广东飞来峡水利枢纽.DOC

1、广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目磋商文件采购编号： GZSW15197FC4139广 州 顺 为 招 标 代 理 有 限 公 司2016 年 5 月目 录第一部分:报价邀请函1-1第二部分:用户需求书2-1第三部分: 报价人须知 3-1第四部分:合同书格式4-1第五部分:报价文件格式5-1广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4139广州顺为招标代理有限公司 1-1第一部分报 价 邀 请 函广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4139广州顺为招标代理有限公司 1-2报价邀请函广州顺为招标代理有限公

2、司（以下简称“采购代理机构”）受广东省飞来峡水利枢纽管理处（以下简称“采购人”）的委托，对广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目进行竞争性磋商采购，欢迎符合资格条件的供应商报价。一、采购项目编号： GZSW15197FC4139二、采购项目名称：广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目三、采购预算：人民币30万元四、项目内容及需求：1、项目内容：信息系统安全等级保护差距分析，具体详见第二部分用户需求书2、技术服务要求：详见第二部分用户需求书。五、供应商资格要求：1、报价人应具备政府采购法第二十二条规定的条件，提供下列材料：1）报价人须是具有独立承担民事责任能力的在中华

3、人民共和国境内注册的法人或其他组织或自 然人，提交有效的企业法人营业执照（或事业法人登记证或身份证等相关证明）副本复印件。2）报价人须具有良好的商业信誉和健全的财务会计制度且有依法缴纳税收和社会保障资金的良好记录。（报价人为非自然人的须提供财务状况报告，依法缴纳税收和社会保障资金的相关材料）3）报价人参加政府采购活动前三年内，在经营活动中没有重大违法记录。（须提供书面声明）4）报价人须符合法律、行政法规规定的其他条件。（须提供书面声明）2、具备有广东省信息安全等级保护协调小组办公室颁发的“信息安全等级保护测评机构推荐证书”资质（在有效期内，提供证书复印件)；或已按照粤等保办【2013】2 号文

4、件要求办理相关备案手续的异地测评机构（提供广东省信息安全等级保护协调小组办公室出具的备案登记证明）；3、本项目不接受联合体参加。六、获取磋商文件方式：现场报名购买或邮购（凭营业执照副本、税务登记证副本、广东省信息安全等级保护协调小组办公室颁发的“信息安全等级保护测评机构推荐证书”或出具的备案登记证明，以上复印件加盖公章）符合资格的供应商应当在 2016 年 5月 17日 9时 00 分起至 2016 年 5月 24日 17时 0分止（办公时间内，法定节假日除外）到广州市环市中路 203号恒生大厦 A座 1101室（广州顺为招标广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW151

5、97FC4139广州顺为招标代理有限公司 1-3代理有限公司）购买磋商文件，磋商文件每套售价 200元（人民币），售后不退。（如需邮寄，请与工作人员联系。在任何情况下采购代理机构对邮寄过程中发生的迟交或遗失均不承担责任。）七、报价截止时间：2016 年 6月 1日 9时 30分(注 2016年 6月 1日 9时 00分开始受理报价文件) (北京时间)八、报价文件送达地点：广州市环市中路 203号恒生大厦 A座 1101室（广州顺为招标代理有限公司）九、磋商时间：2016 年 6月 1日 9时 30分(北京时间)十、磋商地点：广州市环市中路 203号恒生大厦 A座 1101室（广州顺为招标代理有

6、限公司）十一、供应商注册登记为保证政府采购工作顺利进行，参加广东省政府采购活动的供应商，必须在广东省政府采购网()进行注册登记，请参加本项目磋商且尚未在广东省政府采购网进行注册登记的供应商务必于本项目报价截止日前完成注册登记。十二、采购人及采购代理机构联系方式采购代理机构联系人： 李小姐 采购人：-电 话：020-83592216 电话：-传 真：020-83595411 传真：-联系地址：广州市环市中路 203号恒生大厦 A座 1101室 地址：-邮编：510010 邮编：-广州顺为招标代理有限公司2016年 5月广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4

7、139广州顺为招标代理有限公司 2-1第二部分用 户 需 求 书广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4139广州顺为招标代理有限公司 2-21、概述飞来峡水利枢纽管理处现有电站计算机监控系统、船闸计算机监控系统、大坝安全监测系统、泄水闸集控系统、水情遥测预报调度系统、大型水利枢纽综合集成管理系统等 6个系统于 2007年进行了信息系统安全等级保护的定级备案工作。信息系统安全等级保护包括定级、备案、差距分析、建设和整改、终审等步骤。目前上述 6个系统已经完成了定级和备案工作，需要开展差距分析，并最终根据分析结果开展后续工作，最终使各系统满足相应的等级保护要

