信息管理部服务器存储续保及集成运维服务项目介绍会会议公告

信息管理部服务器存储续保及集成运维服务项目

介绍会会议公告

一、项目需求

技术参数要求

1、差距分析及迎检检查咨询

（1）投标人需提供全过程差距分析及迎检专项咨询服务，服务范围贯穿前期自查、问题整改、资料梳理、现场迎检、问题答疑及后续复核整改全流程。

（2）***网络安全专项检查所有核查条目、检查要点、评分标准及合规细则进行逐条拆解、专业解读，***网络安全建设现状开展全面差距对标分析，精准识别制度、运维、技术、管理等各维度存在的合规缺口与潜在检查风险点。

（3）▲服务商需结合行业规范与检查标准，制定科学可行的风险规避及整改优化策略，通过标准化、规范化的管控手段，***网络安全专项检查的合规风险、失分风险及整改风险。同时须派遣持有信息安全工程师证书的专项迎检技术人员提供全程配合服务，负责迎检资料梳理汇总、现场检查配合、专家问询答疑、问题即时解释、临时整改协同等全过程支撑工作，***网络安全专项检查。

（4）交付物：《差距分析及迎检检查报告》

2、代码审计

通过人工和工具相结合的方式，对医院应用系统的源代码进行分析，发现开发过程中存在的源代码层面的安全缺陷，提供源代码审计报告和改进建议。

通过分析应用系统的源代码，熟悉业务系统，从应用系统结构方面检查其各模块和功能之间的关联、权限验证等内容，从安全性方面检查其脆弱性和缺陷；利用一定的编程规范和标准，针对应用程序源代码，从结构、脆弱性以及缺陷等方面进行审查，以发现当前应用程序中存在的安全缺陷以及代码的规范性缺陷；并出具审计报告，报告包含审计结论及安全建议。

（1）支持语言：代码审计服务应涵盖多种应用程序的类型， C、C++、C#、Java、PHP、JSP、Python等主流编程语言开发的软件源代码的检测并可支持B/S、C/S、移动端等各类应用程序。

（2）支持服务器、第三方组件：支持不同的Web、文件、DB服务器以及各类第三方附件、开发库，有着各不相同的架构和技术特点和独特的潜在安全风险。

（3）支持系统架构、模块、安全措施：熟悉和研究整个系统的架构、模块划分，以及当前已有的安全措施，指导具体的代码审计工作。

（4）支持代码、逻辑、数据流“最终落地到对目标系统的代码的自动扫描和人工阅读，从中获得系统的逻辑流和数据流信息，以识别潜在的安全漏洞。

（5）代码审计应遵从CWE、OWASP、Top 10、CWE/SANS 、CERT C/C++/Java安全编程标准等国际主流标准与规范。

（6）代码审计应遵循CERT安全编码标准 (C/C++/Java/Android)。

（7）代码审计服务应采用工具+人工审计的方式，应着重于业务逻辑、复杂数据流、敏感数据及功能模块的安全审查，弥补自动化扫描的缺陷。人工审计结果的报告格式和自动化审计相同，都包含问题类型、代码路径、方法名、行号、控制流、数据流，以及问题根本原因、解决方法等信息。

（8）▲投标人需提供详细说明代码审计的检查内容及检查清单。

（9）交付物：《代码审计报告》

3、个人信息安全影响评估

严格依据卫健委2024***网络安全专项检查相关通知要求，结合《个人信息保护法》相关规范标准，开展个人信息安全影响评估相关工作并合规输出对应评估报告，具体技术及服务要求如下：

（1）合规评估工作开展要求：服务商需对照卫健委专项检查通知及《个人信息保护法》相关规定，全面开展医院个人信息安全影响评估工作，全面核查院内个人信息处理活动的合规性，精准排查梳理个人信息处理环节存在的各类安全风险，完成全流程合规评估工作。

（2）多维度评估核查要求：服务商需采用多元化评估方式开展专项评估工作，通过数据映射梳理、多维度合规差距分析、安全技术测试、个人权益影响评估等方式完成风险核查。其中安全技术测试需包含渗透测试、漏洞扫描、数据流向监测等核心测试内容，全方位核查个人信息处理全流程安全状况。

