****受****之委托，****政法委社会治理类信息化平台网络安全服务进行询价采购，欢迎合格的供应商前来参加。

一、 项目说明：

（一） 项目名称：市委政法委社会治理类信息化平台网络安全服务

（二） 采购预算：人民币壹拾万捌仟元整（￥：108000.00）

（三） 合格询价响应供应商的条件：

1、具有独立承担民事责任的能力；

2、具有良好的商业信誉和健全的财务会计制度；

3、具有履行合同所必需的设备和专业技术能力；

4、有依法缴纳税收和社会保障资金的良好记录；

5、参加采购活动前三年内，在经营活动中没有重大违法记录；

6、法律、行政法规规定的其他条件。

二、采购要求：

（一）服务内容

一）人工渗透测试服务

渗透测试（Penetration Test）是完全模拟远程黑客攻击，利用各种主流的攻击技术和漏洞发现技术，****市委****委员会的**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台一些隐形存在的安全漏洞和风险点作深入的探测，发现系统最脆弱的环节。渗透测试能够直观的让信息主管对信息系统的安全性有较深的感性认知，在系统进行了安全加固之后进行渗透测试，则可以用于验证经过安全保护后的网络是否真的达到了安全目标。

1、远程深度渗透测试

在远程对政务云上的三个平台系统进行渗透测试工作，包括并不限于漏扫、人工渗透业务系统相关的端口、主机、业务逻辑、以及外部可影响到系统的威胁进行深度挖掘和检测，在允许的情况下由外向目标内网进行延伸渗透，并出具报告。

2、现场深度渗透测试

在现场系统进行渗透工作，包括并不限于漏扫、人工渗透业务系统相关的端口、主机、业务逻辑、以及外部可影响到系统的威胁进行深度挖掘和检测，在允许的情况下由外向目标内网进行延伸渗透，并出具报告。

3、服务频率

项目周期内按需提供2次服务。

二）漏洞扫描服务

1、外网漏洞扫描

通过安全评估平台，从政务云侧对**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台的出口IP或Web应用进行漏洞、弱口令扫描，并出具扫描报告。

2、内网漏洞扫描

将漏洞扫描设备接入到三个平台信息系统所在内部网络环境，可选择安全防护设备外侧或内侧作为接入点，对IP或Web应用进行漏洞、弱口令扫描，并出具扫描报告。

主机扫描：端口扫描、弱口令检测、DNS域传送漏洞、服务器指纹、SMB远程代码执行漏洞、各种缓冲区溢出漏洞、3389远程溢出等。

Web扫描：OWASP TOP 10漏洞扫描（SQL注入、XSS等）、各种CVE漏洞（缓冲区溢出、远程命令执行）、文件包含漏洞、URL跳转漏洞、目录遍历漏洞、web后台探测、web应用程序指纹等。

中间件检测：phpmyadmin、tomcat、weblogic等弱口令；MySQL、Oracle、DB2等弱口令；struts2命令执行漏洞、weblogic反序列化漏洞、各种已知CVE漏洞、中间件配置错误等。

3、漏洞修复复查

对通过漏洞扫描发现的高中危漏洞，在修复后进行闭环复查，以确保漏洞得到最终修复。

4、服务频率

服务周期内每月提供1次服务，共计12次。

三）应急响应服务

1、应急响应内容

按照PDCERF模型，在应急响应时执行准备、检测、遏制、根除、恢复、跟踪6个动作，帮助积极应对各类恶意程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障等重大或突发事件。

应急处置****市委政法委社会治理类信息化平台相关硬件、产品、网络、配置等方面的故障，各类安全事件，如：黑客攻击、木马病毒、异常流量、Web攻击等。通过及时对日志、流量、文件、情报等维度的关联分析与深度挖掘，定位各类安全事件发生的原因，及时对恶意文件进行清除、漏洞修复、安全加固，避免同类安全事件再次发生。

