武汉市精神卫生中心网络安全运维服务项目推介会公告

****中心网络安全运维服务项目

推介会公告

一、项目基本信息

项目名称：****中心网络安全运维服务项目

二、采购需求

（一）项目概况

1.项目名称：****中心网络安全运维服务

2.服务范围：****中心已上线运行50余个系统，100余台服务器及700余台终端设备。

3.服务期限：自合同签订之日起一年

4.是否专门面向中小微企业：是

（二）采购标的需满足的技术规范和要求：

1.《***网络安全法》

2.《网络安全等级保护条例（征求意见稿）》

3.《商用密码应用安全性评估管理办法》

4.《***网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》

5.《国家政务信息化项目建设管理办法》（57号文）

6.《***网络安全管理办法》

7.国家相关标准、地方标准、行业标准或者其他标准、规范，以上有新标准或规范的按新标准、规范执行。

（三）采购内容

1.采购标的及数量：***网络安全运维服务1项。

2.采购要求：

（1）***网络安全工程师资质的人员提供驻场服务。

（2）定期开展信息化支撑环境的巡检服务。

（3）核心业务系统安全检测与应急处置服务，安全系统策略配置服务，包含安全事件的溯源，取证等工作。

（4）由网络安全工程师组成二线技术支持团队提供7*24小时的技术支持服务。

（5）***网络安全规划设计和咨询服务。

（6）提供攻防演练蓝队技术支撑，防守策略服务。

（7）提供资产梳理，网络安全管理流程定制化服务。

（8）提供一体化服务工具

（四）技术/服务要求

1.服务内容：

序号	类型	网络安全运维服务内容	单位
1	安全驻场保障服务	提供1名驻场安全工程师在约定工作时间内提供5*8小时常态化的日常安全保障服务； 1.***网络中的安全设备运行状态进行例行检查； 2.***网内的安全事件，***网络安全问题，并及时通知加以防范； 3.每月进行漏洞扫描1次； 4.***网络安全管理方面具体事务； 5.负责态势感知可视化监管，跟踪所有***网络安全事务； 6.制定并完善医院信息系统软硬件上线规范，管理并按期上线前安全性测试等工作。	项
2	安全评估服务	1.***网络拓扑结构安全隐患，***网络面临的外部和内部威胁，****中心***网络； 2.评估现有安全设备的配置和使用状况，考察安全设备的有效性、安全性，面向防火墙、 数据库审计、网闸、堡垒机等相关安全设备； 3.利用扫描工具及***网***网络的主机系统与数据库系统的漏洞情况，评估主系统与数据库本身存在的安全漏洞，****中心***网络； 4.需对新上线系统进行安全测试，上线测试覆盖配置管理、身份认证、会话管理、授权测试、上传下载、信息泄漏、数据存储；也覆盖 XSS 跨站脚本攻击漏洞、SQL注入漏洞等OWASP 10大漏洞，并提交安全检测报告； 5.采用人工与工具结合的方式，对核心业务进行工具扫描和渗透测试，评估核心业务存在的安全问题。	项
3	渗透测试服务	1.通过专业化工具检测结合人工分析对业务系统所开放的端口、SERVER、中间件、操作系统等类型指纹收集分析、端口扫描和目标系统提供的服务识别等，确定信息资产暴露面； 2.开展业务系统配置管理方面安全测试,主要内容包括敏感目录遍历、敏感接口测试、Robots方式的敏感接口查找、服务器的控制台、文件备份测试、方法测试、历史高危漏洞测试例如心脏滴血漏洞,MS17010漏洞等方面测试； 3.开展业务系统认证方面安全测试,主要内容包括登录验证码、认证错误提示、锁定策略、认证绕过、找回密码、修改密码、安全的数据传输、强口令策略、手机验证码、撞库、接口滥用等方面测试； 4.开展业务系统会话管理方面安全测试,主要内容包括会话变量泄露、Cookie属性测试、Cookie存储方式测试、用户注销登陆的方式、 注销时会话信息测试、会话超时时间测试、会话固定测试等方面测试； 5.开展业务系统授权方面安全测试,主要内容包括绕过授权模式测试、横向越权测试、纵向越权测试、管理后台对外开放测试、后台页面未授权访问测试、中间件未授权访问测试等方面测试； 6.开展业务系统文件上传下载方面安全测试,主要内容包括上传文件测试、上传测试、文件下载测试等方面测试； 7.开展业务系统信息泄露方面安全测试,主要内容包括连接数据库的帐号密码加密测试、客户端源代码敏感信息测试、客户端源代码注释测试、不安全的存储、注册手机号批量获取、Json敏感信息测试等方面测试； 8.开展业务系统数据验证方面安全测试,主要内容包括跨站脚本类测试、SQL注入类测试、命令执行测试等方面测试； 9.开展业务系统框架安全方面安全测试,主要内容包括业务系统所用框架及其中间件相关类型专项漏洞测试； 10.针对业务逻辑方面开展安全测试测试工作,如对用户行为顺序处理不当、业务处理流程逻辑不当等问题。	项
4	应急演练服务	1.定制1个预案场景的《安全应急预案》； 2.针对1个预案场景进行应急演练，并提交《安全应急演练报告》	项
5	应急响应服务	1.远程安全响应（5*8小时电话响应即使通讯或有限等方式解疑答惑； 2.现场应急响应（市区2小时内突发安全事件现场应急响应服务）。	项
6	网络安全重保服务	1.提供不少于4名安全工程师的应急支撑团队，提供7*24小时技术支持服务，***网络安全事件时现场响应，并协助进行检测与分析、风险抑制、问题根除，协助业务恢复的服务以及医院现有的安全设备出现故障且无法修复的情况下提供备件备机响应服务 2.重保服务(团队服务),提供多名专业安全服务工程师，***网络安全数据分析师、安全运营人员、安全值守人员等；二线和三线远程后台支撑服务，在上级单位攻防演练时期，***网络安全技术人员团队(7*24小时)现场保障，提供应急时期现场安全支撑，服务期内不低于20天。	项
7	安全培训服务	量身定制安全意识培训课程，例如：网络安全法等法律法规及政策培训	项
8	一体化安服工具服务	对于无法整改的漏洞，提供漏洞无效化技术手段：可使扫描器扫得到资产，但扫描不到漏洞，安服工具不仅提供了“资产管理、脆弱性管理、威胁监测、响应与处置”等能力，而且数据统一汇总在安服工具上；用户可随时使用安服工具的功能，以及查看安服数据	项

