长沙市就业与社保数据服务中心：长沙市人力资源和社会保障局2026—2028年度信息安全服务项目采购需求公开

一、采购项目名称

长沙市人力资源和XX—X8年度信息安全服务项目

二、项目基本情况

目前，长沙市人力资源和X信息化建设已取得了显著效果。随着国家安全监管力度的不断强化，以及AI等新型应用和技术的持续涌X络信息安全工作面临着前所未有的更高要求X络信息安全工作人员少，技术力量薄弱的现状，为了有效应对X络信息安全工作的顺利推进与巩固，亟需通过购买第三方专业安全服务的方X络信息安全保障能力。

三、采购服务内容及单项预算

按照国家及行业相关标准。

四、采购服务内容

4.1安全风险评估服务

4.1.1信息系统风险评估服务

为保证采购人信息系统安全，投标人应在合同期内每年提供一次全面针对采购人现有信息系统的安全风险评估服务，并出具风险评估报告及X改加固建议，指导并跟进风险问题X改，及时完成X改后的复测。评估范X现有的所有业务系统及相关的信息资产，包括但不限于星城e就X、长沙市机关事业单X、长株潭城市群人社服务一体化系统、长沙市“智慧人社”项目(一期)、长沙市人力资X等系统。评估内容具体包括：

漏洞扫X络系统内的操作X站程序进行自动化扫描，发现各种可能遭到黑客利用的各种隐患，包括：端口扫描，漏洞扫描，密码破解，攻击测试等。

操作系统核查：核查操作系统补丁安装、进程、端口、服务、用户、策略、权限、审计、恶意程序等内容，对用户当前采取的风险控制措施和管理手段的效果进行评估，在针对性、有效性、集成特性、标准特性、可管理特性、可规划特性等六个方面进行评估。

数据库核查：主要是对数据库管理系统的权限、口令、数据备份与恢复等方面进行核查。

安全配置、访问控制策略等进行检查。

渗透测试：模拟黑客的各种攻击手段，对评估过程中发现的漏洞安全隐患进行攻击测试，评估其危害程度，主要有：弱口令、本地权限提升、远程溢出、数据库查询等。

合同期内在有重大安全漏洞或隐患出现时，投标人应及时采取有针对性的渗透测试。

4.1.2重要数据安全风险评估服务

《中华人民共和国数据安全法》要求“重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等内容。

为确保人社系统重要数据的安全性与合规性，投标人应在合同期内每年提供一次针对重要数据的安全风险评估服务。此服务旨在系统性地识别、X析重要数据在存储、传输、处理等各环节中的潜在风险，并出具详尽的风险评估报告及X改加固建议，指导并跟进风险问题X改。

4.2信息安全咨询服务

需投标人提供专业信息安全咨询服务，协助X本地及云上信息系统安全保障能力，确保信息系统建设与安全建设同步进行。主要服务内容包括及时提供信息安全技术问题咨询应答，协助完善现有安全管理体系等。X已建立了一套包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等的管理体系。需要投标人结合人力资X络和数据安全防护建设要求，以及长沙市人力资源和X现有系统上云后安全管理工作内容、流程变化，提供相应的修订建议，促进安全管理体系的执行。根据实际需要对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的管理制度进行修订，对实际工作中需要新增的安全管理制度及时协助进行新增。

4.3“政务公开”和“服务社会”两大主题的重要窗口渠道。因需要被公众访X上，容易成为黑客的攻击目标。投标人应对这类对外服务系统提供重点安全保障服务，避免因黑X站进行攻击，而产生的负面影响。包括给长沙市4.4驻场技术支持服务

根据实际工作需求，需要投标人安排1名XX驻场安全运维。主要工作内容包括本项目各项服务现场的信息收集、沟通、协调、跟进处置等工作X信办、公安、省厅等各单位通报的安全隐患问题进行排查X析，迅速定位问题，给出安全X改建议，协调和跟进X改，及时按要求出具排查处置材料；协助对日常安全漏洞预警信息进行排查跟进，形成漏洞跟踪处理记录；根据相关部门发布的安全威胁情报在安全设备上禁用相关ip地址和域名，及时阻X络安全设备进行日常的管理和巡检；服从特殊时期远程或现场值班值守安排；及时完成采购人交办的本项目其他日常安全服务技术支持工作等。采购韧有权要求X师，中标人需在X个工作日内完成人员更换和工作交接。

4.5安全通告与漏洞管理服务

X或厂商新公布安全漏洞和其他安全风险讯息，保护信息资产免受新的安全风险威胁，需要投标人提供安全通告和漏洞管理服务。具体服务要求包括及时掌握收集信息资产相关安全漏洞信息、病毒信息、厂商安全通告及其他安全通告，及时预警，并进行X析和核查；对存在安全漏洞或安全风险的信息资产提供修复建议，协助系统运维人员进行修复，修复完成后进行验证，确保成功修复。

4.6应急响应服务

应急响应是信息安全保障的最后一道防线，需要投标人提供7*X小时应急响应服务，协助进行信息安全应急工作，主要包括安全事件X析、设备日志X析、系统日志X析、攻击溯源、出具事件X析材料等工作。

