广东医科大学附属医院信息安全评测服务（2024、2025年度）结果公告

广东南方信息安全研究院

广州市萝岗区广州高新技术产业开发区彩频路9号1202B

1,176,000.00元

1-1

测试评估认证服务

数据安全评估

参考相关要求，对采购人的重要信息系统数据进行数据安全风险评估，找出数据流转过程中各个流程节点存在安全隐患，并提供相应安全整改建议。

按照招标文件要求

合同履行期限：1、2024年12月30日前完成第一年所有服务内容并交付所有项目成果。 2、2025年12月30日前完成第二年所有服务内容并交付所有项目成果。

按照招标文件要求

76,000.00

1-1

测试评估认证服务

渗透测试服务

使用全面渗透方式对采购人所有面向互联网的系统进行非破坏性的模拟渗透攻击，发现系统可能存在的SQL注入、跨站脚本、弱口令、溢出、文件上传、认证会话管理类、未授权访问类等漏洞，并提供针对性整改方案，避免高中危漏洞暴露于互联网，最终出具《渗透测试报告》。

按照招标文件要求

合同履行期限：1、2024年12月30日前完成第一年所有服务内容并交付所有项目成果。 2、2025年12月30日前完成第二年所有服务内容并交付所有项目成果。

按照招标文件要求

100,000.00

1-1

测试评估认证服务

等级保护测评

根据《信息安全技术   网络安全等级保护基本要求》（GB/T 22239-2019）标准要求，对采购人的7个网络安全等级保护三级系统、3个网络安全等级保护二级系统进行网络安全等级测评服务： 1、等级保护差距测评 以等级保护标准要求为依据，按照等级保护标准要求对本次项目范围的信息系统进行综合安全评估，发现信息系统的安全保护现状，并为确立安全策略、制定安全规划、开展安全建设提供改进建议，为后续采购人通过网络安全等级保护测评提供指导。等级保护测评的内容至少包括：   （1）安全物理环境 安全物理环境测评是对被测系统的机房和办公场所的物理环境安全防护情况进行测评，包括机房物理位置选择、物理访问控制、防盗窃和防破、防雷击、防火、防水和防潮、防静电应、温湿度控制、电力供应、电磁防护等方面的安全状况。   （2）安全通信网络 安全通信网络测评是对被测系统的通信网络安全防护情况进行测评，包括网络架构、通信传输、可信验证等方面的安全状况。   （3）安全区域边界 安全区域边界测评是对被测系统的区域边界的安全防护情况进行测评，包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计、可信验证等方面的安全状况。   （4）安全计算环境 安全计算环境测评是对被测系统的计算环境的安全防护情况进行测评，包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据备份恢复、剩余信息保护、个人信息保护等方面的安全状况。   （5）安全管理中心 安全管理中心测评是对被测系统的管理中心安全保护情况进行测评，包括系统管理、审计管理。 （6）安全管理制度 安全管理制度测评是对被测系统的安全策略、管理制度、制定和发布、评审和修订等情况进行测评。 （7）安全管理机构 安全管理机构测评是对被测系统的岗位设置、授权和审批、沟通和合作、审核和检查等情况进行测评。 （8）安全管理人员 安全管理人员测评是对被测系统相关内部人员的人员录用、人员离岗、安全意识教育和培训，以及外部人员访问管理等情况进行测评。   （9）安全建设管理 安全建设管理测评是对被测系统建设过程中的系统定级和备案、安全方案设计、产品采购和使用、自主软件开发、工程实施、测试验收、系统交付、等级保护测评、服务商选择等情况进行测评。   （10）安全运维管理 安全运维管理测评是对被测系统运行维护过程中的环境管理、资产管理、介质管理、设备维护管理、漏洞和风险、网络和系统安全管理、配置管理、恶意代码防范管理、密码管理、变更管理、安全事件处置、应急预案管理等、外包运维管理情况进行测评。   （11）差距测评工作完成后，服务商提交《测评问题清单与整改建议》。 2、安全整改协助服务   根据等级保护差距测评结果提供风险整改咨询服务，协助对机房环境、通信网络、服务器、数据库、中间件、业务系统、源代码、移动应用APP、办公终端安全实施整改，协助采购人制定并落实安全管理制度，落实安全责任，落实安全防护技术整改措施，指导采购人完成信息系统的安全整改，达到国家规定的等级保护防护安全要求。 3、等级保护验收测评 在采购人完成此次安全测评的系统风险整改工作后，服务商根据差距测评的结果和风险整改结果进行对比，现场回归测评分析整改结果，对实施的信息系统进行安全等级保护分析及打分，并根据实际测评结论出具符合2.0标准的《网络安全等级保护等级测评报告》，并协助采购人通过公安机关的报告审核。

按照招标文件要求

合同履行期限：1、2024年12月30日前完成第一年所有服务内容并交付所有项目成果。 2、2025年12月30日前完成第二年所有服务内容并交付所有项目成果。

按照招标文件要求

850,000.00

1-1

测试评估认证服务

能力认证培训

1、提供2人次注册信息安全人员认证（CISP）培训及考试认证。 2、提供2人次信息安全保障人员认证（CISAW）培训及考试认证。

按照招标文件要求

合同履行期限：1、2024年12月30日前完成第一年所有服务内容并交付所有项目成果。 2、2025年12月30日前完成第二年所有服务内容并交付所有项目成果。

按照招标文件要求

60,000.00

1-1

测试评估认证服务

网络安全应急演练

根据采购人常面临的网络安全威胁场景，制定相应网络安全应急演练方案，并组织模拟常见网络攻击安全事件进行应急演练，检验采购人网络安全应急演练机制是否存在缺陷并提出整改建议，最终出具《应急演练报告》。

按照招标文件要求

合同履行期限：1、2024年12月30日前完成第一年所有服务内容并交付所有项目成果。 2、2025年12月30日前完成第二年所有服务内容并交付所有项目成果。

按照招标文件要求

30,000.00

1-1

测试评估认证服务

APP软件安全检测

参考《信息安全技术移动智能终端应用软件安全技术要求和测试评价方法》（GB∕T 34975-2017）和《移动智能终端软件安全性测试规范》（DB44_T   1557-2015）相关技术要求对APP软件进行安全测试，通过专业APP安全测试工具，对APP软件的安全配置参数、权限保护机制、代码编译保护等方面进行全覆盖测试，发现APP安全缺陷漏洞，并人工验证漏洞的真伪，对存在的安全缺陷提供针对性整改加固方案，协助进行风险整改。

按照招标文件要求

合同履行期限：1、2024年12月30日前完成第一年所有服务内容并交付所有项目成果。 2、2025年12月30日前完成第二年所有服务内容并交付所有项目成果。

按照招标文件要求

60,000.00

合同包号

合同包名称

代理服务费金额（万元）

收取对象

1

信息安全评测服务（2024、2025年度）

1.6408

中标（成交）供应商

广东南方信息安全研究院

通过

通过

51.80

19.20

20.00

91.00

1

1

广州竞远安全技术股份有限公司

通过

通过

27.00

18.40

19.73

65.13

2

2

深圳市博通智能技术有限公司

通过

通过

23.20

17.60

19.83

60.63

3