8、求。参考计算机信息系统安全保护等级划分准则（GB17859-1999）、信息系统安全等级保护定级指南，电力行业信息系统等级保护工作指导意见（电监信息【2007】44 号）、电力行业信息系统安全等级保护基本要求（试行）等文件精神，信息管理中心完成了各系统的定级，并在广东省公安厅网警总队等保办进行了备案。具体信息系统定级如下：系统名称 系统等级 责任部门综合集成管理系统（含主干网络） 第二级 信息中心水情遥测预报调度系统 第二级 信息中心电站计算机监控系统 第二级 检修厂船闸计算机监控系统 第二级 检修厂泄水闸集控系统 第二级 检修厂大坝安全监测系统 第二级 闸坝处2、项目依据GB 17859-1

9、999 计算机信息系统安全保护等级划分准则GB/T 25058-2010信息系统安全等级保护实施指南GB/T 22240-2008信息系统安全保护等级定级指南GB/T 20270-2006网络基础安全技术要求GB/T 20271-2006信息系统通用安全技术要求GB/T 20272-2006操作系统安全技术要求GB/T 20273-2006数据库管理系统通用安全技术要求GA/T 709-2007信息系统安全等级保护基本模型GB/22239-2008信息系统安全等级保护基本要求电力行业信息系统安全等级保护定级工作指导意见（电监信息200744 号）电力行业信息系统安全等级保护基本要求（试行）关于

10、开展电力行业信息系统安全等级保护定级工作的通知（电监信息【2007】34 号）广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4139广州顺为招标代理有限公司 2-33、项目内容及技术要求3.1等级保护差距分析3.1.1差距分析指标安全分类 安全子类 二级测评项数物理位置的选择 2物理访问控制 4防盗窃和防破坏 6防雷击 3防火 3防水和防潮 4防静电 2温湿度控制 1电力供应 4物理安全电磁防护 3结构安全 7访问控制 8安全审计 4边界完整性检测 1入侵防范 2恶意代码防范 2网络安全网络设备防护 8身份鉴别 5访问控制 4安全审计 4剩余信息保护 0入侵防范

11、1恶意代码防范 2主机安全资源控制 3身份鉴别 4访问控制 4安全审计 3剩余信息保护 0通信完整性 1通信保密性 2应用安全抗抵赖 2广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4139广州顺为招标代理有限公司 2-4软件容错 3资源控制 4数据完整性 1数据保密性 1数据安全及备份恢 复数据备份和恢复 2岗位设置 4人员配备 3授权和审批 4沟通和合作 5安全管理机构审核和检查 4管理制度 4制定和发布 5安全管理制度评审和修订 2人员录用 4人员离岗 3人员考核 3安全意识教育和培训 4人员安全管理外部人员访问管理 2系统定级 4安全方案设计 5产品采购

12、4自行软件开发 5外包软件开发 5工程实施 3测试验收 3系统交付 3系统备案 0等级测评 0系统建设管理安全服务商选择 3环境管理 4资产管理 4介质管理 6设备管理 5监控管理和安全管理中心 3网络安全管理 8系统安全管理 7系统运维管理恶意代码防范管理 4广东省飞来峡水利枢纽信息系统安全等级保护差距分析项目 GZSW15197FC4139广州顺为招标代理有限公司 2-5密码管理 1变更管理 4备份与恢复管理 5安全事件处理 6应急预案管理 63.1.2差距分析方法本次依据等级保护二级系统相关要求对飞来峡水利枢纽管理处相关系统进行调查分析，分析主要包括物理安全、网络与安全设备、主机、重要应

13、用软件、数据安全、运维管理制度六个方面。根据信息系统安全等级保护测评准则，初步现场测评的方法包括检查、访谈。访谈：是测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。检查：不同于行政执法意义上的监督检查，是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。3.1.3差距分析实施内容根据所确定的安全评估指标和安全测评流程，通过访谈、检查和扫描等多种手段，将系统现状与安全评估指标进行逐一对比，记录当前的现状情况，找到与评估指标之间的差距。判断安全管理方面与评估指标的符合程度通过观察现场、访谈人员、查询资料、检查记录等方式进行安全管理方面的评估，准确记录评估结果，判断安全管理的各个方面与评估指标的符合程度，给出判断结论。判断安全技术方面与评估指标的符合程度通过观察现场、访谈人员、查询资料、检查记录、检查配置、技术测试、安全扫描等方式进行安全技术方面的评估，准确记录评估结果，判断安全技术的各个方面与评估指标的符合程度，给出判断结论。评估指标测评流程