（3）风险研判与优化建议要求：服务商需结合各项核查、测试、分析结果，精准判定各类个人信息安全风险的风险等级，针对排查出的合规问题、安全风险逐一梳理，对应提出切实可行的整改优化、安全完善改进建议，助力补齐个人信息安全管理短板。

（4）评估成果输出要求：服务商需整合全部评估过程数据、核查结果、风险等级判定及整改建议，按照行业规范及检查标准，编制并正式出具合规完整、内容规范的《个人信息保护影响评估报告》，***网络安全专项检查合规验收要求。

（5）交付物：《个人信息保护影响评估报告》。

4、个人信息保护合规检测

对小程序个人信息安全风险开展专项合规检测工作，全面排查个人信息处理全流程安全与合规问题，实现应用合规自查整改，具体技术及服务要求如下：

（1）全流程信息处理环节检测：针对个人信息现存各类安全问题，对小程序个人信息收集、存储、使用、共享、转让、公开披露等全流程信息处理环节的相关行为开展专项检测，排查应用存在的个人信息非法收集、滥用、泄漏等违规乱象。

（2）应用合规深度检测：需开展小程序全方位深度合规检测，检测范围包含应用隐私政策合规性、产品功能整体设置合规性、用户账户注销管理规范性、用户权利响应机制完整性。同时核查个人信息处理所使用的各类技术模块，涵盖SDK、API、Cookie等，核查摄像头、存储读写、麦克风、位置、系统日志等重要系统权限的调用行为是否符合合规要求。

（3）风险排查与合规自查服务要求：通过全方位合规检测，精准排查应用存在的各类潜在安全风险与不合规问题，聚焦App及小程序隐私违规、过度收集信息、信息滥用等违规行为，为单位提供高效、低成本的应用合规自查支撑能力，助力完成App及小程序个人信息合规自查工作。

（4）交付物：《个人信息保护合规检测报告》

5、数据安全风险评估

根据《数据安全法》要求结合《数据安全技术 数据安全风险评估方法》对用户关键系统开展数据安全风险评估，对数据资产进行分析，识别风险源评估数据资产面临的风险，并提供整改建议，最终交付《数据安全风险评估报告》。

数据安全风险评估主要包括信息调研、 风险识别、 风险分析与评价等， 数据安全风险评估的主要内容包括：

（1） 信息调研

对可能影响数据安全风险的要素的情况调研，包括数据处理者、业务和信息系统、数据资产、数据处理活动、数据安全防护措施。掌握数据处理者、业务和信息系统基本情况，梳理涉及的数据资产和数据处理活动了解采取的数据安全防护措施情况，掌握被评估对象或同行业相关数据安全事件历史发生情况。

（2）风险识别

基于信息调研情况，从数据安全管理、数据处理活动安全、数据安全技术、 个人信息保护等方面进行数据安全风险识别，识别评估对象现有安全措施完备性并对其有效性进行验证，识别可能存在的风险源。

