湖南财信金融控股集团有限公司信息安全评估服务入围采购项目

湖南财信金融控股集团有限公司信息安全评估服务入围采购项目

内容

项目名称

湖南财信金融控股集团有限公司信息安全评估服务采购项目

项目编号

HNCX-SS-2019001

采购内容及要求

一、采购内容及要求：

1、 服务内容:通过内网和外网对目标系统的前后台进行全面的测试，以达到全面识别目标应用安全风险的目的。测试完后出具系统风险评估报告，并提出整改建议，协助采购人完成整改，并在整改后进行复测。要求从以下几个方面开展安全风险评估：

（１）    机房物理安全评估

（２）    网络架构分析

（３）    集成环境安全评估

（４）    安全配置核查

（５）    信息系统安全风险评估

（６）    渗透测试：要求涵盖针对网站中可能存的安全脆弱性进行识别；针对官方网站进行网页内容篡改、后台账号提权、ＳＱＬ注入、非法文件上传等进行测试。

2、服务目标：确保新中国成立70周年大庆期间采购人及旗下各子分公司网站及邮件系统不发生网络安全事故，确保各信息化管理薄弱的子（分）公司的核心业务系统和管理系统不发生网络安全事故。

3、其他要求：

（１）要求安全评估后出具安全评估报告，对被测目标的安全问题进行详细的阐述，并对存的问题给出解决方案，协助解决。

（２）本次服务要求提供本地化服务，参与渗透测试人员要求签订保密协议,渗透测试期间，要求全程在采购人安排的场地现场集中开展。

（３）对渗透过程要求：

a、不得在被测对象服务器上恶意或无意上传恶意代码、病毒等。

b、如因渗透测试需求上传恶意程序文件、病毒等，需在渗透测试完成后将被测试对象恢复原状。

（４）安全评估完成后，要求供应商陪同采购方到相关单位进行安全评估结果通报，供应商准备ＰＰＴ材料。

（５）要求为被检查单位的被检查系统制定网络安全基线。

4、增值服务要求：

（1）ＬＥＤ屏的服务器安全检查服务，利用漏扫设备对ＬＥＤ屏管理后台进行漏洞扫描，并协助其进行漏洞修复，对其管理提出整改建议。

（2）网络安全意识培训和网络安全专业知识培训，在2019年国家网络安全宣传周期间，给需求方全集团开展网络安全意识培训，培训内容包含目前全球网络安全形式介绍，个人用户、企业用户面临哪些网络安全新的挑战，如何防范等内容。网络安全专业知识培训主要讲解等保2.0政策宣讲，包含等保2.0与1.0的区别、等保二级、三级的主要内容，现场答疑。要求集团统一开展一次网络安全意识培训，网络安全专业知识培训两次，具体地点和参训人员数量由需求方指定。

二、采购项目完成时间

1、信息安全评估工作：在合同签订之日起7个工作日内完成。

2、ＬＥＤ屏的服务器安全检查工作：2019年7月25日之前完成。

3、网络安全意识培训和网络安全专业知识培训工作：根据采购人要求完成。

三、项目实施地点：长沙

四、服务对象：本次需要做安全评估的系统类型主要为三种：网站、邮件系统、业务管理类系统。其中网站4个，邮件系统1个，业务和管理类系统4个，详见附表3：实施对象

五、成交供应商需提供正规增值税专用发票。

报价人资格条件

1、在中华人民共和国境内(港澳台除外)依法注册，具有独立法人资格的企业或事业单位，不接受法定代表人相同、具有全资或控股母子公司关系的投标人同时投标；投标人注册（或开办）资金不低于5000万元，提供有效的营业执照（或法人证书）副本复印件（复印件加盖投标人公章），且所有资质均为投标人所有。

2、投标人具有中国网络安全审查技术与认证中心（CCRC）认证的信息安全风险评估一级资质或中国信息安全测评中心（CNITSEC）认证的信息安全服务资质（风险评估类）二级资质。；

