附件

政务云网信息系统网络安全等级保护测评服务采购需求

一、项目背景

根据《中华人民共和国网络安全法》等相关信息安全法律法规及技术标准要求，信息系统安全保护等级定为第三级的信息系统每年至少进行一次等级保护测评。广西电子政务外网自治区级信创云平台等13个信息系统安全保护等级定为第三级，因此，需要开展网络等级保护测评服务采购工作。

二、服务内容和要求

（一）总的要求

依据《网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全风险评估规范》(GB/T 20984—2007)的要求对广西电子政务外网自治区级信创云平台等13个信息系统，开展网络安全等级保护测评工作，并出具网络安全等级保护测评报告，测评报告所列出的存在问题提供整改建议支持。

（二）标准依据

《计算机信息系统安全保护等级划分准则》（GB 17859-1999)

《网络安全等级保护基本要求》（GB/T 22239-2019）

《网络安全等级保护测评要求》（GB/T 28448-2019）

《网络安全等级保护测评过程指南》（GB/T 28449-2018)

《网络安全等级保护设计技术要求》（GB/T 25070-2019）

《网络安全等级保护测试评估技术指南》（GB/T 36627-2018）

（三）测评内容

1.安全通用要求

安全通用要求测评内容应包括安全技术和安全管理两大类，其中技术类应包括对安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个方面的测评，安全管理类测评应包括对安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面的测评。

2.安全扩展要求

应用了不同新技术的安全保护对象处于不同的应用场景中，面临不同的安全威胁，因此会有不同的安全需求，如本项目执行时发现等级保护对象涉及测评标准安全扩展要求（云计算、移动互联网、物联网、大数据、工业控制）方面内容的，则根据实际情况选定适用的安全扩展要求测评内容开展本项目测评工作。

该保护对象涉及的安全扩展要求包括：

（1）云计算

云计算安全测评内容包括对安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全建设管理、安全运维管理等的测评。

（2）移动互联

移动互联安全测评内容包括对安全物理环境、安全区域边界、安全计算环境、安全建设管理、安全运维管理等的测评。

（3）物联网

物联网安全测评内容包括对安全物理环境、安全区域边界、安全计算环境、安全运维管理等的测评。

（4）工业控制系统

工业控制系统安全测评包括对安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全建设管理方面的测评。

（5）大数据

大数据安全测评包括对安全物理环境、安全通信网络、安全计算环境、安全运维管理等的测评。

（四）测评方法

在测评实施过程中，应采用访谈、检查和测试、渗透测试等测评方法进行，并与国家相关规范及标准的要求相符。

访谈是指测评人员通过引导信息系统相关人员进行有目的的（有针对性的）交流以帮助测评人员理解、分析或取得证据的过程；

检查是指测评人员通过对测评对象（如管理制度、操作记录、安全配置等）进行观察、查验、分析以帮助测评人员理解、分析或取得证据的过程；

测试是测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看和分析结果以帮助测评人员获取证据的过程；

渗透测试是模拟黑客的攻击方法，对受保护对象的应用系统、主机、网络进行攻击，从而验证测评对象的弱点、技术缺陷或漏洞的一种评估方法。

（五）服务成果

测评完成后，出具13个系统符合国家等保2.0相关技术标准要求、国家网络安全等级保护管理部门规范要求且公安机关认可的的网络安全等级保护测评报告，对测评报告所列出的存在问题提供整改建议和一定技术支持（电子版1份，纸质版4份）。

三、报价要求

报价人应参考《广西壮族自治区财政厅关于印发<广西壮族自治区本级政务信息化建设和运维项目预算支出标准>的通知》（桂财建〔2023〕102号）文件，等保三级系统测评费用按8万元/系统的上限值控制。