下载文档原格式
市中医院信息系统网络安全等级保护三级建设方案北京XX科技有限公司2022年3月目录第1章方案概述 (5)1.1 背景 (5)1.2 方案设计目标 (8)1.3 方案设计原则 (8)1.4 方案设计依据 (9)第2章信息系统定级情况 (12)第3章安全需求分析 (13)3.1 安全指标与需求分析 (13)第4章信息安全体系框架设计 (16)第5章管理体系整改方案 (17)5.1 安全制度制定解决方案 (17)5.1.1 策略结构描述 (17)5.1.2 安全制度制定 (20)5.1.3 满足指标 (21)5.2 安全制度管理解决方案 (21)5.2.1 安全制度发布 (21)5.2.2 安全制度修改与废止 (22)5.2.3 安全制度监督和检查 (22)5.2.4 安全制度管理流程 (23)5.2.5 满足指标 (26)5.3 安全教育与培训解决方案 (27)5.3.1 信息安全培训的对象 (27)5.3.2 信息安全培训的内容 (28)5.3.3 信息安全培训的管理 (29)5.3.4 满足指标 (30)5.4 人员安全管理解决方案 (30)5.4.1 普通员工安全管理 (30)5.4.2 安全岗位人员管理 (32)5.4.3 满足指标 (37)5.5 第三方人员安全管理解决方案 (37)5.5.1 第三方人员短期访问安全管理 (38)5.5.2 第三方人员长期访问安全管理 (39)5.5.3 第三方人员访问申请审批流程信息表 (41)5.5.4 第三方人员访问申请审批流程图 (42)5.5.5 满足指标 (42)5.6 系统建设安全管理解决方案 (43)5.6.1 系统安全建设审批流程 (43)5.6.2 项目立项安全管理 (45)5.6.3 信息安全项目建设管理 (47)5.6.4 满足指标 (53)5.7 等级保护实施管理解决方案 (57)5.7.1 信息系统描述 (59)5.7.2 等级指标选择 (68)5.7.3 安全评估与自测评 (71)5.7.4 方案与规划 (77)5.7.5 建设整改 (79)5.7.6 运维 (84)5.7.7 满足指标 (87)5.8 软件开发安全管理解决方案 (88)5.8.1 软件安全需求管理 (89)5.8.2 软件设计安全管理 (91)5.8.3 软件开发过程安全管理 (96)5.8.4 软件维护安全管理 (99)5.8.5 软件管理的安全管理 (101)5.8.6 软件系统安全审计管理 (102)5.8.7 满足指标 (103)5.9 安全事件处置与应急解决方案 (103)5.9.1 安全事件预警与分级 (104)5.9.2 安全事件处理 (110)5.9.3 安全事件通报 (116)5.9.4 应急响应流程 (118)5.9.5 应急预案的制定 (119)5.9.6 满足指标 (133)5.10 日常安全运维管理解决方案 (135)5.10.1 运维管理 (135)5.10.2 介质管理 (137)5.10.3 恶意代码管理 (139)5.10.4 变更管理管理 (141)5.10.5 备份与恢复管理 (143)5.10.6 设备管理管理 (147)5.10.7 网络安全管理 (152)5.10.8 系统安全管理 (156)5.10.9 满足指标 (160)5.11 安全组织机构设置解决方案 (168)5.11.1 安全组织总体架构 (168)5.11.2 满足指标 (174)5.12 安全沟通与合作解决方案 (176)5.12.1 沟通与合作的分类 (176)5.12.2 风险管理不同阶段中的沟通与合作 (178)5.12.3 满足指标 (179)5.13 定期风险评估解决方案 (180)5.13.1 评估方式 (181)5.13.2 评估内容 (182)5.13.3 评估流程 (184)5.13.4 满足指标 (186)第6章技术整改方案设计 (188)6.1 设计原则 (188)6.2 安全保障体系构成 (191)6.2.1 安全技术体系 (192)6.2.2 安全管理体系 (197)6.2.3 安全运维体系 (197)6.3 安全技术方案详细设计 (198)6.3.1 信息安全拓扑设计 (199)6.3.2 安全计算环境设计 (213)6.3.3 安全区域边界设计 (225)6.3.4 安全通信网络设计 (230)6.3.5 安全管理中心设计 (234)6.4 安全管理体系详细设计 (239)6.4.1 安全管理建设设计指导思想 (239)6.4.2 建立安全管理制度及策略体系的目的 (240)6.4.3 设计原则 (240)6.4.4 安全方针 (241)6.4.5 信息安全策略框架 (242)6.4.6 总体策略 (242)6.4.7 安全管理组织机构 (244)6.4.8 服务交付物 (247)6.5 安全运维体系详细设计 (251)6.5.1 门户网站安全监控 (251)6.5.2 应急响应服务 (256)6.5.3 安全通告服务 (259)6.5.4 网络及安全设备维护 (260)6.5.5 系统安全维护 (262)6.5.6 网络防护 (263)6.5.7 系统加固 (263)第7章技术体系符合性分析 (270)7.1 物理安全 (270)7.2 网络安全 (275)7.3 主机安全 (283)7.4 应用安全 (290)7.5 数据安全与备份恢复 (297)第8章工程建设 (300)8.1 工程一期建设 (300)8.1.1 区域划分 (300)8.1.2 网络环境改造 (301)8.1.3 网络边界安全加固 (301)8.1.4 网络及安全设备部署 (302)8.1.5 安全管理体系建设服务 (339)8.1.6 安全加固服务 (357)8.1.7 应急预案和应急演练 (364)8.1.8 安全等保认证协助服务 (364)8.2 工程二期建设 (365)8.2.1 安全运维管理平台（soc） (365)8.2.2 APT高级威胁分析平台 (369)第9章本期采购安全产品清单 (372)第1章方案概述1.1背景为了保障基于“健康云”、“智慧云”的XX中医院，我公司依据公安部《关于开展信息系统等级保护安全建设整改工作的指导意见》公信安[2009]1389号)的要求，贯彻“通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益”的方针，为市中医院需要在规划、建设和使用相关信息系统的同时对信息安全也要同步建设，全面开展信息安全等级保护建设整改工作。
千里马招标网采购需求文件一、项目名称：凤冈县人民医院网络信息系统安全设备项目编号：FC-采购方式：竞争性谈判二、项目预算及采购内容:项目预算：.万元采购内容：采购院网络信息系统安全设备一批（详见《采购需求文件》相关部分）。
三、采购人：凤冈县人民医院采购人地址：凤冈县人民医院项目联系人：肖先生联系电话：-四、采购代理机构：凤冈县政府采购中心代理机构地址：凤冈县龙泉镇龙凤大道凤冈县县政府大楼一楼项目联系人：刘先生联系电话：-五、资格证明文件包括:（一）满足政府采购法二十二条之规定；（二）投标人必须具备下列条件：（）企业法人营业执照副本（三证合一）（复印件盖公司公章）；（）法定代表人有效身份证件（复印件盖公司公章）或法人代表授权委托书（原件）、被授权代表人有效身份证（复印件盖公司公章）。
（）投标人认为可提供的资料。
六、评价内容及评审办法：评估和谈判的主要内容是:（）竞争性谈判报价（总价）；（）产品质量及技术参数，设计方案及目标效果。
（）对竞争性谈判招标文件的响应程度；（）经营信誉和服务承诺，投标人以往对政府采购的响应和售后服务承诺的履行情况等。
、评标原则及方法评审原则：符合采购需求，质量和服务相等且报价最低原则评审方法:最低价法经资质审查合格，符合本次采购要求，竞争性谈判报价文件响应竞争性谈判采购文件，报价最低的竞争性谈判人为最终成交人。
最低报价相同时，抽签确定成交人。
七、采购货物数量网络信息系统安全设备一批。
网络信息系统安全设备术参数表网闸参数表报价人所报货物必须满足或高于以上技术参数要求，同类货物必须为同一品牌，以保证质量。
八、商务要求：（）严格按照国家要求处理包退、包换事项；（）保修以厂家保修期为准，负责设备安装、调试，更换件只需收取成本价；软件故障终身免费上门服务。
（）安装调试完成后，若有问题必须及时安排专业技术人员到现场维护、维修，确保设备正常运行。
（）安排专业技术人员巡检服务，小时内响应，小时内必须到现场处理。
