信息类项目院内询价报名公告（国密运维审计设备等2项）

按照《医院招标采购管理暂行办法》要求，拟在近期对以下项目进行院内询价。

请各品牌厂家、代理商见本公告后，携带有效证件及产品资料****管理中心报名（**路6号信息科研综合楼6楼），望相互转告。

报名时间：2024年11月1日-11月7日

咨询电话:0771-****429

必备证件：（加盖公章）

1. ****公司所报项目名称、产品型号、项目联系人、联系电话、电子邮箱

2. 代理公司营业执照、生产厂家授权书、厂家生产许可证、软件著作权证、产品注册证等

3. 法定代表人授权书、法定代表人及授权代表人身份证复印件

2024年11月1日

（参数仅供参考，以科室实际需求为准）

1.项目名称：国密运维审计设备

申购科室：****中心

一、硬件性能参数

▲1、标准机架式软硬件一体化设备，使用国产自主可控CPU芯片总核数≥8核，线程数≥16，CPU基本频率≥2.5GHz；设备自带国产化操作系统，符合信创要求设备优先；系统盘采用SSD可用容量≥128G，审计存储硬盘常规raid情况下可用容量≥8T，内存≥32G，提供千兆电口≥2个，万兆光口≥2个，采用冗余电源。

▲2、可管理最大**数不限制，文本协议并发≥1000个，RDP协议并发≥300个。

二、功能参数

1、账号管理功能。支持账号的批量导入、导出和批量的修改维护操作，方便快速部署；能够对托管的资产账号密码存储进行加密；系统支持被管理资产的账户口令托管，可以对被管理设备定期自动修改账户口令；支持以计划的形式对Windows、linux、unix、国产操作系统（华为OpenEuler、**Kylin、中标**、Open Kylin等）、网络设备（H3C、华为、ruijie等）类**的口令变更。

2、自动发现。支持通过IP网段扫描，快速发现指定IP地址范围内的资产，并自动识别IP和端口，方便管理员快速添加资产。

3、支持管理IPv4、IPv6资产。

4、认证管理功能。认证协议，支持静态口令、动态口令、AD域、LDAP、Radius、数字证书绑定等多种认证方式，支持静态口令、动态口令、AD域、LDAP、Radius任意两种组合的双因子认证。（提供相应的产品功能截图）

▲5、支持**CA USBKey认证登陆，可对接**CA，可由院方自主颁发USBKey证书，算法包含SM2、SM3、SM4等。

6、支持国密浏览器。

7、资产访问支持采用web直接进行访问，无需插件或调用本地应用客户端，即可实现对目标设备的快速运维。同时应提供快捷调用本地应用客户端工具能力。

8、采用web直接访问时支持水印，对话截图、拍照、录像均带有创建者信息水印。

9、支持改密结果可通过邮箱、FTP方式外发，对自动改密结果进行备份。

10、支持国密OTP动态令牌对双因子认证过程进行验证，提供国密动态令牌应支持操作系统类型包含但不限于Android、鸿蒙、IOS等。

11、根据BS/CS业务应用配置登录模版，灵活支持BS/CS客户端（如数据库客户端）的自动登录代填。

12、支持内部运维工单管理，国密运维审计设备支持内置工单流程管理，支持由操作者发起操作申请，由国密运维审计设备的管理员审批后，方能执行操作；支持外部运维工单对接，支持对接外部ITMS等管理系统，进行运维工单的自动下发，国密运维审计设备提供标准API接口。

13、认证加密，支持用户认证通过SSL国密协议加密。（提供相应的产品功能截图）

14、应用发布服务器。支持以Windows Server 2016/2019作为应用发布服务器，支持多台应用发布服务器组成集群，系统自动负载会话到其他运行正常且安装相同软件的应用发布服务器。

15、授权管理功能。支持单点登录，用户通过主账号登录后，不需要再次输入身份认证信息即可直接访问其有权访问的后台**；分级授权，主机管理功能授权和**访问授权。支持细粒度授权，可根据协议实现对用户和组的交叉授权；支持基于用户、用户组、目标设备、设备组进行授权。

16、系统授权功能，提供授权功能，并支持对系统的用户登录进行可配置的策略设置，包括限制登录IP、登录时间段（可循环，如周一至周五8：00-18：00时）等，以确保可信用户访问其拥有权限的后台**。（提供相应的产品功能截图）

