XXX等级保护测评服务合同(总25页)

X X X等级保护测评服务合同

(总25页)

-CAL-FENGHAI.-(YICAI)-Company One1

-CAL-本页仅作为文档封面，使用请直接删除

技术服务合同

合同编号（甲方）：

合同编号（乙方）：

项目名称：

委托方（甲方）：

受托方（乙方）：

签订时间：

签订地点：

有效期限：xxx年xxx月至xxx年xxx月

目录

1.技术服务项目概要............................................ 错误!未指定书签。

2.技术服务具体要求............................................ 错误!未指定书签。

3.甲方提供的工作条件及协作事项................................ 错误!未指定书签。

4.组织与管理.................................................. 错误!未指定书签。

5.技术服务报酬及支付方式...................................... 错误!未指定书签。

6.技术服务工作成果的验收...................................... 错误!未指定书签。

7.知识产权.................................................... 错误!未指定书签。

8.保密义务.................................................... 错误!未指定书签。

9.违约责任.................................................... 错误!未指定书签。

10.合同变更和解除............................................. 错误!未指定书签。

11.争议解决................................................... 错误!未指定书签。

12.名词和技术术语的定义和解释................................. 错误!未指定书签。

13.本合同的组成部分........................................... 错误!未指定书签。

14.其他....................................................... 错误!未指定书签。附件1：技术协议书 ............................................ 错误!未指定书签。附件2：保密协议 .............................................. 错误!未指定书签。

技术服务合同

委托方（甲方）：

受托方（乙方）：

鉴于本合同为甲方委托乙方就xxx系统等保测评项目进行的专项技术服务，并支付相应的技术服务报酬。为明确各自的权利和义务，双方经过平等协商，根据《中华人民共和国合同法》等有关

法律法规的规定，订立本合同。

1.技术服务项目概要

1.1技术服务的目标：完成xxx系统等保测评服务。

1.2技术服务的内容：对xxx系统进行等级保护测评，出具《xxx系统等级保护测评报告》；详见附件1：技术协议书。

1.3技术服务的方式：甲方所在地现场数据采集、乙方所在地报告编制。

2.技术服务具体要求

2.1技术服务地点：xxx。

2.2技术服务期限：合同签订日起3个月。

2.3技术服务进度：第一阶段：商务沟通、合同签订及计划编写；第二阶段：资产调研、方案编写与评审；第三阶段：现场数据采集与整理；第四阶段：分析与报告编制；第五阶段：项目验收。

2.4技术服务质量要求：按招标技术规范书要求完成等级测评服务，并提交符合要求的成果交付物。

3.甲方提供的工作条件及协作事项

3.1提供的工作条件：

（1）为测评小组准备一间容纳4~5人的办公室。

（2）提供合适的会议室及办公环境供交流使用。

（3）提供一部打印机，打印项目过程文档。

3.2提供的技术资料如下：

3.3其他：根据项目组的建议，做好相关数据的备份工作；并安排信息安全管理人员、系统维护人员等，配合测评小组的现场测评工作。

3.4甲方提供上述工作条件和协作事项的时间及方式：

合同履行期内、现场技术服务。

4.组织与管理

4.1在本合同有效期内，乙方应派出专业技术人员为甲方提供技术服务。技术服务人员名单见附件《技术服务人员表》。

4.2本合同双方分别指定项目负责人如下：

（1）甲方负责人：，电话：；

（2）乙方负责人：，电话：。

（1）牵头组织本方技术服务工作；

（2）负责组织协调合同的签订、履行；

（3）负责跟踪或报告技术服务工作进展和成果；

（4）负责与另一方的沟通协调、信息传递等工作，为技术服务工作提供便利条件。

（1）负责编制整个测评工作计划和测评技术方案，沟通甲方确认后按计划开展现场服务。

（2）由于乙方技术人员操作或其他行为造成甲方信息系统运行设备、应用功能等软、硬件设备故障时，乙方应立即停止工作，并负责对上述系统、设备进行恢复消缺。

（3）乙方负责人按照相关信息系统安全防护系统规定与甲方签订保密协议，并确保参与本次系统评估工作的工程技术人员严格遵守保密协议相关条款。

（4）乙方负责按照招标文件要求与甲方签订技术协议，并履行技术协议中相关职责。

（5）乙方按照技术协议要求开展保护等级测评，出具完整的测评报告、整改建议及安全评估报告，确保系统通过能源局、国网公司等监管机构及主管部门的检查、评估。

4.3人员更换

5.技术服务报酬及支付方式

5.1技术服务报酬总额为：人民币（大写）XXX元整（￥XXX 元）（含税）。该报酬包含乙方履行本合同所需全部费用，包括但不限于员工工资、加班费、咨询费、资料费、交通费、食宿费以及税费等。