（3）风险分析与评价

通过分析风险类型、风险危害程度和可能性，评价风险等级。

1) 数据安全风险分析，包括数据安全风险归类、风险危害程度分析、风险发生可能性分析。

2) 风险归类分析，结合风险源可能引发的风险类型，对风险源进行归类。

3) 风险危害程度分析，从数据价值、数据重要性、风险源危害程度等方面，综合评价风险可能对国家安全、公共利益或者个人、组织合法权益造成的危害程度。

4) 风险发生可能性，从风险源发生频率、安全措施有效性和完备性、风险源关联性等方面，综合评价风险发生的可能性。

5) 风险评价过程，根据风险危害程度和风险发生可能性评价数据安全风险，得到数据安全风险级别，梳理形成数据安全风险清单。

6）报告输出，针对分析出的没想风险给出风险评价与等级，针对发现的数据安全问题与风险给出管理、技术等方面的问题整改与风险处置建议。

（4）交付物：《数据安全风险评估报告》

6、专项风险评估报告

针对医院核心系统每年开展一次风险评估，***网安和卫健委检查标准的防病毒检查、两高一弱检查、业务连续性评估服务。

▲为保证服务能力，***网络安全审查****中心（***网****中心）颁发有效期内的信息安全风险评估资质认证证书。

▲为保证服务质量，供应商派遣的评估工程师需具备数据安全官证书资质证书。

交付物：***网安和卫健委检查标准的《网络安全风险评估报告》。

7、管理制度优化

（1）根据检查要求完善现有供应链管理制度，并优化供应链准入、考核、背景调查规范材料；

（2）完善大屏管理制度，建立大屏分类制度，并根据大屏控制方式建立不同规程，同时完善大屏安全评估模板；

（3）业务连续性管理，根据上级要求加强供应链管理以及评估，完善供应链评估报告模板；

（4）年度安全检查制度优化，建立年度检查制度并编制年度安全检查报告。

（5）交付物：《年度安全检查报告》

8、数据分类分级服务

参照《数据安全技术 数据分类分级规则GB/T 43697-2024》、《卫生健康数据分类分级要求DB31/T 1545—2025》并结合单位实际业务场景，开展数据分类分级体系建设、数据资产梳理及合规管理建设工作，并配套提供专业工具软件，具体技术要求如下：

数据分类分级制度策略建设：服务商需严格参考《数据安全技术 数据分类分级规则GB/T 43697-2024》、《卫生健康数据分类分级要求DB31/T 1545—2025》规范要求，结合单位实际业务开展情况，协助建立适配本单位的数据分类分级管理制度及配套管理策略，保障数据分类分级工作规范化、常态化落地运行。

数据资产梳理分析与清单建设：对单位现有数据资产进行全面梳理、核查与分析，全面摸清数据资产底数，厘清完整、准确的数据资产清单，为后续数据分类分级管理、数据安全防护工作提供基础支撑。

数据架构建设与标准化管理：通过标准化的数据分类、分级管控机制，协助单位搭建统一、准确、完善的数据整体架构，实现单位数据资产集中化、专业化、标准化管理，全面提升数据治理能力，保障单位数据整体安全性与合规性。

配套工具软件要求：服务商需配套提供数据分类分级采集与分析工具软件，支撑数据资产梳理、分类分级识别、数据分析及常态化合规管理工作落地实施。

交付物：《数据分类分级报告》

9、终端安全管理系统

终端安全管理系统，院内终端数1300+，现有授权500个，新增900个授权，系统具备远程协助、日志审计、移动存储管理、外设管理、补丁管理、运维管理、水印管理、软件分发、系统盘还原保护、安全检测等功能，支持对于Windows终端、安卓终端、***平台管理，信创屏幕录像。具体系统参数如下：

