南方医科大学口腔医院数据安全建设服务

序号

建设内容

建设内容描述

数量

1

数据分类分级

提供数据分类分级工具，同时配套提供持续性分类分级专项服务，工具可长期部署院内独立使用，在服务周期内由专业团队定期开展数据资产梳理、分级标签更新、分类规则优化、分级效果复核等常态化支撑工作，持续保障院内医疗敏感数据分类分级成果贴合业务变化、满足合规监管标准，形成数据资产清单与分级目录。

一、分类分级工具技术要求：

1. 软件化部署，5年软件升级授权，不限数据库扫描授权个数，最大支持扫描50万字段；

2. 支持国内外数据库类型和非结构化文件梳理与发现；

3. 内置医疗数据分类分级模型，提供单个数据源或批量数据源进行元数据预测，支持针对同一元数据进行不同标准下分类结果的预测；

4. 支持针对内置模型或自定义模型进行增量训练，生成符合用户现场的模型；

5. 系统可针对表描述、字段描述为空的数据进行智能补齐的操作，完善元数据信息；

6. 支持大屏展示，包括但不限于数据库信息、分类分级TOP5分布以及数据特征分布等，展示近一周的数据变化趋势图。

二、分类分级专项服务：

1. 依托自动化工具，遵循各级卫健部门发布的相关标准规范，定期对院内核心业务系统数据开展标准化梳理与分类分级工作，同时结合本院实际制定院级分类分级标准，要求将数据划分为核心、重要、一般三类，并划分对应分类；

2. 通过工具分类分级后，由专业团队进行人工研判校正，与系统厂商确认关键字段属性，协同院方审核分类分级合理性，确保结果准确；

3. 本次分类分级服务覆盖全院关键业务系统，并将完成分级分类的各类数据字段，落地应用于本项目数据安全产品，以此为依据制定精准、适配的数据安全监测规则与防护管控策略；

4. 每次服务期间均需输出包括但不限于《大纲》《清单》等材料。

1项

2

***平台

***平台软件，软件支持虚拟化部署，提供不少于400个数据资产授权。***网***网空间的应用、数据库资产进行全链条识别、梳理和监测，具体要求如下：

1. 数据资产梳理：通过探针采集和流量分析机制，***网络资源和数据资产进行识别和梳理，形成数据资源目录以列表形式展示；

2. 数据资产动态监测：通过梳理流量中包含的所有信息，以列表形式及关系图的形式进行关联数据的直观呈现；

3. 数据链路梳理：数据链路梳理包含业务行为备案和对外交互备案，通过添加参与链路梳理的系统和创建备案目录，绘制逻辑拓扑图形式展示资产之间的相互关联性；

4. 链路风险监测：按流量中获取的数据资产分析风险行为，形成统一的列表清单展示。并且按归集后的业务系统进行风险查看，在可视化的拓扑图上查看风险并支持详情展示；

5. 链路异常分析：从数据资产维度，获取服务数据资产的风险行为，并根据筛选条件（风险发生事件和数据资产信息）展示风险详情信息；

6. 事件链路追踪：根据已知的泄露信息查找相关线索，追溯泄露事件，找出疑似行为；

7. AI分析：基于智能体底座，业务语言翻译，智能规则生成与校验，异常行为分析等能力。

1项

3

数据脱敏

为保障敏感数据在开发测试、数据共享、数据分析、接口调用、数据提取上报等业务场景中的安全使用，拟建设数据脱敏系统，实现对敏感数据的自动识别、动态脱敏及统一管理。在不影响现有业务系统正常运行的前提下，对涉及个人隐私、业务敏感信息等数据进行脱敏处理，降低数据泄漏风险，满足数据安全管理及合规要求。具体要求如下：

1. 系统可依据各类业务场景动态选用适配脱敏策略，支持遮盖、掩码、哈希、加密等多种脱敏手段覆盖各类数据与业务需求，脱敏后保留数据格式、长度、关联关系与一致性，保障脱敏数据可正常用于开发测试、统计分析等场景。