5.2技术服务报酬由甲方（一次或分期）支付乙方。具体支付方式和时间如下：

（1）。

（2）。

（3）。

（4）。

6.技术服务工作成果的验收

6.1乙方完成技术服务工作的形式：提交《xxx系统等级保护测评报告》。

6.2技术服务工作成果的验收标准：完成并提交所有成果交付物；项目实施过程未造成安全事件发生。

6.3技术服务工作成果的验收方法：召开项目评审会，甲乙双方就项目的成果和过程进行正式评审，内容包括：最终成果和输出报告讲解和汇报；项目工作成果评审意见。

6.4验收的时间和地点：由甲乙双方协商确定。

7.知识产权

7.1在本合同有效期内，甲方利用乙方提交的技术服务工作成果所完成的新的技术成果，归双（甲、双）方所有。

7.2在本合同有效期内，乙方利用甲方提供的技术资料和工作条件所完成的新的技术成果，归双（乙、双）方所有。

8.保密义务

8.1一方及其工作人员应对技术服务合同签订、履行过程中了解到的涉及到另一方商业秘密的文件资料以及其他尚未公开的有关信息承担保密责任，并采取相应的保密措施。双方应承担的保密义务包括但不限于：

8.1.2不得将上述保密信息用于本合同以外的其他目的。

8.1.3在技术服务项目通过评审后或按合同要求，及时将上述资料和信息返还对方或按对方要求作适当处理。

8.2涉密人员范围

甲方涉密人员范围：系统运行单位及参与测评人员。

乙方涉密人员范围：等级测评项目组。

8.3上述保密义务的期限至保密信息正式向社会公开之日或一方书面解除另一方此合同项下保密义务之日止。

9.违约责任

9.1乙方不履行本合同义务或履行义务不符合约定的，甲方有权要求乙方承担继续履行、赔偿损失或支付违约金等违约责任。

9.1.1乙方未按期完成技术服务工作的，每逾期1天，应向甲方支付相当于技术服务报酬1%的违约金，逾期超过30日的，甲方有权单方解除合同。

9.1.2乙方未按合同约定履行合同义务，经甲方催告仍未纠正的，甲方有权单方解除合同。由于整改纠正造成进度延期交付的视同逾期交付。

10%的违约金。

10%的违约金。

10%的违约金。

9.2甲方不履行本合同义务或者履行义务不符合约定的，乙方有权要求甲方承担继续履行、支付违约金等违约责任。

10%的违约金；甲方无正当理由逾期接受工作成果的，每逾期1天，应向乙方支付相当于技术服务报酬1%的违约金，逾期超过30日的，乙方有权单方解除合同。

10%的违约金。

10.合同变更和解除

10.1双方经协商一致可变更或解除合同，并以书面形式确定。

10.2有下列情形之一的，一方可以向另一方提出变更或解除合同的书面请求，另一方应当在10日内予以书面答复；逾期未予书面答复的，视为同意：

（1）因对方违约使合同不能继续履行或没有必要继续履行。

（2）无。

10.3法律规定的合同解除情形出现时，一方主张解除合同的，应当书面通知对方。合同自通知到达对方时解除。

10.4本合同中约定可单方解除合同的，单方解除合同的条件成就时，享有解除权的一方可单方解除合同，但应书面通知对方。合同自通知到达对方时解除。

11.争议解决

11.1因合同及合同有关事项发生的争议，双方应本着诚实信用原则，通过友好协商解决，经协商仍无法达成一致的，按以下第2种方式处理：

（1）仲裁：提交/仲裁，按照申请仲裁时该仲裁机构有效的仲裁规则进行仲裁。仲裁裁决是终局的，对双方均有约束力。

（2）诉讼：向甲方所在地人民法院提起诉讼。

11.2在争议解决期间，合同中未涉及争议部分的条款仍须履行。

12.名词和技术术语的定义和解释

12.1等级测评：指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对未涉及国家秘密的信息系统安全等级保护状况进行检测评估的活动。