指标项	技术要求
终端安全管理系统功能	系统具备丰富的终端安全管理功能，包括日志审计、远程协助，移动存储管理、外设管理、系统盘还原保护、补丁管理、运维管理、水印管理；提供900个终端管理授权。
系统构架	为了能够体现更好的远程运维需求，系统设计为C/S构架，针对管理员的Windows计算机，需通过EXE控制台程序对于终端进行管理，对于管理员的信创计算机，系统提供了支持统信、麒麟系统的控制台程序；可纳管Windows终端、安卓终端、信创终端，并在同一个界面上进行运维管理，策略配置。
系统信息	管理端可以查看客户端的系统信息、IP地址、MAC地址、客户端版本号、CPU/内存/硬盘温度。
远程屏幕协助	管理员可以快速接对于终端进行远程控制；当对终端计算机进行远程控制时，客户互传终端计算机中的文件；针对终端为双屏的电脑，管理员可以点击主/副屏切换进行控制；管理员可以将本地文件拖拽到远程协助对话框时间文件传输；可以使用自带的电子白板功能，在远程的时候在用户的屏幕上层做画线、输入文字等操作。
远程协助安卓设备	管理员可以对于医院的安卓系统的PDA和诊间屏进行远程屏幕控制，管理员可以在一秒内接管移动设备的屏幕，控制速度快，无卡顿；在远程协助时候，可以开启文件互传功能，实现管理员Windows电脑和安卓终端的文件互传。
安卓端安全桌面	安卓终端启动后自动进入安全桌面，在安全桌面上展示日期、时间、IP地址、MAC地址、通知通告信息、设备备注信息，及具备刷新按钮功能。支持桌面背景管理，支持桌面上建立指浏览器快捷方式，打开后直接进入指定的业务系统，可以设置开机启动程序。
安卓端APP白名单	安全桌面只展示白名单中的APP，不能展示非管理员允许的APP。
安卓端时间同步	安卓终端能够和服务器进行时间同步。
安卓应用商店	管理员可以将APP上传到应用商店中，终端用户可以在应用商店中找到相应的APP进行下载安装。
安卓端WIFI白名单	系统具备WIFI白名单功能，安卓终端只能连接指定的WIFI名称。
水印管理	支持屏幕水印，全屏展示机器名、IP、MAC、日期；支持打印水印功能，可以在打印出来的纸张上显示机器MAC、日期以及自定义文本内容；可设置水印文字的字体、文字大小、文字倾斜角度、打印机名称，并且可设置单行水印的水平垂直坐标及水印平铺的水平垂直间隔。
桌面助手	管理端开启桌面助手策略，终端计算机桌面底层一直展示半透明窗口，管***网址，可以选择打开的浏览器，用户点击每个快捷方式会打开相应系统；桌面助手自带截屏工具，用户可以进行截屏、录制5秒、10秒、20秒屏幕，生成视频；管理端可以以九宫格的形式设置桌面助手的固定展示位置。
桌面IP展示	支持桌面展示机器名称、IP、MAC、日期、工作组以及自定义内容。显示的文字字体、大小、颜色均可设置，管理员可以通过九宫格的方式设置显示位置。
内网聊天	终端用户可以登录自带的聊天模块功能，可以选择医院的其他用户发送、接收即时消息，支持文件发送和接收，可以查看历史消息。
▲多屏墙	管理员可以实时查看多个计算机的电脑屏幕，最大支持64屏同时监看；可灵活设置监控屏数和自动循环播放的时间。
系统盘还原保护	对于终端计算机提供系统盘还原功能，每次计算机重启，对于系统盘的写入信息，全部丢弃，系统盘恢复原状。
▲U盘管理	可以设置禁止使用U盘，可以为U盘设置只读，只写权限，U盘插入报警；支持制作例外U盘，制作后的例外U盘，可以在单位内部按权使用，支持表格批量导入例外U盘；客户端本地也可向管理员申请例外U盘，管理人员可以收到申请消息，并进行审批；支持灵活设置管控时间段，同时提供自动清理U盘使用痕迹功能。
打印机驱动管理	终端用户可以手动提交终端的打印机驱动程序，服务端形成打印机驱动库；客户端会自动识别没有驱动的打印机并从服务器上下载对应的驱动进行驱动。
屏幕日志	支持对客户端进行实时屏幕截图，生成屏幕日志；支持自定义屏幕截图时间、保存时间等，可设置日志自动清理
屏幕录像	支持对客户端进行实时屏幕录像，生成屏幕录像记录；支持自定义屏幕录像记录时间、保存时间等，可设置录像自动清理
保密U盘	支持制作保密U盘，制作好的保密U盘只能在认证的计算机中使用，插入到任何非认证的计算机都不能使用。
硬件资产管理	管理者可以查询硬件资产统计报表，自动收集硬件资产的变更情况。包括CPU、内存、硬盘、打印设备、串口设备等。可以对于硬件资产信息进行自定义操作，包括设置维保日期，责任人，机器品牌，配备时间，配备方式。
软件资产管理	管理者可以查询软件统计报表，自动收集软件的变更情况。可以统计安全软件名称、安装日期、版本号、发布者。
杀毒软件检测	管理员可以按计算机模式查看所有客户端的杀毒软件状况，包括是否安装杀毒软件、杀毒软件状态、杀毒软件版本号等。
