附件3

数据安全监管技术支撑服务项目评分办法

序号	评分

类型	评分

要素	评分标准	分值	类别
1	价格

部分

（10分）	价格

评议	评标委员会只对符合性审查合格的投标文件进行价格评议，报价分采用低价优先法计算，即满足招标文件要求且投标价格最低的投标报价为评标基准价，其价格分为满分。其他投标人的价格分按照下列公式计算：报价得分=(评标基准价／投标报价)×10分	10	价格分
2	商务

部分

（20分）	类似

业绩	投标人近3年（2023年1月1日以来）具备类似项目业绩，每提供一份业绩证明文件得2分，最多得6分。须提供中标通知书或项目合同加盖公章的复印件，未提供或未按要求提供的不得分。（同一用户单位不重复计分）	6	客观分
3
拟派项目经理（1人）	投标人拟投入本项目的项目经理须具备信息系统项目管理师、注册信息安全工程师（CISP-CISE）、网络安全应急响应工程师（CCRC-CSERE）、注册数据安全治理专业人员认证（CISP-DSG），须提供有效证书扫描件和人员劳动合同证明。每提供一个得2分，最高得6分，未提供不得分。	6	客观分
4
拟派本地服务人员

（2人）	拟派本地服务人员须具备：①网络安全应急响应工程师证书（CSERE）；②注册信息安全工程师（CISP-CISE）；③注册数据安全治理专业人员认证（CISP-DSG）。（须提供有效证书扫描件和人员劳动合同证明。每提供一份证书得2分，最高得8分，未提供不得分）	8
5	技术

部分

（70分）	安全服务工具	为保障本项目的安全服务效果，服务商拟投入的安全服务工具须具备以下功能，并提供相关功能的证明材料：

（1）网络安全风险检查能力：①安全漏洞检测工具支持常见漏洞类型扫描的功能，包括SQL注入、跨站脚本、命令执行、命令注入、代码注入、弱口令、目录遍历、URL跳转、文件包含、反序列化漏洞、文件上传、信息泄露等主流安全漏洞。②应急处置服务工具支持设置线索功能，能够发现关键可疑行为，包括IP线索、关键词线索、文件名线索、时间线索等设置。③密码应用安全检测服务工具支持密码算法检测，可设置与被测系统一致的加密参数，对明文、密文的一致性进行检测，可展示验证结果。④密码安全检测工具支持设置自定义检测策略，可指定检测地址范围、端口范围、脆弱性类型等，支持使用目标系统已知账号/口令对其进行有效检测，检测操作不影响目标系统网络的正常工作（提供带CMA标识的检测机构出具的检测报告，至少包含报告首页、对应功能测试页和报告尾页，并加盖投标人公章）

（2）数据安全风险检查能力：①数据资产发现与识别工具支持通过扫描任务自动发现数据库资产，扫描任务支持通过IP及IP段、端口及端口段进行数据库资产发现，资产发现识别信息包括数据库类型、版本、IP、端口等。②数据分类分级结果识别验证工具支持分类分级扫描任务设置，生成分类分级结果清单，并对分类分级结果的准确性进行鉴别。③数据API接口发现与识别工具支持对被检单位核心业务系统/被检业务系统的API接口做到全量识别，并对API缺陷进行验证。（提供带CMA标识的检测机构出具的检测报告，至少包含报告首页、对应功能测试页和报告尾页，并加盖投标人公章）

（3）数据安全事件应急响应能力：①应急处置服务工具支持威胁情报能力，具有按照IP、域名、文件等条件查询相关威胁情报的功能。②应急处置服务工具支持设置线索功能，能够发现关键可疑行为，包括IP线索、关键词线索、文件名线索、时间线索等设置。③应急处置服务工具支持策略新建的功能，可以通过建立基本规则、关联规则、线索关联、描述规则、处置建议形成事件分析策略。（提供带CMA标识的检测机构出具的检测报告，至少包含报告首页、对应功能测试页和报告尾页，并加盖投标人公章）

