信息安全等級(jí)保護(hù)測(cè)評(píng)技術(shù)標(biāo)準(zhǔn)和需求

1、信息安全等級(jí)保護(hù)測(cè)評(píng)技術(shù)標(biāo)準(zhǔn)和需求為了保障瀏陽市人民醫(yī)院“核心業(yè)務(wù)系統(tǒng)（HIS系統(tǒng)）”安全、穩(wěn)定、可靠、高效的運(yùn)行，按照相關(guān)的國家、行業(yè)的安全標(biāo)準(zhǔn)要求，需要對(duì)其進(jìn)行安全等級(jí)保護(hù)三級(jí)測(cè)評(píng)。測(cè)評(píng)內(nèi)容包括：物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。通過測(cè)評(píng)，對(duì)照相應(yīng)安全等級(jí)保護(hù)要求進(jìn)行差距分析，排查系統(tǒng)安全漏洞和隱患并分析其風(fēng)險(xiǎn)，制訂出整改措施，出具測(cè)評(píng)報(bào)

2、告。具體內(nèi)容包括：1、對(duì)瀏陽市人民醫(yī)院“核心業(yè)務(wù)系統(tǒng)（HIS系統(tǒng)）”的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理共10個(gè)層面通過訪談、檢查、測(cè)評(píng)等方法進(jìn)行初測(cè)評(píng)，找出差距、安全漏洞和隱患并分析其風(fēng)險(xiǎn)，制訂出整改建議報(bào)告。2、對(duì)經(jīng)過整改后的信息系統(tǒng)進(jìn)行回歸測(cè)評(píng)，并正式形成《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告》。一、測(cè)評(píng)內(nèi)容包括信息系統(tǒng)技術(shù)安全性測(cè)評(píng)及信息系統(tǒng)管

3、理安全測(cè)評(píng)：1、信息系統(tǒng)技術(shù)安全性測(cè)評(píng)包括但不限于：物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全。2、信息系統(tǒng)管理安全測(cè)評(píng)包括但不限于：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。二、測(cè)評(píng)具體要求：（一）信息系統(tǒng)技術(shù)安全性測(cè)評(píng)1、物理安全測(cè)評(píng)物理安全檢測(cè)應(yīng)當(dāng)包含：物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)等十個(gè)單元。2、網(wǎng)絡(luò)安全測(cè)評(píng)網(wǎng)路安全

4、測(cè)評(píng)應(yīng)當(dāng)包含：結(jié)構(gòu)安全、訪問控制、網(wǎng)絡(luò)安全審計(jì)、邊界完整性檢查、網(wǎng)絡(luò)入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)等。3、主機(jī)安全測(cè)評(píng)主機(jī)安全測(cè)評(píng)應(yīng)當(dāng)包含：身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制等。4、應(yīng)用安全測(cè)評(píng)應(yīng)用安全測(cè)評(píng)應(yīng)當(dāng)包含：身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、通信完整性、通信保密性、抗抵賴、軟件容錯(cuò)、資源控制。5、數(shù)據(jù)安全及備份恢復(fù)測(cè)評(píng)數(shù)據(jù)安全及備份恢復(fù)測(cè)評(píng)應(yīng)當(dāng)包含：數(shù)據(jù)完整性、數(shù)據(jù)保密性

5、、備份和恢復(fù)。（二）信息系統(tǒng)管理安全測(cè)評(píng)1、安全管理制度測(cè)評(píng)安全管理制度測(cè)評(píng)應(yīng)當(dāng)包含：管理制度、制定與發(fā)布、審批和修訂。2、安全管理機(jī)構(gòu)測(cè)評(píng)安全管理機(jī)構(gòu)測(cè)評(píng)應(yīng)當(dāng)包含：崗位設(shè)置、人員配備、授權(quán)和審批、溝通和合作、審核和檢查。3、人員安全管理測(cè)評(píng)備份系統(tǒng)、數(shù)據(jù)庫、中間件、應(yīng)用系統(tǒng)、數(shù)據(jù)安全、安全系統(tǒng)、系統(tǒng)安全策略等。3、服務(wù)提供商應(yīng)描述測(cè)評(píng)服務(wù)的技術(shù)方案，包括準(zhǔn)備工作、技術(shù)措施、人員安排、時(shí)間進(jìn)度、可能對(duì)系統(tǒng)造成的影響等。4、安全測(cè)評(píng)工作應(yīng)

