一、总体要求: 1.保障我院官网在安全升级服务合同生效后一年内,发生安全问题的概率不超过1%。计算公式为:(略) 备注:(略) (1)网站无法正常访问、响应异常或服务中断; (2)被植入木马、后门、恶意代码、暗链、垃圾广告等非法内容; (3)遭受DDoS、CC攻击、暴力破解、SQL注入、XSS跨站等网络攻击并造成实际影响; (4)服务器、网络设备、安全设备(如防火墙、WAF等)发生非计划性宕机、异常掉线、配置失效或性能严重下降; (5)其他影响官网正常运行与安全状态的事件。 “核心设备”范围包括但不限于:(略) 2.保障我院官网在网站安全升级服务合同生效后一年内,设备故障平均恢复时间不超过(略)分钟(涉及到敏感问题的恢复时间不超过(略)分钟)。 备注:(略) (1)患者隐私数据、就诊信息、个人信息泄露、被窃取、被篡改; (2)官网页面被篡改、发布虚假信息、反动言论、违法内容; (3)核心业务系统、挂号/ 缴费 / 查询等关键服务异常; (4)被监管部门通报、媒体曝光、舆情预警的安全事件; (5)其他可能造成重大负面影响或合规风险的安全故障。 3.保障我院官网在网站安全升级服务生效后一年内,不产生与安全相关的安全事故。 4.保障我院官网在网站安全升级服务合同生效后一年内,能通过网络安全等级保护三级测评。 5.本次项目服务期间,供应商如须在采购人现有网站系统的基础上进行网站整改服务。供应商应确保其提供的安全服务及产品与现有网站系统完全兼容,保证网站数据的安全性和完整性、故障处理的效率性和便利性、维护工作的合法性。如因整改服务需要现有网站系统开发公司(四川锐狐网络科技有限公司)提供技术协助的,由中标供应商负责与原厂进行技术协调,并承担由此产生的一切费用和责任。供应商须在投标文件中就此项协调能力及费用承担出具书面承诺,日期需覆盖本项目服务期限范围并加盖公章,否则视为无效响应。供应商须对现有网站运行维护的网站管理系统进行三级等保测评合规的整改服务,对网站管理系统及服务器、数据库等所有漏洞(高、中、低)进行修复,包括且不限各种文件制度的编写等。 6.协助采购人完成日常安全问题处理,国家政治活动、重大节假日、省市级活动及其它特殊时期关键节点期间提供安全服务及提供上级部门要求的文件报告。 7.协助采购人完成漏洞和程序修复。 8.按照等保要求对网站的服务器进行安全加固服务,至少包括安全加固、漏洞修复处理、按照三级等保要求进行合规整改。 二、为保障通过三级等保测评,设备需满足以下要求(需以满足三级等保测评通过为标准,增设包括但不限于以下内容的安全服务): (一)安全中心: 1.资产清点:(略) 2.主动监控:(略) 3.入侵检测:(略) 4.安全体检:(略) 5.安全基线:(略) 6.病毒防护和主动防护功能:(略) (二)Web应用防火墙: 1.支持云平台+安全插件的管理架构,支持公有云、私有云和混合云及传统环境等场景,并支持多场景的统一实施和管理; 2.部署模式:(略) 3.网站漏洞防护:(略) 4.文件防护:(略) 5.Webshell防护:(略) 6.资源防护:(略) 7.内容防护模块:(略) 8.支持CC攻击防护:(略) 9.支持黑白名单管理:(略) (略).虚拟补丁:(略) (略).攻击分析:(略) (三)SSL证书(OV通配符) 1.支持网站安全合规认证:(略) (四)日志审计 1.支持威胁情报管理,支持威胁情报本地手工导入及在线联查,至少支持IP、域名、URL。 2.支持通过接口对URL、IP、未知文件信息排查威胁情报。 3.支持内置漏洞库及安全规则库。 4.支持针对日志或事件类型关联规则配置:(略) 5.必须有入侵防护日志、认证日志、病毒日志、Web安全日志、威胁日志、WAF日志、数据库审计日志、应用管理日志。 6.支持对应用安全审计日志进行持续采集,要求具有高可靠性、低时延行、软硬件结合冗余的方式。 7.支持对日志数据、系统数据定时备份,支持对数据进行快速回复。 8.支持对攻击进行自动化分析与交互示分析,可通过分析引擎对告警事件、问题资产进行实时分析。也可通过搜索、查询等方式进行高级分析。 (五)堡垒机 1.支持集中管理资产权限,全程监控操作行为,运维场景录像还原,支持身份鉴别、权限管控、风险阻断、操作审计。 2.支持通过运维权限细粒度管控、风险命令实时阻断、密码无感知托管、操作行为录播审计等,解决资产管理、权限划分以及操作追溯等问题。 3.支持权限细粒度划分,防止越权行为导致的敏感数据泄漏事件。 4.支持高危风险命令实时阻断。 (六)人员要求 供应商为本项目至少配备2名服务人员,若供应商服务人员变更,需提前 (略) 天告知采购人,供应商服务人员需完成工作交接并胜任工作,经采购人同意后方可完成服务人员变更(提供人员清单)。 以上技术要求为实质性要求 |