龙岩烟草工业有限责任公司信息系统安全检测评估服务-2026年等项目询价函

附件二：详细报价函

附件三: 服务内容及要求

投标人应根据采购人需求对采购人提供的信息系统进行信息系统安全检测评估服务，具体服务内容、数量、完成时间以采购人发出的微信、邮件等书面通知为准。采购人发出书面通知后2日内未接到投标人书面异议即视为投标人已经接收并接受该项服务，投标人即有应当按照本合同约定及采购人发出的书面通知按时、按质完成服务的义务。

1、具体服务内容及要求如下：

1.1新系统上线前安全评估服务：投标人应根据采购人要求，在采购人新业务或新系统上线前，根据系统事先定义的等级保护要求以及烟草行业安全基线要求，进行全面的安全检查，对发现的问题提供加固建议并协助X改，对X改后的系统进行复测，提供系统上线安全评估报告。具体服务的内容及要求包括但不限于：

（1）差距X析服务。投标人应根据等保2.0和烟草行业安全基线要求，进行差距X析，形成差距X析报告，并提供加固建议及协助X改。

（2）漏洞扫描服务。投标人应通过漏洞扫描工具对新上线业务系统相关的设备进行漏洞扫描，包括但不限于主机操作系统、数X络服务应用，形成漏洞扫描报告，对扫描结果进行X析，并提供加固建议及协助X改。

（3）基线核查服务。投标人应对新上线业务系统的安全基线配置进行检查，包括但不限于主机操作系统、数X络服务应用，形成基线核查报告，并提供加固建议及协助X改。

（4）渗透测试服务。投标人应按实际需要对新上线业务系统进行渗透测试，形成渗透测试报告，并提供加固建议及协助X改。

（5）提供评估报告。投标人应在安全评估工作完成后5个工作日内提供包含以上所有内容的上线前安全评估报告，附上结果判定的过程证明材料，并提供残余问题处置建议。

1.2代码审计服务：投标人应根据采购人要求，对采购人指定信息系统的所有源代码进行检查，查明威胁点并加以验证，对发现的问题提供加固建议并协助X改，对X改后的系统进行复测，提供源代码审计报告，并协助采购人完善代码安全开发规范。具体服务的内容及要求包括但不限于：

（1）投标人应派出具备丰富编码经验并对安全编码原则及应用安全具有深刻理解的安全服务人员，对采购人指定的系统的源代码和软件架构的安全性、可靠性进行全面的安全检查。

（2）投标人应提供X体源代码审计和功能点人工源代码审计两种代码审计服务，具体服务形式由采购人指定。其中X体源代码审计是指源代码审计服务人员对被审计系统的所有源代码进行X体的安全审计，代码覆盖率为X%，X体源代码审计采用源代码扫描和人工X析确认相结合的方式进行X析，发现源代码存在的安全漏洞。功能点人工源代码审计是对某个或某几个重要的功能点的源代码进行人工源代码审计，发现功能点存在的代码安全问题。

（3）投标人的代码审计服务应至少包括三个阶段，即源代码审计前期准备、源代码审计实施以及现场复查实施阶段。

（4）在审计工作完成后5个工作日内，投标人出具源代码审计报告。报告应根据审计结果针对源代码中的每个安全弱点进行详细描述，描述内容至少包括安全弱点所在的代码页名、代码行数、问题代码片段以及弱点可能导致的安全问题等。除此之外，投标人还应针对各种具体的安全弱点提供解决方案和相关的安全建议，为采购人的安全运维和问题修复工作提供参考。

1.3风险评估服务：投标人应根据《信息安全技术-信息安全风险评估规范》、《信息安全技术-信息安全风险评估实施指南》及采购人其他要求，提供全面风险评估服务，每次涉及信息系统总数不超过X个，具体核查范围由采购人指定。投标人应对发现的问题提供加固建议并协助X改，对X改后的系统进行复测，提供风险评估报告。具体服务的内容及要求包括但不限于：

（1）投标人应通过管理问卷调查、安全顾问访谈、X络架构X析、漏洞扫描、渗透测试、基线核查、人工检查等多种方式，对采购人的X体安全风险进行全面、彻底评估。

（2）投标人应根据采购人的风险处置要求，协助采购人及时下发风险通知书，并跟踪问题X改情况，进一步降低采购人

（3）投标人的风险评估服务交付物应包括但不限于业务信息系统调研报告、资产清单表、脆弱性评估报告、威胁X析报告、风险评估报告、年度风险防范指南等。

1.4个人信息安全评估服务：投标人应根据《信息安全技术 个人信息安全规范》、《信息安全技术 个人信息安全影响评估指南》及采购人其他要求，提供信息系统个人信息安全影响评估服务，具体核查范围由采购人指定。投标人应对发现的问题提供加固建议并协助X改，对X改后的系统进行复测，提供个人影响安全影响评估报告报告。具体服务的内容及要求包括但不限于：

（1）投标人应通过安全访谈、管理制度评估、技术性测试等多种方式，对采购人的应用系统涉及个人信息的使用场景开展个人权益影响X析、安全事件可能性X析、风险等级判定等工作，全面了解系统个人信息安全风险，保障个人信息安全。

