浏阳市人民医院：医院网络及安全设备项目采购需求公开

一、功能及要求：

1、项目背景：随着智慧医院建设的深入推进，医疗信息化系统日益复杂，业务连续性与数据安全要求不断提高。***网络架构在性能、容量和安全防护方面已难以满足电子病历、医学影像、远程诊疗等高带宽、低延迟应用的运行需求，***网边界防护、***网络可靠性方面存在短板。为保障医疗业务稳定运行，***网络安全整体防护能力，支撑未来信息化扩展，***网络与安全基础设施进行系统性扩容升级。

2、建设目标：***网准入设备、***网光口汇聚交换机、***网服务器汇聚交换机和存储光纤交换机，***网服务器EDR安全授权，***网络架构，***网传输性能与安全防护能力，构建高效、可靠、***网络与存储环境，有效支撑业务扩展需求，保障核心系统稳定运行。

3、建设内容：

（1）***网区域部署1台新型准入控制系统，替换现有老旧准入设备，***网终端接入流程，强化身份认证与安全检查机制，***网接入边界的安全防护能力。

（2）***网络交换设备进行扩容升级，主机房新增1台千兆电口接入交换机和1台万兆光口汇聚交换机，备机房新增1台万兆光口汇聚交换机。***网络交换机共同构建高可用性架构，服务器采用双上行链路并通过链路聚合方式接入，***网络冗余与负载均衡，***网络可靠性与业务连续性。

（3）***网服务器区部署2***网服务器汇聚交换机，采用堆叠技术实现逻辑统一管理与冗余备份，整体替换现有汇聚交换机，构建高可用、***网络环境，保障对外服务系统的稳定运行。

（4）新增2台存储光纤交换机，与现有SAN***网络进行级联扩展，构建高带宽、低延迟、***网络，为关键业务服务器提供稳定、高效的存储接入能力，满足医疗数据高并发读写需求。

（5）***网服务器EDR（终端检测与响应）系统进行授权扩容，***网服务器，实现对服务器主机的全面病毒防护、威胁检测、行为监控与快速响应，***网安全主动防御能力。

建设清单如下：

二、相关标准：

参照国家及行业相关标准执行

三、技术规格：

（1）、外网准入系统需求数量1台，单台技术要求

1、1U机架结构；标准配置单电源，可选配冗余电源；配置≥6个1000MBASE-T接口，可配置1个接口卡,每秒事务数（TPS)：≥2000（次/秒），最大吞吐量：≥1000Mbps，最大并发连接数≥2000（条），本次提供≥1000点授权，最大支持≥1500点授权。本次配置指纹模块：支持通过主动扫描或被动流量监听的方式，根据内置的指纹规则库或者自定义指纹库，***网络内的非PC资产进行识别并分类，可识别包括但不限于PC电脑、智能手机、交换机、网络安全设备、摄像头、打印机等资产；支持通过主动或被动方式采集设备特征形成终端唯一标识，并支持自动或手动绑定终端唯一标识，实现终端设备防伪冒；移动介质管理：为了避免电脑上随意读写移动存储设备，导致敏感信息数据泄露，病毒或木马引入等风险，支持规范移动存储介质在电脑上的使用，包含对USB设备进行注册、审核、例外、插拔审计、使用控制、分区加密、设置密码访问、USB设备与终端绑定等；非法外联管控：支持检查Windows\MacOS\***网行为（***网地址范围）并进行告警、断网等自动处置，如通过3/4/5G***网卡、代理、USB网络共享、***网络SSID等违规外联行为。

2、准入技术：支持策略路由、端口镜像、***网桥、802.1X、ARP、DHCP、VLAN隔离、Portal等准入技术，支持准入技术自由组合使用，***网络环境。

3、▲准入管控模式选择：为便于管理员进行紧急管理措施，需支持多管控模式一键切换，包括但不限于如下管控模式：管控模式：开启管控模式，即对管控范围内的终端进行准入管控；逃生模式：开启逃生模式，即放开对终端的准入管控；实施模式：开启实施模式，终端访问被阻断URL，会推送客户端安装页面，管***网，***网络；合规模式：合规模式下，只有终端安检不合规，被隔离，或存在违规行为（IP/MAC绑定违规，指纹违规）***网络，***网络。

4、NAT接入管理：为避免无线路由器等NAT环境下终端管控失效，需支持NAT环境下终端的精准管控，实现NAT***网管控；

5、支持包括不限于按IP地址、终端类型、角色、指定终端、终端部门、操作系统定义准入场景策略，符合这类定义的终端在接入后，按照场景的执行身份认证、安全检查、客户端安装、***网络访问权限；支持多种条件组合精确定义准入场景的应用对象。

6、支持Windows终端、国产化终端自定义定义检查项，支持检查文件是否存在，文件大小，文件md5等；

7、为便于管理员进行故障排查和定位，需支持记录终端7天内的准入状态快照，快照内容包括但不限于终端上线时间、阻断或放通、IP地址、接入位置、认证时间、认证账户、安检规范及结果、可访问域、下线时间等终端准入状态信息。同时支持在同一界面上集成基于web的ping、路由追踪、抓包、网络测试、获取终端日志等常规运维工具；

