东港区卫生计生信息平台等级保护测评.docVIP

东港区卫生计生信息平台等级保护测评 项目采购需求 一、采购内容与技术测评 1、项目背景 近年来，网络与信息系统成为安全事件和泄密事件的主要途径，国家对安全工作日趋重视，多次下达文件提出严格要求，相关部委也加大了安全与必威体育官网网址检查的频度与处罚力度。2017年6月1日《中华人民共和国网络安全法》正式施行，网络信息安全从国家立法层面有了明确地规定，网络信息安全上升到一个全新的高度。本次测评的主要是根据GB 17859-1999《计算机信息系统安全保护等级划分准则》信息安全的相关标准，对信息系统在技术和管理两个方面的10个大项和78个小项的内容进行逐一的检查和测试，其内容涉及信息系统的物理安全、网络安全、主机安全、应用安全、数据安全和管理安全等，以核查东港区卫生计生信息平台已有的信息安全防护措施是否达到国家关于信息安全三级等级保护的防护要求，找出系统在信息安全方面存在的脆弱点，并提出安全整改建议。通过测评来发现问题、解决问题，从而帮助系统的使用者规避信息安全风险。 2、测评目的 本次等保测评的目的是： 1）通过等级保护测评，验证东港区卫生计生信息平台的安全性； 2）对东港区卫生计生信息平台的安全状态做出判断，验证其是否符合等级保护要求。同时，将测评结论作为进一步完善系统安全防护措施的依据。 3）出具信息安全等级保护测评报告等。 3、测评依据 参考： 《GB 17859-1999计算机信息系统安全保护等级划分准则》 《GB/T 22239-2008信息系统安全等级保护基本要求》 《GB/T 22240-2008信息系统安全等级保护定级指南》 《GA/T 390-2002 计算机信息系统安全等级保护通用技术要求》 《GA/T 391-2002 计算机信息系统安全等级保护管理要求》 《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发〔2003〕27号） 《信息安全等级保护管理办法》（公通字〔2007〕43号） 《信息系统安全等级保护测评准则》 《信息系统安全等级保护测评过程指南》 国家、省、市、区其他相关要求 二、测评工作内容 1、等级测评内容 测评的内容包括但不限于以下内容： (1)安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面的安全测评； (2)安全管理测评：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全测评。 物理安全： 根据东港区卫生和计划生育局机房和现场安全测评记录，针对机房和现场在“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等物理安全方面所采取的措施进行，判断出与其相对应的各测评项的测评结果。 网络安全： 根据东港区卫生计生信息平台网络安全测评记录，针对网络方面在“结构安全”、“访问控制”、“安全审计”、“边界完整性检查”、“入侵防范”、“恶意代码防范”、“网络设备防护”等网络安全方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。 主机安全： 主机安全现场测评包括对东港区卫生和计划生育局服务器的测评，测评内容包括“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“入侵防护”、“恶意代码防护”、“资源控制”。 应用安全： 应用安全现场测评包括对东港区卫生计生信息平台的测评，测评内容包括“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“通信完整性”、“通信必威体育官网网址性”、“抗抵赖”、“软件容错”、“资源控制”方面。 数据安全及备份恢复： 东港区卫生计生信息平台数据安全及备份恢复现场测评包括“数据完整性”、“数据必威体育官网网址性”、“备份和恢复”几个方面的测评。 安全管理制度： 根据现场安全测评记录，针对东港区卫生和计划生育局在安全管理制度方面的“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。 安全管理机构： 根据现场安全测评记录，针对东港区卫生和计划生育局在安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。 人员安全管理： 根据现场安全测评记录，针对东港区卫生和计划生育局在人员安全管理方面的“人员录用”、“人员离岗”、“人员考核”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。 系统建设管理： 根据现场安全测评记录，针对东港区卫生和计划生育局在系统建设管理方面的“系统定级”、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“系统备案”、“等级测评”以及“安全服务商选择”等测评指