2、服务频率

服务周期内，按需提供服务。

四）安全培训服务

1、全员安全意识培训

通过全员培训，了解相关工作人员的安全知识掌握程度，提升网络安全知识，减少员工在日常工作中由于安全知识的匮乏使单位遭受重大损失的几率，使工作人员深刻认识网络安全的重要性，规范日常行为，帮助打造社会治理类信息化平台网络安全生态。培训形成与培训内容配套的考核材料，包括且不局限于考核试卷、调研问卷等。

2、信息安全运维培训服务

从安全角度培养单位运维人员、开发人员等专业技术人员，丰富其专业网络安全技能。面向运维人员，主要培训日常运维工作中网络安全意识、基本网络安全知识与技能、常见安全设备运维注意事项等内容。面对开发人员，主要培训开发过程中网络安全相关注意事项，常见的代码相关漏洞形成原因与主要规避手段，等保中对开发人员的要求等。培训形成与培训内容配套的考核材料，包括且不局限于考核试卷、调研问卷等。

3、服务频率

服务周期内，按需提供1次服务。

五）应急演练服务

组织相关人员，依据有关网络安全应急预案，开展应对**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台网络安全事件的活动。应急演练通过模拟真实的安全事件呈现单位内部应对网络安全事件处置过程，以检验应急响应中各方的协同反应水**实战能力、评估应急响应预案的实用性、可行性、可靠性为目的。

应急演练模拟网络和信息系统可能遭遇的安全事件，如：发生网络入侵事件、大规模病毒爆发、遭受拒绝服务攻击等，演练处置流程、处置方法等，从而发现当前存在的不足，完善相关措施。一旦发生真实的攻击事件能正确应对，确保系统的安全稳定运行。

1、应急演练内容

通过调****市委****委员会社会治理类信息化平台相关应急管理现状，现有的应急预案、组织架构、应急演练场景、应系统架构及部署情况，编制网络安全事件应急预案，根据应急演练方案编写应急演练脚本，组织参演各方根据应急演练脚本进行排练。****政法委组织开展正式演练，记录演练过程，填写演练评价表，演练结束后编制演练总结报告，汇总演练过程文档。

应急演练的工作流程包括：

1）根据应急预案定期进行演练；

2）应急演练中的预警处理和预警发布；

3）应急演练中的应急处置；

4）应急演练中的应急保障；

5）应急演练总结输出。

2、服务频率

服务周期内，按需提供1次服务。

六）风险评估

信息安全风险评估主要是依据有关信息安全技术与管理标准，从风险管理角度，对**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台的信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程，通过评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，结合安全事件所涉及的资产价值来判断安全事件一旦发生对单位造成的影响，并提出有针对性的抵御威胁的防护对策和整改措施。信息安全风险评估贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段。

1、评估内容

依据《GB/T 20984-2007 信息安全技术 信息安全风险评估规范》、《GB/T 31509-2015 信息安全技术 信息安全风险评估实施指南》、《GB/T 33132-2016 信息安全技术 信息安全风险处理实施指南》、《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》****政法委相关网络安全要求，实施全面的网络安全风险评估服务。运用科学的方法和手段，系统地识别网络与信息系统的资产价值，以及所面临的威胁及存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性地抵御安全威胁的防护措施，为防范和化解信息安全风险，将风险控制在可以接受的水平，最大限度地保障网络正常运行，为开展安全保障体系建设提供依据，为确立安全策略和制**全规划提供决策建议。

风险评估服务实施过程如下图所示：

风险评估采用的方法包括问卷调查、人员访谈、人工核查、工具检测和实地察看等几个方面。

调查问卷由一组相关的封闭式或开放式问题组成，用于在评估过程中获取信息系统在各个层面的安全状况，包括安全策略、组织制度、执行情况等。

人员访谈是指评估人员与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。

人工核查是根据评估检查记录表内容，采用上机验证的方式检查应用系统、主机系统、数据库系统以及网络设备的配置是否正确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实（包括日志审计等）。