Windows服务	查看客户端的windows服务状况，可以设置WINDOWS服务端状态，如禁用、启用服务等。可以禁止、禁用、启用服务。
windows补丁管理	系统可以搜集当前终端计算机的系统漏洞，以折线图的形式展现最近7***网终端的漏洞数和趋势；以这线图的形式展示最近7***网终端修复漏洞数；系统可以展示全部补丁信息，管理员可以根据补丁编号、补丁名称、补丁支持的操作系统进行搜索，选择需要的补丁；管理员可以查看每个补丁，在那些计算机上安装了；管理员可以查看所有补丁安装的信息，包括安装成功、安装失败、忽略信息。管理员可以设置补丁的分发速度和分发时间。管理员可以设置补丁的分发部门和分发终端。
自动同步时间	客户端自动同步服务器时间。
即时通讯管理	可以详细记录QQ、MSN、SKYPE、微信聊天内容和外发文件。
文件外发记录/控制	客户端会自动记录用户文档外发行为。包括QQ外发、USB外发、浏览器外发等，同时可以记录外发的源文件。禁止用户通过浏览器外发文件。禁止QQ外发文件。禁止阿里旺旺外发文件。禁止微信电脑版外发文件。禁止MSN外发文件。禁止U盘外发文件。禁止拷贝文件到USB设备。禁止拷贝文件到共享目录。***网络硬盘。禁止从USB拷贝文件到本地计算机。禁止从共享目录拷贝文件到本地计算机。从网络硬盘拷贝文件到本地计算机。限制USB设备拷贝文件的大小。
▲系统提供大屏幕展示功能	以WEB形式展现，支持4K电视机屏幕完美呈现，可以在同一个屏幕上动态展示以下数据：分别以饼状图展示操作系统分布情况、计算机品牌分布情况、杀毒软件分布情况；***网终端的健康度；大屏幕可以展示终端计算机维保在1至3年，3至5年，5至10年，10年以上的各个阶段的计算机数量;可以对于未关机电脑数量进行统计。
文件操作记录	客户端会自动记录用户文档的操作路径、所在磁盘和所使用的文档编辑程序等，包括创建、访问、复制、剪切、重命名、删除、外发等动作
文件操作报表	系统生成文件操作统计报表。
管理员管理功能配置	可以设置多个管理员账号，针对不同账号，分配不同可管理的部门和拥有的权限
远程执行命令	管理员可以对远程计算机执行命令。
远程电源管理	对远程计算机执行开机、关机、重启、注销等操作
文件分发	管理员可以对远程计算机进行文件传送。可以自定义文件分发位置。支持多人传送。以任务的形式提交到服务器，对于在线的计算机立刻分发，对于不在线的计算机，开机后自动执行分发任务。
软件安装	管理员可以对计算机实行远程推送安装软件。以任务的形式提交到服务器，对于在线的计算机立刻安装，对于不在线的计算机，开机后自动执行安装任务。分发时间可自行设置开始时间与结束时间，分发速度也可限制。
屏幕保护	可以远程批量统一分发客户端桌面屏保；管理员可以在系统中上传制作好的屏幕保护文件，以及无操作多长时间后启动屏保。
桌面背景	可以远程批量统一分发客户端桌面背景。
网址访问黑名单	***网址。
网址访问白名单	***网址。
网址访问记录	***网站地址，***网址。***网址访问路径、标题、访问时间、使用的浏览器名信息。
网址访问统计	***网址访问统计报表。***网址最多的前20名的计算机、***网址的前20名。形成饼状图、柱状图和列表。
***网址访问报警	***网址时，管理机会即时提示报警。报警方式包括软件报警和邮件报警。
网络使用控制	管理员***网。内网访问不受控制。
***网络状态	***网络状态，包括使用协议、本地地址、远程地址、本地端口、远程端口、当前状态、占用进程、进程ID等信息。
程序访问控制	管理者可以设置员工禁止访问的程序。可以根据动态链接库名称对于程序使用进行控制。也可以根据程序的MD5进行控制。
程序访问审计	记录客户端程序使用日志。包括程序运行路径、开始时间、结束时间、产品名称、公司名称等信息。
程序违规访问报警	对违规程序使用行为进行自动报警。
程序日志统计	可以形成多种类型的程序统计报表。包括访使用程序最多的前20名的计算机、使用次数最多的程序前20名，使用时间最多的程序前20名。形成饼状图、柱状图和列表。
正在运行进程	可以查看客户端正在运行的程序。且管理员后台可直接结束进程
邮件客户端发送记录	详细记录FOXMAIL、OUTLOOK等邮件客户端发送邮件的信息。包括发送时间，主题、收件人、内容、附件。
禁用光驱	禁止客户端使用光驱。
禁用外设	禁止终端计算机使用软驱，光驱，红外，蓝牙，MODEM，声卡，COM口，禁用图形图像设备，禁用便携式设备，***网卡。
打印操作记录	记录终端计算机的打印信息，包括：打印时间，打印页数，打印文件按名，使用的打印机以及打印的内容形成图片保存到服务器上。
开机启动项	查看并管理开机启动项
▲兼容性	可兼容院内现有信息化系统运行，无需改动现有系统架构快速完成部署接入（需提供投标供应商承诺函）

