三峡人寿保险股份有限公司 2026年度信息安全服务项目市场公开询价公告

2026年度信息安全服务项目需求表

序号

服务类别

服务内容

服务频次/周期

交付物

报价方式

1

日常安全监测

1.CVE漏洞监测预警：持续跟踪CNVD/CNNVD/NVD等漏洞库，结合公司资产研判影响面，高危漏洞24小时内出具分析报告，建立漏洞全生命周期跟踪台账；

7×24小时持续监测；高危漏洞24小时内出报告；钓鱼2小时内通报；数据泄露4小时内通报；
周报每周完成（并入安全监测周报）

漏洞预警报告及跟踪台账

本部分服务项目整体报价

2.钓鱼/仿冒网站监测：使用技术****点击查看公司名称、商标、域名的钓鱼网站和APP、社交平台诈骗账号、应用商店山寨APP，发现后2小时内通报并协助下架封堵；

钓鱼网站监测处置报告

3.数据泄露监测：定期开展业务数据或业务系统源码泄露排查，通过技术手段排查代码托管平台（GitHub/Gitee）、网盘、****点击查看公司业务系统源码泄露、业务数据泄露和员工凭据泄露，发现后4小时内通报并协助溯源止损。

数据泄露监测及溯源报告

4.提供7×24小时互联网应用监测服务，监测维度包括“Web漏洞、篡改、黑链/挂马、敏感文件、敏感词、可用性、域名劫持”等。

互联网应用监测周报

2

驻场安全运维

常规安全运维

1.日常安全运维驻场：具备信息安全相关专业资质、1年以上网络安全/信息安全领域工作经历的安全工程师1名，工作日驻场，负责安全设备日常运维和监测（防火墙/WAF/IDS/IPS/VPN/堡垒机等）、安全策略配置与优化、日常安全咨询支持，驻场人员应具备渗透测试、安全运维等相关能力；

工作日驻场（5×8），重要时期7×24在岗；事件驱动7×24响应；日志月度全面审计；策略季度评审优化

驻场工作周报、安全监测周报、安全设备运维记录、安全变更审批记录

本部分服务项目整体报价

2.安全事件研判与处置：对安全告警进行研判区分误报和真实威胁，对确认的安全事件按应急预案进行处置（隔离、溯源、清除、恢复），编写事件分析报告，协助安全事件上报；

安全事件分析报告及处置记录

3.安全日志审计分析：定期审计防火墙日志、数据库审计日志、堡垒机操作日志、安全设备日志，发现异常访问、越权操作、违规导出等行为；月度全面审计报告；

月度日志审计报告

4.安全设备策略维护：定期评审和优化防火墙策略、WAF防护规则、IDS/IPS特征库、终端防护策略，清理冗余和过期策略，安全设备固件和规则库升级。

安全策略变更记录

5.数据分类分级维护：协助甲方维护和更新数据资产台账和数据分类分级目录，新增系统/数据变更时及时更新分类分级标识，年度全面复核数据资产清单；

日常维护

更新后的数据资产台账及分类分级目录及年度复核报告

定期安全检查

1.季度安全巡检（漏洞扫描/基线检查）：对公司所有面向互联网的系统、内部核心系统、网络安全设备进行漏洞扫描/基线检查，覆盖主机漏洞、Web应用漏洞、数据库漏洞、中间件漏洞/各类系统基线检查，输出扫描报告和修复建议并对修复结果复测，对公司当前安全日志进行季度性梳理并形成报告；

季度项目每季度1次（全年4次）；年度项目每年1次

季度安全巡检报告

2.季度渗透测试：对核心业务系统、互联网应用、APP进行渗透测试，模拟黑客攻击手段发现可被利用的安全漏洞（SQL注入、XSS、CSRF、越权访问、逻辑漏洞、接口安全等），提供修复建议并协助修复验证；（每次不超过5个系统，此项可以由非驻场人员完成）；

渗透测试及修复验证报告

3.年度数据安全风险评估：依据GB/T 45577-2025标准，协助甲方开展数据安全风险自评估，覆盖数据安全管理、数据处理活动、数据安全技术、个人信息保护4个维度31项评估项；供应商负责提供评估技术支撑、方法指导与报告草案编制支持，甲方主导实施并履行报送义务（仅为自评估，不含另行采购的外部专项数据安全评估）。

数据安全风险评估报告

上线安全检查

1.新系统/系统重构安全检查：配合甲方完成新系统上线/系统重构的安全评估（涵盖渗透测试、漏洞扫描、基线检查等，可以由非驻场人员完成）。

按需开展（常规一年工作量不超过20次）

系统上线安全评估报告

按单个服务项目报价

3

重要时期保障与应急响应

1.节假日及重要活动安全保障：在国家重大活动、法定节假日等期间提供7×24应急值守（远程响应即可）、安全态势实时监测、告警快速研判处置、每日安全零报告，输出值班表和事件报告；

春节/国庆/**两会/重要会议等全年6-8次；应急响应7×24小时待命（应急响应不限次数：按以往情况平均每年度不超过1次）

保障方案、每日安全零报告、值班记录、保障总结报告

本部分服务项目整体报价

2.7×24应急响应支撑：提供7×24小时远程或现场应急响应支撑，发生安全事件后30分钟内响应、2小时内到达现场（如需），提供应急响应技术支持（恶意代码清除、系统恢复、溯源分析、证据保全）。

应急响应报告及取证分析报告

4

安全培训

1.全员安全意识培训：配合甲方开展面向全体员工开展网络安全和数据安全意识培训，涵盖钓鱼识别、密码安全、数据保护、法律法规等内容，可采用线上+线下方式；

全员培训每年至少2次；关键岗位专项培训每年至少1次

培训课件、培训签到记录、培训效果考核结果

本部分服务项目整体报价

2.关键岗位专项培训：配合甲方开展面向信息技术部、数据处理岗位人员开展专项安全培训，涵盖安全运维技能、渗透测试、应急响应、数据安全管理、合规要求等。

5

护网支持

1.护网行动支持：配合甲方参加监管组织的护网行动，提供防守队支持，进行监测研判和应急处置，护网后输出攻防复盘报告（若未参加护网，该项不予执行、不予付款）。

护网按实际情况执行（根据往年经验，按80人天预估）

护网行动方案及攻防演练报告及复盘改进报告

按人天报价

注：
****点击查看公司现行网络与信息系统的常态化安全服务。年度数据安全风险自评估仅指依据GB/T 45577-2025开展的内部自评估，不含另行采购的外部专项数据安全评估；后续因监管机构发布新的政策规范需另行开展的专项测评、评估及整改类工作，不在此次项目范围之内；服务人员具备信息安全相关专业资质、1年以上网络安全/信息安全领域工作经历。