序号

货物名称

是否为进口设备

单位

数量

是否属核心产品

1

信息安全三级等保测评

非

无

无

无

2

3

序号

指标项

重要性

指标要求

关键指标理由

1

服务内容

★

根据等保2.0三级等级保护要求，对系统进行测评分析，对评估对象的现状作记录，包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心；按照用户系统现状对应的管理要求进行测评分析，对评估对象的现状作记录，包括安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

1）识别信息安全风险。通过对信息系统在安全技术和安全管理方面的分析，发现信息系统在安全技术和安全管理方面与相应安全等级保护要求之间的差距，并进行风险分析，出具差距分析报告，明确信息系统面临的风险。

2）增强安全防护能力。依据差距分析报告的结果，并结合实际情况，区分轻重缓急，制定针对性的安全整改计划，通过安全整改不断提高信息系统的整体安全保护水平。

3）测评结果分析

（1）单项测评结果判定

（2）单元测评结果判定

（3）整体测评分析

（4）形成测评分析报告

（5）针对测评分析报告的整改建议

★

选取可能发起攻击的测试点，使用渗透测试的方式查找可能存在的渗透点,发现信息系统防护体系的薄弱环节，找出可能发生的恶意攻击事件和违规行为。

1）渗透测试的内容

工作内容包括渗透测试及提供漏洞修复方案。渗透测试工作为黑盒测试。

2）需要包含如下阶段

（1）前期交互阶段：与用户组织进行讨论，确定渗透测试范围和目标。

（2）信息搜集阶段：采用各种方法搜集用户方的所有相关信息。

（3）威胁建模阶段：使用在信息搜集阶段所获取到的信息，标识出目标系统上可能存在的安全漏洞与弱点。

（4）漏洞分析阶段：综合前面几个环节获取到的信息，从中分析和理解，找出攻击途径和攻击方法。

（5）渗透攻击阶段：针对确定好的攻击途径和攻击方法实施渗透攻击，获取系统相关权限。

（6）后渗透攻击阶段：以特定的业务系统作为目标，识别出关键的基础设施，找出用户组织最具价值和尝试进行安全保护的信息和资产，找出能够对用户组织造成重要业务影响的攻击途径。

（7）报告阶段：将渗透测试结果编制成文档提交给用户，提供安全解决方案。并将在渗透测试阶段产生的垃圾数据进行清理。

2

服务成果

★

本次安全服务应提交以下成果：

1）《信息系统等级测评报告》，包括单元测评分析结果、整改测评分析结果、测评结论和安全整改建议等（每个系统一份）。

2）《信息系统渗透测试报告》，包含但不限于如下方面的内容：渗透测试的方法、目标、范围。测试的人员、时间、策略。测试的工具、风险规避措施。测试的过程、漏洞利用截图，测试的结果等。

3

服务人员要求

1）项目实施过程中实行专人专职原则，保证各安全层面的测评全面有效，能够发现实际存在安全风险，现场实施人员均需持有等级保护测评师证书。

2）项目组人员必须熟练掌握信息安全相关标准与规范，具备丰富的信息安全测评工作经验，具有成熟的信息安全技术和项目管理能力，能够应对可能的突发性安全事件应急工作。

4

工具配备要求

1）投标人必须单独配备安全测评工具，包含但不限于以下种类工具：网络漏洞扫描系统、web漏洞扫描系统。

2）投标人必须在技术方案内明确专项检查所需要的所有技术检测工具，至少包含以下内容：名称、型号、主要功能、数量等。