信息安全等級(jí)保護(hù)測評(píng)技術(shù)標(biāo)準(zhǔn)和需求

1、1 1 / / 4 4信息安全等級(jí)保護(hù)測評(píng)技術(shù)標(biāo)準(zhǔn)和需求為了保障瀏陽市人民醫(yī)院 核心業(yè)務(wù)系統(tǒng)（HISHIS 系統(tǒng)）”安全、穩(wěn)定、可靠、高效的運(yùn)行，按 照相關(guān)的國家、 行業(yè)的安全標(biāo)準(zhǔn)要求， 需要對(duì)其進(jìn)行安全等級(jí)保護(hù)三級(jí)測評(píng)。 測評(píng)內(nèi)容包括： 物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、安全管理制度、安全管 理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。通過測評(píng)，對(duì)照相應(yīng)安全等級(jí)保護(hù) 要求進(jìn)行差距分析， 排查系統(tǒng)安全漏洞和隱患并分析其風(fēng)險(xiǎn)， 制訂出整改措施， 出具測評(píng)報(bào) 告。具體內(nèi)容包括：1 1 對(duì)瀏陽市人民醫(yī)院 核心業(yè)務(wù)系統(tǒng)（HISHIS 系統(tǒng)）”的物理安全、網(wǎng)絡(luò)安全、主機(jī)安

2、全、應(yīng)用 安全、 數(shù)據(jù)安全及備份恢復(fù)、 安全管理制度、 安全管理機(jī)構(gòu)、 人員安全管理、 系統(tǒng)建設(shè)管理、 系統(tǒng)運(yùn)維管理共 1010 個(gè)層面通過訪談、檢查、測評(píng)等方法進(jìn)行初測評(píng)，找出差距、安全漏洞 和隱患并分析其風(fēng)險(xiǎn)，制訂出整改建議報(bào)告。矚慫潤厲釤瘞睞櫪廡賴賃軔朧。2 2、對(duì)經(jīng)過整改后的信息系統(tǒng)進(jìn)行回歸測評(píng)，并正式形成 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)報(bào)告一、測評(píng)內(nèi)容包括信息系統(tǒng)技術(shù)安全性測評(píng)及信息系統(tǒng)管理安全測評(píng)：1 1、 信息系統(tǒng)技術(shù)安全性測評(píng)包括但不限于：物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、 數(shù)據(jù)安全。2 2、 信息系統(tǒng)管理安全測評(píng)包括但不限于：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、 系統(tǒng)建

3、設(shè)管理、系統(tǒng)運(yùn)維管理。 聞創(chuàng)溝燴鐺險(xiǎn)愛氌譴凈禍測樅。二、測評(píng)具體要求：（一）信息系統(tǒng)技術(shù)安全性測評(píng)1 1、 物理安全測評(píng)物理安全檢測應(yīng)當(dāng)包含： 物理位置的選擇、 物理訪問控制、 防盜竊和防破壞、 防雷擊、 防火、 防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)等十個(gè)單元。殘騖樓諍錈瀨濟(jì)溆塹籟婭騍東。2 2、 網(wǎng)絡(luò)安全測評(píng) 網(wǎng)路安全測評(píng)應(yīng)當(dāng)包含：結(jié)構(gòu)安全、訪問控制、網(wǎng)絡(luò)安全審計(jì)、邊界完整性檢查、網(wǎng)絡(luò)入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)等。 釅錒極額閉鎮(zhèn)檜豬訣錐顧葒鈀。3 3、 主機(jī)安全測評(píng) 主機(jī)安全測評(píng)應(yīng)當(dāng)包含：身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制等。

4、 彈貿(mào)攝爾霽斃攬磚鹵廡詒爾膚。4 4、 應(yīng)用安全測評(píng) 應(yīng)用安全測評(píng)應(yīng)當(dāng)包含：身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、通信完整性、通信保密性、抗抵賴、軟件容錯(cuò)、資源控制。 謀蕎摶篋飆鐸懟類蔣薔點(diǎn)鉍雜。5 5、 數(shù)據(jù)安全及備份恢復(fù)測評(píng) 數(shù)據(jù)安全及備份恢復(fù)測評(píng)應(yīng)當(dāng)包含：數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)。（二）信息系統(tǒng)管理安全測評(píng)1 1、 安全管理制度測評(píng) 安全管理制度測評(píng)應(yīng)當(dāng)包含：管理制度、制定與發(fā)布、審批和修訂。2 2、 安全管理機(jī)構(gòu)測評(píng)安全管理機(jī)構(gòu)測評(píng)應(yīng)當(dāng)包含： 崗位設(shè)置、 人員配備、 授權(quán)和審批、 溝通和合作、 審核和檢查。3 3、 人員安全管理測評(píng) 人員安全管理測評(píng)應(yīng)當(dāng)包含：人員錄用、

