精品全国在线一区二区-精品区在线观看-精品区-精品啪啪-精品欧美在线精品-精品欧美在线观看视频

 遼河油田網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)項(xiàng)目框架招標(biāo)

一、招標(biāo)條件
招標(biāo)項(xiàng)目中國(guó)石油天然氣股份有限公司遼河油田分公司(科技信息部)遼河油田網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)項(xiàng)目框架招標(biāo)已按要求履行了相關(guān)報(bào)批及備案等手續(xù)，資金已落實(shí)100%自籌資金。該項(xiàng)目已具備招標(biāo)條件，現(xiàn)擬對(duì)該項(xiàng)目進(jìn)行招標(biāo)。

二、項(xiàng)目概況與招標(biāo)范圍：

項(xiàng)目概況：中國(guó)石油天然氣集團(tuán)有限公司網(wǎng)絡(luò)安全管理辦法》和《關(guān)于開(kāi)展集團(tuán)公司2022年網(wǎng)絡(luò)安全與數(shù)據(jù)中心檢查工作的通知》(數(shù)信函[2022]24號(hào))均要求集團(tuán)公司及所屬企業(yè)按照國(guó)家要求開(kāi)展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作。項(xiàng)目采購(gòu)估算額：300萬(wàn)元（不含稅）。

招標(biāo)范圍：對(duì)遼河油田管轄范圍內(nèi)的信息化系統(tǒng)、工控系統(tǒng)及電力監(jiān)控系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)、安全風(fēng)險(xiǎn)評(píng)估、源代碼安全審計(jì)服務(wù)。

（一）網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)

依據(jù)《網(wǎng)絡(luò)安全法》、GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》等要求，組織開(kāi)展信息系統(tǒng)二級(jí)、三級(jí)等級(jí)保護(hù)測(cè)評(píng)工作以及相關(guān)備案、咨詢等技術(shù)服務(wù)工作。對(duì)遼河油田管轄范圍內(nèi)的信息化系統(tǒng)、工控系統(tǒng)及電力監(jiān)控系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)。具體工作內(nèi)容如下：

（1）定級(jí)

依據(jù)GB/T22240-2020《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》輔助定級(jí)；

（2）測(cè)評(píng)

依據(jù)《網(wǎng)絡(luò)安全法》、GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》等要求，組織開(kāi)展信息系統(tǒng)等級(jí)保護(hù)符合性測(cè)評(píng)工作。按照公安部制訂的信息系統(tǒng)安全等級(jí)測(cè)評(píng)報(bào)告格式編制等級(jí)測(cè)評(píng)報(bào)告，在報(bào)告中明確各信息系統(tǒng)是否達(dá)到相應(yīng)的等級(jí)保護(hù)要求，并加蓋公章；

（3）整改建議及方案

未達(dá)到安全保護(hù)要求的，要提出改進(jìn)建議，制定整改方案并指導(dǎo)整改單位進(jìn)一步進(jìn)行整改，直至等級(jí)測(cè)評(píng)報(bào)告報(bào)備監(jiān)管機(jī)構(gòu)。

（二）安全風(fēng)險(xiǎn)評(píng)估服務(wù)

對(duì)遼河油田管轄范圍內(nèi)的信息化、工業(yè)控制、電力監(jiān)控等系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估。

依據(jù)《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估方法》(GB/T20984-2022)、《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》(國(guó)家發(fā)展改革委員會(huì)2014年第14號(hào)令)、工業(yè)互聯(lián)網(wǎng)安全評(píng)測(cè)相關(guān)規(guī)范，并參考網(wǎng)絡(luò)安全等級(jí)保護(hù)要求開(kāi)展如下評(píng)估項(xiàng)：資產(chǎn)評(píng)估、威脅評(píng)估、通用應(yīng)用脆弱性評(píng)估、基礎(chǔ)設(shè)施安全脆弱性評(píng)估、體系結(jié)構(gòu)安全脆弱性評(píng)估、系統(tǒng)本體安全脆弱性評(píng)估、全面安全管理脆弱性評(píng)估、安全應(yīng)急能力評(píng)估、現(xiàn)有安全措施有效性評(píng)估等。出具《系統(tǒng)安全防護(hù)評(píng)估報(bào)告》。

（三）源代碼安全審計(jì)服務(wù)

源代碼審計(jì)（CodeReview）是由具備豐富編碼經(jīng)驗(yàn)并對(duì)安全編碼原則及應(yīng)用安全具有深刻理解的安全服務(wù)人員對(duì)系統(tǒng)的源代碼和軟件架構(gòu)的安全性、可靠性進(jìn)行全面的安全檢查。