10、电子屏安全管理服务

根据***平台，为电子屏提供实时安全监测、定期现场巡检、应急重保、风险预警及电子屏安全管理制度编制修订等全链条服务，***网电子屏内容安全验证、***网络攻击、非法篡改、信息误发等各类场景的安全管控；实现“一键关屏”“一键锁屏”应急管控功能措施，实现对关键区域、重要部位电子屏的“秒级管控”，包含400个电子屏授权。本次服务周期为1年，电子屏安全管理工具参数如下：

可信程序监控：产品应支持自定义可信程序白名单，抵御各类恶意程序的篡改与侵扰。

一键安全加固：产品应支持windows电子屏一键安全加固，安全防护措施至少包括开启防火墙、禁用控制台、关闭高危端口、禁用屏幕边缘触控。

多角色审核：产品应支持“编辑-审核-发布”三角色全流程角色管控机制。

▲异常告警与处置：产品应具备实时监控能力，检测到内容篡改或校验失败时，触发秒级告警（短信/站内信），并自动执行一键关屏/锁屏操作。

双向加密传输：产品需采用国密加密算法，支持端到端加密，确保数据传输安全。

内容安全验证：产品支持的多媒体文件内容安全验证至少包含视频、音频、图片、文本等，防止文件篡改风险。

▲内容合规审核：产品应符合国家相关法律法规合规性要求支持文本、图片、视频等文件内容进行自动化敏感信息识别与合规性筛查。

延时播放策略：产品应支持自定义延时播放规则（至少覆盖2-10秒可调），确保内容在安全时间窗内完成二次校验

此次会议为项目的方案介绍沟通会议，后期会进行公开招标。

二、项目预算

限价83.82万元，服务期一年。

三、报名材料

1、提供项目的报价及详细方案

2、提供企业法人营业执照复印件

3、提供法人授权委托书原件及企业法人、代理人（当天参会人员）身份证复印件

4、提供项目相关资格证明

5、提供相关业绩（上海单位、医疗行业优先）

四、报名要求

1、介绍当天准备报名材料纸质版至少3份，均需加盖公章。

2、报名材料按照要求顺序准备，并扫成PDF格式备档。

五、介绍会议

时间：2026年9月21日 上午10：00

地点：****路****号****楼会议室

六、供应商报名

1、报名：有意参加的供应商将报名信息以邮件形式发送到cg****@****.org，邮件标题以项目名称+公司名称，内容格式如下（无需附件，直接填写发送）：

①.供应商名称：

②.项目名称：

③.联系人：

④.联系电话：

未按照要求填写视为报名无效。

2、报名时间：2026年9月14日至2026年9月18日，

3、联系人方式：

报名咨询： 俞老师

电话： 021-****0333*7313

地址： ****路****号采购部

项目内容咨询：王老师，李老师

电话： 021-****0333*8308

地址： ****路****号信息管理部

联系时间：工作日09:00--15:00

2026年9月14日