13.本合同的组成部分

与履行本合同有关的下列技术文件，经双方约定，作为本合同的组成部分。

13.1技术标准和规范：技术协议书；

13.2其他：保密协议。

14.其他

14.1本合同经双方法定代表人（负责人）或其授权代表签署并加盖双方公章或合同专用章之日起生效。合同签订日期以双方中最后一方签署并加盖公章或合同专用章的日期为准。

14.2本合同一式捌份，甲方执肆份，乙方执肆份，具有同等法律效力。

14.3特别约定

本特别约定是合同各方经协商后对合同其他条款的修改或补充，如有不一致，以特别约定为准。

无。

（以下无正文）

附件1：技术协议书

1.概述

为了落实公安部、能源局和国家电网公司电力信息系统安全等级保护要求，进一步增强电力信息系统安全防护能力，确保电力信息系统安全稳定运行，依据《信息系统安全等级保护基本要求》（GB/T22239-2008）和《电力行业信息系统等级保护定级工作指导意见》（电监信息[2007]44号）等标准规范，进行本次电力信息系统等级保护。

1.1.目的及范围

落实信息系统安全等级保护要求，健全电力信息系统安全防护体系，统一信息安全防护标准和策略，按照电力信息系统不同安全等级，通过合理分配资源，规范电力信息系统安全建设与防护，对电力信息系统分等级实施全面保护，以提高xxx系统信息安全的整体防护水平。

通过等级保护测评工作，全面、完整地了解xxx系统的现有安全状况，通过测评其与《信息系统安全等级保护基本要求》（GB/T22239-2008）、《电力信息系统安全等级保护要求（试行）》对应级别的差距，达到以检查促安全的目的，实现重要信息系统的分等级保护与监管、信息安全事件分等级响应的要求。

经甲乙双方协商，本项目的工作范围包括：

1、对xxx系统等级保护测评，出具等级保护测评报告。

1.2.要求

本次项目实施方案设计以及在具体的项目实施过程中，我方将严格遵守以下的标准和原则开展工作：

◆客观性和公正性原则

虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评

方式和解释，实施测评活动。

◆规范性原则

安全测评过程有统一的流程，测评过程中使用的方法及使用的文档，需要具有很好的规范性，便于测评工作的质量保证，并测评保证结果的一致性。

◆标准性原则

测评方案的设计与实施应依据国家及行业等级保护的相关标准进行。

◆可控性原则

安全测评所使用的工具、方法和过程要在双方认可的范围之内，安全测评的进度要符合进度表的安排，保证双方对测评工作的可控性。

◆整体性原则

安全测评的范围和内容应当全面覆盖xxx系统所涉及的各个层面，并考虑各个层面的相互关系。

◆最小影响原则

测评工作应尽可能小地影响网络和系统的正常运行，不能对系统的业务产生显著影响。例如：避免造成被测评系统的性能明显下降、网络拥塞、服务中断等。

◆保密性原则

对在测评过程中所接触到的被测评单位的所有敏感信息，测评人员应遵循相关的保密承诺，不利用它们进行任何侵害被测评单位安全利益的行为。

2.项目内容

依照GB/T22239-2008《信息安全技术信息安全等级保护基本要求》和《电力行业信息系统安全等级保护基本要求》（征求意见稿）对xxx系统进行等级保护测评，确定不同等级业务系统当前安全防护现状，以及与国家和行业等级保护要求间的差距；分析其所面临的威胁及其存在的脆弱性，提出有针对性的抵御威胁的防护策略和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，最大限度地防止由于电力信息系统安全事件引发电力安全事故，全面提高电力信息系统安全防护水平提供科学依据。

等级测评将覆盖物理环境、网络安全、主机安全、应用安全、数据安全及信息安全管理等方面的内容，内容包括但不限于以下内容：

1.总体要求测评：包括总体技术要求、总体管理要求；

2.安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和

数据安全等五个方面的安全测评；

3.安全管理测评：安全管理机构、安全管理制度、人员安全管理、系统建

设管理和系统运维管理等五个方面的安全控制测评；

4.最终版报告需加盖电力行业等级保护测评中心的印章。

3.等级保护测评方案

3.1.主要依据

?GB/T18336-2001 信息技术安全性评估准则

?GB/T19715-2005 信息技术安全管理指南

?GB/T19716-2005 信息安全管理实用规则?GB/T22239-2008 信息安全技术信息系统安全等级保护基本要求?GB50174-2008 电子信息系统机房设计规范

?GB/T22239-2009 信息安全技术信息系统安全等级保护基本要求?公通字〔2007〕43号信息安全等级保护管理办法

?电监信息〔2007〕44号电力行业信息系统安全等级保护定级工

作指导意见

3.2.技术思路

本项目主要技术思路是依据上述标准，对xxx系统进行等级测评，依据测评以及核查的结果综合分析给出等级测评的结果和改进建议。具体思路如下：

（1）、使用问卷调查表，对xxx系统调研，掌握xxx系统的主要功能和业务流程。调阅定级报告，详细了解测评范围内的xxx系统及其包含的信息资产，为下一步测评指标的选取做好准备。

