保障人员（CCRC应急服务专业级），每人2分，全部提供得4分，未提供或提供不全不得分。

12、为了确保项目实施团队的可靠性，服务方组建的项目组测评师需同时具备至少包含2名数据安全评估师（DSA），每人2分，全部提供得4分，未提供或提供不全不得分。

履约能力

(5分)

类似业绩情况

5

提供三年内类似项目服务业绩证明材料，证明材料以中标通知书或服务合同为准，每提供一项得1分，满分5分，未提供的不得分。