2024年上海農(nóng)商銀行2024年度互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試及安全維護(hù)服務(wù)(年度滲透1、2)項(xiàng)目供應(yīng)商第二輪征集公告


為服務(wù)我行2024年度互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試及安全維護(hù)服務(wù)（年度滲透1、2）項(xiàng)目，現(xiàn)向全社會(huì)公開(kāi)征服務(wù)供應(yīng)商，請(qǐng)有意者并具備下列要求的供應(yīng)商前來(lái)我行報(bào)名。

一、采購(gòu)內(nèi)容及要求

滿足2024年7月1日至2025年6月30日的互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試及安全維護(hù)服務(wù)工作。本項(xiàng)目分為2個(gè)包件，報(bào)名時(shí)可以選擇一個(gè)或多個(gè)包件報(bào)名，具體內(nèi)容如下：

（一）采購(gòu)內(nèi)容

包件一：年度滲透1

包含不少于以下內(nèi)容：


序號(hào)

名稱

規(guī)格

數(shù)量

備注


1

互聯(lián)網(wǎng)相關(guān)系統(tǒng)滲透測(cè)試服務(wù)

次

1

1、1次滲透測(cè)試互聯(lián)網(wǎng)系統(tǒng)全覆蓋，完成現(xiàn)場(chǎng)內(nèi)外網(wǎng)滲透測(cè)試以及滲透所發(fā)現(xiàn)漏洞的修補(bǔ)與驗(yàn)證支持、總結(jié)分析與報(bào)告整理工作

2、現(xiàn)場(chǎng)滲透性測(cè)試人員投入總計(jì)不得少于3人，至少3人近三年內(nèi)具有3家以上國(guó)有銀行或全國(guó)性股份制銀行滲透測(cè)試項(xiàng)目經(jīng)驗(yàn)，且至少2人具備三年以上漏洞研究經(jīng)驗(yàn)和獨(dú)立漏洞發(fā)掘能力（需提供服務(wù)人員名單及簡(jiǎn)歷）


2

新上線互聯(lián)網(wǎng)系統(tǒng)滲透測(cè)試服務(wù)

人/天

50

1、提供50個(gè)人天的新業(yè)務(wù)功能上線后的生產(chǎn)環(huán)境現(xiàn)場(chǎng)滲透測(cè)試服務(wù)及發(fā)現(xiàn)漏洞問(wèn)題的修補(bǔ)支持與驗(yàn)證服務(wù)。

2、其他一切要求同互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試服務(wù)


3

安全基線檢查服務(wù)

人/天

64

1、提供64個(gè)人天的安全配置基線檢查和整改支持服務(wù)。

2、其他一切要求同互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試服務(wù)


包件二：年度滲透2

包含不少于以下內(nèi)容：


序號(hào)

名稱

規(guī)格

數(shù)量

備注


1

互聯(lián)網(wǎng)相關(guān)系統(tǒng)滲透測(cè)試服務(wù)

次

1

1、1次滲透測(cè)試互聯(lián)網(wǎng)系統(tǒng)全覆蓋，完成現(xiàn)場(chǎng)內(nèi)外網(wǎng)滲透測(cè)試以及滲透所發(fā)現(xiàn)漏洞的修補(bǔ)與驗(yàn)證支持、總結(jié)分析與報(bào)告整理工作

2、現(xiàn)場(chǎng)滲透性測(cè)試人員投入總計(jì)不得少于3人，至少3人近三年內(nèi)具有3家以上國(guó)有銀行或全國(guó)性股份制銀行滲透測(cè)試項(xiàng)目經(jīng)驗(yàn)，且至少2人具備三年以上漏洞研究經(jīng)驗(yàn)和獨(dú)立漏洞發(fā)掘能力（需提供服務(wù)人員名單及簡(jiǎn)歷）


2

新上線互聯(lián)網(wǎng)系統(tǒng)滲透測(cè)試服務(wù)

人/天

50

1、提供50個(gè)人天的新業(yè)務(wù)功能上線后的生產(chǎn)環(huán)境現(xiàn)場(chǎng)滲透測(cè)試服務(wù)及發(fā)現(xiàn)漏洞問(wèn)題的修補(bǔ)支持與驗(yàn)證服務(wù)。

