云南省西学中线上教育培训平台网络安全服务能力提升项目公开询价公告 云南省西学中线上教育培训平台网络安全服务能力提升项目公开询价公告.docx云南省西学中线上教育培训平台网络安全服务能力提升项目公开询价公告
一、项目基本情况项目名称：云南省西学中线上教育培训平台网络安全服务能力提升项目采购单位：云南中医药大学第二附属医院预算金额（最高限价）：人民币17.50万元资金来源：省级财政资金服务期限：12个月；其中合同签订生效后30日内为集中建设交付期，其余为安全服务延续期服务地点：云南省昆明市（云南中医药大学第二附属医院自建机房及平台现有运行环境）项目性质：网络安全服务类项目（含1项互联网专线接入服务）。不新建、不新增服务器、存储等硬件基础设施，不采购任何安全硬件；安全审计能力建设复用采购人院内现有日志审计服务器；互联网专线300M接入依托采购人现有网络出口开通，不新增硬件设备
二、采购内容及预算构成本项目共6项服务（含1项基础设施服务、5项安全服务），预算合计17.50万元，供应商须对整体项目一次性报价：1、互联网专线300M接入服务（基础设施服务）。开通1条300M互联网专线接入，作为平台对外服务的网络通道，保障培训、考核高峰期学员在线学习、在线考核等业务访问通畅稳定；服务期内提供线路运行监测、故障响应和带宽保障，确保专线连通率和带宽达标。由基础电信运营商或具备相应资质的服务商提供，依托采购人现有网络出口实施，不新增服务器、存储等硬件设施。2、商用密码应用安全性评估（密评）与国密整改辅导服务。含密码应用现状调研与差距分析、正式密评测评并出具评估报告、整改方案编制与现场落地指导、整改复测、密码管理制度及密钥管理台账编制。采用软件国密方案，不采购硬件密码机，重点覆盖身份鉴别、传输安全、视频防盗链、日志防篡改、存储与备份数据加密等环节。3、应用渗透测试、源代码审计与视频资源防盗链专项验证服务。含业务接口、文件上传、账号鉴权、越权访问等常规渗透测试与源代码审计，以及防盗链绕过、爬虫批量下载、视频越权点播等专项测试，并跟踪高危漏洞整改闭环。4、边界基线加固与访问策略治理服务。含服务器、数据库、云NAS访问权限基线梳理、弱口令整改、高危端口收敛，防火墙策略优化与最小权限落实、速率限制与CC防护配置，并输出《西学中平台安全基线规范》《CDN安全访问规范》。5、全链路安全审计能力建设服务。含业务操作、课件增删、CDN访问、云NAS访问四类日志统一接入既有日志审计服务器，日志留存不少于6个月并实现SM3完整性校验，定制专项告警规则，编制溯源操作手册并开展实操培训。6、应急演练、预案编制与安全实操培训服务。含防盗链失效、课件爬虫外泄、云NAS勒索病毒感染等可控场景实战演练，专项应急预案修订，演练记录及总结报告，以及面向信息科人员的实操培训。交付与验收要求：验收以安全风险实际闭环落地为标准，不接受仅交付纸质报告；高危漏洞未完成整改闭环的不予验收；全部策略模板、示例代码、配置文档须完整交付，确保采购人可自主持续维护，不依赖服务商私有工具。信创要求：服务采用国产化工具和平台，密码应用全面采用国产密码算法（SM2用于身份鉴别、SM3用于完整性校验、SM4用于数据加密与视频防盗链时效签名）。重保与增值服务：重保服务（覆盖春节、国庆、卫健专项培训、护网等重点时段，重保前3个工作日开展预检、重保期间执行变更冻结、重保结束后提交总结报告）以及季度安全巡检、月度漏洞风险月报、组件漏洞预警等增值服务，均已包含在报价内，不再另行计费。
三、供应商资格要求符合《中华人民共和国政府采购法》第二十二条规定的基本条件，未被列入失信被执行人、重大税收违法失信主体、政府采购严重违法失信行为记录名单。具备开展商用密码应用安全性评估服务的相应资质与能力，并具备网络安全运营服务能力（渗透测试、源代码审计等）。具备云NAS＋CDN架构安全防护和视频资源防盗链实施经验，可提供同类项目业绩证明。互联网专线300M接入服务由基础电信运营商或具备相应资质的服务商提供，供应商应具备或落实相应的互联网专线接入及运行保障服务能力。严禁转包商用密码应用安全性评估、渗透测试等核心服务工作；须提供拟到场工程师的资质证明备查。服务过程中使用的工具和平台优先采用信创产品。
四、联系方式采购单位：云南中医药大学第二附属医院联系部门：【医保信息科】联系人及电话：【朱老师0871-63306331】