3、投标人通过ISO9001、ISO20000以及ISO27001信息安全管理体系认证。

4、投标人具备足够的应急响应服务能力，具备国家级《网络安全应急服务支撑单位证书》并且为微软MAPP合作伙伴。

5、投标人具有长期安全服务提供能力，能为本项目配备充足服务人员。投标人为湖南本地公司或在湖南本地成立了分、子公司、办事处，提供证明材料。

6、2017年以来，投标人在湖南本地具有金融行业与本项目类似安全服务项目的成功案例不少于2个（要求提供合同复印件，加盖公章）。

7、参加本次项目前三年内，在经营活动中没有违法记录或不良记录。

8、不接受联合体投标。

9、本次项目不接受法定代表人或单位负责人相同、具有全资或控股母子公司关系的投标人同时投标。

10、参与本项目的相关人员需提供其资质和履历证明，以及本单位最近1年的社保证明，同时要求投入本项目的渗透测试人员，2018年1月1日至今，至少参与过3个渗透测试项目，且无违任何法犯罪记录。

11、等级保护评测供应商不得参与系统安全评估服务项目的投标。

12、本项目不接受联合体投标。

报名时间

2019年7月11日9：00至2019年7月17日17：00

审查资料

参加网上询价的供应商需符合资格要求，且成交结果确定后，成交供应商需递交一份纸质审查资料（邮寄或现场递交）：

1、报名表（详见附件1，需加盖公章）。

2、提供有效法人营业执照复印件（加盖公章）。

3、提供货物不允许负偏差（详见附件2，需加盖公章）。

4、报价单（详见附件4）。

5、提供中国信息安全认证中心（ISCCC）认证的信息安全风险评估一级资质或中国信息安全测评中心（CNITSEC）认证的信息安全服务资质（风险评估类）二级资质证书复印件（需加盖公章）。

6、提供ISO9001、ISO20000以及ISO27001信息安全管理体系认证证书复印件（需加盖公章）。

7、提供具备国家级《网络安全应急服务支撑单位证书》并且为微软MAPP合作伙伴的证明材料。

8、提供2017年以来在金融行业且与本项目类似安全服务项目的成功案例（要求提供合同复印件，加盖公章），每个项目安服部分金额不得少于10万人民币。

9、提供参与本项目的人员名单，并需提供其资质和履历证明，以及本单位最近１年的社保证明，同时要求投入本项目的渗透测试人员，2018年１月１日至今，至少参与过３个渗透测试项目，且无任何违法犯罪记录。提供参与过的项目保密协议证明复印件。

10、在“全国企业信用信息公示系统”网址http://gsxt.saic.gov.cn/状态无重大不良记录、“信用中国”网址http://www.creditchina.gov.cn/无不良记录的截图。

审查方式

资格后审，接受现场、邮寄资料。

报价规则

（1）报价时间：2019年7月11日9：00至2019年7月18日10：00，供应商在报价时需上传报价单（详见附件4）。

（2）保证金交纳成功后即可报价，保证金账户见（3）。

（3）符合资格的意向受让方须在本公告期间内到湖南联交所网站（www.hnaee.com）自行注册账号报名，并通过注册预留的银行账户将采购项目对应的交易保证金汇入湖南联交所指定银行账户（按系统提示缴纳，若向错误账号缴款将导致报名失败。交易保证金应于挂牌期满日下午17时前到账，该时间也是竞买报名的截止时间）。

（4）本次采购项目最高限价为：350000元（超出最高限价属于无效报价）。

采购方式

询价采购（网上一次报价）

采购组织安排

供应商注册账户在竞价前请务必遵照e交易平台（www.ejy365.com）操作指南操作，登录账号后在网上进行报名并提交报名资料。本项目为网上询价项目，无采购文件，供应商报名及缴纳保证金成功后即可在上述报价时间内进行网络报价。供应商在规定的报价期间报价。报价具体操作可参考平台操作指南，报价结束后由采购方进行资格审查，审查通过后，报价最低的2名成为入围供应商，报价相同的按报价时间先后顺序选取入围供应商。