4.6.1事件响应范围

4.6.2应急响应原则

4.6.2.1实时原则

配备7*X的人员值班机制，保证接受客户在任意时间提出的服务请求。本地应急响应人员在接到客户的事件请求以后，保证在XX钟之内给予响应。

4.6.2.2规范性原则

对于每一次事件的发生都有规范的事件记录，记录事件处理的全部过程。

4.6.2.3最小性原则

事件处理过程中，将事件对X个系统的影响降低到最小，强化处理前的X析与备份工作。

4.6.2.4保密性原则

对于所有事件的处理内容、时间、地点，严格遵从保密原则，不向任何的第三方透漏。

4.6.3应急保障要求

1．人员保障

支持人员需拥有三年及以上的安全行业从业经验，有较丰富的安全事件处理经验；

2．通讯保障

在应急服务周期内保持7*X小时通讯畅通；

3．技术保障

配备成熟的应急响应处理措施，包括拒绝服务攻击处理措施、非授权访问攻击处理措施、恶意代码攻击处理措施、不当应用处理措施等。

4.6.4应急响应服务目标

应急响应服务是为解决应对突发事件技术储备和技术力量不足的情况下通过实施应急响应服务能够达到如下安全目标：

1.迅速确定事件原因

2.遏制事态发展

3.快速恢复系统运行

4.固定证据，锁定攻击源

5.缩小事件影响

6X络舆情安全服务。日常密切关X络舆情事件，协助联络省市两级相关舆情部门X络舆情事件。

4.7安全培训服务

为提升从业人员的专业技能，服务商需要提供专业培训，每年至少组织一次，包括安全意识培训、安全技术交流培训等，主要培训内容包括如下几个方面：

安全意识培训：每年至少开展一次以讲座为主要形式的安全意识培训。

安全技术培训：针对采购人安全技术人员，每年至少组织开展一次安全、数据安全、应用安全等方面的安全技术交流或培训，学习了解最新安全技术知识。

4.8安全审计服务

需要投标人提供日常安全审计服务，具体服务内容包括提供堡垒机操作日志审计X析，及时发现异常操作行为（比如异常登录、非工作时间操作、不符合安全管理要求的操作等）和其他可能存在的安全隐患问题，对安全设备日志进行审计X析，并按周或按月出具审计记录（按实际要求周期出具），结合具体情况，给出优化安全运维管理、安全策略等方面的安全建议，及时汇报和跟进审计发现问题的处置情况，并协助完善相应的安全管理制度。

4.9安全检查支撑服务

为解决在配合各级部门相关要求而X络安全自查、安全检查等工作时人手不够及技术限制，以及协助解决各区县业务经办部门普遍存在技术人员少、人员X络安全责任落实不到位等问题，需要投标人提供安全检查支撑服务。包括协助完成上级部门要求开展的自查工作，及时按要求出具反馈的自查材料；每年对各区县业务经办部门提供安全检查支撑服务一次，包括安全检查人员支撑，针对存在安全问题提供安全X改建议，出具安全检查报告；对照人力资X络和数据安全防护要求，制作安全检查表单，提供对新建设信息系统安全防护措施落实情况检查，在系统设计、开发、部署实施、运行维护等周期节点完成时开展对应检查，出具检查记录，并跟进未落实到位项的X改情况。

4

在国家重要会议、重大活动的举办期间，以及重大节假日等敏感时期，境内外敌对势力的破坏活动以及黑客攻X络安全的压力呈指数级上升，各级的压力无形中增大，一旦发生安全事件，所带来的影响是不可估量的。为保障在X络与信息安全，需要投标人提供特殊时期安全保障服务。主要是针对特殊时期、重大节假日、上级相关部门组织的应急演练、攻防演习等时段，提供安全保障服务，包括制定安全保障方案，扩大技术支持纵深，必要时增加现场值守人员。

4.X代码安全审计服务

为降低人社系统源代码出现的安全漏洞，构建安全的代码，提高源代码的可靠性，提高应用系统自身安全防护能力，需要投标人提供源代码安全审计服务，项目期间内需对采购人指定的星城e就X、长沙市机关事业单X、长株潭城市群人社服务一体化系统、长沙市“智慧人社”项目(一期)等4X开展一次全面的源代码安全审计，对重要信息系统更新升级和信息系统重大功能升级的对应更新部X进行代码安全审计。具体服务内容包括依据国内或国际的信息安全标准，查找出代码中的安全问题，出具代码审计报告和安全X改建议，协助系统开发商进行X改，并在X改后及时对存在问题进行再次审计，直至X改到位。

4.12 API接口安全支撑服务

API接口作为连接不同系统和服务的核心桥梁，其重要性不言而喻。然而，随着API数量的激增和应用场景的不断扩展，API接口的安全性问题日益凸显。一旦API接口被攻击或滥用，可能导致数据泄露、服务中断甚至更严重的业务损失。因此需要服务商提供API接口安全支撑服务，协助在接口服务器清理工作中提供安全技术支撑，包括对需保留的接口服务器及接口进行安全测试，需关停的接口提供安全建议等；如开展AI建设，还需提供AI安全测试和接入AI的API安全测试，每年出具一份相应的API接口安全测试报告，协助指导进行安全隐患问题X改，并进行X改后的复测。

五、项目管理及考核

5.1项目团队管理

中标人需在合同签订后，成立一支包括项目经理和驻场人员在内的、不少于6人的服务团队，该服务团队负责完成好项目内的相关内容，以及做好中标人和采购人之间的相关沟通管理工作。

5.2项目安全及保密要求

中标人和中标人驻场人员需与采购方签订安全保密协议。中标人5.3项目考核与评价

采购人对项目服务质量进行考核评价，项目服务期满一年进行一次阶段考核，将考核评X作为阶段付款系数，项目服务期满后按两次考核评X后的系数和取平均值作为最后一次的付款系数。

付款系数计算方式：

5.3.1考核评X标准

考核满X为100X计算，考核评X参照附件《服务考核评X参照表》进行。