8、***平台的恶意攻击，***平台设备的恶意请求，需支持将指定来源（IP，端口）的访问请求转发到指定目的服务器地址；

9、为方便使用平板、智能手机进行准入设备基本操作，需支持移动终端专用管理APP，实现设备快速定位、设备审核、实时报警监控、小助手确认码生成、准入控制器管理、平台基本信息、关机与重启等操作。

10、为满足多类终端的准入控制需求，同时减少成本投入，***平台可以同时对Windows电脑、国产化电脑、安卓手机进行安全检查；

11、国产化客户端静默推送：支持批量推送客户端到国产化电脑，并进行静默安装，无需人工输入root账号和密码；

（2）、内网千兆交换机需求数量1台，单台技术要求

1、交换容量≥1.28 Tbps,包转发率≥252Mpps为了提高设备可靠性，支持并模块化可插拔双电源，≥48个千兆电口，≥4个万兆SFP+，万兆多模光模块≥4个，***网千兆交换机实现堆叠

2、支持业务扩展插槽数1,扩展支持8个SFP+端口或4个40GE QSFP+端口

3、支持MAC地址规格32K,支持ARP表项规格20000

4、支持4K VLAN，支持QinQ，灵活QinQ、支持端口VLAN、协议VLAN、IP子网VLAN

5、支持静态路由、RIP v1/v2、OSPF、BGP、ISIS、RIPng、OSPFv3、ISISv6、BGP4+

6、支持Ipv4路由FIB表8K，Ipv6路由FIB表4K

7、支持CPU保护功能,支持MACSec加密

8、支持纵向虚拟化，作为纵向子节点零配置即插即用

（3）、内网光口汇聚交换机需求数量：2台，单台技术要求

1、交换容量≥4.8Tbps，包转发率≥2000Mpps，***网公布最小值为准；配置万兆光口≥48个，40GE光口≥6个，交流电源≥2个，可插拔模块化风扇框≥4个，万兆多模光模块≥24个，40G堆叠线≥1根；

2、设备支持复位按钮和清配置按钮，提供产品功能照片或产品彩页截图；

3、▲设备的CPU和交换芯片均为国产自研芯片，提供国家认可的佐证材料并加盖投标人公章；

4、支持MAC表项≥64K，ARP表项≥64K，IPv4路由表项≥64K，IPv6路由表项≥32K，提供权威第三方测试报告证明；

5、支持静态路由、RIP、RIPng、OSPF、OSPFv3、BGP、BGP4+、ISIS、ISISv6等路由协议；

6、支持VxLAN功能，支持VxLAN***网关，支持BGP EVPN；

7、支持G.8032（ERPS）***网协议，故障倒换收敛时间小于50毫秒；

8、支持真实业务流实时检测技术，***网络故障；

9、支持硬件BFD/OAM，提高设备的可靠性；

（4）、外网服务器区汇聚交换机需求数量：2台，单台技术要求

1、交换容量≥1.36Tbps，包转发率≥327Mpps，***网公布最小值为准；配置千兆电口≥48个，万兆光口≥4个，专用堆叠口≥2个，冗余电源，万兆多模光模块≥4个，10G堆叠电缆≥1根；

2、设备支持复位按钮和清配置按钮，提供产品功能照片或产品彩页截图；

3、支持MAC表项≥64K，ARP表项≥4K，IPv4路由表项≥8K，IPv6路由表项≥3K，提供权威第三方测试报告证明；

4、支持静态路由、RIP、OSPF、RIPng、OSPFv3、ISIS、ISISv6、BGP、BGP4+；

5、▲设备的CPU和交换芯片均为国产自研芯片，提供国家认可的佐证材料并加盖投标人公章；

6、支持G.8032（ERPS）***网协议，故障倒换收敛时间小于50ms；

7、支持堆叠，主机堆叠数≥9台，专用堆叠口使用专用堆叠线缆即插即用免配置堆叠；

（5）、存储光纤交换机需求数量：2台，单台技术要求

1、24端口32Gbps存储光纤交换机，激活≥24个端口，配置≥24个16Gbps模块，配置≥24根15m FC线缆。

（6）、内网服务器EDR授权扩容需求数量：50个，技术要求

1、▲产品支持B/S****中心，具备终端安全可视，终端统一管理，统一威胁处置，统一漏洞修复，威胁响应处置，日志记录与查询等功能，可与医院现有系统联动并统一管理，通过定制开发与医院现有杀毒控制台无缝级联，统一管理，原策略零变动下发，本次提供≥50点服务器端授权。

2、***网风险展示，包括但不限于未处理的勒索事件数量、高级威胁、Web入侵、待处置漏洞、钓鱼攻击及其各自影响的终端数量。

3、产品支持暴露面梳理功能，***网的端口及应用，***网的IP地址访问时，***网暴露面资产，帮助医院高效梳理资产脆弱面。

4、***网段、扫描方式、扫描协议、扫描端口对终端进行扫描，及时发现尚未纳入管控的终端。

5、产品支持勒索病毒防护功能，提供勒索病毒整体防护体系入口，直观展示最近七天勒索病毒防护效果，包括已处置的勒索病毒数量、已阻止的勒索病毒行为次数、已阻止的未知进程操作次数、已阻止的暴力破解攻击次数 （需提供产品功能照片或产品彩页截图和关于“勒索病毒”相关的软件著作权并加盖投标人公章）。