對(duì)管轄范圍內(nèi)的信息化系統(tǒng)及工控系統(tǒng)發(fā)生升級(jí)、添加新功能及新增系統(tǒng)上線等變更操作時(shí)，進(jìn)行上線前的源代碼安全審計(jì)，通過(guò)審計(jì)，使開(kāi)發(fā)人員能夠了解各種語(yǔ)言安全編碼常識(shí)，明確安全缺陷種類，以及安全缺陷的描述、產(chǎn)生原因、導(dǎo)致后果以及如何防范與避免。通過(guò)源代碼深度檢測(cè)、評(píng)估等服務(wù)，保障系統(tǒng)應(yīng)用本質(zhì)安全。

源代碼審計(jì)服務(wù)的目的在于充分挖掘當(dāng)前代碼中存在的安全缺陷以及規(guī)范性缺陷，從而讓開(kāi)發(fā)人員了解其開(kāi)發(fā)的應(yīng)用系統(tǒng)可能會(huì)面臨的威脅，并指導(dǎo)開(kāi)發(fā)人員正確修復(fù)程序缺陷。標(biāo)段（標(biāo)包）劃分:無(wú)。

服務(wù)期限：本項(xiàng)目框架協(xié)議中標(biāo)結(jié)果有效期限為自中標(biāo)通知書發(fā)放之日起至2027年12月31日。

實(shí)施地點(diǎn)：遼河油田各所屬單位。

主要技術(shù)要求或技術(shù)方案：

（一）技術(shù)標(biāo)準(zhǔn)

包括擔(dān)不限于以下標(biāo)準(zhǔn)與規(guī)范：

GB/T22240-2020《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》；

GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》；

GB/T20984-2022《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估方法》

GB/T34944-2017《源代碼漏洞測(cè)試規(guī)范》

GB/T36466-2018《工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)評(píng)估實(shí)施指南》

GB/T44462.2-2024《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全第2部分：平臺(tái)企業(yè)防護(hù)要求》

GB/T36466-2018《工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)評(píng)估實(shí)施指南》

GB/T42456-2023《工業(yè)自動(dòng)化和控制系統(tǒng)信息安全I(xiàn)ACS組件的安全技術(shù)要求》

（二）技術(shù)要求

依據(jù)GB/T22240-2020《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》輔助定級(jí)；

GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》，組織開(kāi)展信息系統(tǒng)等級(jí)保護(hù)符合性測(cè)評(píng)工作；

按照公安部制訂的信息系統(tǒng)安全等級(jí)測(cè)評(píng)報(bào)告格式編制等級(jí)測(cè)評(píng)報(bào)告；

依據(jù)《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估方法》(GB/T20984-2022)、《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》(國(guó)家發(fā)展改革委員會(huì)2014年第14號(hào)令)、工業(yè)互聯(lián)網(wǎng)安全評(píng)測(cè)相關(guān)規(guī)范，組織開(kāi)展安全風(fēng)險(xiǎn)評(píng)估工作；

依據(jù)GB/T34944-2017《源代碼漏洞測(cè)試規(guī)范》，組織開(kāi)展源代碼安全審計(jì)工作；

未達(dá)到安全保護(hù)要求的，要提出改進(jìn)建議，制定整改方案并指導(dǎo)整改單位進(jìn)一步進(jìn)行整改，直至整改合格。

（三）技術(shù)服務(wù)要求

（1）網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)

依據(jù)《網(wǎng)絡(luò)安全法》、GB/T28448-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》，組織開(kāi)展信息系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全差距測(cè)評(píng)和保護(hù)符合性測(cè)評(píng)工作，按照“安全物理環(huán)境”、“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”、“安全計(jì)算環(huán)境”、“安全管理中心”、“安全管理制度”、“安全管理機(jī)構(gòu)”、“安全管理人員”、“安全建設(shè)管理”和“安全運(yùn)維管理”等十個(gè)層面的要求信息系統(tǒng)等級(jí)保護(hù)符合性測(cè)評(píng)工作。具體工作內(nèi)容如下：

1）材料準(zhǔn)備：與業(yè)主單位、系統(tǒng)承建單位了解建設(shè)情況，開(kāi)展系統(tǒng)調(diào)研工作，按照《高風(fēng)險(xiǎn)判定指引》等標(biāo)準(zhǔn)進(jìn)行溝通討論，形成《調(diào)研表》；