2.保密要求

（1）投标人必须和采购人签订保密协议。

（2）投标人具体实施项目中的重要资料和结果，在项目实施期间和实施结束后，投标人不得带离该地点。

（3）投标人对本规范书中的内容及在应标过程中接触的设备信息、数据资料等负有保密责任，不得泄露给任何第三方。无论投标人中标与否，其对上述内容的保密责任将长期存在。

（4）投标人应保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，防范测评风险。

（5）投标人应对测评人员进行安全保密教育，与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。

3.质量要求

项目管理是贯穿整个项目的一项任务。通过实施有效的项目管理，保证本项目能够按工作范围要求、按时间、按质量完成。投标人应提供质量控制及保证措施方案，包含项目质量控制及保证措施等。

4.安全服务风险规避要求

项目开展工作涉及到单位重要信息系统和数据，在服务过程中必须加强安全保密管理与风险控制。

指定项目经理为专人负责信息安全服务过程中的安全保密管理工作，对各种活动、服务人员以及相关文档和数据进行安全保密管理，对重点设备的技术检测进行监督，对接入的检测设备进行控制。

（1）操作的申请和监护

在实施过程中必须遵守的相关操作章程，以防止敏感信息泄漏和确保及时处理意外事件。

（2）操作时间控制

对直接影响系统工作时，尽可能避开敏感时期。

（3）人员与数据管理

必须高度重视信息保密工作，加强资料管理，确保人员可靠、稳定和可控。实施单位与单位之间应签署长期保密协议，要有相应的约束和控制措施，按国家有关要求做好保密工作。

（4）制定应急预案

根据服务范围界定的系统情况，在实施前制定应急预案。

（5）关键业务系统风险控制

对影响较大的重要关键业务系统在无法搭建模拟环境情况下，原则上不采用测试工具，采用访谈和简单测试的方式进行。

（6）优化扫描策略

分类扫描:对不同的主机和设备类型执行不同的扫描会话，从而减少不必要的脆弱项目测试。针对扫描对象细化扫描策略：对不同类型的主机或设备，需要根据其上不同的应用和服务情况，有针对性地定制扫描策略选项。

（7）数据备份与恢复

对业务系统和数据库主机，应对其上数据进行备份，防止安全扫描过程中对设备与主机的损伤影响业务系统的正常运行。

（五）商务要求

1.报价方式：人民币总价包干报价，包含完成本项目所需的全部人员人工费、常驻驻场费、二线专家服务费、巡检调优费、交通差旅费、应急演练费、培训费、工具使用费、税费等全部费用。采购人无需为本项目的执行支付任何额外费用。