人民医院网络信息系统安全设备采购需求公示招投标书范本尊敬的各位投标人：为了保障人民医院网络信息系统的安全和稳定运行，现公开招标采购网络信息系统安全设备。
特此公示招投标书范本，欢迎各位符合条件并有意愿参与竞标的单位踊跃提出书面申请，参与此次投标活动。
一、招标项目名称：人民医院网络信息系统安全设备采购项目二、招标人：人民医院三、项目概况：人民医院网络信息系统是医院重要的业务支撑系统，涉及患者隐私数据、医疗记录等敏感信息，必须加强网络信息安全保护。
为此，拟采购网络信息系统安全设备进行升级和改造，以确保医院信息系统的安全性和可靠性。
四、标书获取：1. 有意参与投标的单位可到人民医院采购办公室领取招标文件；2. 招标文件获取时间：XX年XX月XX日至XX年XX月XX日；3. 招标文件购买费用：XX元（不可退还）。
五、投标要求：1. 投标人必须具备独立法人资格，具备从事相关业务的合法资质；2. 投标人需提供企业营业执照、税务登记证、安全生产许可证等相关证明文件；3. 投标人需提交投标保证金XX万元，保证金将在中标后退还给未中标的投标人；4. 投标人需按照招标文件要求提供完整的投标文件；5. 投标截止时间：XX年XX月XX日XX时XX分。
六、中标评审：1. 评标委员会将严格按照招标文件要求对投标文件进行评审，最终确定中标单位；2. 中标结果将在评标后XX个工作日内向各投标单位书面通知。
七、履约保证金：1. 中标单位需按照招标文件要求提供XX万元履约保证金；2. 履约保证金将在合同完全履行并验收合格后退还给中标单位。
八、其他事项：1. 本招标书仅供参考，最终解释权归人民医院所有；2. 投标人应严格遵守招标文件规定，确保投标文件的真实性和完整性。
以上为本次人民医院网络信息系统安全设备采购项目的招投标书范本，欢迎各位符合条件的单位踊跃参与，谢谢！人民医院网络信息系统采购办公室启日期：XX年XX月XX日。
网络设备技术参数及要求（二标段）项目概况随着新院建成，信息技术的迅速发展，以便于业务更好的发展。
提高医院的医疗质量、工作效率，提高管理水平，更好地服务于病人、服务社会大众，并要不断提高医院的科研、技术水平。
现由于医院规模和业务的不断发展，用户数量的增加，已有的医院信息化系统硬件已逐渐不能适应现有应用的需求。
为了保证医院医疗活动的正常运行，使更多的人可以获益，以及为了在网络上可以支持更多的新一代的应用系统服务，所以在原有的基础上改建，建设新的信息化网络安全系统设备。
一、项目特殊要求根据政府要求医院尽快搬迁，因此本次招标物品为医院核心设备，关系到医院搬迁工期和工程进度，保证所供货物为正规厂商提供，符合医院参数要求，需参与本项目的供应商以书面的形式对卫辉市人民医院做出如下承诺：提供虚假材料谋取中标者或货物非在中国大陆销售的（非行货），一经查实，供应商不再索要投标保证金以及所供货物。
二、需求一览表（注：需求一览表中未列出但为正常运转所必须的部分仍由中标人自行提供）四、技术规格与要求1、数据库监控审计系统2、统一安全管理与运维审计系统3、网管系统4、上网行为管理5、统一容灾系统6、备份一体机7、防火墙8、入侵检测9、终端安全管理一体机10、安全隔离与信息交换系统11、服务器12、KVM切换器注：1、如以上有参考品牌的仅供投标人在选择投标货物时作参考，不具有限制性，评审以货物技术参数、质量、功能和性能为主。
2、数据库监控审计系统、统一安全管理与运维审计系统、网管系统、统一容灾系统、备份一体机、防火墙、入侵检测、终端安全管理一体机、安全隔离与信息交换系统、上网行为管理。
以上设备需提供原厂授权和服务承诺函（开标时提供原件，投标文件中附与原件一致的复印件。
）3、要求数据库监控审计系统、统一安全管理与运维审计系统为同一品牌。
4、本章未列出但为设备正常运行所必须部分由中标人自行提供。
一、招标项目名称：XX医院XX设备采购项目二、招标编号：XX-XX-0001三、招标内容：本次招标项目为XX医院XX设备采购，包括但不限于设备型号、技术参数、性能指标、质量标准等。
四、项目概况：1. 项目背景：为提高XX医院医疗技术水平，满足临床需求，现需采购XX设备。
