服务类

名称： 宿州市人力资源和社会保障局智慧人社信息化采购项目（一包）（二次）

服务范围： 本次参与网络安全等级保护测评的系统如下：

服务要求：（ 1） 实施原则

规范性原则：合肥天帷信息安全技术有限公司工作中的过程和文档，具有很

好的规范性，可以便于项目的跟踪和控制；

标准性原则：测评方案的设计与实施依据国家等级保护的相关标准进行。

可控性原则：测评的工具、方法和过程在双方认可的范围之内并符合进度表

的安排，保证采购人对服务工作的可控性；

整体性原则：测评和分析的范围和内容整体全面，包括安全涉及的各个层面，

避免由于遗漏造成未来的安全隐患；

最小影响原则：测评工作尽可能小的影响系统和网络的正常运行，不对现网

的运行和业务的正常提供产生显著影响 (包括系统性能明显下降、网络拥塞、

服务中断，如无法避免出现这些情况在应答书上详细描述 )；

保密原则：对测评的过程数据和结果数据严格保密，未经授权不泄露给任何

单位和个人，不利用此数据进行任何侵害采购人网络的行为，否则采购人有

权追究责任。

（ 2） 测评依据

《信息安全技术 网络安全等级保护基本要求》（ GB/T 22239-2019）

《信息安全技术 网络安全等级保护定级指南》（ GB/T 22240-2020）

《信息安全技术 网络安全等级保护测评要求》（ GB/T 28448-2019）

《信息安全技术 网络安全等级保护测评过程指南》（ GB∕T 28449-2018）

（ 3） 等级保护测评内容

根据国家等级保护相关标准，本次项目的网络安全等级保护测评包括以下内

容：

安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计

算环境、安全管理中心等五个方面的安全测评；

安全管理测评：包括安全管理制度、安全管理机构、安全管理人员、安全建

设管理和安全运维管理等五个方面的安全测评。

a） 安全物理环境

安全物理环境是对机房和办公场所的物理环境安全防护情况进行测评，包括

物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防

潮、防静电、温湿度控制、电力供应和电磁防护等方面的安全状况。

b） 安全通信网络

安全通信网络测评是对网络系统安全防护情况进行测评，包括网络架构、通

信传输、可信验证等方面的安全状况。

c） 安全区域边界

安全区域边界是对边界防护、访问控制、入侵防范、恶意代码防范、安全审

计、可信验证等方面的测评。

d） 安全计算环境

安全计算环境是对身份鉴别、访问控制、安全审计、入侵防范、恶意代码防

范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、

个人信息保护等方面的测评。

e） 安全管理中心

安全管理中心是对系统管理、审计管理、安全管理、集中管控等方面的测评。

f） 安全管理制度

安全管理制度测评是对安全策略、管理制度、制定和发布、评审和修订进行

测评。

g） 安全管理机构

安全管理机构测评是对岗位设置、人员配备、授权和审批、沟通和合作、审

核和检查等情况进行测评。

h） 安全管理人员

安全管理人员测评是对人员录用、人员离岗、安全意识教育和培训、外部人

员访问管理等情况进行测评。

i） 安全建设管理

安全建设管理测评是对建设过程中安全方案设计、产品采购和使用、自行软

件开发、外包软件开发、 工程实施、测试验收、系统交付、 等级测评、密

码产品相关测评、服务供应商选择等情况进行测评。

j） 安全运维管理

安全运维管理测评是对环境管理、资产管理、介质管理、设备维护管理、漏

洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码

管理、变更管理、备份与恢复管理、安全事件处置、 应急预案管理、外包运

维管理等情况进行测评。

服务时间： 合同签订后 180 日内完成网络安全等级保护测评工作。合肥天帷信息安全技术有限公司经采购人考核合格，在年度预算能保障的前提下，经双方同意，可以续签下一年度合同，合同一年一签，最多续签两次。

服务标准： 符合采购文件要求