廣州市生態環境局黃埔分局關於生態環境保護指揮係統項目等保服務的詢價公告

1

生態環境保護指揮係統

三級

/

分值

44分

46分

10分

100分

1

項目整體方案（10分）

項目整體方案包括不限於公司簡介、項目目標、項目組織與實施、等級保護測評流程、質量保證措施、培訓方案。項目整體方案正確理解項目需求內容，充分考慮項目特點。方案重點明確，特點突出。方案滿足項目實施要求，在項目實施期間能夠保障項目的進度和質量進行評審：

1.整體方案結構完整、內容科學合理、方法措施先進可靠，正確理解項目需求和意義，並能明確項目需求及輸出成果,得10分；

2.整體方案結構完整、內容相對合理、方法措施較可靠，理解項目需求和意義，認識項目需求及輸出成果,得7分；

3.整體方案結構較完整、內容欠合理、方法措施可行性欠佳，項目需求和意義理解不足，項目需求及輸出成果不明確,得4分；

4.整體方案結構不完整、內容不合理、方法措施可行性差，缺乏對項目需求和意義的理解，項目需求及輸出成果認識存在偏差,得0分。

2

項目管理方案（8分）

項目管理方案包括整體管理、範圍管理、時間管理、質量管理、人員管理、風險管理等，對項目管理方案進行評審：

1.方案內容完整，滿足或優於項目需求,得8分；

2.方案內容較完整，基本滿足項目需求,得5分；

3.方案內容不完整，部分滿足項目需求,得2分；

4.方案內容單薄不合理，不能滿足項目需求,得0分。

3

等保測評方案（8分）

等保測評方案包括等級保護測評流程、工作內容和方法、服務提供方式、項目成果等對項目等級保護測評要求的理解透徹，技術方案思路明確清晰、可操作性強，對等保測評方案進行評審：

1.方案內容完整，滿足或優於項目需求,得8分；

2.方案內容較完整，基本滿足項目需求,得5分；

3.方案內容不完整，部分滿足項目需求,得2分；

4.方案內容單薄不合理，不能滿足項目需求,得0分

4

技術工具（20分）

對投標人所選用測評工具的技術參數響應表（根據下列注中“測評工具要求”）進行評審：

其中標注“▲”的重要技術參數（共10條）均須提供功能截圖並加蓋原廠公章，每滿足一個“▲”號，得2分，完全滿足得20分。

注：1、未按上述要求提供對應功能截圖並加蓋原廠公章的，則視為未響應，不得分。2、所用軟件和工具應取得使用授權（非免費、開源或社區授權），如果工具是投標人自主研發的則提供工具的軟件著作權登記證書；如果工具不是投標人自主研發的，則同時提供軟件著作權登記證書及加蓋原廠公章的授權函。

二

商務評分（44分）

評分細則

1

投標人企業資質（20分）

（1）供應商具備CMA檢驗檢測機構資質認定證書（提供證明文件，複印件加蓋公章）有提供得3分；無提供得0分。

（2）供應商具備中國合格評定國家認可委員會檢驗機構認可證書（CNAS）（提供證明文件，複印件加蓋公章）有提供得2分；無提供得0分。

（3）供應商具備《計算機信息係統安全服務等級證》二級或二級以上證書（提供證明文件，複印件加蓋公章）有提供2分，無提供得0分。

（4）供應商具備ISO9001質量管理體係證書、ISO14001環境管理體係證書、ISO45001職業健康安全管理體係證書、ISO20000信息技術服務管理體係認證證書、ISO27001信息安全管理體係認證證書（提供證書和全國認證認可信息公共服務平台http://cx.cnca.cn/查詢結果截圖，複印件加蓋公章）；具備1個得2分；共10分。

