中国共产党大庆市纪律检查委员会外网设备采购项目竞争性谈判公告

1. 项目概述

以习近平新时代中国特色社会主义思想为指引，认真贯彻落实党的十九大和十九届中央纪委全会精神，牢固树立“四个意识”。大庆市纪委监委决策部署，紧紧围绕监督执纪问责及监督调查处置核心目标，根据《中央纪委国家监委信息化工作规划（2018-2022年）》和《黑龙江省纪委监委信息技术保障室2021年工作要点》（﹝2021﹞1号），加快纪检监察信息化建设，强化系统应用。需要依托国家电子政务外网构建贯穿中央、省、市、县、乡五级纪检监察机构的纪检监察外网。

2. 建设原则

按照“统筹规划、分步建设，分级管理、确保安全”，大庆市纪委监委负责市本级及其派驻（出）纪检监察机构的网络建设和管理，各县（区）纪委监委负责县（区）级纪检监察机构、派驻（出）纪检监察机构、乡镇（街道）纪委的网络建设和管理，并依据国家网络安全等级保护三级标准要求建立安全保障体系。按照国家国产化替代要求，统筹开展相关工作，依据实用性、高可靠性、高可用性、高扩展性、高安全性的网络系统进行技术方案的设计：

？      高可用性

系统架构必须能够达到/超过业务系统对服务级别的要求。通过多层次的冗余连接考虑，以及设备自身冗余支持，使得整个架构能够满足业务不间断运行的持续性需求。

？      重点保护原则

根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。

？      先进性原则

在方案设计中对设备选型有一定技术前瞻性和需求预见性，能够满足未来几年内对性能的需要。在方案中选择适度超前的技术和产品，同时也可以有效地节省成本，符合经济性原则。

？      可维护管理原则

系统架构采用分层模块化设计，同时配合整体网络/系统管理，优化网络/系统管理和支持维护。整个网络系统需要考虑运行以后维护的方便性，以及维护的成本，缩短维护时间。

？      综合性、整体性原则

采用适当技术手段分析网络的安全，并制定具体措施。安全措施主要包括：行政法律手段、各种管理制度以及专业技术措施，如访问控制、攻击检测技术、密码技术、数字证书、漏洞检测、防病毒、多种审计等。

？      多重保护原则

所建立的安全系统要确保是一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

3. 电子政务外网现状分析

大庆市纪检监察机构共有221个机构，其中市本级共38个，包括3个市纪委部门，1个信访接待中心、1个审查调查服务中心、26个派驻，3个派出机构，4个查询机构。县区共计183个机构，包括27个县区纪委部门57个派驻机构，58个乡镇，41个街道。

大庆市电子政务外网覆盖情况如下图所示：

图1政务外网覆盖现状图

大庆市纪委监委与各县（区）纪检监察机构信访室已经全部实现电子政务外网专线接入，共计10个接入点。未完成电子政务外网专线接入部门数量为211个，均采用VPN形式登录，包括市级部门37个、县区纪委内部部门18个、派驻57个、乡镇（街道）99个。终端拟接入数量为221个。

4. 总体规划

4.1.     总体架构

按照根据中央纪委国家监委信息中心下发《关于印发《纪检监察外网设计方案》的通知》（中纪国监信息﹝2019﹞63号）的相关要求，纪检监察外网依托国家电子政务外网实现中央、省、市（地）、县（市、区）和乡、镇五级纪委监委机关的互联互通，满足上下级纪委监委之间、纪委监委与各级政府单位之间的信息共享和业务协同需求。中央、省、市（地）、县（市、区）纪检监察外网根据承载的业务系统和面向服务对象的不同，划分为纪检监察外网区和电子政务外网区两个功能大区，同时建设对应的安全保障体系和运维保障体系。整体架构如下图所示：

图2架构图

纪检监察外网区主要承载检举举报平台、外部信息查询平台等业务，为各级纪检监察人员提供服务；电子政务外网区主要承载数据共享交换业务，为纪检监察机关提供数据上报、查询等服务。纪检监察外网区与电子政务外网区之间相互逻辑隔离，通过双向网闸实现跨网数据安全交换。如下图所示：