工具检测是利用技术工具对信息系统进行测试，包括基于网络探测和基于主机审计的漏洞扫描、工具扫描等。

实地察看是指根据信息系统的实际情况，评估人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况。

2、服务频率

服务周期内，按需提供1次服务。

七）资产梳理服务

1、服务内容

1）IP梳理

通过扫描工具或者地址MAC的查询方式自动的对**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台相关资产归类或者筛查，出具资产报告。

2）端口梳理

通过扫描工具或者关键节点防火墙的流量对照查询方式自动的对**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台相关资产归类或者筛查，出具资产报告。

3）服务器设备梳理

随着时间的推移，长时间没有检测三个平台相关服务器设备及配件设备信息会导致在运维时无法及时了解服务器的现有监控情况。或者服务器的原有信息变更导致的信息不准确，基于以上的原因通过服务器带外管理口（iLO、BMC、HDM等IPMI管理口）收集设备基本信息，如硬件配置（CPU、内存、RAID卡、硬盘、网卡等）、RAID配置、固件版本（BIOS、iLO、CPLD、RAID卡、硬盘等硬件固件）、账号相关信息（包括检查是否有非授权账号及所有是否有非授权登陆等）。在得到授权的情况下登陆操作系统，检查操作系统的本地存储使用情况（如分区数量、分区大小、剩余空间等），检查空闲及高峰时期处理器和内存的占用率。生成数据报告或服务器设备台账。

4）存储设备梳理

存储通过管理平台，对数据存储设备及光纤交换机进行全面的检查。分别对光交的端口使用情况（端口的剩余数，激活数，可分配数）、光交的配置（zone的划分、激活的zone、cfg包含的zone、激活的cfg）、存储空间使用情况（裸容量、总容量、可用容量、可回收容量等）、存储池（磁盘组、CPG等）的配置情况、卷的划分和主机映射（导出等）情况、链路冗余情况等数据做完整的整理，给出专业的数据报告或数据存储设备台账。

5）账号检查

根据资产清单，按照等级保护相关要求，登录每一台设备。重点检查该设备上的账号情况，检查内容包括但不限于，账号有效性检查，对于测试账号、过期账号、无效账号等统一进行删除或禁用；密码复杂度检查，对于仍需使用的账号检查每一个账号的密码复杂性是否满足等保要求，针对违规的账号通知账号所有人进行整改或禁用账号；账号权限检查，根据业务需要检查每一个账号的权限开通是否合理，对于权限过大的账号通知设备管理员对账号进行降权或设置账号允许使用时间；三权分立检查，根据等保要求设备不允许使用超级管理员账号，将检查每一台设备是否禁用超级管理员账号并使用管理员、审计员和操作员账号，对于不合规的设备，将通知运维人员进行整改加固。账号梳理完成后，将相关账号信息补充到资产表中，形成明确的资产账号清单。

2、服务频率

服务周期内，按需提供1次服务。

八）安全巡检服务

1、服务内容

1）安全设备巡检

对**市网格化社会治理大数据平台(二期)、**市市域社会治理现代化指挥平台、**市社会矛盾纠纷调处化解平台的相关系统及设备进行巡检，对设备的物理运行情况、清洁情况、系统运行情况、系统**利用情况、系统运行日志、相应功能是否正常运行等进行检查并记录，排除可能存在的安全问题和隐患。