（5）供應商具備網絡空間安全服務機構標準化工作評價證書，有得3分；無得0分。

2

項目負責人要求（6分）

項目負責人具備以下能力資質：

1.具有網絡安全等級測評師證書或信息安全等級測評師證書中級或以上；

2.具有注冊信息安全專業人員證書，注冊信息安全工程師（即（CISP-CISE）證書）

3.具有注冊信息安全專業人員證書，注冊滲透測試工程師（即（CISP-PTE）證書）

4.具有項目管理專業人員資格認證證書（即PMP證書）；

5.具有DSO數據安全官證書

6.具有廣東省網絡安全等級保護專家聘書。

以上具備一個得1分，滿分6分。（需同時提供相應資質證書複印件及近三個月內任意一個月的社保證明，並加蓋投標人公章。）。

3

項目成員情況（11分）

技術隊伍人員能力資質：

1.具有數據隱私保護專家證書資格證書（即 ISACA CDPSE   證書）得2分；

2.具有網絡安全等級測評師證書或信息安全等級測評師證書和計算機技術與軟件專業技術資格網絡工程師中級或以上，同時具有不少於三個或以上人員得3分；其他得0分

3.具有重要信息係統安全等級保護培訓證書（即CIIP-A證書），得分；

4.同時具備信息安全保障人員風險管理方向認證證書（即（CISAW）證書）和網絡安全相關專業的助理工程師職稱證書，擁有1個得1分，同時擁有2個以上得2分，無得0分。

5.同時具備信息安全保障人員應急服務方向認證證書（即（CISAW）證書）和網絡安全等級測評師證書或信息安全等級測評師證書中級或以上，擁有1個得1分，同時擁有2個以上得2分，無得0分。

4

同類業績經驗（7分）

提供三年內同類型項目案例，每提供1個得1分，最高得7分。

注：提供合同關鍵頁（包括雙方蓋章、簽約時間、采購內容）複印件。

三

價格分

評分細則

1

投標總價（10分）

各供應商的報價得分按以下公式進行計算：

報價得分=(評標基準價/評標價)×10，

說明：評標基準價為滿足采購文件要求的“最低的評標價”。高於報價上限的，該報價文件按無效報價文件處理；高於評標基準價而低於報價上限的，報價得分按以下公式進行計算：報價得分=（評標基準價/評標價）×10。

資

質

設備原廠商為國家網絡與信息安全信息通報中心技術支持單位；

設備原廠商具有中國信息安全認證中心頒發的信息安全應急處理服務資質（一級）；

設備原廠商具有信息安全服務資質證書（安全工程類）；

▲設備原廠商為國家信息安全漏洞庫共享平台（CNVD）漏洞報送成員單位；

▲設備原廠商為中國國家信息安全漏洞庫（CNNVD）一級技術支撐單位；

設備原廠商具有信息安全等級保護安全建設服務機構能力評估合格證書；

設備原廠商通過嚴格質量管理體係認證並獲得證書；

設備原廠商通過嚴格環境管理體係認證並獲得證書；

設備原廠商產品開發、生產、服務等管理體係符合信息安全管理體係要求。

任務管理

支持手動創建重要信息係統檢查、行業主管部門檢查、備案單位檢查、網站檢查、自定義檢查任務。

支持檢查任務並行檢查及並行檢查結果合並。

支持任務的打開、另存為、修改、刪除、關閉。

支持與等級保護監察平台數據的上報和下發。

檢查任務

檢查範圍：支持行業主管部門、備案單位、重要信息係統、網站四類檢查對象的檢查範圍。支持基本情況、定級備案檢查範圍。

檢查內容：支持係統定級情況、崗位設置情況、安全審計情況檢查內容。

檢查要點：支持檢查對象檢查內容具體檢查指標項進行檢查。

檢查結果錄入類型：

單項判定：支持判定未檢、不適用、0分、1分、2分、3分、4分、5分。

檢查結果錄入：支持錄入檢查結果記錄。

針對每個檢查要點應提供相應的檢查方法，檢查結果判定依據相關檢查知識，以便引導進行現場檢查。

▲支持對檢查過程中具體檢查對象（例如：主機、網絡設備）進行調整功能，要求可以選擇已有的檢查對象或錄入新的檢查對象。

支持將任務導出成檢查模板，檢查人員能夠根據被檢查單位情況，靈活分配各自的檢查任務，支持導出檢查表單提前讓被檢查單位人員對應進行自查，檢查人員經現場檢查核對無誤之後，可以直接將檢查表單數據導入到工具箱中。