（2）投标人应根据采购人的风险处置要求跟踪问题X改情况，进一步降低采购人的个人信息安全风险隐患。

（3）投标人的个人信息安全影响评估服务交付物应包括但不限于《个人信息及个人敏感信息举例识别表》、《个人信息安全规范检查记录》、《个人信息处理活动映射关系表》、《个人权益影响X析表》、《个人信息安全事件可能性X析表》、《综合风险X析及X改评估措施》、《个人信息安全影响评估报告》等。

1.5健康检查服务：投标人应对采购人指定的范围X络设备、安全设备、主机操作系统、数X络服务应用）进行全面的漏洞扫描，对采购人发现的问题提供加固建议并协助X改，对X改后的系统进行复测，提供漏洞扫描报告和渗透测试报告。

1.6投标人应根据采购人采购人投标人应根据采购人要求，在采购人发生紧急安全事件5X钟以内以电话、短信和邮件等形式对采购人指定联系人进行通告，如采购人

（1）投标人

（2）投标人为采购人 

1.7应急响应服务：

（1）投标人应根据采购人要求，提供重要时期以及X络安全保障工作支持服务，必要时派人提供7×X小时驻场服务。攻防演习前根据采购人安排，XX站、IP、敏感信息等）进行测绘和模拟攻击，根据发现的问题提供加固建议并协助X改，对X改后的问题进行复测，提供攻击测试报告。

（2）当采购人投标人需提供安全应急专家进行7×X小时的现场安全应急响应工作，协助采购人的安全人员及时发现问题，恢复系统，追查来源，保留证据。在接到采购人安全事件通知后，须在XX钟内提供解决方案，并经采购人同意。对于可以远程解决的事件，必须在XX钟内X师对接，对于必须到达现场解决的事件，若事件发生地在厦门的4小时内到达现场，事件发生地在福建省内厦门以外地区的6小时内到达现场。到达现场后X小时内X络X络与信息系统恢复正常后，应在一周之内向采购人提供完X的安全事件X析处理报告。

1.8安全知识普及培训服务：投标人应根据采购人要求，到福建省内采购人指定地点提供包括但不X络X络安X络安全法律法规等相关现场培训，每次培训0.5天。

1.9安全实践培训服务：投标人应根据采购人要求，到福建省内采购人指定地点提供包括但不限于软件安全开发、渗透测试技术或安全加固技术等相关现场培训，每次2天。

1.X专业认证培训服务：投标人应根据采购人要求，提供包括但不限于CISSP、CISP、CISA、CCSP、CCIE Security、ISO X、TOGAF 9.2、COBIT、CISP-PTE或CISP-DSG的培训及认证考试。具体培训及认证内容和培训时间由采购人安排。

1.X续证服务：投标人应根据采购人要求，提供包括但不限于CISP证书续证服务。

1.12等保工作服务：投标人应根据采购人要求，配合信息系统等保定级、备案、测评等相关工作，包括但不限于定级咨询、定级专家邀请、配合安全相关文档编写、协助备案、安全设备及防护措施检查、安全问题X改等事宜。

1.13配置备份服务：投标人应根据采购人要求，协助进行一次安全设备特征库、病毒特征库、固件的升级及安全设备的配置备份。具体范围由采购人指定。

1.14事件处置服务：投标人应协助采购人对日常巡检、日志X析及其它来源发现的安全事件进行记录并跟踪处置。协助编写X改通知书，对于无法处理的事件，给出X改建议。具体范围由采购人指定。

1.15应急演练服务：投标人应协助采购人制定演练计划，开展应急演练，完成演练总结。

2、服务团队及要求

2.1投标人应指派代表组成服务团队，明确人员X工。项目经理应具备PMP证书，以及CISP、CISSP、CISA、Security+、ISO XLA五种证书之一，且具有实施过三个或以上安全服务项目经验。项目实施人员应具备至少3年以上安全服务类相关（运维、测评、支持、检测等）项目实施经验。

2.2投标人如需重新指定或更换本方的小组成员，应提前X个工作日向采购人出具书面说明阐明合理理由并征得采购人的书面同意方可进行。不论投标人以何种理由更换小组成员，更换后的小组成员资质不应低于原小组成员资质且应符合采购文件要求，同时，采购人有权要求投标人提供相应的资质证明材料。如双方未达成一致，依照原服务团队名单执行。如采购人允许服务人员变更，更换人员应在原服务人员离场前至少X个工作日到达现场，做好与原服务人员的工作交接，并在更换人员熟练开展工作后，原服务人员方可离场。

2.3投标人进场服务前，采购人有权对投标人服务人员证书资质等材料进行核验，若发现投标人提供服务人员与合同约定不一致，采购人有权要求投标人无条件更换服务人员。

2.4 合同服务期间，投标人服务人员须遵守采购人的工作场所及文档X理相关要求。  

2.5 若投标人服务人员实际素质能力无法满足合同业务需要的，采购人有权要求投标人更换服务人员，投标人必须无条件更换。   

3、其他要求

3.1投标人在开展服务前，应提前1天通知采购人，经采购人同意后方可开展相关工作。在开展服务过程中，应采用可靠的安全检测工具，不得影响采购人采购人生产业务的正常运行。