定期对设备配置、日志进行备份。

在安全设备故障处理过程中的所有协调配合及总结报告工作。

2）安全策略管理

根据安全工作需要，对安全设备自身的配置进行变更调整，如登录口令、登录方式、密码复杂度等设备运维策略；

定期对安全设备业务访问策略进行梳理分析，发现过期、冗余、无效、不明确用途等策略，根据分析结果提供优化调整建议；

根据业务系统部署与调整，制定和更**全设备的防护、检测策略。

3）定制安全告警

定期通过对项目范围内所有安全系统及设备的报警日志进行分析，梳理近一月的信息安全情势、安全状况，提出改进建议。

定制网络安全设备的告警能力，确保发生重**全事件时，能及时发出告警动作。

2、服务频率

服务周期内每季度提供1次服务，共计4次。

（二）产出物说明

（三）服务人员要求

1、人员要求

为能保证在规定时间内完成项目建设，供应商必须提供稳定的****服务队伍，完善的技术支持服务体系。

具体人员要求如下：

项目经理（1人）：具备相关行业工作经验，负责日常管理、工作安排，安全托管文档材料审核和归档，****政法委汇报工作，各项**调配，投诉管理工作。

项目组人员（4人）：具备相关信息安全经验，熟悉主流网络和安全设备，负责项目安全的调研、规范编制及现场日常的安全巡检、安全测试、应急响应等工作，专业能够涵盖网络安全、应用安全等专业。如果应急事件发生，则人员响应要求在1小时内进行安全事件的响应和处理，且工作时间将不仅限于正常工作时间，将根据事件处理要求进行响应。

（四）服务期限和服务地点

（五）责任考核

（六）项目安全

成交单位在项目服务期间应制定项目安全实施管理措施，并严格遵守安全管理要求，成交单位在项目服务过程中因管理不当、维护措施不当等因素或不按安全管理要求，造成人员安全或财产损失事故的，其责任均由成交单位承担，采购单位不承担责任。

（七）项目保密要求

1、成交单位及其工作人员需遵守采购单位的保密规定，不以任何形式将收集的所有资料、数据等进行泄漏、传播；

2、项目服务人员需签署相关保密协议，承担工作中接触相关内容的保密义务；

3、项目成果最终所有权属采购单位，在项目完成时成交单位必须全部移交；

4、成交单位须维护项目服务成果，不得转让给第三方重复使用；

5、以上保密规定如有违反，采购单位有权追究成交单位相关法律责任。

三、响应报价文件组成及其他说明：

（一）询价响应文件的制作要求

1、询价响应文件组成 ：

（1）企业营业执照副本、税务登记证副本复印件或三证合一营业执照副本复印件

（2）响应单位法定代表人（或负责人）身份证复印件、法定代表人（或负责人）授权委托书和委托代理人身份证复印件（如为授权）

（3）响应报价表

（4）服务偏离表

（5）询价响应函

（6）项目实施方案

（7）响应单位资格承诺书及相关证明资料

注：以上资料若不能如实提供或提供不完整的视为无效投标。

2、文件的签署和密封要求：

（1）按上述要求制作询价响应文件叁份（一正两副），并须装订成册；响应文件封面明确标明“正本”和“副本”，正本和副本如有不一致之处，以正本为准；

（2）询价响应文件均应采用打印或使用不能擦去的黑色或蓝色墨水书写，由响应单位法定代表人（或负责人）或其授权代表在询价文件要求处亲自签署或盖章，并在询价响应文件的每一页上加盖公章，未加盖公章的页视为无效页。

（3）询价响应文件须装袋密封，封口处须加盖单位公章，密封袋及响应文件封面上应注明采购项目名称、询价采购编号、询价响应单位名称、地址、联系人、联系电话等。

3、采购单位有权拒绝未按上述要求制作的询价响应文件。

（二）询价响应文件错误的修正原则

1、响应文件的大写金额与小写金额不一致的，以大写金额为准。总价金额与按单价汇总金额不一致的，以单价金额计算结果为准；单价金额小数点有明细错位的，应以总价为准，并修改单价；

2、对不同文字文本投标文件的解释发生异议的，以中文文本为准。

3、供应商不同意以上修正的，其询价响应文件将被拒绝。

（三）询价响应文件的补充、修改和撤回

供应商在提交询价响应文件截止时间前，可以对所提交的响应文件进行补充、修改或者撤回，并书面通知采购代理机构。补充、修改的内容作为响应文件的组成部分。补充、修改的内容与响应文件不一致的，以补充、修改的内容为准。