檢查層麵、檢查內容、檢查指標項支持保存為模板，模板可導入、導出。

支持檢查工具檢查結果信息的展現功能。

支持導出、導入檢查項。

支持手動填寫測評概述，概述內容包括測評目的、測評依據、測評方法、測評結論、整體測評結果彙總。

數據彙總

▲支持一鍵導入功能，將檢查工具集、檢測結果自動導入到工具箱。

支持手動導入工具檢查結果到工具箱及關聯任務檢查對象。

支持工具檢查結果自動關聯知識庫。

檢查結果導出

應采用國家商用密碼管理辦公室指定認可的國產商用密碼算法對檢查數據進行加密後導出，以確保檢查數據的保密性。

導出的檢查結果應按照指定的接口規範導出。

支持自動生成不同類型檢查任務的檢查報告，檢查報告應包含不符合項的風險描述信息和安全評分。

兼容性

支持與工具箱監察管理係統數據的上報和下發。

監察指標庫升級維護

指標庫要求

監察指標庫包含：控製點和要求項。

指標庫升級維護

提供監察知識庫升級功能，可以對監察知識庫進行手動更新。

應提供升級檢測和提醒功能。

監察知識庫升級應有日誌記錄。

監

察

知

識

庫

升

級

維

護

知識庫要求

知識庫內容必須覆蓋所有檢查指標。

知識庫內容應包含檢查指標的檢查方法、檢查結果判定依據和不符合項的風險提示。

知識庫可以依據網絡安全的標準和分析模型，對檢查工具的檢查結果進行自動分析，給出相應的檢查結果記錄。

▲知識庫可以針對不同類型的檢查任務，對檢查結果進行自動分析和安全評分，自動生成相應的檢查結果記錄。

知識庫內容應描述正確，並具有明確的引導作用。

▲知識庫升級維護

知識庫內容必須覆蓋所有檢查指標。

知識庫內容應包含檢查指標的檢查方法、檢查結果判定依據和不符合項的風險提示。

知識庫可以依據網絡安全的標準和分析模型，對檢查工具的檢查結果進行自動分析，給出相應的檢查結果記錄。

工

具

管

理

升級管理

技術支持網站應提供檢查工具升級提示功能，當檢查工具有更新時，采購人可以進行檢查工具的升級操作。

檢查工具升級操作應在工具箱留有日誌記錄。

結果管理

應提供結果分析，依據內置知識庫自動對工具檢查結果進行分析，自動判別相應檢查指標的檢查結果。

結果導入操作應留有日誌記錄。

風險提示

所有檢查工具啟動時，默認都會進行風險提示，支持通過配置是否下次啟用風險提示。

係

統

管

理

配置管理

配置管理應對工具箱監察管理係統參數進行配置:

支持係統最大登錄次數設置；

支持鎖定用戶時間設置；

支持軟件自動鎖定功能；

支持口令強度策略設置。

用戶管理

支持對采購人賬戶進行管理，支持管理員、操作員、審計員角色賬戶增加、口令修改；

支持對賬戶新增、修改、刪除；

內置角色默認權限；

▲支持用戶密碼找回功能。

日誌管理

可查看操作日期、操作用戶、操作對象日誌記錄。

提供日誌篩選功能。

提供日誌導出備份功能。

係統升級

應提供升級功能，升級操作應簡單。

技術支持網站應提供升級提示功能。

設備廠商應定期發布離線升級包，支持手動導入升級。

升級操作應留存日誌記錄。

工具箱監察管理係統具有登錄嚐試失敗鎖定功能。

訪問控製

應依據安全策略嚴格控製用戶文件，數據表重要信息資源的操作。

應確保不提供已注銷用戶的任何信息，包括鑒別信息。

安全審計

指標庫、知識庫、監察工具升級操作。

用戶登錄和注銷事件。

數據導入、導出事件。

通信安全

應采取措施確保導入和導出數據的完整性。

U盤安全檢查工具向工具箱提交的檢查結果數據的完整性。

數據安全

采用國家商用密碼管理辦公室指定認可的國產商用密碼算法對以下數據進行加密。

等級保護工具箱配備U盤安全檢查工具集

Windows主機安全配置檢查工具

▲支持檢查主機係統配置信息，包括：計算機名、用戶名、操作係統、版本、內存大小、磁盤大小、係統路徑、共享目錄；

支持檢查USB接入設備信息；

支持檢查Internet   Explorer、Chrome、Firefox等瀏覽器上網記錄、Cookie記錄；

支持檢查主機硬件信息，包括：CPU信息、主板信息、內存信息、顯卡信息、硬盤信息、網卡信息；

支持檢查主機開機自啟動項程序；

查看主機上已經啟動的可能有風險的服務程序，包括：如Task Scheduler、Print Spooler、Remote Registry等服務；

支持檢查賬戶安全策略信息，包含口令長度、複雜度、定期更換、登錄失敗、鎖定次數等；

對係統賬戶進行檢查，可智能識別係統影子賬戶（隱藏賬戶）；

查看係統是否開啟係統審核、係統登錄事件、審核賬戶登錄事件等安全審計策略；

運行環境支持Windows   XP、Windows7、Windows Server   2003、Windows Server 2008等操作係統類型；

支持在線更新、離線升級。

主機病毒檢查工具

支持對操作係統的關鍵機製，如係統服務、內存、注冊表、啟動進程；檢測操作係統的安全模型，包括訪問控製、特權和審計；反饋係統安全配置、文件訪問，驅動、引導係統深度進行檢查；

檢查流氓軟件、蠕蟲病毒、其它惡意程序等；

支持快速掃描、全盤掃描、自定義目錄掃描；

運行環境支持Windows   XP、Windows7、Windows Server   2003、Windows Server 2008等操作係統類型；

支持在線更新、離線升級。

主機木馬檢查工具

支持檢查係統中的木馬程序、Rootkit、間諜程序等；

提取操作係統的關鍵機製，如係統服務、內存、注冊表、啟動進程；檢測操作係統的安全模型，包括訪問控製、特權和審計；反饋係統安全配置、文件訪問，驅動、引導等係統深度信息；