3.2投标人服务过程中所使用到的各种工具软件均由投标人推荐，经采购人确认后由投标人提供并在服务中使用。

3.3投标人服务所X（如笔记本电脑、PC、工作站等）和操作系统软件等均由投标人推荐，经采购人确认后由投标人提供并在服务中使用。

3.4投标人服务需要的运行X络环境等）由采购人提供，投标人应根据服务开展需要向采购人说明需要的运行环境的具体要求。

3.5投标人应在接到采购人通知后，在指定时间到达指定地点开始服务工作。

3.6 实施人员现场服务时间要求：投标人须为采购人提供现场服务，直至所有服务内容完成（含文档确认），并经双方确认完毕后，方可离开现场。

3.7 配套支持服务及要求：投标人应根据采购人要求X络安全宣传周X络安全宣传周X络安全专题X络安全应急演练方案与环境（如钓鱼攻击演练）等；配合上级单位、公安等外部检查单位的安全检查工作；根据采购人要求，每项服务完成后5个工作日内提供相关服务报告，每半年装订一次安全服务工作资料。

4、服务期限

4.1 服务期限：合同签订之日起至X6年X月X日。服务期限内，若采购人需求变化导致服务数量发生变化，采购人可以调X服务数量，实际履行合同金额（含税）达到合同控制金额后，合同自动终止。

4.2 若因投标人提供服务而产生的合同权利义务在服务期限届满时仍未履行完毕，则相关权利与义务仍应当依照本合同约定继续履行。

5、验收标准或要求

5.1本合同项下投标人所提供服务的要求应与采购文件、合同及附件等相关文件中约定的要求相一致。如服务要求确因客观原因须进行变更的，投标人应及时通知采购人，并经采购人书面同意。

5.2 除非本合同另有约定，投标人所提供服务的标准则应符合相应的国家或国家有关部门最新颁布的相应的正式标准；如存在多个标准的，则以其中要求最高的为准。

6、结算及服务评价

6.1 结算周期

X两次结算，采购人于服务期限起始日后6个月和服务期限届满后各结算一次。

6.2 服务评价

6.2.1采购人有权对投标人在服务期限内的运维服务工作进行服务质量评定（评价），投标人同意将采购人作出的服务质量评价结果作为合同验收及结算依据。

6.2.2在服务期限内，采购人服务质量评定（评价）标准文件发生变化的，投标人提供的服务应符合采购人发布的新文件要求。投标人拒绝执行新文件的，采购人有权单方解除其与投标人基于本合同而产生的委托服务关系且不承担违约责任。

6.2.3投标人在服务期限内存在违约行为的，采购人除有权对投标人的服务质量作出评价并据此结算服务费用外，还有权根据本合同第6条的相关约定追究投标人的违约责任。如涉及要求投标人赔付相关款项（含违约金）的，采购人有权将其从应支付给投标人的服务费用中直接扣除。

6.2.4采购人应在结算周期届满后X日内对投标人当次结算周期已完成的服务项目的服务内容和质量进行评价。     

6.3 费用确定

6.3.1 第一次结算周期费用确定方式

如IT供方评价综合总得X≥X，采购人实际支付的服务费用=∑单价*服务数量*X%-扣减的违约金和赔偿款；

如X≤IT供方评价综合总得X＜X，采购人实际支付的服务费用=∑单价*服务数量*X%-扣减的违约金和赔偿款；

如IT供方评价综合总得X＜X，采购人实际支付的服务费用=∑单价*服务数量*X%-扣减的违约金和赔偿款。

4.3.2 第二次结算周期费用确定方式

如IT供方评价综合总得X≥X，采购人实际支付的服务费用=∑单价*服务数量*X%-扣减的违约金和赔偿款；

如X≤IT供方评价综合总得X＜X，采购人实际支付的服务费用=∑单价*服务数量*X%-扣减的违约金和赔偿款；

如IT供方评价综合总得X＜X，采购人实际支付的服务费用=∑单价*服务数量*X%-扣减的违约金和赔偿款。

6.4付款方式

6.4.1 采购人完成IT供方评价并确定当次付款周期应付服务费用后X日内，由投标人以书面形式向采购人递交《申请验收通知书》及服务验收报告，采购人在收到上述材料X个工作日内开展合同履行验收。验收通过之日起X个工作日内，由投标人开具税率为   等额增值税专用发票，采购人收到发票后X日内通过转账方式向本合同签署页中约定的投标人银行账户据实支付款项。

6.4.2 投标人未按时出具发票的，采购人有权迟延支付费用，直至投标人提供符合税法要求及合同约定的发票。投标人银行账户变更的，须提前书面告知采购人。若投标人未及时通知，造成采购人向原账号付款，视为采购人已付款，所造成损失由投标人自行承担。

6.4.3若国家政策变化导致税率发生调X，双方同意自国家正式实行新税率之日后的合同付款行为，按照合同约定的不含税价乘以（1+新税率）来计算合同含税价款，双方基于调X后的合同含税价款来进行结算。