（四）询价响应文件的澄清、说明和更正

询价小组在对响应文件的有效性、完整性和响应程度进行审查时，可以要求供应商对响应文件中含义不明确、同类问题表述不一致或者有明显文字和计算错误的内容等作出必要的澄清、说明或者更正。供应商的澄清、说明或者更正不得超出响应文件的范围或者改变响应文件的实质性内容。

询价小组要求供应商澄清、说明或者更正响应文件应当以书面形式作出。供应商的澄清、说明或者更正应当由法定代表人（或负责人）或其授权代表签字或者加盖公章。由授权代表签字的，应当附法定代表人（或负责人）授权书。供应商为自然人的，应当由本人签字并附身份证明。

****小组要求供应商解释或者澄清其响应文件时能够及时得到回复，在评审开始前，供应商法定代表人（或负责人）或授权代理人可到评审现场等候。供应商的澄清、说明****小组向其提出澄清、说明或者更正要求后三十****小组。在评审期间、供应商应注意调整其行程安排，如响应供应商未到场，则视为供应商放弃上述权利，相关后果自负。

（五）递交响应询价文件及确定成交供应商日期和地点

1、本次询价通知书的响应截止时间为2024年10月22日17：00前。响应单位应在截止时间前将询价响应文件密封，并在文件封面注明投标编号，并在文件封口处加盖单位公章后送达**市干将西路399号**大厦303****公司 联系人：潘莉莉、顾凡键，联系电话：0512-****8816，未按询价采购文件要求制作的询价响应文件或过时送达的询价响应文件，一律为无效投标。

2、2024年10月23日13：30在**市干将西路399号**大厦302****公司确定成交供应商。成交供应商收到成交通知书后，应在十五日内签订合同。

四、报价说明：

1、响应单位需根据本询价采购文件要求制作响应文件。本次报出的价格一次性报定不得更改，响应单位****服务所需的人工费、材料费、通讯费、交通费、资料费、政策性文件规定及合同包含的所有风险、责任等各项应有费用。不论响应单位是否列出相关费用明细，招标人均可以认为响应单位已在总价中包含了全部费用。

2、响应单位应对所要采购的全部内容进行报价，只报其中部分内容的，为无效报价。

五、综合说明及其他：

1、响应单位所提供的服务能够至少达到以上要求。

2、响应单位必须承诺采购文件中提出的全部要求，如果其中某些条款不响应时，应在文件中逐条列出，未列出的视同响应。

3、若响应单位在服务管理期间发生下列行为之一的，采购人可解除服务合同，并不再支付合同费用：

（1）将服务转包他人；

（2）无法有效开展服务的其它行为。

4、服务履约期间采购方有权按照考核标准对该采购项目服务进行检查考核。

5、成交单位对服务缺陷不予更正，招标人有权另请其他单位更正，所发生的费用在合同价款中扣除。

6、响应单位应对所投项目的全部服务内容进行报价，只投其中部分内容者，其投标文件将被拒绝。响应单位对服务缺陷不予更正，采购方有权另请其他单位更正，所发生的费用由成交单位承担。

7、参照相关法规的规定，招标采购单位将对供应商进行信用查询，凡经确认不符合相关法律法规规定的，将拒绝其参与采购活动。

8、成交服务费：成交单位按照预算金额计算并支付，具体为100万元以内1.5%、100万元～500万元以内1.1%差额定率累进法的60%计算并支付成交服务费，不足叁仟元的按3000元计算，该费用应在领取成交通知书时付清。