5、人員離崗、人員考核、安全意識(shí)教育和培訓(xùn)、第三 方人員訪問管理。4 4、 系統(tǒng)建設(shè)管理測評(píng) 系統(tǒng)建設(shè)管理測評(píng)應(yīng)當(dāng)包含：系統(tǒng)定級(jí)、安全方案設(shè)計(jì)、產(chǎn)品采購和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程實(shí)施、測試驗(yàn)收、系統(tǒng)交付、系統(tǒng)備案、測評(píng)、安全服務(wù)商選擇。 懇蹣駢時(shí)盡繼價(jià)騷巹癩龔。5 5、系統(tǒng)運(yùn)維管理測評(píng) 系統(tǒng)運(yùn)維管理測評(píng)應(yīng)當(dāng)包含：環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控管理和安全 管理中心、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份 與恢復(fù)管理、安全事件處置、應(yīng)急預(yù)案管理。 煢楨廣鰳鯡選塊網(wǎng)羈淚鍍齊鈞。（三）風(fēng)險(xiǎn)分析和評(píng)價(jià)依據(jù) GB/TGB/T 20984-200720

6、984-2007信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 ，針對(duì)瀏陽市人民醫(yī)院 “核心 業(yè)務(wù)系統(tǒng)（HIHIS S系統(tǒng)）”采用風(fēng)險(xiǎn)分析方法，分析信息系統(tǒng)測評(píng)結(jié)果中存在的安全問題可能對(duì) 信息系統(tǒng)安全造成的影響，并給廈礴2 2 / / 4 4出發(fā)現(xiàn)的安全問題以及風(fēng)險(xiǎn)分析及評(píng)價(jià)情況。鵝婭盡損鵪慘歷蘢鴛賴縈詰聾。三、實(shí)施和保障方案（一）項(xiàng)目進(jìn)度要求 本項(xiàng)目測評(píng)實(shí)施要求同步實(shí)施、重點(diǎn)先行、階段性成果展現(xiàn)相結(jié)合。 具體實(shí)現(xiàn)進(jìn)度要求如下：本次信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)服務(wù)工作分為： 測評(píng)準(zhǔn)備、 方案編制、現(xiàn)場測評(píng)、 問題整改、 回歸測評(píng)、報(bào)告編制等幾個(gè)階段。 籟叢媽羥為贍僨蟶練淨(jìng)櫧撻曉。（ 1 1 ）第一階段：組建項(xiàng)

7、目組， 制定信息安全測評(píng)項(xiàng)目計(jì)劃書、 測評(píng)實(shí)施方案以及人員安全培訓(xùn)計(jì)劃， 并提交 瀏陽市人民醫(yī)院審核。（ 2 2 ）第二階段：進(jìn)行現(xiàn)場測評(píng)， 同時(shí)對(duì)瀏陽市人民醫(yī)院信息安全相關(guān)管理和技術(shù)人員進(jìn)行安全技術(shù)培訓(xùn)。初次測評(píng)完成后，提交初評(píng)的整改意見報(bào)告。 預(yù)頌圣鉉儐歲齦訝驊糴買闥齙。（ 3 3 ）第三階段： 協(xié)助瀏陽市人民醫(yī)院針對(duì)測評(píng)過程中發(fā)現(xiàn)的安全問題進(jìn)行技術(shù)整改加固工作，并進(jìn)行整改后的回歸測評(píng)。（ 4 4 ）第四階段： 整理測評(píng)結(jié)果，向?yàn)g陽市人民醫(yī)院提交被測信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)報(bào)告以及相應(yīng)文檔。（二）項(xiàng)目實(shí)施要求 依據(jù)國家各項(xiàng)相關(guān)標(biāo)準(zhǔn)法規(guī)和瀏陽市人民醫(yī)院現(xiàn)有的規(guī)范、制度，同時(shí)結(jié)合項(xiàng)目實(shí)際需要，

