潍坊市人民医院采购2025年度网络安全运维与保障服务征集公告

一、网络安全运维服务

1.医院信息网络安全运维服务项目，主要包括信息网络安全设备管理，网络安全架构建设与运维解决方案，消除网络安全隐患，加强网络安全访问管控以及安全运维体系建设等内容。

2.管理范围：管理范围包括30余台网络安全设备、所有服务器、各类信息终端及全院应用系统安全事件，需全面细致运维，筑牢医院网络安全防线。

3.安全事件管理：负责监控防火墙、态势感知、网闸等系统，严谨分析安全告警，凭借专业技术与经验，精准识别潜在安全威胁，守护网络安全环境。

4.具备安全事件响应能力：一旦检测到安全事件，需即刻隔离受影响系统，严格依照应急预案程序执行，迅速控制事态，最大限度降低对医院运营的影响。

5.具备日志分析能力：定期仔细审查安全日志，通过关联、趋势等分析手段，敏锐识别其中异常行为与潜在风险，为优化网络安全措施提供有力支撑。做好日常日志信息采集工作。

6.具备报告编制能力：安全事件发生后，及时编制报告，深入分析事件原因，提出切实可行的改进建议，助力医院不断完善网络安全防护体系。

7.具备安全策略制定能力：依据医疗行业特点与法规要求，制定并适时更新安全策略，明确网络访问、数据安全等规范，帮助组织制定合适的安全标准和流程，确保信息系统在设计和实施过程中充分考虑安全因素，确保契合医院业务发展需求。

8.系统更新和补丁管理：监控软件漏洞信息，对需进行系统更新和修复安全补丁的应用，提出安全改进建议并协助整改。

9.资产统计：更新管理设备资产明细。

10.驻场工程师：提供1名专职的驻场工程师进行安全运维服务,驻场工程师须具有所投MSS服务厂商安服认证证书，与MSS云端服务工程师协同做好网络安全运维工作。

二、网络安全检测服务

1.提供信息系统渗透测试与安全基线核查服务，对医院信息系统展开全面渗透测试及漏洞修补工作。每年对全院信息系统进行安全检测，并督导其整改，完成风险问题整改闭环，同时提供不低于50个系统的专业安全检测报告，确保系统安全稳定。

2.系统安全风险漏洞检测与评估：深入评估医院信息系统，运用专业技术手段识别安全漏洞和潜在风险，根据检测结果，提供具有针对性的改进建议和切实可行的解决方案，提升系统安全性。

3.渗透测试：模拟黑客攻击，对信息系统进行深度的检测，不放过任何潜在安全漏洞。检测完成后，依据发现的问题，为医院提供详细的修复建议，增强系统的安全防护能力。

4.系统合规性评估：评估组织的信息系统是否符合相关行业和地区****

5.网络安全事件响应：保护医院的信息系统基础设施，凭借先进的技术手段防止网络攻击、入侵和恶意软件的传播，为医院信息系统的正常运行构建安全屏障。

6.应急响应和灾难恢复：帮助医院制定完善的应急响应计划，确保在安全事件发生时能迅速行动，降低损失。同时，提供灾难恢复方案，保障信息系统能在灾难后快速恢复正常，保障业务连续性。

7.提供1名专职的驻场服务人员须具有CISP、CISSP、CISP-PTE、CISP-DSG、CISAW-HSP、国家软考信息安全工程师中级其中之一的证书，驻场工程师须具有所投MSS服务厂商安服认证证书，确保服务的专业性和可靠性。

三、安全日志系统开发服务（二期）

1.加强医院信息系统日志保存与管理能力，使符合网络安全等级保护中日志管理要求：详细记录运维操作日志，运维工具的开通、使用以及操作过程中保留不可更改的审计日志；采集安全设备日志，记录攻击源IP、攻击类型、攻击目的IP、攻击时间等日志，在发生严重入侵事件时应提供报警；对设备管理用户的行为和重要安全事件进行日志审计记录；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；对审计记录进行存储保护和集中管理，避免受到未预期的删除、修改或覆盖；

2.日志采集支持主流的Linux和Windows操作系统平台。能够采集包括且不限于操作系统、数据库、接口、中间件、应用系统、网络设备、安全设备所产生相关日志集中收集；

3.支持主流的Syslog日志协议，具备未来统一管理硬件设备Syslog的能力；

4.支持Agent方式在OS内部采集日志；

5.支持应用系统直接通过程序代码进行业务数据写入能力；

6.项目建设的日志平台相关功能必须不限制接入量；

7.基于现有医院日志中心系统提供二期开发维护服务，本次项目实施验收时，日志中心应该达到日志采集源总数≥1000个（其中服务器系统日志数量≥500个、应用日志接入点≥200个）。

8.数据传输：支持主流的Redis和Kafka消息队列，通过消息队列对业务日志进行削峰填谷，平衡系统中提取数据接收的吞吐压力。

9.数据过滤：支持日志在采集、传输过程中对日志的内容进行过滤、初步分析，实现数据去重、清晰、格式化。

10.数据存储：数据存储节点支持弹性功能，能够随着日志数据的数量增长，进行数据节点弹性扩容。

11.数据存储应当具备热数据，温数据，冷数据这样的数据分层技术；能够实现日志多副本，不同类型的日志差异化存储时间；针对日常运维分析日志的热数据存储3～7天，针对需要做等保的日志数据存储180天以上。