支持快速掃描、全盤掃描、自定義目錄掃描；

運行環境支持Windows   XP、Windows7、Windows Server   2003、Windows Server 2008等操作係統類型；

支持在線更新、離線升級。

網站惡意代碼檢查工具

支持asp、asa、cer、jsp、jspx、php等文件格式檢查；

支持自定義文件後綴格式；

支持異性、變異WEBSHELL後門代碼檢查；

支持關鍵惡意特征碼定位；

支持快速掃描、全盤掃描、自定義路徑掃描；

支持自定義掃描策略、可擴充惡意特征碼；

支持自定義文件大小掃描；

運行環境支持Windows   XP、Windows7、Windows Server   2003、Windows Server 2008等操作係統類型；

支持在線更新、離線升級。

等級保護工具箱配備在線檢查工具集

Linux主機安全配置檢查工具

支持檢查主機係統配置信息，包括：計算機名、用戶名、操作係統、版本、內存等；

支持檢查係統安全補丁升級情況；

支持檢查不必要的服務和端口（如TELNET、SSH、SNMP、HTTP等）；

支持檢查賬戶安全策略信息，包含口令長度、複雜度、定期更換、登錄失敗、鎖定次數等；

支持SNMP、SSH服務、版本信息檢查；

支持檢查安全審計配置情況、包含事件類型；

支持檢查屏幕保護恢複時間；

支持RedHat、Ubuntu、Debian、Fedora、Suse、Centos操作係統類型；

支持在線更新、離線升級。

網絡及安全設備配置檢查工具

支持對華三、思科、華為路由器、交換機通用係列網絡設備安全分析檢查；

支持對天融信、網神、啟明星辰、網禦星雲、Juniper防火牆通用係列設置安全分析檢查；

支持檢查賬戶安全策略信息，包含口令長度、複雜度、定期更換、登錄失敗、鎖定次數等；

支持檢查安全審計策略，包含事件類型、SYSLOG服務器；

支持檢查不必要的服務和端口（如TELNET、FTP、SNMP、HTTP、Sendmail）；

支持SNMP、SSH服務、版本信息檢查；

運行環境支持Windows   XP、 Windows7、 Windows Server   2003、Windows Server 2008等操作係統類型；

支持在線更新、離線升級。

弱口令檢查工具

應用服務支持類型：SSH、SMB、TELNET、FTP、RDP、SQL Server、Oracle、MySQL、POP3等協議應用程序弱口令檢查；

支持自定義賬戶、口令字典；

支持自定義應用協議TCP端口；

內置常見弱口令字典（如口令為：123456、88888888、12345等）；

支持本地、遠程主機及多協議同時檢查；

運行環境支持Windows   XP、Windows7、Windows Server   2003、Windows Server 2008等操作係統類型；

支持在線更新、離線更新。

數據庫安全檢查工具

支持IPV6地址檢查；

支持對數據庫弱點、不安全配置、安全策略、補丁升級、弱口令安全檢查；

支持主流Oracle、SQL Server、DB2、Informix、MySQL、Sybase數據庫類型；

支持授權掃描，使用具有DBA權限的數據庫用戶，執行選定的安全策略實現對目標數據庫檢查；

非授權掃描,采購人在沒有授權的情況下（即：不需要數據庫用戶名、密碼），根據選定的安全策略對目標數據庫進行的檢測；

策略自定義,提供掃描策略可自定義模式，操作者可以靈活選擇默認策略的同時也可以自定義添加策略；

支持在線更新、離線升級。

網站安全檢查工具

支持WEB 2.0，支持各類JavaScript腳本解析；

支持WAP站點掃描；

支持FLASH解析；

支持基於HTTPS應用係統的掃描；

支持實時存儲掃描項目文件、斷點續掃；

支持ERP等複雜的Web應用係統掃描；

支持易通、織夢、、Discuz、Ecshop、易思、方欣、大漢、科訊、通達OA、PHPCMS、PHP168、PHPCMS2008、phpcms v9、SHOPEX、SiteServer   CMS、TRS、 Nginx代碼執行、Spring代碼執行、億郵郵件係統命令執行等國內、國外知名WEB應用程序漏洞掃描；

支持JSP、CGI、ASP、.NET等類型動態頁麵；

支持IP地址、域名地址、批量網站掃描；

支持無人值守模式下的全自動掃描；

支持HTTP 1.0和1.1標準的Web應用係統；

支持Oracle、SQL Server、DB2、Informix、Sybase、MySQL、PostgreSQL、Access、Ingres等後台數據庫類型；

支持對SQL注入、XSS跨站腳本、偽造跨站點請求、網頁木馬、隱藏字段、表單繞過、AJAX注入、弱配置、敏感信息泄漏、HI－JACK攻擊、弱口令、Xpath注入、LDAP注入、框架注入、操作係統命令注入、Flash源代碼泄漏、Flash跨域攻擊、Cookies注入、敏感文件、第三方軟件、其他各類CGI等漏洞進行掃描；

支持在線更新、離線升級。

係統漏洞檢查工具

支持對Microsoft   Windows XP/2003/Vista/2008/7、Sun Solaris、HP Unix、IBM AIX、IRIX、Linux、BSD等操作係統進行漏洞掃描；

支持對Web、FTP、電子郵件等應用係統以及Office、Apache等常用軟件進行漏洞掃描；

支持對網絡設備進行漏洞掃描；

支持多種掃描策略，包括常規完全掃描、高強度完全掃描、高強度掃描、中強度掃描、低強度掃描、Windows主機掃描、類Unix主機掃描等掃描策略，方便采購人快速選擇；

支持自動統計總體漏洞數量、統計不同操作係統類型的主機數量、統計所有開發端口、可用賬戶、列出每一個漏洞所存在的主機、詳細描述與修補建議。漏洞詳細描述包括：漏洞名稱、詳述、修補方案、CVE/Bugtraq/CNCVE/CNNVD編號、CVSS評分等；

支持在線、離線更新；

支持導出Word、PDF常見格式報表。

運行安全

不得改變檢查對象當前配置；

不影響檢查對象正常運行；

不影響檢查對象所屬網絡正常運行；

不在檢查對象中遺留痕跡。

數據安全

存儲安全

U盤檢查工具應對所有檢查數據采用國產加密算法進行加密，防止監察數據被非法讀取。

痕跡安全

U盤檢查工具應對所有檢查數據采取痕跡消除措施，以防止信息泄露。

安全性

支持等級保護檢查過程的采購人信息的安全保護，所有數據以加密方式存儲傳輸。

U盤自身具有病毒、木馬程序免疫功能，防止病毒、木馬程序感染U盤內文件。

▲報表中心

支持生成信息係統檢查任務報告、行業主管部門檢查任務報告、備案單位任務報告、網站安全檢查任務報告、自建檢查任務報告；

支持檢查任務彙總、預覽；

支持對信息係統檢查任務檢查結果進行得分彙總，並以餅形圖的方式進行展示；

支持生成等保測評報告、工具檢測類型報表，等保測評報告采用最新的測評報告2015模板；

支持WORD、HTML格式報表導出；

支持下載自查表。

輔助功能

▲工具箱監察管理係統和U盤安全檢查工具應提供軟件截圖工具，便於實時保存係統關鍵界麵信息。