2）方案編制和確認(rèn)：依據(jù)調(diào)研結(jié)果形成安全檢查方案，并與安全負(fù)責(zé)人確認(rèn)；

3）安全物理環(huán)境檢查：由機(jī)房管理員配合對(duì)物理機(jī)房安全防護(hù)措施現(xiàn)場(chǎng)檢查，主要包括：是否具備防水、防潮、防火、防靜電、防雷擊、防盜竊、防破壞、溫濕度控制、訪問(wèn)控制等能力；

4）安全通信網(wǎng)絡(luò)檢查：由網(wǎng)絡(luò)管理人員配合對(duì)系統(tǒng)的網(wǎng)絡(luò)架構(gòu)、通信傳輸現(xiàn)場(chǎng)檢查，主要包括：網(wǎng)絡(luò)劃分情況和與其他系統(tǒng)隔離情況；

5）安全區(qū)域邊界檢查：由安全管理員或系統(tǒng)部署相關(guān)技術(shù)人員配合對(duì)系統(tǒng)網(wǎng)絡(luò)安全防護(hù)進(jìn)行檢查，主要包括：邊界防護(hù)、訪問(wèn)控制、入侵防范、惡意代碼防護(hù)、安全審計(jì)等；

6）安全計(jì)算環(huán)境檢查：由相關(guān)設(shè)備負(fù)責(zé)人配合登錄網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器等設(shè)備，以及數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)等，并對(duì)安全配置進(jìn)行檢查；

7）安全管理中心檢查：由安全負(fù)責(zé)人或系統(tǒng)部署相關(guān)技術(shù)人員配合對(duì)系統(tǒng)管理和審計(jì)管理部分進(jìn)行檢查；

8）安全管理制度檢查：對(duì)管理制度和記錄表單進(jìn)行檢查。管理制度安全檢查部分主要包括：安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理等五部分；

9）驗(yàn)證測(cè)試：對(duì)系統(tǒng)相關(guān)網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)等進(jìn)行漏洞掃描，且在授權(quán)的情況下由相關(guān)技術(shù)人員配合設(shè)備接入，啟動(dòng)漏掃工作；

10）編制整改建議反饋表：根據(jù)現(xiàn)場(chǎng)對(duì)系統(tǒng)安全安全檢查中發(fā)現(xiàn)問(wèn)題的嚴(yán)重程度及對(duì)業(yè)務(wù)風(fēng)險(xiǎn)的高低進(jìn)行綜合分析，提出的削減風(fēng)險(xiǎn)的技術(shù)與管理的安全建議與措施，指導(dǎo)協(xié)助實(shí)施信息系統(tǒng)的安全整改與加固，并出具《整改建議反饋表》；

11）整改：依據(jù)《整改建議反饋表》提出的問(wèn)題被測(cè)單位協(xié)調(diào)系統(tǒng)集成廠商進(jìn)行整改；

12）復(fù)測(cè)：對(duì)現(xiàn)場(chǎng)安全檢查和驗(yàn)證測(cè)試發(fā)現(xiàn)的問(wèn)題進(jìn)行回歸測(cè)試，具體時(shí)間視整改時(shí)間而定；

13）報(bào)告交接：安全檢查報(bào)告交接。

（2）安全風(fēng)險(xiǎn)評(píng)估服務(wù)

1）資產(chǎn)評(píng)估

資產(chǎn)評(píng)估對(duì)象包括：網(wǎng)絡(luò)、主機(jī)、安全防護(hù)措施、應(yīng)用系統(tǒng)等。根據(jù)安全防護(hù)評(píng)估有關(guān)技術(shù)要求，資產(chǎn)評(píng)估主要考慮兩個(gè)方面的內(nèi)容：一是信息系統(tǒng)中所存儲(chǔ)、處理、傳輸?shù)闹饕畔?，二是信息系統(tǒng)所提供的主要服務(wù)。通過(guò)對(duì)每一類信息和服務(wù)等級(jí)的分析，最終確定信息系統(tǒng)的重要性級(jí)別。資產(chǎn)評(píng)估具體步驟包括：資產(chǎn)數(shù)據(jù)整理與核實(shí)、資產(chǎn)重要程度分析。其中，資產(chǎn)數(shù)據(jù)整理與核實(shí)是根據(jù)被評(píng)估單位前期提交的資料，進(jìn)行資產(chǎn)數(shù)據(jù)的真實(shí)性的查證與確認(rèn)。資產(chǎn)重要程度分析是根據(jù)資產(chǎn)承載的數(shù)據(jù)、提供的服務(wù)，判定資產(chǎn)重要程度的過(guò)程。