8、 對(duì)信息安全等級(jí)保護(hù)項(xiàng)目工作中的定級(jí)、備案、測評(píng)（包括測評(píng)范圍、測評(píng)方法等）、整改（包括整改方法、范圍等）過程中，所需的產(chǎn)品、技術(shù)、制度、流程、建設(shè)要求和實(shí)施規(guī)范 等方面，提供咨詢、 測評(píng)、 整改建議以及整個(gè)建設(shè)過程的監(jiān)督和管理等服務(wù)。 提供的整改方 案，包括整體流程、技術(shù)方法和服務(wù)方案等，發(fā)現(xiàn)系統(tǒng)不足，明確安全風(fēng)險(xiǎn)隱患和差距，提 出整改意見，協(xié)助瀏陽市人民醫(yī)院信息安全管理人員進(jìn)行整改。 滲釤嗆儼勻諤鱉調(diào)硯錦鋇絨鈔。 投標(biāo)人負(fù)責(zé)提供的服務(wù)內(nèi)容至少應(yīng)包括，但不限于以下各項(xiàng)：1 1、服務(wù)提供商在信息安全等級(jí)保護(hù)測評(píng)前應(yīng)制定詳細(xì)的技術(shù)方案，包括信息安全等級(jí)保護(hù)測評(píng)項(xiàng)目計(jì)劃書、測評(píng)實(shí)施方案以及人員安全

9、培訓(xùn)計(jì)劃等，并提交瀏陽市人民醫(yī)院審核。鐃誅臥瀉噦圣騁貺頂廡縫勵(lì)羆。2 2、信息安全等級(jí)保護(hù)測評(píng)包括但不限于以下對(duì)象：網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、主機(jī)系統(tǒng)、存儲(chǔ)備份系統(tǒng)、數(shù)據(jù)庫、中間件、應(yīng)用系統(tǒng)、數(shù)據(jù)安全、安全系統(tǒng)、系統(tǒng)安全策略等。擁締鳳襪備訊顎輪爛薔報(bào)贏無。3 3、服務(wù)提供商應(yīng)描述測評(píng)服務(wù)的技術(shù)方案，包括準(zhǔn)備工作、技術(shù)措施、人員安排、時(shí)間進(jìn) 度、可能對(duì)系統(tǒng)造成的影響等。 贓熱俁閫歲匱閶鄴鎵騷鯛漢鼉。3 3 / / 4 44 4、安全測評(píng)工作應(yīng)盡量選擇在非業(yè)務(wù)繁忙時(shí)段進(jìn)行，將對(duì)被測系統(tǒng)可能帶來的影響減至最 小。5 5、服務(wù)提供商應(yīng)書面承諾能夠積極與瀏陽市人民醫(yī)院協(xié)作，共同完成本項(xiàng)目的測評(píng)工作， 項(xiàng)目實(shí)施

10、過程中出現(xiàn)問題不得互相推諉， 雙方應(yīng)主動(dòng)進(jìn)行溝通， 并及時(shí)解決問題， 確保項(xiàng)目 順利實(shí)施。 壇摶鄉(xiāng)囂懺蔞鍥鈴氈淚躋馱釣。（三）項(xiàng)目管理要求對(duì)項(xiàng)目進(jìn)行科學(xué)嚴(yán)格的管理，通過系統(tǒng)計(jì)劃、 有序組織、 科學(xué)指導(dǎo)和有效控制，促進(jìn)項(xiàng)目全 面順利實(shí)施， 投標(biāo)人必須提供完整的項(xiàng)目管理方案， 項(xiàng)目的方案設(shè)計(jì)與具體實(shí)施應(yīng)滿足以下 原則： 蠟變黲癟報(bào)倀鉉錨鈰贅籜葦繯。1 1、最小影響原則：工作應(yīng)盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行，不能對(duì)網(wǎng)絡(luò)的運(yùn)行和業(yè) 務(wù)的正常運(yùn)行產(chǎn)生顯著影響（包括系統(tǒng)性能明顯下降、網(wǎng)絡(luò)擁塞、服務(wù)中斷）； 買鯛鴯譖曇膚遙閆擷凄屆嬌擻。2 2、標(biāo)準(zhǔn)性原則：服務(wù)方案的設(shè)計(jì)與實(shí)施應(yīng)依據(jù)國家相關(guān)標(biāo)準(zhǔn)進(jìn)行，包括