（2）、在用户许可的情况下，对xxx系统的关键设备和关键系统进行手工配置检查，对网络拓扑结构进行合理性分析，对应用系统进行安全性分析，发现和分析系统安全技术方面与国家及行业要求之间的差距。

（3）、采用安全核查表的形式从管理层面和技术规范层面，对xxx系统进行现场的安全管理核查，了解包括人的因素在内的系统运行状况。通过对核查结果的分析，发现和分析管理层面与国家及行业要求之间的差距。

（4）、在安全技术测试和安全管理核查的基础上，根据xxx系统的特点，发现和分析安全控制间、层面间以及区域间的相互关联关系，以及安全控制

间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及xxx系统整体结构安全性、不同信息系统之间整体安全性等。

3.3.工作流程

xxx系统等级测评工作可以分为四个项目活动阶段具体实施，分别是：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。主要工作流

程如下图所示：

图等级测评基本工作流程

1)测评准备阶段

测评准备阶段主要完成启动测评项目，组建测评项目组；通过收集和分析被

测系统的相关资料信息，掌握被测系统的大体情况；通过调阅定级报告，掌握各系统所确定的安全重要程度；并通过编制测评方案以及准备测评工具和文档等任务，为顺利实施现场测评工作打下良好的基础。

测评准备阶段实施的主要活动包括:项目启动、信息收集和分析、编制测评

方案及工具和文档准备。

2)方案编制阶段

本阶段是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。本活动的主要任务是开发与被测信息系统相适应的测评内容、测评实施

手册等，形成测评方案。

3)现场测评阶段

本阶段是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要求，严格执行测评实施手册，分步实施所有测评项目，包括单项测评和系统整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统

存在的安全问题。

现场测评阶段通过与被测单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够

的证据和资料。

4)报告编制阶段

本阶段是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。本活动的主要任务是根据现场测评结果和《信息系统安全等级保护测评过程指南》的有关要求，通过单项测评结果判定和系统整体测评分析等方法，分析整个系统的安全保护现状与相应等级的保护要求之间的差距，综合评价被测信息系统保护状况，并形成测评报告文本。

测评人员在初步判定单项测评结果后，还需进行系统整体测评，经过系统整

体测评后，有的单项测评结果可能会有所变化，需进一步修订单项测评结果，而后形成等级测评结论。最终组织专家对测评结论进行评审。

3.4.测评方法

等级测评的主要方式有：访谈、检查和测试。

?访谈

访谈是指测评人员通过与xxx系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据表明xxx系统安全保护措施是否落实的一种方法。在访谈的范围上，应基本覆盖所有的安全相关人员类型，在数量上可以抽样。

?检查

检查是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明国xxx系统安全等级保护措施是否得以有效实施的一种方法。在检查范围上，应基本覆盖所有的对象种类（设备、文档、机制等），数量上可以抽样。

?测试

测试是指测评人员通过对测评对象按照预定的方法/工具使其产生特定的响应等活动，查看、分析响应输出结果，获取证据以证明xxx安全等级保护措施是否得以有效实施的一种方法。在测试范围上，应基本覆盖不同类型的机制，在

数量上可以抽样。

3.5.测评原则

对于各种类型测评对象数量的选择采取抽样的方式，其数量应能够满足各级系统整体测评分析的需要。本项中涉及的设备、设施、人员和文档的抽样结果需在系统完整调查之后最终确定，并与用户单位沟通确认。

◆三级及以上系统

重点抽查“主要”的设备、设施、人员和文档，其中必查的测评对象主要包

括：

●主机房和部分辅机房（包括其环境、设备和设施等），必查的辅机房中放置了服务于xxx系统的局部（包括整体）或对xxx系统的局部（包括整体）安全性起重要作用的设备、设施；

●重要介质的存放环境，存储被测系统重要数据的介质的存放环境。

●整个系统的网络拓扑结构；

●安全设备，包括防火墙、IDS和防病毒网关等；

●边界网络设备（可能会包含安全设备），包括路由器、防火墙、认证网关和边界接入设备（如楼层交换机）等。

●主要网络互联设备，对整个xxx系统或其局部的安全性起作用的网络互联设备，如核心交换机、汇聚层交换机等；

●服务器中的主要服务器（包括其操作系统和数据库），指承载被测系统主要业务或数据的服务器；

●终端中的主要终端，包括管理终端和主要业务应用系统的终端，抽查其中的一部分；

●应用系统中的主要应用系统，指能够完成被测系统不同业务使命的业务应用系统；

●硬件冗余设备（重要网络、服务器和通信线路）；

●业务备份系统；

●安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人、所有管理制度和记录；