2）威脅評(píng)估

威脅評(píng)估是對(duì)被評(píng)估單位業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)與信息系統(tǒng)面臨的威脅進(jìn)行分析的過(guò)程。威脅評(píng)估依據(jù)安全防護(hù)評(píng)估規(guī)范提供的威脅列表，以運(yùn)行與管理人員訪談的方式進(jìn)行。如被評(píng)估單位能夠提供歷史信息安全事件統(tǒng)計(jì)，也可作為威脅評(píng)估的補(bǔ)充內(nèi)容。通過(guò)威脅評(píng)估，要達(dá)到明確被評(píng)估單位信息系統(tǒng)面臨的主要威脅，以及這些威脅的等級(jí)的目的。

3）通用應(yīng)用脆弱性評(píng)估

通用應(yīng)用評(píng)估是對(duì)信息系統(tǒng)中的數(shù)據(jù)庫(kù)服務(wù)、Web服務(wù)等通用應(yīng)用進(jìn)行的安全配置檢查，達(dá)到發(fā)現(xiàn)通用應(yīng)用安全漏洞的目的。通用應(yīng)用評(píng)估也采用人工審計(jì)和漏洞掃描兩種方式進(jìn)行。服務(wù)商應(yīng)證明其具備安全漏洞的挖掘能力，并能夠提供官方證明。派駐本項(xiàng)目實(shí)施的人員應(yīng)具備對(duì)應(yīng)用系統(tǒng)開(kāi)展?jié)B透測(cè)試的能力，能夠完全勝任本項(xiàng)目電力監(jiān)控系統(tǒng)安全防護(hù)評(píng)估工作。

4）基礎(chǔ)設(shè)施安全脆弱性評(píng)估

基礎(chǔ)設(shè)施評(píng)估是對(duì)電力監(jiān)控系統(tǒng)所處機(jī)房的物理安全防護(hù)情況，包括防水、防潮、防火、防靜電、防雷擊、防盜竊、防破壞措施實(shí)施情況，電子門禁的使用情況等進(jìn)行評(píng)估。

電力監(jiān)控系統(tǒng)設(shè)備及線纜的部署情況，包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備的安裝情況，通信線纜和電源線的鋪設(shè)情況，設(shè)備電力供應(yīng)情況等。

5）體系結(jié)構(gòu)安全脆弱性評(píng)估

體系結(jié)構(gòu)評(píng)估應(yīng)重點(diǎn)檢查16字方針“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的落實(shí)情況，重點(diǎn)針對(duì)網(wǎng)絡(luò)邊界防護(hù)措施、橫向隔離、縱向認(rèn)證等關(guān)鍵防護(hù)措施的執(zhí)行情況，安全接入?yún)^(qū)的設(shè)置情況、無(wú)線網(wǎng)絡(luò)防護(hù)等。

6）系統(tǒng)本體安全脆弱性評(píng)估

系統(tǒng)本體安全評(píng)估是對(duì)系統(tǒng)自身安全防護(hù)情況，包括軟、硬件使用和策略配置等進(jìn)行評(píng)估：

①　移動(dòng)存儲(chǔ)介質(zhì)使用情況，包括硬盤、U盤或其它存儲(chǔ)設(shè)備；

②　操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)用戶口令使用情況；

③　操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)用戶權(quán)限分配情況；

④　主機(jī)、交換機(jī)、路由器等設(shè)備、應(yīng)用系統(tǒng)的安全策略配置及加固情況，尤其是Windows系統(tǒng)、非國(guó)產(chǎn)網(wǎng)絡(luò)及安全設(shè)備。

⑤　終端檢測(cè)：主要為抽查被評(píng)估單位監(jiān)控終端和辦公終端是否有駐留木馬、蠕蟲、惡意軟件，是否存在自定義共享文件夾，系統(tǒng)補(bǔ)丁是否及時(shí)更新安裝，關(guān)鍵工作文件存放是否恰當(dāng)?shù)惹闆r。主要通過(guò)人工查看和工具檢測(cè)兩種方式來(lái)進(jìn)行。

⑥　外設(shè)檢測(cè)：主要檢測(cè)帶有硬盤、內(nèi)存或其它存儲(chǔ)設(shè)備和簡(jiǎn)易操作系統(tǒng)的網(wǎng)絡(luò)打印機(jī)、傳真機(jī)等智能設(shè)備。