6、产品支持以可视化形式展现攻击故事，提供可视化的进程树溯源，可直观看出攻击入口、相关操作行为、高危实体文件等信息，协助医院进行事件攻击溯源和研判分析。

7、产品支持windows服务器RDP远程登录保护，可开启RDP远程登录二次认证，以防止黑客对服务器的入侵。

8、产品支持Linux服务器SSH远程登录保护，可开启SSH远程登录二次认证，以防止黑客利用弱密码脆弱性对服务器的入侵；支持设置验证码验证或自定义密码验证，支持设置登录认证提示、生效时间段和免二次认证白名单。

四、交付时间和地点：

1、交货时间：合同签订后30日历天内安装调试完毕。

2、交货地点：采购人指定地点。

3、交货方式：货物到采购人指定安装位置，包括货物安装、调试及验收合格（交钥匙项目）。

五、服务标准：

网络安全技术服务要求：

1、★1）以上招标清单中，涉及所有货物的许可授权数量、端口数量、端口类型、端口速率、端口激活数量、吞吐量、交换容量、包转发率、电源数量、模块数量、模块速率、线缆数量、每秒事务数、最大并发连接数等基本硬件和性能指标，投标人必须满足或高于采购参数要求，否则视为投标无效。2）本项目为交钥匙工程，供应商须提供专业的安全集成技术服务，提供完整的实施方案（网络设备和安全设备）、培训、应急预案、竣工文档、培训文档、验收文档等，提供硬件安装和配置、安全策略配置、安全应急响应等；提供后续3年安全技术支持服务。3）软硬件提供3年原厂维保服务，项目验收前提供原厂针对本项目产品的三年服务承诺函作为验收依据。4）以上内容投标人提供承诺函并加盖投标人公章。

2、1）投标人提供安全漏洞扫描设备，按需对医院的重要服务器、应用系统、网络设备、安全设备等信息资产进行安全检查，及时发现各类系统存在的安全漏洞，提供安全漏洞的详细描述和修复方案，并对漏洞进行修复，从根本上提高医院信息资产的安全防护能力；2）提供1名存储系统认证工程师提供本次SAN交换机上线技术服务。包括：SAN交换机的割接方案、涉及到的服务器、存储系统等相关技术切换服务，投标人提供承诺函并加盖投标人公章。

3、项目签合同前向招标人提供与投标文件一致的项目团队名单（含姓名、身份证复印件、社保记录），并承诺除非在不可抗力或在取得招标人同意的情况下，项目交付实施期间不得更换项目团队人员，投标人提供承诺函并加盖投标人公章。

4、投标人中标后，采购人保留对标“▲”项技术条款进行测试和功能查验的权利和现场测试的权利，可要求预中标供应商提供所投型号的产品进行测试，测试所产生的费用由预中标供应商承担，以供确认是否达到采购文件中所规定的技术功能要求，若测试不能满足采购要求，视为投标人虚假响应，作无效投标处理，同时上报相关主管部门将该预中标供货商列入黑名单。说明：如投标人中标后，提供的实际产品相关功能与投标文件中功能截图不一致，采购人有权追溯其法律责任，投标人提供承诺函并加盖投标人公章。

六、验收标准：

1）验收主体：甲方为项目的验收主体

验收组织方式：■自行组织 □委托第三方组织

是否邀请本项目的其他供应商：□是 ■否

是否邀请专家：□是 ■否

是否邀请服务对象：□是 ■否

是否邀请第三方检测机构：□是 ■否

验收组织的其他事项： {双方协商约定}

2）履约验收时间：采购单位应当自收到验收申请之日起 7 个工作日内启动项目验收

3）履约验收方式： ■一次性验收 （分期/分项验收）

4）履约验收程序：按照长沙市政府采购履约验收规定的程序。

5）履约验收的内容：

技术履约验收内容： 按采购文件及投标文件的技术部分验收

服务履约验收内容： 按采购文件及投标文件的服务部分验收

商务履约验收内容： 按采购文件及投标文件的商务部分验收

6）履约验收标准： 符合国家或行业标准（如有）及其他相关标准

7）履约验收其他事项： 双方协商约定

七、其他要求：

1、验收方式：根据按浏财函[2024]5 号《浏阳市财政局关于转发<长沙市财政局关于加强长沙市政府采购项目履约验收工作的通知>的通知》的规定进行验收。

2、本项目采用费用包干方式建设，投标人应根据项目要求和现场情况，详细列明项目所需的设备（软件开发）及材料购置，以及产品运输保险保管、安装调试、试运行测试通过验收、培训、质保期免费保修维护等所有人工、管理、财务等所有费用，但一旦中标，在项目实施中出现任何遗漏，均由中标人免费提供，采购人不再支付任何费用。

采购需求仅供参考，相关内容以采购文件为准。