上述功能要求的证明材料每提供一个得4分，最高得40分，未提供不得分。	40	客观分
6
项目重难点分析	一、评审内容：根据投标人提供的项目理解与重难点分析打分，要求根据以下内容评审：

（1）对本项目实施过程中的重难点的背景情况及现状了解全面，识别其中可能存在的监管落地难点（如跨部门协调、技术验证深度、整改闭环跟踪等）；

（2）对本项目服务过程中可能会面临的重难点进行分析，找出其在执行过程中可能遇到的技术、管理或协调方面的重点与难点，并提出切实可行的解决思路；

（3）对项目成功关键因素的把握：结合服务方式（现场+远程）、团队配置（项目负责人、安全技术检查专家）及交付成果要求，分析如何确保服务质量、时效性与成果有效性，并提出保障项目顺利实施和达成预期目标的关键措施与风险应对策略。

二、评审标准：

（1）完整性：方案完整，符合项目服务全阶段；

（2）合理性：符合项目具体情况，提出的总体思路、实施措施及技术方案合理恰当；

（3）符合性：方案需对招标文件进行充分响应，且不得提供与本评标项无关内容。

对上述评审内容进行打分，评审内容完全满足3项评审标准的得10分，满足2项评审标准的得6分，其他情况不得分。最高得10分。	5	主观分
7
组织实施方案	一、评审内容：根据投标人提供的组织实施方案打分，要求根据以下内容评审：

（1）实施方案是否准确理解项目背景与目标，并对“服务内容”中规定的各项任务均有具体、对应的实施安排。

（2）提出的实施方法（如检查技术手段、工具选用、分析模型）是否具体、有效；整体实施计划（包括时间进度、人员投入、资源调配）是否合理、清晰，能够确保在服务周期内完成所有交付成果。

（3）针对“现场+远程”服务模式、多单位联合检查等要求，方案中的项目组织架构、角色职责（特别是项目负责人与专家）、内外沟通协调机制（如定期汇报）是否明确、顺畅。

二、评审标准。

（1）完整性：方案完整，且切合本项目实际情况；（ （2）合理性：符合项目具体情况，提出的总体思路路、实施措施及技术方案合理恰当；

（3）符合性：方案需对招标文件进行充分响应，且不得提供与本评标项无关内容。

对上述评审内容进行打分，评审内容完全满足3项评审标准的得10分，满足2项评审标准的得6分，其他情况不得分。最高得10分。	10	主观分
8
数据安全应急演练方案	一、评审内容：根据投标人提供的数据安全应急演练方案打分，要求根据以下内容评审：

（1）方案是否涵盖总则、组织架构、事件分级、监测预警、应急响应流程、后期处置、保障措施、附则等核心要素；是否形成“准备—实施—评估—改进”的完整闭环，包含演练前需求分析、场景设计，演练中流程执行、过程管控，演练后效果评估、问题整改等环节。

（2）方案是否结合本单位业务重要性（核心/非核心业务）、系统架构、网络拓扑等特点，匹配对应安全等级的应急处置强度，优先保障核心业务连续性；演练场景是否贴近实际威胁（如模拟钓鱼邮件导致数据泄露、外部攻击突破边界等），触发条件、影响范围、预期结果明确。

（3）演练目标是否符合SMART原则（如“数据泄露上报时间≤30分钟”“核心系统恢复时间≤1小时”），可量化、可验证；是否建立多维度评估指标，包括合规性（流程是否符合法规）、有效性（技术手段是否达标）、时效性（响应时间是否满足等级要求）。

二、评审标准。

（1）完整性：方案完整，且切合本项目实际情况；（ （2）合理性：符合项目具体情况，提出的总体思路路、实施措施及技术方案合理恰当；

（3）符合性：方案需对招标文件进行充分响应，且不得提供与本评标项无关内容。

对上述评审内容进行打分，评审内容完全满足3项评审标准的得10分，满足2项评审标准的得6分，其他情况不得分。最高得10分。	15	主观分
9	合计	100分