為貫徹國家對信息系統安全保障工作的要求，堅持“積極防御、綜合防范”的方針，昆明市公安局交通管理支隊網絡安全工作需要在滿足網絡安全等級保護合規要求的基礎上，為提高昆明市公安局交通管理支隊各個系統的網絡安全防護能力。構建新一代網絡安全運營體系，創建安全健康的網絡環境，保護國家利益，促進支隊信息化的深入發展。同時，依據《信息安全技術信息系統密碼應用基本要求》(**/******-****)、《信息系統密碼應用測評要求》、《信息系統密碼應用測評過程指南》和系統自身的安全性需求分析，對昆明市公安局交通管理支隊重要信息系統開展商用密碼應用安全性評估工作，對各個系統商用密碼應用的合規性、正確性、有效性進行安全性評估，提供相應《商用密碼應用安全性評估報告》，通過密碼應用安全性評估深入查找密碼應用的薄弱環節和安全隱患，分析面臨的風險，為提升信息系統安全奠定基礎。根據昆明市財政局印發的《昆明市市本級政府購買服務指導性目錄(****年版)》(昆財綜〔****〕**號)文件要求，昆明市公安局交通管理支隊擬采用政府購買服務的方式，采購****年信息安全運維服務和密碼安全性評估服務，編制購買服務計劃如下：
一、項目名稱
****年信息安全運維服務和密碼安全性評估服務(目錄代碼：***** 機關信息系統開發與維修服務)。
二、購買主體
單位名稱：昆明市公安局交通管理支隊
三、主要內容
(一)日常安全運維工作內容
對支隊執法業務大數據分析平臺、短信平臺、涉案車輛管理系統、非現場違法信息采集系統、支隊主頁、公安交管集成指揮平臺等**個業務系統及安全設備開展日常安全運維，包括以下主要內容：安全基線核查、安全基線修復指導、滲透測試、滲透測試修復指導、漏洞掃描、漏洞修復指導、日志分析、每天安全巡檢服務、賬戶口令異常統計分析等。經過對以上工作量進行測算，日常安全運維費用預算價為******.**元/年。
(二)按實際需求需要開展的信息安全服務明細及預算價
| 序號 |
工作任務 |
任務描述 |
預算價 |
| * |
資產梳理 |
支隊公安網約****臺資產，視頻網約*****臺資產，互聯網約***臺資產進行梳理，對支隊全網進行資產梳理，明確業務系統中資產情況，以便統一管理及快速運維。 |
**,***.** |
| * |
新系統入網安全檢測 |
為做到“同步規劃、同步建設、同步使用”要求，對新系統入網前，進行漏洞掃掃、滲透測試以及合規檢測。輸出入網安全檢測報告，指導新建系統運維單位對不符合項進行整改，滿足相關網絡安全要求。 |
**,***.** |
| * |
安全培訓 |
在網絡安全服務實施過程中，提供相關培訓服務，對相關人員進行網絡安全宣講、網絡安全技術和方法傳授，提高參培人員對網絡安全的責任意識和業務水平。 |
**,***.** |
| * |
病毒庫升級服務 |
對支隊天融信防毒墻所需的病毒庫升級 |
**,***.** |
| * |
規則庫升級服務 |
對支隊天融信入侵防御系統所需的規則庫升級 |
**,***.** |
| * |
漏洞庫升級服務 |
對支隊天融信漏洞掃描設備所需的規則庫升級 |
**,***.** |
| * |
規則升級服務 |
對支隊迪普網絡安全威脅感知大數據平臺所需的規則庫升級 |
**,***.** |
| ** |
規則升級服務 |
對支隊迪普入侵檢測防御防御所需的規則庫升級 |
**,***.** |
| ** |
規則升級服務 |
對支隊迪普***應用安全防護所需的規則庫升級 |
**,***.** |
| ** |
規則升級服務 |
對支隊迪普慧眼安全檢測產品所需的規則庫升級 |
**,***.** |
| ** |
商用密碼應用安全性評估應用方案編寫 |
在信息系統規劃階段，分析系統現狀，對系統面臨的安全風險和風險控制需求進行分析，明確密碼應用需求，根據系統的網絡安全保護等級，依據**/* *****-****《信息安全技術 信息系統密碼應用基本要求》等相關標準，編制信息系統密碼應用方案， |
*,***.** |
| ** |
商用密碼應用安全性評估應用方案評審 |
邀請密評機構或者密碼專家對編寫的密碼應用方案合理性和適用性進行評審，并且出具評審意見。 |
**,***.** |
| ** |
商用密碼應用安全性評估服務 |
對服務期內運維的業務系統進行商用密碼安全性評估服務，根據國家《密碼法》相關要求對采購人的業務系統完成密評服務，并出具商用密碼評估報告。服務期內商用密碼應用安全性評估系統總數量≤*個。 |
**,***.** |
| ** |
北塔智慧運維管理系統維保服務及產品系統升級服務 |