2、其他一切要求同互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試服務(wù)




（二）技術(shù)要求

包件一：年度滲透1

1、服務(wù)要求

（1）供應(yīng)商承諾無(wú)論出現(xiàn)任何情況，都將優(yōu)先配置資源為采購(gòu)人提供服務(wù)，包括但不限于滲透測(cè)試、安全人天服務(wù)以及新業(yè)務(wù)功能上線后的生產(chǎn)環(huán)境滲透測(cè)試人天服務(wù)。

（2）互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試服務(wù)要求按銀保監(jiān)會(huì)頒布的《電子銀行業(yè)務(wù)管理辦法》、《電子銀行安全評(píng)估指引》、人民銀行頒布的《網(wǎng)上銀行信息安全通用規(guī)范》、《金融網(wǎng)絡(luò)安全相關(guān)測(cè)試標(biāo)準(zhǔn)》以及《金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)指南》、《金融網(wǎng)絡(luò)安全web應(yīng)用服務(wù)安全通用規(guī)范》、《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》、《移動(dòng)金融客戶端應(yīng)用軟件安全檢測(cè)規(guī)范》等要求對(duì)采購(gòu)人全量互聯(lián)網(wǎng)系統(tǒng)提供現(xiàn)場(chǎng)內(nèi)、外部滲透測(cè)試。

（3）對(duì)安全人天服務(wù)（新上線互聯(lián)網(wǎng)系統(tǒng)滲透測(cè)試、安全基線檢查），一是要求根據(jù)監(jiān)管要求、采購(gòu)人安全需求以及行業(yè)內(nèi)安全配置基線更新情況，為采購(gòu)人提供安全配置基線咨詢和修訂工作；二是提供724小時(shí)應(yīng)急事件響應(yīng)并提供處置建議。

（4）應(yīng)具備中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心信息安全服務(wù)資質(zhì)認(rèn)證證書(shū)（信息安全風(fēng)險(xiǎn)評(píng)估）一級(jí)或以上；應(yīng)具備國(guó)家信息安全測(cè)評(píng)信息安全服務(wù)資質(zhì)證書(shū)（風(fēng)險(xiǎn)評(píng)估類）二級(jí)或以上；應(yīng)具備國(guó)家信息安全測(cè)評(píng)信息安全服務(wù)資質(zhì)證書(shū)（安全工程類）三級(jí)或以上；應(yīng)具備中國(guó)信息安全漏洞庫(kù)（CNNVD）技術(shù)支撐單位資質(zhì)；以上要求需提供響應(yīng)資質(zhì)證明文件。

2、服務(wù)人員要求

（1）安排至少有三年以上類似安全項(xiàng)目工作經(jīng)驗(yàn)的人員擔(dān)任服務(wù)人員，人員資質(zhì)、數(shù)量要能滿足工作內(nèi)容與時(shí)間節(jié)點(diǎn)要求，如果不滿足，采購(gòu)人有權(quán)要求更換項(xiàng)目成員。保證參加本項(xiàng)目實(shí)施人員的穩(wěn)定，原則上團(tuán)隊(duì)負(fù)責(zé)人不得變動(dòng)，人員流動(dòng)比例不得超過(guò)15%，人員流動(dòng)必須經(jīng)采購(gòu)人書(shū)面同意。

（2）每次現(xiàn)場(chǎng)滲透性測(cè)試人員投入總計(jì)不少于3人，且全部投入人員近三年內(nèi)具有3家以上國(guó)有銀行或全國(guó)性股份制銀行滲透測(cè)試項(xiàng)目經(jīng)驗(yàn)，且至少2人具備三年以上漏洞研究經(jīng)驗(yàn)和獨(dú)立漏洞發(fā)掘能力。

3、交付成果

（1）滲透測(cè)試方案，并且盡量減少滲透測(cè)試的影響與風(fēng)險(xiǎn)。

（2）滲透測(cè)試發(fā)現(xiàn)問(wèn)題情況，對(duì)問(wèn)題進(jìn)行歸類匯總并分析原因，按實(shí)際情況提供切實(shí)可行的整改建議或補(bǔ)償控制措施。