17、命令控制，支持命令操作的黑白名单设置，命令权限控制规则应支持正则表达式，并可以对命令的参数进行限制并记录日志，系统内置常规高危命令。

18、RDP控制，对RDP的磁盘映射、剪切板（上行）、剪切板（下行）、登录console进行分别或者组合控制。（提供相应的产品功能截图）

19、审计管理功能，审计播放应直接可在web页面直接进行播放，且无需安装插件即可播放。审计结果展示，审计结果能够以录像重放方式展现，并支持根据时间、运维命令、进度条等方式进行定位回放；可以审计鼠标键点击操作（包括左、中、右键操作）；审计协议，支持Telnet、SSH、FTP、SFTP字符终端操作协议；支持RDP、VNC、Windows、文件共享等图形终端操作协议；SSH协议代理支持SecureCRT软件的Session Clone等复杂的功能；能够审计全部操作行为，包括vi和用户shell菜单。

20、实时监控阻断，支持事中告警功能。通过配置设置敏感操作策略，当运维用户操作这类命令，系统提供告警或者阻断，以便审计员能重点关注，告警规则支持多条命令，告警规则正则表达式。

21、国密计算服务配置，提供初始化国密计算服务功能，可灵活选择国密计算服务，既可以使用产品内置的国密资质PCI-E密码卡，保证口令和密钥的安全。为确保兼容性，PCI-E密码卡须与国密运维审计设备同一品牌。

22、合规配置，提供成熟的合规模板供选择，覆盖密码应用安全性评估中设备与计算环节对国密运维审计设备的相关要求，便于管理人员对合规性情况做初步评估。（提供相应的产品功能截图）

▲23、产品内置的密码卡，符合GM/T 0018《密码设备应用接口规范》，符合GM/T 0028《密码模块安全技术要求》安全二级。（提供密码卡商用密码产品认证证书）

▲24、CPU与密码卡核心部件应使用国产化硬件，满足国家关于信创工作的要求，符合信创要求设备优先。

25、信创支持条款

（1）软硬件兼容性：产品需兼容并稳定运行于国产操作系统、数据库、中间件及芯片环境，在项目验收前提供相关兼容性认证或测试报告，否则不予验收。

（2）自主可控：系统关键软件和技术需具备自主可控能力，核心代码无国外技术封锁风险，提供自主可控能力证明材料。

（3）技术创新与研发：优先考虑具备较强技术创新能力和自主研发实力的供应商，提供近三年内的技术创新成果或专利证书。

26、国密支持条款

（1）密码算法：系统需采用国家商用密码算法（SM2、SM3、SM4等）对敏感数据进行加密处理，提供相关加密算法的实现和验证报告。

（2）密码设备兼容性：系统需支持与国产密码设备（如XX品牌密码卡/密码机）的集成和对接，提供相关集成案例或测试报告。

（3）合规性：产品需严格遵守国家密码管理相关法律法规，****管理局或相关机构的合规性审查或认证。

27、须提供系统涉及的操作系统、数据库、中间件，并不再收费，涉及的中间件承建方应保证并提供所用均为正版。

28、系统服务器端应部署在主流操作系统上，信息技术创新操作系统优先；系统数据库应用应采用主流关系型数据库部署，信息技术创新数据库优先。

29、保证数据的开放性，如存在加密数据，需提供解密方法。

30、系统扩展性好，便于二次开发。

31、异常处理机制完善，有清晰明确的报错信息，有详细的日志记录，便于排查问题。

32、系统可配置性高，能通过配置文件完成各种功能、参数的设置。

33、系统运行稳定，业务处理高性能快速响应，界面**，操作简便。

34、系统要有完备的应急预案，保证业务运行的连续性。

35、提供自动保护功能，当故障发生时自动保护当前所有状态,保证系统能够进行恢复。

36、系统权限设定应当遵循最小授权原则。

37、系统涉及的所有数据应具有完善的隐私保护机制，确保数据不泄露，且只能用于本单位的相关业务。

38、系统满足访问控制、安全审计、剩余信息保护、软件容错等信息系统安全等级保护（三级等保）的其他规范要求。

39、系统支持7*24小时运行，系统的并发性****医疗机构同时使用，系统操作不能出现明显的延迟，并且满足未来5年业务增长的需求。

40、系统不能在账号个数、使用期限、使用范围等方面做出任何软件硬件限制，****医疗机构不受限制地使用该系统所有功能。

三、实施服务

1、合同签订后60个日历日内完成全部项目内容，达到验收标准。

2、提供主流品牌的全新货品。

3、采用主流的技术解决方案，开发者拥有自主研发能力，拥有成熟稳定整套国密运维审计设备的技术方案。

▲4、提供品牌原厂质保服务，免费质保至少3年，整机和耗材全范围维保。

5、提供上门安装和实施服务、更换、维护、维修和换新服务。质保期内接到报修，20分钟响应电话、微信、企业微信、QQ、邮件等渠道，应在故障2小时内处理，故障若超过48小时，免费提供备用硬件设备并搭建系统，搭建时间不超过72小时，确保使用连续性。呼叫上门仅需电话确认产品序列号，无需注册维保平台报修，无需软件/APP/公众号注册报修，无需复杂的拍照上传过程，无论故障类型不得收上门费。