11、但不限于GB/TGB/T20984-200720984-2007 信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范， 符合 信息安全等級(jí)保護(hù)管理辦法 （公 通字 200743200743 號(hào)） 、計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GBGB 17859-199917859-1999）、信息系統(tǒng)安全等級(jí)保護(hù)基本要求（ GB/TGB/T 22239-200822239-2008 ）、信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南（ GB/TGB/T 25058-201025058-2010 ） 等國家標(biāo)準(zhǔn)； 綾鏑鯛駕櫬鶘蹤韋轔糴飆鈧麥。3 3、規(guī)范性原則：服務(wù)提供商工作中的過程和文檔，應(yīng)具有較好的規(guī)范性，便于項(xiàng)目的跟蹤 和控制；4

12、 4、可控性原則：方法和過程要在雙方認(rèn)可的范圍之內(nèi)，安全服務(wù)的進(jìn)度要按照進(jìn)度表安排 實(shí)施，保證瀏陽市人民醫(yī)院對(duì)于服務(wù)工作的可控性； 驅(qū)躓髏彥浹綏譎飴憂錦諑瓊針。5 5、整體性原則：評(píng)估內(nèi)容應(yīng)當(dāng)整體全面，包括安全涉及的各個(gè)層面，避免由于遺漏造成未 來的安全隱患；6 6、保密原則：對(duì)過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不 得利用此數(shù)據(jù)進(jìn)行任何侵害采購人的行為，否則瀏陽市人民醫(yī)院有權(quán)追究服務(wù)提供商的責(zé) 任。 貓蠆驢繪燈鮒誅髏貺廡獻(xiàn)鵬縮。服務(wù)提供商需根據(jù)上述要求，提供項(xiàng)目詳細(xì)的項(xiàng)目管理方案，并予以詳細(xì)解釋。（四）服務(wù)保障與承諾1 1、服務(wù)提供商應(yīng)嚴(yán)格按照測評(píng)人員執(zhí)業(yè)守則，按照

13、國家相關(guān)法規(guī)、規(guī)范、標(biāo)準(zhǔn)及制定的測 評(píng)方案、項(xiàng)目計(jì)劃書、實(shí)施細(xì)則進(jìn)行測評(píng)，在保證質(zhì)量、安全的前提下，確保在項(xiàng)目規(guī)定的 期限內(nèi)按期完成。 鍬籟饗逕瑣筆襖鷗婭薔嗚訝擯。2 2、服務(wù)提供商應(yīng)協(xié)助、配合瀏陽市人民醫(yī)院與上級(jí)監(jiān)管部門、公安機(jī)關(guān)的溝通協(xié)調(diào)。在測 評(píng)過程中和測評(píng)完成后， 協(xié)助、 配合瀏陽市人民醫(yī)院進(jìn)行相關(guān)的信息系統(tǒng)安全整改， 確保已 定級(jí)系統(tǒng)達(dá)到等級(jí)保護(hù)的相關(guān)要求， 并通過上級(jí)監(jiān)管部門和公安機(jī)關(guān)的審核驗(yàn)收。 構(gòu)氽頑黌碩 飩薺齦話騖門戲鷯。3 3、服務(wù)提供商應(yīng)在項(xiàng)目期內(nèi)向?yàn)g陽市人民醫(yī)院提供7*247*24 小時(shí)電話咨詢服務(wù)， 必要時(shí)上門服務(wù)。跟蹤信息安全等級(jí)保護(hù)的最新發(fā)展情況， 及時(shí)告之瀏陽市人民醫(yī)院， 提供相應(yīng)解決方案 及建議，協(xié)助其持續(xù)符合信息系統(tǒng)信息安全等級(jí)保護(hù)工作的要求。 輒嶧陽檉籪癤網(wǎng)儂號(hào)澩蠐鑭釃。4 4、服務(wù)提供商應(yīng)在項(xiàng)目實(shí)施過程中， 對(duì)瀏陽市人民醫(yī)院相關(guān)人員進(jìn)行安全方面的技術(shù)培訓(xùn)， 明確項(xiàng)目實(shí)施的思路、方案、技術(shù)路線， 提升技術(shù)人員的安全意識(shí)，可