六、付款步骤：

本合同分三期进行付款：

1、合同签订后1月内，乙方服务人员入场并提交项目实施方案。项目实施方案经双方认可后，乙方开具发票（发票金额为合同总金额的20%），甲方支付合同总金额的20%。

2、合同签订后6个月，甲方根据阶段性考核结果支付服务款，支付金额不超过合同总金额的50%：

3、服务期满后，甲方根据考核验收结果，支付剩余款项：

（1）若考核完全达标（当期责任考核得分不少于90分），甲方支付给乙方结余服务费比例的100%；

（2）若考核基本达标（当期责任考核得分不少于70分），甲方支付给乙方结余服务费比例的80%；

（3）若考核不达标（当期责任考核得分低于70分），结余服务费将不予支付，并终止服务合同。

七、评审办法：

1、****小组根据质量和服务均能满足采购文件实质性响应要求且报价最低的原则确定成交供应商。

2、若满足上述原则的最低报价响应供应商超过一家时，则由采购单位以抽签的方式决定成交供应商。

八、项目的终止：

出现下列情形之一的，将终止询价采购活动：

1、因情况变化，不再符合规定的询价采购方式适用情形的；

2、出现影响采购公正的违法、违规行为的；

3、在采购过程中符合竞争要求的供应商或者报价未超过采购预算的供应商不足3家的。

九、合同生效：

1、合同经招标代理机构盖骑缝章，甲乙双方代表签字或盖章、加盖公章（或合同章）后生效。

2、合同签订生效后甲乙双方即直接产生权利与义务的关系，合同执行过程中出现的问题应按照《中华人民**国民法典》的规定办理。在合同履行过程中，双方如有争议，任何一方均可要求招标代理机构进行调解，调解不成，则任何一方****人民法院提起诉讼。

3、合同在执行过程中出现的未尽事宜，双方应在不违背本合同和甲方采购目的的原则下协商解决，协商结果以书面形式盖章记录在案，并提交招标代理机构一份备存，作为本合同的附件，与本合同具有同等的法律效力。

4、合同一式叁份，甲乙双方各执一份，招标代理机构执一份。

十、其他

1、响应单位在询价响应文件中必须对所有采购产品的技术、服务做出应答，如果有其中某些条款不响应时，须在响应文件中明确列出，未列出的视同响应（且如成交后发现不符合采购要求的，则视为虚假响应，按虚假响应处理）

2、响应单位在投标时提供的资料均应是真实的，若有虚假，由其自行承担一切后果。

3、如响应单位对本通知书有疑义，以书面形式向招标代理机构咨询，一切材料以招标代理机构的书面材料为准。

十一、联系方式：

招标代理机构：****

地 址：**市干将西路399号**大厦303室 邮编：215002

联系人：潘莉莉、顾凡键 联系电话：0512-****8816

采购单位联系人：张文彬 联系电话：189****0991

****

附件1：询价响应报价表

询价响应报价表

采购编号： 项目名称：

报价单位（公章）： 联系人： 联系电话：

法定代表人（或负责人）或委托代理人：（签字或签章）

日期： 年 月 日
附件2：询价响应函

询价响应函

****：

****公司 号询价采购通知，经仔细阅读和研究，我方决定参加，****公司承诺：

1、我方愿意按照询价采购通知的一切要求，提供本项目的所有内容，我方的报价包含服务期限内完成该项目服务工作所需的所有费用。

2、如果我方的询价响应文件被接受，我方将严格履行询价采购通知中规定的每一项要求，严格履行合同的责任和义务，保证按期、按质履行合同，完成合同内容所规定的全部工作。

3、我方愿意提供采购方在询价采购通知中要求的所有资料，也同意向贵方提供贵方可能另外要求的与我方响应有关的任何证据或资料。并保证所提供的资料全部是真实的、有效的，若有虚假，我方愿承担一切责任。

4、我们同意按询价响应文件中的规定，本投标书的有效期限为开标后 45天。

5、我方愿意遵守询价采购通知中所列的收费标准。

6、我方承诺该项报价在递交后保持有效，不作任何更改和变动。我方同意成交后若不履行询价采购通知的内容要求和各项承诺及义务的即被视为违约，我方的成交标资格将被取消。

7、我方同意若无法按约定条款履行义务等行为，采购方有权取消我方成交资格。

8、与本次投标有关的通讯地址：

单 位： 联 系 人：

地 址： 邮政编码：

联系电话： 传 真：

响应单位：（公章）

法定代表人（或负责人）或委托代理人：（签字或签章）

日期： 年 月 日