6、盡量選擇在非業(yè)務(wù)繁忙時(shí)段進(jìn)行，將對(duì)被測(cè)系統(tǒng)可能帶來的影響減至最小。5、服務(wù)提供商應(yīng)書面承諾能夠積極與瀏陽市人民醫(yī)院協(xié)作，共同完成本項(xiàng)目的測(cè)評(píng)工作，項(xiàng)目實(shí)施過程中出現(xiàn)問題不得互相推諉，雙方應(yīng)主動(dòng)進(jìn)行溝通，并及時(shí)解決問題，確保項(xiàng)目順利實(shí)施。（三）項(xiàng)目管理要求對(duì)項(xiàng)目進(jìn)行科學(xué)嚴(yán)格的管理，通過系統(tǒng)計(jì)劃、有序組織、科學(xué)指導(dǎo)和有效控制，促進(jìn)項(xiàng)目全面順利實(shí)施，投標(biāo)人必須提供完整的項(xiàng)目管理方案，項(xiàng)目的方案設(shè)計(jì)與具體實(shí)施應(yīng)滿足以下原則：1、最小影響原則：工

7、作應(yīng)盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行，不能對(duì)網(wǎng)絡(luò)的運(yùn)行和業(yè)務(wù)的正常運(yùn)行產(chǎn)生顯著影響（包括系統(tǒng)性能明顯下降、網(wǎng)絡(luò)擁塞、服務(wù)中斷）；2、標(biāo)準(zhǔn)性原則：服務(wù)方案的設(shè)計(jì)與實(shí)施應(yīng)依據(jù)國家相關(guān)標(biāo)準(zhǔn)進(jìn)行，包括但不限于《GBT209842007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》，符合《信息安全等級(jí)保護(hù)管理辦法（公通字[2007]43號(hào)）》、《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GB178591999）》、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求（GBT22239

8、2008）》、《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南（GBT250582010）》等國家標(biāo)準(zhǔn)；3、規(guī)范性原則：服務(wù)提供商工作中的過程和文檔，應(yīng)具有較好的規(guī)范性，便于項(xiàng)目的跟蹤和控制；4、可控性原則：方法和過程要在雙方認(rèn)可的范圍之內(nèi)，安全服務(wù)的進(jìn)度要按照進(jìn)度表安排實(shí)施，保證瀏陽市人民醫(yī)院對(duì)于服務(wù)工作的可控性；5、整體性原則：評(píng)估內(nèi)容應(yīng)當(dāng)整體全面，包括安全涉及的各個(gè)層面，避免由于遺漏造成未來的安全隱患；6、保密原則：對(duì)過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未

9、經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不得利用此數(shù)據(jù)進(jìn)行任何侵害采購人的行為，否則瀏陽市人民醫(yī)院有權(quán)追究服務(wù)提供商的責(zé)任。服務(wù)提供商需根據(jù)上述要求，提供項(xiàng)目詳細(xì)的項(xiàng)目管理方案，并予以詳細(xì)解釋。（四）服務(wù)保障與承諾1、服務(wù)提供商應(yīng)嚴(yán)格按照測(cè)評(píng)人員執(zhí)業(yè)守則，按照國家相關(guān)法規(guī)、規(guī)范、標(biāo)準(zhǔn)及制定的測(cè)評(píng)方案、項(xiàng)目計(jì)劃書、實(shí)施細(xì)則進(jìn)行測(cè)評(píng)，在保證質(zhì)量、安全的前提下，確保在項(xiàng)目規(guī)定的期限內(nèi)按期完成。2、服務(wù)提供商應(yīng)協(xié)助、配合瀏陽市人民醫(yī)院與上級(jí)監(jiān)管部門、公

10、安機(jī)關(guān)的溝通協(xié)調(diào)。在測(cè)評(píng)過程中和測(cè)評(píng)完成后，協(xié)助、配合瀏陽市人民醫(yī)院進(jìn)行相關(guān)的信息系統(tǒng)安全整改，確保已定級(jí)系統(tǒng)達(dá)到等級(jí)保護(hù)的相關(guān)要求，并通過上級(jí)監(jiān)管部門和公安機(jī)關(guān)的審核驗(yàn)收。3、服務(wù)提供商應(yīng)在項(xiàng)目期內(nèi)向?yàn)g陽市人民醫(yī)院提供724小時(shí)電話咨詢服務(wù)，必要時(shí)上門服務(wù)。跟蹤信息安全等級(jí)保護(hù)的最新發(fā)展情況，及時(shí)告之瀏陽市人民醫(yī)院，提供相應(yīng)解決方案及建議，協(xié)助其持續(xù)符合信息系統(tǒng)信息安全等級(jí)保護(hù)工作的要求。4、服務(wù)提供商應(yīng)在項(xiàng)目實(shí)施過程中，對(duì)瀏陽市人民