（3）滲透測(cè)試報(bào)告，應(yīng)體現(xiàn)技術(shù)風(fēng)險(xiǎn)分析與評(píng)估、控制措施的有效性，剩余風(fēng)險(xiǎn)等，包括紙質(zhì)版與電子版。

（4）漏洞掃描報(bào)告，對(duì)每次漏洞掃描發(fā)現(xiàn)的漏洞進(jìn)行分析和風(fēng)險(xiǎn)評(píng)估，并提供處置建議，根據(jù)要求提供季度漏洞掃描報(bào)告和漏洞風(fēng)險(xiǎn)評(píng)估結(jié)果。

（5）新上線系統(tǒng)基線檢查報(bào)告，根據(jù)要求對(duì)新上線系統(tǒng)開(kāi)展基線檢查，并提供檢查結(jié)果報(bào)告。

（6）根據(jù)監(jiān)管要求、采購(gòu)人安全需求以及行業(yè)內(nèi)安全配置基線更新情況，為采購(gòu)人提供安全配置基線咨詢和修訂工作。

**信息由招標(biāo)與采購(gòu)網(wǎng)發(fā)布**此行內(nèi)容正式會(huì)員可見(jiàn)，請(qǐng)登錄中國(guó)招標(biāo)與采購(gòu)網(wǎng)后查看**

4、驗(yàn)收標(biāo)準(zhǔn)

供應(yīng)商完成技術(shù)服務(wù)后，應(yīng)通知本行驗(yàn)收，并與本行共同提出驗(yàn)收大綱（驗(yàn)收的具體標(biāo)準(zhǔn)、方法和步驟），該驗(yàn)收大綱經(jīng)本行確認(rèn)后方可作為最終驗(yàn)收標(biāo)準(zhǔn)的依據(jù)。本行負(fù)責(zé)本合同服務(wù)內(nèi)容的驗(yàn)收。

包件二：年度滲透2

1、服務(wù)要求

（1）供應(yīng)商承諾無(wú)論出現(xiàn)任何情況，都將優(yōu)先配置資源為采購(gòu)人提供服務(wù)，包括但不限于滲透測(cè)試及新業(yè)務(wù)功能上線后的生產(chǎn)環(huán)境滲透測(cè)試人天服務(wù)。

（2）互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試服務(wù)要求按銀保監(jiān)會(huì)頒布的《電子銀行業(yè)務(wù)管理辦法》、《電子銀行安全評(píng)估指引》、人民銀行頒布的《網(wǎng)上銀行信息安全通用規(guī)范》、《金融網(wǎng)絡(luò)安全相關(guān)測(cè)試標(biāo)準(zhǔn)》以及《金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)指南》、《金融網(wǎng)絡(luò)安全web應(yīng)用服務(wù)安全通用規(guī)范》、《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》、《移動(dòng)金融客戶端應(yīng)用軟件安全檢測(cè)規(guī)范》等要求對(duì)采購(gòu)人全量互聯(lián)網(wǎng)系統(tǒng)提供現(xiàn)場(chǎng)內(nèi)、外部滲透測(cè)試。

（3）對(duì)新上線互聯(lián)網(wǎng)系統(tǒng)滲透測(cè)試服務(wù),一是提供安全應(yīng)急響應(yīng)、安全事件處置與風(fēng)險(xiǎn)排查服務(wù)；二是針對(duì)上級(jí)部門(mén)、監(jiān)管機(jī)構(gòu)的安全風(fēng)險(xiǎn)提示、應(yīng)急事件處置以及專項(xiàng)安全檢查要求，配合開(kāi)展相應(yīng)的風(fēng)險(xiǎn)排查并提供處置建議；三是其他一切服務(wù)要求同互聯(lián)網(wǎng)全量系統(tǒng)滲透測(cè)試服務(wù)。

（4）應(yīng)具備信息安全管理體系（27001）認(rèn)證證書(shū)；中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心（CCRC）信息安全服務(wù)資質(zhì)認(rèn)證證書(shū)-信息安全風(fēng)險(xiǎn)評(píng)估；中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心（CCRC）信息安全服務(wù)資質(zhì)認(rèn)證證書(shū)-信息安全應(yīng)急處理；公安部第三研究所認(rèn)證發(fā)放的《網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)與檢測(cè)評(píng)估機(jī)構(gòu)服務(wù)認(rèn)證證書(shū)》；國(guó)家信息安全漏洞共享平臺(tái)（CNVD）技術(shù)組成員單位資質(zhì)以上要求；需提供響應(yīng)資質(zhì)證明文件。