7）全面安全管理脆弱性評(píng)估

全面安全管理評(píng)估是從管理角度對(duì)電力監(jiān)控系統(tǒng)概況進(jìn)行評(píng)估，重點(diǎn)檢查安全防護(hù)規(guī)定落實(shí)情況；

制度建立及主管領(lǐng)導(dǎo)、管理機(jī)構(gòu)和工作人員履職情況，信息安全責(zé)任制落實(shí)情況；

運(yùn)維人員的安全管控情況；

電力監(jiān)控系統(tǒng)安全防護(hù)評(píng)估工作開(kāi)展情況；

信息安全宣傳教育、領(lǐng)導(dǎo)干部及各級(jí)人員網(wǎng)絡(luò)與信息安全基礎(chǔ)培訓(xùn)、信息安全人員專業(yè)技術(shù)培訓(xùn)情況等。

8）安全應(yīng)急能力脆弱性評(píng)估

安全應(yīng)急能力評(píng)估是對(duì)系統(tǒng)的安全有效性、業(yè)務(wù)的連續(xù)性和備用、災(zāi)備能力進(jìn)行評(píng)估。服務(wù)機(jī)構(gòu)應(yīng)具有網(wǎng)絡(luò)安全應(yīng)急保障能力和網(wǎng)絡(luò)安全應(yīng)急預(yù)案咨詢服務(wù)能力。

備用與容災(zāi)能力的建設(shè)情況，包括系統(tǒng)的冗余設(shè)備部署情況，設(shè)備配置的備份情況等；

網(wǎng)絡(luò)與信息安全應(yīng)急預(yù)案的制定、修訂情況，包括應(yīng)急預(yù)案是否健全，是否具有針對(duì)性和可操作性等；

應(yīng)急技術(shù)支撐隊(duì)伍建設(shè)、應(yīng)急演練的執(zhí)行情況；

重大網(wǎng)絡(luò)安全事件處置情況。

9）現(xiàn)有安全措施有效性評(píng)估

現(xiàn)有安全措施有效性評(píng)估是對(duì)信息系統(tǒng)中部署的主要安全防護(hù)措施進(jìn)行的審計(jì)，達(dá)到確定這些安全措施的管理和使用情況是否存在重大漏洞和缺陷，明確現(xiàn)有安全措施的有效性程度的目的?，F(xiàn)有安全措施的評(píng)估主要采用人工檢查和訪談的方式進(jìn)行。主要包括防火墻、防病毒系統(tǒng)、入侵檢測(cè)/防御裝置、防病毒網(wǎng)關(guān)、單向隔離裝置、縱向認(rèn)證裝置等現(xiàn)有安全措施。

（3）源代碼安全審計(jì)服務(wù)

1）前期準(zhǔn)備：確定審計(jì)對(duì)象、審計(jì)方式和時(shí)間。

2）代碼審計(jì)實(shí)施：源代碼掃描、人工代碼審計(jì)。

3）復(fù)測(cè)階段：回歸檢查（二次復(fù)查）。

4）成果匯報(bào)：審計(jì)服務(wù)完結(jié)。

5）代碼審計(jì)服務(wù)內(nèi)容

①　系統(tǒng)所用開(kāi)源框架

包括反序列化漏洞，遠(yuǎn)程代碼執(zhí)行漏洞，spring、struts2安全漏洞，PHP安全漏洞等

②　應(yīng)用代碼關(guān)注要素

日志偽造漏洞，密碼明文存儲(chǔ)，資源管理，調(diào)試程序殘留，二次注入，反序列化。

API濫用

③　不安全的數(shù)據(jù)庫(kù)調(diào)用、隨機(jī)數(shù)創(chuàng)建、內(nèi)存管理調(diào)用、字符串操作，危險(xiǎn)的系統(tǒng)方法調(diào)用。

④　源代碼設(shè)計(jì)

不安全的域、方法、類修飾符未使用的外部引用、代碼。

⑤　錯(cuò)誤處理不當(dāng)