图3跨网交换示意图

电子政务外网包括广域网和城域网，广域网用于纵向覆盖各级行政区域，城域网用于横向连接本级行政区域内的政务部门。纪检监察外网依托电子政务外网城域网的公网网络区实现纪委监委机关的五级互连，为实现纪检监察外网区与其他区域之间相互隔离，并保证数据传输的安全性，省、市两级纪委监委机关局域网采用IPSEC VPN接入方式访问省、市两级纪委监委纪检监察外网。县（区）纪委监委机关、派驻机构、乡镇（街道）等基层单位也要建设电子政务外网专线，采用IPSEC VPN接入方式，访问市、县（区）纪检监察外网。

总体广域网互联架构图如下：

图4互联互通示意图

4.2.     总体网络设计

大庆市纪检监察外网属于黑龙江省纪检监察外网的组成部分，整体网络设计应满足黑龙江省纪检监察外网建设要求。大庆市纪检监察外网依托国家电子政务外网构建，贯穿市（地）、县（市、区）、乡/镇三级，并上联接入黑龙江省纪检监察外网。能够满足上下级纪检监察机关之间、纪检监察机关与其他机关之间的信息共享和业务协调需求，主要承载检举举报平台12388电话举报受理系统、平台基层版系统、外部信息传输等业务，为各级纪检监察机关提供网络支撑。

总体网络规划拓扑如下：

图5总体网络设计图

黑龙江省纪检监察外网可划分为纪检监察外网区和电子政务外网区。纪检监察外网区主要承载非密工作业务系统，不能与互联网直接进行双向互通。电子政务外网区主要承载与国家电子政务外网有交互的业务系统。大庆市纪检监察外网仅需建设纪检监察外网区，不建设电子政务外网区。

大庆市纪检监察外网通过电子政务外网实现与黑龙江省纪检监察外网互联互通，两者之间通过电子政务外网的公用网络区实现互联。通过内部（159.33.24地址网段）建立IPSec VPN隧道实现互通。

黑龙江省纪委纪检监察基层版系统采用集中部署模式，市、县（市、区）、乡、镇通过省级电子政务外网公共平台，以终端接入+IPSecVPN 方式集中访问省级业务服务器区，提交相关业务。

4.3.     广域网总体设计

大庆市电子政务外网覆盖率较低，乡、镇、街道均没有接入电子政务外网专线。未实现专线接入电子政务外网的单位,首先配置电子政务外网VPN客户端，通过互联网接入本地电子政务外网安全接入平台，再访问纪检监察外网的电子政务外网区中检举举报前置系统，举报信息通过后置双向网闸摆渡到纪检监察外网区相关业务数据库中，完成举报数据提交业务流程。

各级连接拓扑如下：

图6广域网总体规划图

4.4.     IP地址规划及路由设计

中央为黑龙江省分配的IP地址段为159.32.0.0/14，大庆的地址段为159.33.96.0/19，即159.33.96.0-159.33.127.0，共32个C段地址。分配原则按照每个县区2个C段地址，保留足够的扩展空间。

市级纪检监察外网路由规划，采用静态路由的方式设计，以满足网络需求。

5. 网络建设方案

5.1.     省级纪检监察外网建设

黑龙江省纪委监委纪检监察外网划分为纪检监察外网区和电子政务外网区两个功能大区。采用模块化分区思想，基于业务功能和业务安全级别进行区域划分，其中：纪检监察外网区分为核心交换区、广域接入区、互联网接入区、专网外联区、业务系统区、终端接入区和管理业务区；电子政务外网区区分为核心交换区、安全管理区、公共业务区和终端接入区。