2. 项目地点：XX医院3. 项目期限：自合同签订之日起，设备安装调试完毕并验收合格后，设备使用期限为XX年。
五、技术参数要求：1. 设备型号及规格：（1）设备名称：XX设备（2）设备型号：XX型号（3）设备规格：XX规格2. 技术参数：（1）基本参数：1）设备尺寸：长XXcm、宽XXcm、高XXcm2）设备重量：XXkg3）电源电压：XXV4）功率：XXW5）工作环境：温度：-10℃～40℃；湿度：10%～90%（非凝结）（2）性能指标：1）准确度：设备测量准确度应达到国家相关标准。
2）重复性：设备重复性误差不超过XX%。
3）稳定性：设备在正常工作条件下，性能指标在XX小时内稳定。
4）可靠性：设备平均无故障时间（MTBF）≥XX小时。
5）抗干扰性：设备应具有良好的抗干扰性能，符合国家相关标准。
6）安全性：设备应具有安全防护措施，符合国家相关标准。
7）操作简便性：设备操作界面应友好，操作简便，易于学习和使用。
（3）功能参数：1）基本功能：设备应具备基本功能，包括但不限于XX功能。
2）扩展功能：设备应具备一定的扩展功能，如XX功能。
3）数据接口：设备应具备标准数据接口，如XX接口。
（4）外观及材料：1）外观：设备外观应整洁、美观，符合国家相关标准。
2）材料：设备材料应选用优质材料，如不锈钢、铝合金等。
3）包装：设备包装应采用环保、耐用材料，确保设备在运输过程中不受损坏。
3. 质量标准：（1）设备应符合国家相关质量标准，如GB、YB等。
（2）设备应通过国家相关部门的检测和认证。
（3）设备应具备良好的售后服务，如保修、维修、培训等。
六、投标文件要求：1. 投标人应提供有效的营业执照、税务登记证、组织机构代码证等证明文件。
一、供应商资格要求投标方须具备山东省信息安全等级保护工作协调小组办公室颁发的“信息安全等级保护测评机构推荐证书”。
二、项目名称本项目为山东中医药大学信息系统一级系统调研与安全巡检项目。
依据《信息安全信息安全等级保护基本要求》中对一级信息系统安全标准的要求，对校内的一级信息系统进行集中调研梳理建档，安全风险发掘、安全基线加固及各信息系统归属部门安全运营管理考核，最大程度实现校内一级信息系统安全合规运行，保障自主保护要求标准落地。
服务期为自合同生效之日起一年。
三、技术要求1.项目背景为深入贯彻中央关于网络安全工作的总体部署落实《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》与信息安全等级保护制度的要求，加快建立健全教育行业网络与信息安全保障体系，提高防护能力和水平，保障教育事业健康有序发展。
按照教育部《关于加强教育行业网络与信息安全工作的指导意见》（教技[2014]4号）、关于转发教育部《教育行业信息系统安全等级保护定级工作指南（试行）》的通知（鲁教信函[2014]5号）等文件要求，为全面加强我校信息系统的安全工作，切实保障信息系统的安全运行，决定组织开展重要信息系统等级测评工作。
2.项目目标、项目原则、项目依据①项目目标提高山东中医药大学重要信息系统的安全防护能力，保护数据免受各种威胁的损害，确保一级系统的业务数据安全性，系统服务连续性，实现业务风险最小化。
通过有效服务，信息系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。
②项目原则保密性原则：双方签订信息保密协议，要求服务提供商采取必要的控制措施避免用户信息的泄漏。
规范性原则：服务提供商在项目实施过程中应按照国家标准规定的标准和流程进行测评，保证测评结果的有效、可靠。
最小影响原则：信息系统安全测评过程需要对在线的主机、网络设备、数据库、信息系统等进行审计、扫描和调研，需要对有关员工进行抽样访谈，因此难免会影响到相关人员和系统的正常工作。
附件2中心医院招标设备技术参数一、呼吸机招标参数（一）基本要求1.适用于儿童和成人的呼吸机，中文操作界面；2.电动电控呼吸机；3.气体吸入、呼出部分可整体拆卸并能高温消毒（134℃），以防止交叉感染；4.采用12.1英寸彩色触摸控制屏，分辨率≥1280*800；可在断电条件下支持至少4小时的工作；5.可开机自检，进行系统顺应性补偿及泄露补偿；6.具有低流速P-V工具；7.参数设置时具有自动计算关联参数，以及超限参数红色提醒功能；8．压力上升时间和呼气触发灵敏度可调节，呼气灵敏度具有自动触发可供选择；9.呼吸波形与呼吸环可同屏显示、可冻结，呼吸环可存储（不少于4个）、对比。