报价保证金

1.缴纳金额：8000元；
2.截止时间：2019年7月17日17:00:00；
3.退还：未能成功竞买的竞买人交纳的保证金，在竞价结束后由湖南联交所按照竞买人报名时预留的账户信息，原额原渠道无息退还。

保证金

保证内容

为保护采购活动各方的合法权益，杜绝非真实意向供应商，采购方在此作出特别提示，意向供应商一旦报名成功并交纳保证金，即视为对如下内容予以认可：

非因采购方原因，如意向供应商存在以下任何一种情形时，采购方有权扣除意向受让方已交纳的保证金，保证金不足以补偿的，采购方可按实际损失继续追诉：

（1）在被确定为最终成交人撤回其报价的，或未按照公告及成交通知书约定签订采购合同或未按照约定及时支付交易服务费、履约保证金的；

（2）未按公告约定时间将纸质报名资料递交的；

（3）意向供应商提交的材料存在虚假或伪造情形的；

（4）违反相关法律法规及中规定的其他情况；

（5）提供虚假审查资料骗取中标的，一经查实，扣除保证金，并计入采购人供应商黑名单，3年内不得参与采购人及其旗下公司任何采购项目。

服务费

成交金额的1.5%。（由成交入围供应商在成交公告发出后五个工作日内向湖南省联合产权交易所有限公司支付）。

履约约定

网上询价结束后当天公布成交结果并向成交供应商发放成交通知书。合同签订后，成交供应商递交审查资料且供货经采购方验收合格后3个工作日内退还保证金。

货款结算

1.付款方式：标的验收合格后由采购方按采购合同约定支付。2.发票要求:增值税专用发票。

特别提示

1.供应商均应完全响应采购公告要求，不得负偏离。未能完全响应的或资格条件不符合要求，采购人将不与该供应商签订合同，并且缴付的保证金不予退还，承担相应法律责任。
2.采购人以网上公开的形式诚邀各符合条件的供应商参加本次项目采购，至公告截止日，如果只有一家供应商参与报价，则该项目流标；如果有2家及以上供应商参与报价、符合公告要求，交纳报价保证金并报价的，报价最低的2名成为入围供应商，报价相同的按报价时间先后顺序选取入围供应商，具体项目个数与金额按第3点的要求分配。

3、入围供应商项目分配原则：为保证本次安全检查的公证性、合理性。本次项目选取两家供应商入围，最终需求采购人会根据以下原则来决定与入围供应商签订服务项目的个数和金额：

（1）被检查单位的被检查系统使用了某入围供应商设备，本单位的系统安全评估不得由该入围供应商来实施。

（2）１年内采购了某入围供应商的安全评估服务，本单位的安全评估服务不得由该入围供应商来实施。

（3）如既无使用入围供应商设备，又无采购入围供应商服务的单位的项目，由两家对采购人提出的一个信息系统进行为期半天的渗透测试，发现高危漏洞多的供应商与发现高危漏洞少的供应商按7：3的比例分配项目，项目单价按各自报价表执行。漏洞评判标准参照附件5《漏洞评价标准》。

（4）如既使用了入围供应商设备，又采购了入围供应商服务的单位的项目，由使用了入围供应商设备的供应商来实施。

发布媒体

1、中国采购与招标网（www.chinabidding.com.cn）。

2、湖南省联合产权交易所网站（http://www.hnaee.com/）。

3、易交易（www.ejy365.com）,其他网站转载无效。

联系方式

采购单位：湖南省联合产权交易所有限公司

地  址：长沙市芙蓉中路三段569号湖南商会大厦（西塔楼）20楼

联 系 人：雷况

邮    箱：lk@hnaee.com

联系电话：0731-84170089

技术支持：0731-84119187

附 件

附件1.报名表.docx
附件2.偏差表.doc

附件3.实施对象.docx

附件4.报价单.docx

附件5.漏洞评价标准.xlsx