建设拓扑如下：

图7详细网络拓扑图

网络设计具备以下特点：

扩展性好。总体网络架构纵横，各区节点层级清晰，选用的网络设备采用模块化设计，网络扩展性好，网络结构和采用技术具备便捷扩展或平滑升级。

安全性高。网络边界划分明确，安全防护达到公安部等保三级标准，网络安全管理方便。可通过身份鉴别和授权、安全监测、策略管理等方法保障网络的安全性。

可靠性高。物理链路的高质量保障和冗余配置使得网络具备可靠性、可用性及可达性，完全避免单点故障的隐患，故障切换技术可对业务流量进行无缝迁移，保障整个网络的高可靠性。

健壮性强。核心设备间采用动态路由协议备份以及链路保护机制，保证核心设备之间的故障切换对网络传输的流量不造成任何影响，保障网络的强健壮性。

5.2.     市级纪委监委纪检监察外网建设

图8大庆市纪委监委纪检监察外网区设计图

大庆市、县（区）、乡、镇纪委监委和各级纪检组仅接入终端，仅建设纪检监察外网区，电子政务外网区暂不建设，后期可根据实际需求按需建设。

大庆市本级纪委监委机关已经实现电子政务外网专线接入，市本级纪委监委机关部署千兆IPSec VPN和接入交换机，市级纪委监委机关党风、信访、案管、信访接待中心、市直机关纪检监察工委以终端接入的方式接入到大庆市纪检监察外网，IPSec VPN与省级IPsec VPN形成加密隧道，统一贯穿纪检监察外网，逻辑隔离于电子政务外网。接入终端前按照实际需求部署接入交换机接入扩展业务终端，市本级纪委监委部署的IPSec VPN接受省级VPN管理中心管理。

接入终端上安装主机监控与审计系统客户端、防病毒系统客户端、USB KEY和身份鉴别系统客户端，以上客户端软件的服务器端由省级节点统一部署，接入节点只需按照省纪委监委要求部署客户端即可。

5.3.     市纪检监察派驻（出）机构、业务单位纪检监察外网建设

图9 市级纪纪检监察派驻机构纪检监察外网区设计图

已完成电子政务外网专线接入的市本级纪检监察派驻（出）机构和业务单位纪检监察外网区部署桌面型国密IPSec VPN，未完成电子政务外网专线接入的机构应建设专线接入，终端接入交换机根据各单位实际情况按需配备（接入终端2台以上配备交换机，否则不配备），市本级纪检监察派驻（出）机构和业务单位以终端接入的方式接入到市本级纪检监察外网，IPSec VPN与市本级IPsec VPN形成加密隧道，市本级IPsec VPN与省级IPsec VPN形成加密隧道，统一贯穿纪检监察外网，逻辑隔离于电子政务外网。所有部署的部署的IPSec VPN接受省级VPN管理中心管理。

接入终端上安装主机监控与审计系统客户端、防病毒系统客户端、USB KEY和身份鉴别系统客户端，以上客户端软件的服务器端由省级节点统一部署，接入节点只需按照省纪委监委要求部署客户端即可。

5.4.     县（区）级纪委监委纪检监察外网建设

图10 县（区）级纪委监委纪检监察外网区设计图

已完成完成电子政务外网专线接入县（区）纪委监委纪检监察外网区部署桌面型国密IPSec VPN，未完成电子政务外网专线接入机构的应建设专线接入，终端接入交换机根据各单位实际情况按需配备（接入终端2台以上配备交换机，否则不配备），县（区）纪委监委采用终端接入的方式接入到市级纪检监察外网，IPSec VPN与市级IPSec VPN形成加密隧道，市级IPSec VPN与省级IPSec VPN形成VPN加密隧道，统一贯穿纪检监察外网，逻辑隔离于电子政务外网。县（区）纪委监委纪检监察外网区部署的IPSec VPN接受省级VPN管理中心管理。

接入终端上安装主机监控与审计系统客户端、防病毒系统客户端、USB KEY和身份鉴别系统客户端，以上客户端软件的服务器端由省级节点统一部署，接入节点只需按照省纪委监委要求部署客户端即可。