（5）投標(biāo)人必須是網(wǎng)信辦、公安部、工信部等國(guó)家網(wǎng)絡(luò)安全主管部門(mén)或監(jiān)管部門(mén)的國(guó)家級(jí)支撐保障單位，需提供相關(guān)職責(zé)說(shuō)明材料。

2、服務(wù)人員要求

（1）安排至少有三年以上類似安全項(xiàng)目工作經(jīng)驗(yàn)的人員擔(dān)任服務(wù)人員，人員資質(zhì)、數(shù)量要能滿足工作內(nèi)容與時(shí)間節(jié)點(diǎn)要求，如果不滿足，采購(gòu)人有權(quán)要求更換項(xiàng)目成員。保證參加本項(xiàng)目實(shí)施人員的穩(wěn)定，原則上團(tuán)隊(duì)負(fù)責(zé)人不得變動(dòng)，人員流動(dòng)比例不得超過(guò)15%，人員流動(dòng)必須經(jīng)采購(gòu)人書(shū)面同意。

（2）每次現(xiàn)場(chǎng)滲透性測(cè)試人員投入總計(jì)不少于3人，且全部投入人員近三年內(nèi)具有3家以上國(guó)有銀行或全國(guó)性股份制銀行滲透測(cè)試項(xiàng)目經(jīng)驗(yàn)，且至少2人具備三年以上漏洞研究經(jīng)驗(yàn)和獨(dú)立漏洞發(fā)掘能力。

3、交付成果

（1）滲透測(cè)試方案，并且盡量減少滲透測(cè)試的影響與風(fēng)險(xiǎn)；

（2）滲透測(cè)試發(fā)現(xiàn)問(wèn)題情況，對(duì)問(wèn)題進(jìn)行歸類匯總并分析原因，按實(shí)際情況提供切實(shí)可行的整改建議或補(bǔ)償控制措施；

（3）滲透測(cè)試報(bào)告，應(yīng)體現(xiàn)技術(shù)風(fēng)險(xiǎn)分析與評(píng)估、控制措施的有效性，剩余風(fēng)險(xiǎn)等，包括紙質(zhì)版與電子版；

（4）安全人天服務(wù)報(bào)告，含采購(gòu)人認(rèn)可的服務(wù)人員名稱、服務(wù)事項(xiàng)描述、服務(wù)時(shí)長(zhǎng)、遺留事項(xiàng)。

4、驗(yàn)收標(biāo)準(zhǔn)

供應(yīng)商完成技術(shù)服務(wù)后，應(yīng)通知本行驗(yàn)收，并與本行共同提出驗(yàn)收大綱（驗(yàn)收的具體標(biāo)準(zhǔn)、方法和步驟），該驗(yàn)收大綱經(jīng)本行確認(rèn)后方可作為最終驗(yàn)收標(biāo)準(zhǔn)的依據(jù)。本行負(fù)責(zé)本合同服務(wù)內(nèi)容的驗(yàn)收。

（三）知識(shí)產(chǎn)權(quán)要求

供應(yīng)商應(yīng)保證其擁有從事本項(xiàng)目服務(wù)工作的資質(zhì)及能力，并保證維護(hù)成果不會(huì)侵犯任何第三方知識(shí)產(chǎn)權(quán)。如果由于供應(yīng)商提供的本合同項(xiàng)下服務(wù)侵犯他人的知識(shí)產(chǎn)權(quán)，而導(dǎo)致本行涉及相關(guān)訴訟或爭(zhēng)議糾紛的話，供應(yīng)商必須代本行參加此類訴訟案件，并賠償本行由此而支出的一切費(fèi)用及遭受的一切損失（包括但不限本行為合法使用該等知識(shí)產(chǎn)權(quán)而向第三方支付的費(fèi)用、律師費(fèi)、其他人力費(fèi)用等）。