程序異常處理、返回值用法、空指針、日志記錄。

⑥　直接對(duì)象引用

直接引用數(shù)據(jù)庫(kù)中的數(shù)據(jù)、文件系統(tǒng)、內(nèi)存空間。

⑦　資源濫用

不安全的文件創(chuàng)建／修改／刪除，競(jìng)爭(zhēng)沖突，內(nèi)存泄露。

⑧　業(yè)務(wù)邏輯錯(cuò)誤

欺騙密碼找回功能，規(guī)避交易限制,越權(quán)缺陷Cookies和session的問(wèn)題。

⑨　規(guī)范性權(quán)限配置

數(shù)據(jù)庫(kù)配置規(guī)范，Web服務(wù)的權(quán)限配置SQL語(yǔ)句編寫規(guī)范。

（四）其他服務(wù)要求

服務(wù)期內(nèi)，投標(biāo)人須向招標(biāo)人提供具有數(shù)據(jù)分析能力等保合規(guī)自測(cè)類工具、源代碼安全審計(jì)工具，便于招標(biāo)人對(duì)未開(kāi)展等保測(cè)評(píng)系統(tǒng)進(jìn)行進(jìn)行網(wǎng)絡(luò)安全自測(cè)自查和系統(tǒng)源代碼審計(jì)，利用合規(guī)自測(cè)工具對(duì)安全風(fēng)險(xiǎn)進(jìn)行識(shí)別和分析，識(shí)別未測(cè)評(píng)系統(tǒng)的潛在安全風(fēng)險(xiǎn)，實(shí)現(xiàn)用數(shù)據(jù)說(shuō)話、用數(shù)據(jù)決策、用數(shù)據(jù)管理。

三、投標(biāo)人資格要求

投標(biāo)人應(yīng)為中華人民共和國(guó)境內(nèi)注冊(cè)的法人或其他組織，具有承擔(dān)民事責(zé)任的能力（法人企業(yè)分支機(jī)構(gòu)等不具備法人資格的投標(biāo)人參與投標(biāo)時(shí)，應(yīng)提供對(duì)應(yīng)法人企業(yè)法定代表人身份證明及法定代表人出具的授權(quán)委托書方可參與投標(biāo)）。提供統(tǒng)一社會(huì)信用代碼的營(yíng)業(yè)執(zhí)照掃描件或其他證明設(shè)立登記的許可文件。

資質(zhì)要求:投標(biāo)人須具有公安部第三研究所頒發(fā)的網(wǎng)絡(luò)安全服務(wù)認(rèn)證證書（等級(jí)保護(hù)測(cè)評(píng)服務(wù)認(rèn)證）、國(guó)家網(wǎng)絡(luò)安全審查與認(rèn)證中心（CCRC）或中國(guó)信息安全測(cè)評(píng)中心頒發(fā)的信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)證書，提供證書復(fù)印件、官網(wǎng)查詢截圖及鏈接（官網(wǎng)查詢鏈接https://www.djbh.net/）；

未被責(zé)令停產(chǎn)停業(yè)、暫扣或者吊銷許可證、暫扣或者吊銷執(zhí)照的；未進(jìn)入清算程序，或未被宣告破產(chǎn)，或其他未喪失履約能力的情形；投標(biāo)人應(yīng)提供2024年經(jīng)會(huì)計(jì)師事務(wù)所或?qū)徲?jì)機(jī)構(gòu)審計(jì)的財(cái)務(wù)狀況表。成立日期晚于年1月1日的，從成立年開(kāi)始提供。

2022年1月1日至投標(biāo)截止日前30日完成過(guò)類似項(xiàng)目至少1項(xiàng)。（提供業(yè)績(jī)合同和結(jié)算發(fā)票，合簽訂和發(fā)票開(kāi)具時(shí)間均在此區(qū)間內(nèi)）……

四、招標(biāo)文件獲取

4.1招標(biāo)文件發(fā)售期為2025年9月15日至2025年9月22日23:59:59。

4.2招標(biāo)文件售價(jià)每標(biāo)段200元人民幣，招標(biāo)文件一經(jīng)售出，概不退款。

五、投標(biāo)文件的遞交

5.1所有投標(biāo)文件應(yīng)于2025年9月29日08:30:00（北京時(shí)間，24小時(shí)制）之前。

本招標(biāo)項(xiàng)目?jī)H供正式會(huì)員查看，您的權(quán)限不能瀏覽詳細(xì)信息，請(qǐng)聯(lián)系辦理會(huì)員入網(wǎng)事宜，成為正式會(huì)員后可下載詳細(xì)招標(biāo)、報(bào)名表格、項(xiàng)目附件和部分項(xiàng)目招標(biāo)文件等。
聯(lián)系人：郝亮
手機(jī)：13146799092(微信同號(hào))
郵箱：1094372637@qq.com