2. 系统应具备敏感数据自动识别能力，能够识别患者姓名、身份证号码、手机号码、地址、银行卡号、邮箱、医疗卡号等常见敏感信息。

3. 系统可通过正则、关键字、字段信息等自定义敏感数据识别规则，自动识别分类敏感字段，同时能结合源IP、账号、角色等多维度条件按业务场景配置差异化脱敏策略，适配各部门、系统、接口的安全需求，还支持配置白名单机制，可针对特定源IP、访问账号、业务系统设置免脱敏策略，满足授权用户调取原始数据的业务需求，并可统一维护管理白名单。

4. 系统支持docx、xlsx、pptx、xlsx、txt、json、xml、csv等各类办公与数据交换文件脱敏，脱敏时保留原文件结构排版，仅处理敏感内容适配文件共享交换场景；同时可识别 gzip、brotli 等压缩数据，自动解压脱敏后重新压缩输出，保障传输与接口调用时的脱敏效果。

5. 系统应满足业务高并发访问场景下的实时脱敏需求，在保证脱敏效果的同时，尽量降低对业务响应时间的影响。系统应具备良好的扩展能力，支持后续新增脱敏规则、敏感数据类型及业务应用的快速接入。

1项

4

网络准入系统

软硬一体化部署，提供1台具有独立自主知识产权，标准机架式硬件设备，可适配信创，提供不少于2500个终端授权点。准入功能需求如下：

1、基础架构：

1) 采用B/S架构管理；支持旁路、透明等部署方式，设备宕机、***网；

2) 支持多院区统一管控，可通过分布式探针联动各分院区交换机，实现全院区一体化准入管控。

2、基本功能：

1) 兼容主流厂商交换机，支持设备批量纳管与状态监控；

2) ***网终端、哑终端、服务器等各类资产；

3) ***网认证模式，***网络限制；

4) ***网络拓扑可视化、IP 地址管理，可定位终端接入位置；

5) 支持本地身份认证，可对接主流第三方认证系统；

6) 支持终端合规校验，涵盖软件核查、外设管控、地址绑定等基础策略；

7) ***网络违规行为检测告警，留存审计日志；

8) 支持外部远程接入认证审批，可限制访问范围与时长。

3、国产化适配

1) 客户端兼容主流国产化CPU芯片和操作系统。

1项

5

服务器安全管理系统

提供不少于250个客户端授权，***平台，采用轻量化 Agent 部署，功能需求如下：

1) 提供服务器资产信息的自定义采集能力，至少支持20种资产清点类型，包括但不限于进程、账户、软件应用、数据库、证书等资产类型的识别、收集和管理；

2) 支持防病毒功能，支持多种杀毒引擎、多扫描方式。支持勒索病毒实时防护能力，对勒索攻击提供独立实时防护能力，从勒索事件攻击链条依次进行告警查看和安全加固配置；

3) 支持漏洞扫描功能，支持检测的漏洞数量不低于4000个，支持对特定漏洞进行扫描，支持Windows服务器漏洞补丁修复安装；

4) 支持安全基线自查，涵盖等保二级、三级合规性基线规则等，支持自定义的基线规则；

5) 支持Webshell的实时监测，可自动识别web应用所在目录进行扫描；

6) 支持对常见操作系统、应用的弱口令检测，支持灵活定义弱口令字典；

7) 支持一键风险评估，扫描服务器高危账号、弱口令、漏洞和基线配置风险，形成风险台账和报告；

8) 支持以图形化的形式统计展示服务器遭受的各类攻击等威胁。支持对恶意扫描行为进行识别和防护，实时监控记录主机上发生的异常登录、所有反向连接等异常行为；

9) 支持批量文件分发，并具备自动执行的能力；

10) 支持微隔离功能，在Windows、Linux、国产化多种系统上，应保持同样的功能，实现同等水平的微隔离效果；

11) 支持主机IPS（入侵防御）能力，IPS规则库数量不少于7000条，支持批量、灵活的IPS规则下发；

12) 兼容主流国产化操作系统、兼容主流Windows和Linux操作系统，Web中间件、数据库等以及多种云环境、***平台、***平台等。

1项

5

售后服务

提供免费安装部署服务：包含产品实施及运行调试、验收测试、产品日常使用基础培训；提供软硬件五年原厂售后服务，在质保期内，包含不限于软件、特征库（病毒库）等全模块升级服务，硬件原厂维保服务，如无法提供备件需要提供备机。

1项