（四）其他

為滿足人民銀行發(fā)布《金融網(wǎng)絡(luò)安全相關(guān)測(cè)試標(biāo)準(zhǔn)》等監(jiān)管要求，本次年度滲透1項(xiàng)目、年度滲透2項(xiàng)目的中標(biāo)供應(yīng)商不得為同一家，如發(fā)生供應(yīng)商同時(shí)中標(biāo)年度滲透1和年度滲透2的情況，采購(gòu)人有權(quán)根據(jù)供應(yīng)商實(shí)際服務(wù)能力（包括：受銀行業(yè)主管、監(jiān)管單位委托對(duì)銀行業(yè)金融機(jī)構(gòu)開(kāi)展網(wǎng)絡(luò)安全測(cè)試或攻防演練服務(wù)的案例數(shù)量；是否為網(wǎng)信辦、公安部、工信部等國(guó)家網(wǎng)絡(luò)安全主管部門(mén)或監(jiān)管部門(mén)的國(guó)家級(jí)支撐保障單位）與供應(yīng)商協(xié)商，優(yōu)先成交年度滲透2。

二、資質(zhì)要求

1、中華人民共和國(guó)境內(nèi)合法注冊(cè)的獨(dú)立法人，公司經(jīng)營(yíng)正常并存續(xù)3年（含）以上，具有良好的商業(yè)信譽(yù)和健全的財(cái)務(wù)會(huì)計(jì)制度，近三年財(cái)務(wù)狀況良好，經(jīng)營(yíng)活動(dòng)中沒(méi)有重大違法記錄；

2、有依法繳納稅收和社會(huì)保障資金的良好記錄，近三年無(wú)重大違法違規(guī)行為；

3、近五年具有工農(nóng)中建交總行級(jí)或全國(guó)股份制商業(yè)銀行總行級(jí)或5000億元資產(chǎn)規(guī)模及以上的城商行、農(nóng)信社/農(nóng)商銀行總行級(jí)同類項(xiàng)目應(yīng)用案例（滲透測(cè)試）不少于3個(gè)；

4、同一法定代表人的兩個(gè)及兩個(gè)以上法人、母公司、全資子公司及其控股公司不得在同一次項(xiàng)目中參加報(bào)名；

5、本項(xiàng)目不接受聯(lián)合體投標(biāo)，不接受掛靠、借用資質(zhì)投標(biāo)，不允許轉(zhuǎn)包或分包；

6、本項(xiàng)目接受具備服務(wù)資質(zhì)和能力的原廠商參與報(bào)名。

三、報(bào)名須知

申請(qǐng)人報(bào)名時(shí)，應(yīng)提供以下材料：

1、公司信息及資質(zhì)證明文件：“三證合一”營(yíng)業(yè)執(zhí)照、一般納稅人資格證明；

2、近6個(gè)月內(nèi)任意1個(gè)月的繳稅證明、與本項(xiàng)目有關(guān)的技術(shù)資質(zhì)文件；

3、代表人的身份證明、公司法人委托授權(quán)書(shū)、公司開(kāi)戶行及賬號(hào)信息，內(nèi)容包括但不限于公司授權(quán)代表姓名、聯(lián)系電話和郵箱等；

4、最近三年財(cái)務(wù)報(bào)表；

5、案例中標(biāo)/成交通知書(shū)、合同或客戶證明材料，并另以清單形式列明案例；

6、關(guān)于公司近三年無(wú)重大違法違規(guī)行為的書(shū)面承諾；

7、無(wú)不可抗力原因，報(bào)名供應(yīng)商不得中途退出。報(bào)名供應(yīng)商一年內(nèi)累計(jì)二次及以上無(wú)不可抗力原因退出響應(yīng)的，將列入本行灰名單級(jí)供應(yīng)商，實(shí)施相應(yīng)處罰。

8、報(bào)名供應(yīng)商須仔細(xì)閱讀供應(yīng)商須知內(nèi)容（詳見(jiàn)附件1），如違反須知條款內(nèi)容，將依據(jù)本行供應(yīng)商管理相關(guān)制度實(shí)施相應(yīng)的處罰。

9、

報(bào)名截止時(shí)間：2024年4月18日15：00。




友情提醒：報(bào)名前與下方聯(lián)系人索取投標(biāo)登記表，以及辦理后續(xù)事宜。
聯(lián)系人：郝亮
手機(jī)：13146799092(微信同號(hào))
郵箱：1094372637@qq.com