購買一年維保服務，主要包含以下服務： *.維保期間提供****小時的電話響應服務，提供原廠維保服務函； *.提供與支隊適配的設備面板及數據； *.對系統問題進行及時處理； *.維保期內提供北塔智慧運維管理系統的升級服務，確保系統始終保持最新版本，提供升級記錄文檔； *.提供的軟件版本完全兼容并支持國產化操作系統、數據庫、中間件等信創產品； *.根據支隊當前的使用環境和實際需求，對系統進行擴容升級； *．為支隊定制個性化展示界面，提供多種數據集成方式，以及面板組件； *.提供**地址管理功能，形成**地址的分配基準，能夠自動監測并及時發現非法使用的**地址。 *.安排本地化原廠技術工程師，每年至少提供四次上門巡檢服務，輸出四份巡檢服務報告。 |
***,***.** |
| ** |
公安信息網主動安全監測服務 |
購買一年主動安全監測服務，主要包含以下服務： *.提供專網空間測繪服務，排查網內的非合規節點，提供原廠服務函； *.提供資產安全監測服務，識別資產信息； *.提供違規外聯節點監測服務，對連接不受控網絡的違規外聯節點進行監控； *.提供對邊界外延節點監測服務，對私網**入網訪問等行為進行監控； *.提供異常訪問監測服務，快速定位網絡中重要業務異常連接訪問行為； *.提供違規入網監測服務，監測非合規終端入網行為； *.提供安全隱患監測服務，主動監測網內存在的安全風險隱患； *.提供數據分析取證服務，對威脅行為進行行為畫像，提供電子數據取證。*. 在服務期間，提供公安信息網主動安全監測服務所需的相關監測分析設備，包括設備的安裝、部署。 **.針對公安部發布的重要網絡安全自查工作提供協助。 **.服務期間提供****小時響應，相關安全事件發生后在*分鐘內響應、*小時內提供處理方案。 **.安排本地化原廠技術工程師，每年至少提供四次上門巡檢服務，輸出四份巡檢服務報告。 |
***,***.** |
| ** |
互聯網安全防護能力補充服務 |
購買一年安全防護能力補充服務，在互聯網側網絡區域對缺失的安全防護能力進行補充，面向安全威脅的全生命周期，構建全面檢測、動態防御、協同分析、集中管控、持續賦能的能力。安全防護能力補充服務要求如下： *.基于應用或者文件類型的路由，可實現為不同的應用類型、文件類型智能選擇相應的鏈路，實現從業務、用戶、應用和行為等多維度出發，重構安全控制、流量分類、攻擊防護、***、應用識別、防病毒、入侵防護、行為管理、***防護、多層嵌套***、用戶認證等功能。提供用戶策略、應用策略和行為策略等智能控制手段真正實現了**-**層業務的深度融合，為昆明市公安局交通管理支隊各安全域訪問的網絡、應用和數據等進行防護。 *.通過自定義腳本模式實現新增改密類型，滿足多種自動改密需求，對人員操作和數據流轉過程做到嚴格的控制和記錄，最大程度控制運維風險。 *.對**系統安全事件的集中化管理分析、以及流程化的安全響應與處理，基于規則的關聯分析引擎，能夠提供邏輯關聯、統計關聯的關聯分析能力，通過多規則聯合，可精確識別復雜安全事件和場景使安全設備的安全防護模式由靜態提升為動態防護。 *.通過審計****和*****協議的***、訪問模式、******、頁面內容、****內容，對被授權人員和系統的數據庫操作行為進行解析、分析、記錄、匯報，加強了內外部網絡行為監管、促進核心資產(數據庫、服務器、網絡設備等)的正常運營。 *.對全網資產進行一鍵風險評估的能力，可一鍵完成漏洞風險、合規檢查、弱密碼檢查、病毒查殺、********檢測、內存馬檢測、反彈*****等體檢項目；并根據威脅風險情況進行失陷終端分析、勒索風險評估、全網威脅統計、泄露防護統計等，對已知、未知威脅的防護和分析，從管控響應、風險識別、威脅發現、分析研判多個方面實現能力覆蓋，快速形成自適應的安全閉環。 *.定期對系統執行脆弱性掃描，掃描的漏洞數量不少于******個，及時掌握系統脆弱性；結合安全基線管理功能，可促進原有**系統的檢查、整改和約束，為安全建設提供決策依據。實現安全管理工作的同步實施、發展的規范化和流程化。 *.，提供原廠服務函，安排本地化原廠技術工程師，每年至少提供四次上門巡檢服務，輸出四份巡檢服務報告。 |
***,***.** |
| ** |
視頻網主動安全監測服務 |