6、提供7×24企业版支持服务，维保期间免费升级，维保期内的需求、漏洞修复免费提供。维保服务期内，供货商固定专人与院方对接，该人员负责与院方和品牌方沟通，确保维保服务可达，无需复杂的处理流程。

▲7、供应商提供产品的相关资质证明，提供生产厂家资质：企业营业执照、产品注册信息、产品彩页。

8、供货商需提供品牌方的销售授权书，确认拥有品牌产品的合法代理销售权，并提供法定代表人授权书及被授权人身份证件复印件。

9、供货商固定专人与院方对接，该人员负责与院方和品牌方沟通，确保维保服务可达，无需复杂的报修处理流程。

10、系统培训：①系统管理员及业务用户的分层次培训。提供详细的培训计划，具体培训时间、地点以用户认可为准，提供有关系统功能、安装、操作、设计、维护和系统开发以及应用软件使用的文档和培训。对于所有培训，必须派出具有相应专业资格和实际工作经验的技术人员进行培训，并承担本项目的所有培训费用。②指定专门人员负责系统相关接口的开发和调试，无偿提供标的所有子系统数据接口，如不能及时提供接口，将不组织验收；及时维护数据接口，确保接口的安全，如接口升级须及时向院区提交升级后的新接口，为确保数据顺利对接。

2.项目名称：商用密码应用方案编制

申购科室：****中心

一、项目总体目标

****医院等级保护备案系统的实施严格依据科学的管理分步有序地进行，保证项目的建设能够符合立项批复和项目管理的要求，依照国家网络安全法、密码法等相关要求，邀请专业的商用密码应****医院等级保护2.0三级4套系统的建设进行调研和方案设计等，提供4套系统商用密码应用方案编制服务，统筹做好项目商用密码应用方案从调研到通过专家评审的全过程工作，以保证项目立项的顺利进行，有利于优化信息安全的配置，加强信息安全管理。通过对系统的现状和密码应用需求进行分析，依据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等4个层面，以及密钥管理、安全管理等方面，设计系统密码应用的技术方案、安全管理方案和实施保障方案。若医院在合同签订之日起一年内新增等级保护2.0三级系统，中标供应商需至少提供1套商用密码应用方案编制服务。

二、服务内容

根据密码法、网络安全法等相关法规要求，按时完成4套系统商用密码应用方案的编制并协助完成方案评审工作，为项目商用密码应用提供指导，助力项目的落地实施。成果提交物包括并不限于以下内容：项目《密码应用解决方案》、《商用密码应用实施方案》、《商用密码应用应急处置方案》等（以密码主管部门最新要求为准）。

项目的商用密码应用方案编制服务具体工作内容包括按照相关要求编制《商用密码应用建设方案》，密码应用解决方案包括但不限于以下内容：系统建设背景、系统建设现状、安全风险及控制需求、密码应用需求、方案总体设计、密码技术方案、管理体系设计、运维体系设计、安全与合规性；实施方案包括但不限于以下内容：项目概述、项目组织、实施内容、实施计划、保障措施、经费概算；应急处置方案包括但不限于以下内容：潜在的安全事件分析、应急处置组织机构与职责、应急处置预案设计、信息公告流程、损失评估、预案激活条件。

三、服务要求

（1）团队人员要求

中标人应在项目服务期内，为采购人成立专门负责本项目的服务团队，中标人应提供人员管理及配备方案，并确保人员的稳定。

结合目前项目的编制服务需求，服务团队成员不得少于4人，并设置项目经理、服务顾问专家、编制服务人员等角色。

项目经理（1人）负责日常管理工作，负责团队建设、沟通管理、绩效评价、协调**。要求具有信息化相关专业研究生或以上学历，同时具备：

1）具有信息系统项目管理师（高级）证书；

2）PMP证书。

拟投入服务顾问专家（1人）具有：

1）具有计算机、电子或信息化类高级工程师证书；

2）具有信息系统项目管理师（高级）证书。

拟投入编制服务人员（不包含总咨询工程师及项目经理，不少于2名）要求：

工作经验2年以上密码应用安全相关工作经验，具备中级职称（电子或通信或计算机类），熟悉政务信息化流程。

投标人需承诺参与本项目人员必须以直属人员参与本项目服务，不得使用挂靠队伍。（投标时提供承诺函，格式自拟）

项目团队成员能够在 2 小时内提供现场服务。

（2）人员管理要求

在项目实际执行过程中，如发生项目经理不能按采购文件要求胜任相关工作的，采购人有权要求更换项目经理，中标人应在两周内调整为符合采购文件要求且能胜任相关工作的项目经理并到位开展工作，否则采购人有权****管理部门进行处理。