2.服务地点：****中心各院区（****路****号六角亭院区、****路****号二七院区、蔡甸区常福院区等）及武汉云对接节点。

3.付款条件：合同签订生效且常驻运维人员进场后15个工作日内，采购人支付合同总额的70%；服务期满1年并通过采购人年度综合履约验收合格后15个工作日内，采购人支付剩余的30%尾款。

4.合同续签机制：本项目拟实行招一延二方式。首年为合同固定服务期，累计续签不超过2年，续签实行一年一签。服务期满，若中标人年度服务考核综合评分达到95分及以上，且各项运维服务指标达到要求，在采购人预算资金落实的前提下，经双方协商一致可续签合同。续签合同服务标准与单价按本次采购成交结果执行。如供应商考核未达标或发生重大责任事故，采购人有权不再续约。

5.验收标准：服务期满前30天，中标人须向采购人提报全套运维交付物（包含但不限于《****中心资产清单表》、《****中心基线核查报告》、《****中心漏扫报告》、《****中心新应用上线测试报告》、《****中心渗透测试报告》、《****中心漏洞跟踪函》、《****中心重保值守服务报告》、《****中心应急响应报告》、《****中心安全设备巡检报告》等），由采购人组织进行综合评审与现场验收。

6.违约责任：因中标人派驻人员技术能力不足、未能按SLA规定时效排除故障或发生脱岗旷工的，采购人有权按考核细则扣减相应服务费；***网络中断、数据丢失或发生严重信息安全责任事故的，采购人有权单方解除合同，没收履约保证金，并依法追究中标人法律赔偿责任。

（六）其他要求

1.服务商应配备不少于5人的运维服务团队。项目负责人应具备项目管理能力、项目团队成员具备安全设备、告警分析、攻防渗透等相关技术能力和运维经验。

2.服务商近三年（合同签订时间：2023年9月1日至今）具有类似项目经验。

3.交付物要求

（1）运维服务过程中，结合已开展的工作，分不同阶段提交相应的有形交付物，交付物必须包含如下内容：

（2）交付时间：相应服务结束后5个工作日内提交；

（3）交付物：包含但不限于《****中心资产清单表》、《****中心基线核查报告》、《****中心漏扫报告》、《****中心新应用上线测试报告》、《****中心渗透测试报告》、《****中心漏洞跟踪函》、《****中心重保值守服务报告》、《****中心应急响应报告》、《****中心安全设备巡检报告》等。

三、响应文件要求

（一）各参会单位需提供以下资质材料一份（单独封装）：

1.满足《中华人民共和国政府采购法》第二十二条规定（提供承诺函）；

2.供应商及项目相关资质证明复印件等；

3.法定代表人授权委托书及委托代理人身份证复印件；

4.提供未被列入失信被执行人、重大税收违法失信主体，未被列入政府采购严重违法失信行为记录名单截图(以报名邮件发送日在“信用中国”网站(www.creditchina.gov.cn)及中国政府采购网(www.ccgp.gov.cn)查询的供应商参加政府采购活动前三年内的结果为准）；5.以上证件需真实且在有效期内，且每页需加盖公章。

（二）以下报价相关材料一式五份（正本1本，副本4本），正本需加盖公章，副本可为复印件：1.报价单（模板见附件1）；2.单位资质证明材料（响应文件要求第一条提到的资质材料）；

3.相关资料、业绩资料、其他相关资料。

四、报名及参会要求

1、报名时间：2026年10月13日-2026年10月19日17:00

2、报名方式：请将报名资料（响应文件要求第一条提到资质材料电子版）以文件名“【推介项目名称】报名资料＋报名公司名称”作为附件上传，邮件文本处编辑项目名称、单位名称、单位联系人姓名（授权委托人）、联系人电话，发送至334642404__****@****.com，收到邮件回执后即为报名成功。

备注：如在报名期结束后还未收到邮件回执，请及时电话联系查询。

3、推介会时间及地点：具体以邮箱回复或电话通知为准，法人或授权委托人参会需携带本人身份证，响应文件请各参会单位提前按照公告内容制作完成，待收到会议时间及地点通知后在推介会现场提交。

五、****中心全面掌握相关服务及市场供应情况，不作为最终采购依据，中心不对参与此次推介会的任何供应商作出任何承诺。

联系人：龙老师

联系电话：027-****1727

****中心

2026年10月12日

附件1：

采购项目报价单

项目名称： 报价单位（盖章）：

联系人： 联系电话：

报价时间：

单位：万元
序号	设备（系统）名称	企业名称	企业类型 （大/中/小/微）	金额	备注
1
2	······
3
4
5
总金额
备注：