購買一年主動安全監測服務，主要包含以下服務： *.提供專網空間測繪服務，排查網內的非合規節點，提供原廠服務函； *.提供資產安全監測服務，識別資產信息； *.提供違規外聯節點監測服務，對連接不受控網絡的違規外聯節點進行監控； *.提供對邊界外延節點監測服務，對私網**入網訪問等行為進行監控； *.提供異常訪問監測服務，快速定位網絡中重要業務異常連接訪問行為； *.提供違規入網監測服務，監測非合規終端入網行為； *.提供安全隱患監測服務，主動監測網內存在的安全風險隱患； *.提供數據分析取證服務，對威脅行為進行行為畫像，提供電子數據取證。*. 在服務期間，提供公安信息網主動安全監測服務所需的相關監測分析設備，包括設備的安裝、部署。 **.針對公安部發布的重要網絡安全自查工作提供協助。 **.服務期間提供****小時響應，相關安全事件發生后在*分鐘內響應、*小時內提供處理方案。 **.安排本地化原廠技術工程師，每年至少提供四次上門巡檢服務，輸出四份巡檢服務報告。 |
***,***.** |
| ** |
日志大數據分析能力補充服務 |
購買一年日志大數據分析能力補充服務，實現從日志產生、采集、綜合分析與審計、到日志存儲、備份整個日志生命周期管理。通過集中化的日志管理系統，協助客戶解決網絡中日志分散、種類繁多、數量巨大的問題，提升安全運營效率。主要包含以下服務： *.綜合多種多樣采集手段，采集網絡中分散在各個位置的各種廠商、各種類型的海量日志，提供原廠服務函； *.對收集的各種日志進行范式化處理，將各種不同表達方式的日志轉換成統一的描述形式； *.在進行安全日志及事件的實時分析和歷史分析時提供了基于策略的安全事件分析過程，通過豐富的事件分析策略對全網的安全事件進行全方位、多視角、大跨度、細粒度的實時監測、統計分析、查詢、調查、追溯、地圖定位、可視化分析展示等； *.提供視角、多層次的審計視圖，提供日志查詢和報表管理功能，實現日志的模糊查詢和自定義報表； *.通過以日志詳情中的任意字段為篩選條件，實現快速以該字段為條件對日志進行統計分析； *.對**系統安全事件的集中化管理分析、以及流程化的安全響應與處理，基于規則的關聯分析引擎，能夠提供邏輯關聯、統計關聯的關聯分析能力，通過多規則聯合，可精確識別復雜安全事件和場景使安全設備的安全防護模式由靜態提升為動態防護； *.在服務期間，提供日志大數據分析能力補充服務的相關分析設備，包括設備的安裝、部署。 *.安排本地化原廠技術工程師，每年至少提供四次上門巡檢服務，輸出四份巡檢服務報告。 |
***,***.** |
備注：按照以上內容實際服務次數進行結算。
四、預算資金
(一)項目資金：***萬元。
(二)資金來源：****年部門預算 “科技信息化項目運維經費”。
五、承接標準
(一)服務供應商必須具有獨立法人資格；具備《中華人民共和國政府采購法》第二十二條規定的條件，且能獨立完成招標文件中所規定內容的供應商。
(二)經營范圍與所投內容相符。
(三)具有良好的商業信譽和健全的財務會計制度。
(四)具有專業的技術服務能力。
六、目標要求
(一)主要駐場服務人員不少于*人。所有人員必須通過采購人的上崗培訓和考試并取得上崗證后才能上崗工作。系統安全維護人員要求：至少持有一種信息安全服務相關證書(如****、*****等),且具有二年以上信息安全運維服務經驗，具有良好的溝通表達能力、獨立思考解決問題能力、較強的信息安全管理、故障分析和處理能力。投標人擬派往或委托項目經理*人，項目經理要求：項目經理需具備信息系統項目管理師高級證書，負責整體項目的管理協調。非工作時間安排至少*名系統安全維護人員在支隊指定地點**小時值班，并保持電話暢通。
(二)在工作過程中，如服務供應商配備的駐場服務人員專業技術及能力水平無法滿足設備(系統)維護工作的標準及要求，采購人有權要求服務供應商更換駐場服務人員，服務供應商務必按照采購人的標準及要求盡快將人員配置到位。
(三)服務維護響應時間：按照投標文件承諾的**名技術人員派駐入場運維，并配備交通工具。原則上不得更換，如駐場服務中途離場須獲采購人批準，輪換同等及以上技術水平人員。駐場提供*×*小時駐場運維保障服務，重要保障時間專家*×**小時值守。
(四)服務供應商需提供*×**小時電話值守服務，每天電話接聽人員不少于*人，駐場服務人員必須保持通信暢通。如遇采購人有特殊維護管理需求的，必須按要求配備相應人員到場配合。
七、購買方式
根據《云南省人民政府辦公廳關于印發云南省政府集中采購目錄及標準(****年版)的通知》(云政辦函〔****〕*號)文件規定，集中采購機構采購項目及部門集中采購項目之外屬于分散采購，采購金額達到公開招標數額標準***萬元以上，由昆明市公安局交通管理支隊嚴格按照政府采購的要求執行。
八、資金支付和聯系方式
按照簽訂購買服務協議內容及財政撥款進度支付服務費用，在預算金額內根據成交價據實支付。