（二）呼吸模式及功能1.常规模式：容量控制通气下的辅助控制通气A/C和同步间歇指令通气SIMV、压力控制通气下的A/C和SIMV、CPAP/PSV、窒息通气模式及SIGH模式（具有容量和压力两种方式）；2.具备双相气道正压通气（如BIPAP或Bi-vent），可选配自动适应性压力调整容量控制功能（如AUTOFLOW或者PRVC等）、压力释放通气APRV；3.氧疗功能，指脉氧监测功能，灌注指数监测功能；4.其他功能：标配二氧化碳检测功能，手动呼吸、吸气保持、呼气保持、同步雾化、监测参数的72小时的趋势图、表分析，可选配无创通，智能吸痰程序，NIF、PEEPi及P0.1测定。
（三）设置参数要求1.潮气量：20ml—2000ml2.呼吸频率：1-100次/min3.压力支持：0—80cmH2O4.PEEP：0--45cmH2O5.压力上升时间：0-2s6.呼气触发灵敏度：自动或15%-80%（四）监测参数要求1.监测参数不少于20个；2.波形：压力/时间、流速/时间、容量/时间监测；3.呼吸环:压力/容量、容量/流速、流速/压力环监测；/IBW监测；5.肺力学：吸气阻力、呼气阻力、静态顺应性、动态顺应性、呼吸功、时间常数的监测。
技术参数要求一设备名称：原装进口超高档全数字化彩色多普勒超声诊断系统二数量：一套三设备用途说明：3.1广泛应用于腹部、盆腔、乳腺、甲状腺、泌尿（肾脏、前列腺、睾丸）、妇产科、肌骨系统、儿科、血管及腔内等各方面的临床超声诊断和科研工作；3.2系统平台需具备超高速数据采集能力，原始射频数据采集帧频≥20000Hz，并具备全原始射频数据采集、存储、分析能力；3.3系统具备可应用于全部探头的实时二维定量剪切波弹性成像和测量技术平台，可同时输出以kPa或m/s为单位的组织硬度定量数据，保证临床可以使用硬度数据进行临床诊断和科研工作；3.4该设备的功能须为世界领先水平，具有开展心脏、腹部、妇产科、肌骨、外周血管、小器官、腔内、儿科等新技术的能力，该设备为厂家高端机型。
中医院等保方案中医医院网络信息安全等级保护方案一、概述二、目标1.保障中医院网络信息系统的正常运行，确保医院的信息资产不受损失。
2.提高中医院网络信息系统的安全性和稳定性，防范各类安全威胁和风险。
3.加强中医院网络信息系统的保密性、完整性和可用性，保护患者的隐私和个人信息。
4.提高中医院应对网络安全事件的能力和应急响应能力。
三、等级划分根据中医院网络信息系统的重要性和风险等级，将其分为三个等级：一级、二级、三级。
一级为最高等级，三级为最低等级。
四、安全保障措施1.系统安全：-建立健全中医院信息系统安全管理制度，明确各级各部门的责任和权限。
-进行日常的系统维护和升级，及时修补系统漏洞，保持系统的最新补丁。
-定期进行系统备份，确保数据的可恢复性。
-针对一些特殊的系统和关键数据，采取加密和访问控制措施，保护其安全性。
-控制系统管理员的权限，建立审计机制，对系统管理员的操作进行监控和记录。
2.网络安全：-建立网络安全管理制度，明确各级各部门的网络安全责任和权限。
-加强网络设备的管理和维护，确保其运行正常和安全。
-配置防火墙、入侵检测和防病毒系统等安全设备，阻止入侵和恶意软件的攻击。
-对外部网络进行访问控制，限制对中医院内部网络的访问。
-对中医院内部网络进行分区和隔离，限制不同部门的访问权限。
-采用加密技术，保护网络数据的传输安全。
-加强对网络通信的监控和日志审计，及时发现和处理异常行为。
3.应用安全：-对中医院的各类应用系统进行安全评估和测试，确保其安全性和稳定性。
-加强对应用系统的访问控制，限制不同用户的权限。
-对应用系统进行日常维护和升级，保证其正常运行和安全。
-加强对用户密码和身份认证的管理，防止被破解或盗用。
-加强对应用系统的日志记录和审计，便于监控和追踪异常行为。
4.人员安全：-加强对中医院员工的网络安全教育和培训，提高其网络安全意识和技能。
-对中医院员工进行背景审查，避免不良人员对网络安全造成威胁。