12.数据展示：能够对存储的数据进行可视化配置展示；具备基于日志平台的数据检索分析、二次展示的能力。

13.日志告警：提供日志告警支持，能够通过webhook进行微信告警发送。

14.日志分析：建立事件检测规则，统计数据使用仪表盘汇总展示。

15.异常入侵检测:包括SSH爆破、异常登录异常行为检测、防火墙关闭、异常账户创建、账户提权、密码重置、删除、修改审计日志、高危操作检测等；

16.具备大屏幕实时监控能力，可主动发现并提醒异常威胁。

17.权限管理：支持不同的用户能够看到不同的日志内容，实现敏感数据的安全管控。

18.科研产出：能够与医院相关重点实验室开展合作共研，产出归属甲方的软著或其它技术成果。

19.平台实施：提供平台安装实施、调优、平台日志接入等端到端的服务，验收时必须提供具备资质的第三方公司出具的软件测评报告。

四、安全威胁检测和事件响应平台与MSS服务

1. 对现有MSS安全运营服务续保全量核心服务器资产，提供基于SaaS的云端安全威胁检测和事件响应平台，平台能够利用先进的网络安全大模型等技术手段对全量资产进行风险管理、检测响应、安全监控等功能。提供7*24小时安全运营托管服务。

2.实时监测网络安全状态，对攻击事件自动化生成工单，及时进行分析与预警。攻击事件包含境外黑客攻击事件、暴力破解攻击事件、持续攻击事件。

3.实时监测网络安全状态，对病毒事件自动化生成工单，及时进行分析与预警。病毒类型包含勒索型、流行病毒、挖矿型、蠕虫型、外发DOS型、C C访问型、文件感染型、木马型。

4.勒索病毒事件分析：分析判断主机是否感染了勒索病毒；是否已感染勒索病毒文件；根据已发生的漏洞攻击行为分析判断是否存在勒索病毒攻击等。

5.挖矿病毒事件分析：分析是否感染了挖矿病毒/木马；是否处于挖矿状态；根据已发生的漏洞攻击行为分析判断是否存在以植入挖矿木马为目的的漏洞攻击等。

6.蠕虫病毒事件：确认文件是否被感染，定位失陷的代码并进行修复。

7.针对漏洞利用攻击行为、Webshell上传行为、Web系统目录遍历攻击行为、SQL注入攻击行为、信息泄露攻击行为、口令暴力破解攻击行为、僵尸网络攻击行为、系统命令注入攻击行为及僵尸网络攻击行为进行分析评估，判断攻击行为是否成功以及业务风险点。

8.实时针对异常流量分析、攻击日志和病毒日志分析，经过海量数据脱敏、聚合发现安全事件。

9.对发现的问题进行处置，包含内网脆弱性问题，病毒类事件，入侵行为，勒索、挖矿类事件等。

10.漏洞修复建议：针对存在的漏洞提供修复建议，能够提供精准、易懂、可落地的漏洞修复方案。

11.入侵影响抑制：通过事件检测分析，提供抑制手段，降低入侵影响，协助快速恢复业务；入侵威胁清除：排查攻击路径，恶意文件清除；入侵原因分析：还原攻击路径，分析入侵事件原因。

12.加固建议指导：结合现有安全防御体系，指导用户进行安全加固、提供整改建议、防止再次入侵。

13.策略调整：安全专家根据安全事件分析的结果以及处置方式，根据用户授权情况按需对安全组件上的安全策略进行调整工作。

14.重保值守：国家重大节日期间进行节日值守，并汇总安全状态生成安全值守报告发送用户。

15.基于主动响应和被动响应流程，对页面篡改、通报、断网、webshell、黑链等各类严重安全事件进行现场紧急响应和处置的解决方案。

16.针对每一类威胁，使用安全态势感知平台与云端服务平台进行深度分析验证，分析判断是否存在其他可疑主机，将深度关联分析的结果通过邮件、微信等方式告知用户，实现半自动化智能响应。支持聚合关键数据分析，生成安全事件并回溯攻击链。内置微剧本实现半自动化智能响应。为医院应急处置提供攻防工具箱，实在线上线下快速联动应急。

17.针对分析得到的勒索病毒、挖矿病毒、篡改事件、webshell、僵尸网络等安全事件，通过工具和方法对恶意文件、代码进行根除，帮助客户快速恢复业务，消除或减轻影响。

18.通过安全服务平台，可随时查看业务资产安全状态；在线展示所有事件监测结果、防御过程和防御结果。

19.本项目使用服务工具支持将收集的安全流量日志上传到安全服务平台上，并支持在该平台上对服务工具进行管理。

20.为了保证安全监测的效果，需要安全服务平台具备检测规则的自定义功能，以满足日益复杂的安全趋势所带来的安全需求。

21.网络安全培训：院级每年一次（需提前准备考核试题与评优奖励）、科室每季度一次。为医院信息网络安全高级管理人才提供不少于2人次每年60学时的安全培训服务。

22.交付物名称：《安全服务运营报告》，报告频率：每周一次。

23.交付物名称：《事件分析与处置报告》，报告频率：按需触发，不限次数。

24.交付物名称：《安全通告》，报告频率：按需触发，不限次数。

25.交付物名称：《综合分析报告》，报告频率：每月一次。