中标人承诺的项目经理和项目主要团队成员未经用户同意不得调整；中标人如中途更换项目经理和主要开发技术人员，应征得用户同意，否则采购人有权终止合同。

（3）进度要求

商用密码应用方案编制服务的服务周期为自合同签订之日起至商用密码应用方案通****管理局审核意见为止，要求于2个月内完成商用密码应用方案编制。

（4）组织实施要求

为使项目按质、按量、按时及有序实施，投标人应建立完善、稳定的项目团队、内部组织管理方式及管理机构、协调机制、技术基础，支撑保障要求及其他相关要求。在机制保障方面，****小组和项目专家组的双轨制的组织模式。在项目日常管理和条件保障方面，从行政组织、后勤保障和支撑条件各方面创造良好的服务环境，确保项目的顺利实施。同时，投标人须承诺无条件接受采购人制定的密码应用方案编制服务管理要求并接受统一管理。

（5）文档管理要求

投标人应在项目完成时，将本项目所有文档、资料汇集成册交付给采购人，所有文件要求用中文书写或有完整的中文注释。验收后，向采购人提供各方案汇集成册、编制说明的纸质文档至少5套，电子文档5套，满足项目档案规定归档要求。

（6）质量保证要求

为了保证本编制服务项目能按时高质地顺利完成，规避项目风险或将风险降至最低程度，应采取如下质量保证措施：

1. ****领导小组****小组，是确保本项目服务内容质量和成功实施的关键措施。

2.认真做好项目前期工作和实施计划。

3.确保调研过程中所获得信息的正确性与全面性。

4.重视项目过程中的沟通、汇报和信息交互。

4.方案包括项目各类硬件、各系统软件及边界对接密码应用方案，体现适用性、可靠性、安全性、整体性、系统性。

强化成果评审、论证工作。中标人应对项目成果严格进行内部评审，严把各阶段质量关，从而确保编制服务过程中交付成果的质量。

四、服务成果

商用密码应用方案编制服务成果包括不限于：

为医院等级保护2.0三级4套系统编制《商用密码应用解决方案》 《商用密码应用实施方案》 《商用密码应用应急处置方案》（以密码主管部门最新要求为准）。提供商用密码应用方案编制解读服务。提交成果各方案及编制说明的纸质一式各5份（含封面、目录、内容、图表及附件）和盖章扫描件及电子文档刻录光盘各5份。

中标人在服务期内提交的商用密码应用方案，****管理局审核意见，采购人顺利完成相关项目立项，取得相关批复或备案通过。****管理局审核意见要求整改，中标人应协助整改，****管理局相关批复或备案通过。

五、标准规范要求

编制相关工作应符合国家相关指导思想及行业标准，主要参考以下依据（以密码主管部门最新要求为准）：

六、服务响应要求

中标人应在采购人的监督、指导下展开工作，并承诺在服务期间项目团队成员能够在工作时间2小时内提供现场服务。

七、资产权属

（1）本项目所涉****医院所有，投标人只能用于履行义务之目的。

（2）本项目不会引起任何已申请、登记的知识产权所有权的转移。

（3）投标人为履行义务所形成的服务成果的知识产权归采购人所有。

（4）投标人保证向采购人提供的服务成果不存在任何侵犯第三方专利权、商标权、著作权等合法权益。如因投标人提供的服务成果侵犯任何第三方的合法权益，导致该第三方追究采购人责任的，投标人应负责解决并赔偿因此给采购人造成的全部损失。

八、保密要求

（1）投标人对其因身份、职务、职业或技术关系而知悉的采购人商业秘密和单位保密信息应严格保守，保证不被披露或使用，包括意外或过失。

（2）投标人不得以竞争为目的、或出于私利、或为第三人谋利而擅自保存、披露、使用采购人商业秘密和单位保密信息；不得直接或间接地向无关人员泄露采购人的商业秘密和单位保密信息；不得向不承担保密义务的任何第三人披露采购人的商业秘密和单位保密信息。投标人不得擅自记录、复制、拍摄、摘抄、收藏在工作中涉及的保密信息，严禁将任何资料、数据透露或以其他方式提供给项目以外的其他方或投标人内部与该项目无关的任何人员。