5.5.     县（区）级纪检监察派驻机构纪检监察外网建设

图11 县（区）级纪检监察派驻机构纪检监察外网区设计图

未完成电子政务外网专线接入县（区）纪检监察派驻机构应建设电子政务外网专线，纪检监察外网区部署桌面型国密IPSec VPN，终端接入交换机根据各单位实际情况按需配备（接入终端2台以上配备交换机，否则不配备），县（区）纪检监察派驻机构以终端接入的方式接入到市级纪委监委纪检监察外网，IPSec VPN与市级IPSec VPN形成加密隧道，市级IPSec VPN与省级IPSec VPN形成VPN加密隧道，统一贯穿纪检监察外网，逻辑隔离于电子政务外网。县（区）纪检监察派驻机构纪检监察外网区部署的IPSec VPN接受省级VPN管理中心管理。

接入终端上安装主机监控与审计系统客户端、防病毒系统客户端、USB KEY和身份鉴别系统客户端，以上客户端软件的服务器端由省级节点统一部署，接入节点只需按照省纪委监委要求部署客户端即可。

5.6.     乡、镇、街道纪检监察组织检监察外网建设

图12乡、镇级纪检监察组织检监察外网区设计图

未完成电子政务外网专线接入的乡、镇、街道纪检监察组织应建设电子政务外网专线接入，纪检监察外网区部署桌面型国密IPSec VPN，终端接入交换机根据各单位实际情况按需配备（接入终端2台以上配备交换机，否则不配备），乡、镇、街道级纪检监察组织以终端接入的方式接入到本市级纪委监委纪检监察外网，乡、镇、街道级纪检监察组织IPSec VPN与市级IPsec VPN形成加密隧道，市级IPsec VPN与省级IPSec VPN形成VPN加密隧道，统一贯穿纪检监察外网，逻辑隔离于电子政务外网。乡、镇、街道纪检监察组织检监察外网区部署的IPSec VPN接受省级VPN管理中心管理。

接入终端上安装主机监控与审计系统客户端、防病毒系统客户端、USB KEY和身份鉴别系统客户端，以上客户端软件的服务器端由省级节点统一部署，接入节点只需按照省纪委监委要求部署客户端即可。

6. 网络安全建设方案

大庆市级检举举报平台中除中央涉及的网络举报、电话举报外，还包括供乡、镇街道、基层派驻机构的纪检监察基层版系统。基层版系统初步规划依托纪检监察外网建设，省级集中部署应用。

6.1.     安全等级划分

按照《网络安全法》，根据《网络安全保护等级指南》，大庆市纪检监察外网运行过程中，将会产生、传输和储存大量结构化和非结构化信息。这些信息对于业务的正常运行起到十分关键的作用，同时系统中传输的大量信息，其中某些信息相对敏感，直接关乎社会稳定与国家安全。依据《定级指南》等级定级情况如下：

业务信息安全被破坏时所侵害的客体

对相应客体的侵害程度

一般损害

严重损害

特别严重损害

公民、法人和其他组织的合法权益

第一级

第二级

第二级

社会秩序、公共利益

第二级

第三级

第四级

国家安全

第三级

第四级

第五级

大庆市纪检监察外网应用系统数据的机密性一旦遭受到破坏，将会对社会秩序和公共利益造成严重损害，即会出现较大范围的社会不良影响和较大程度的公共利益损害等，同时对国家安全也会造成一定影响。

综合考虑业务信息等级和系统服务等级，大庆市纪检监察外网最终的安全保护等级参考黑龙江省纪检监察外网安全保护等级，应是由业务信息安全等级和系统服务安全等级的较高者决定，即安全保护等级为第三级。

6.2.     安全保障和防护建设

根据2019年5月发布的《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护安全设计技术要求》中的相关技术及管理要求，按照分域分权、多方制衡、体系化设计思路，结合检举举报平台12388电话举报受理系统、平台基层版系统、信息查询反馈系统、大庆市党纪政务处分决定执行电子监察系统等业务的实际特性，建立纪检监察外网的信息安全技术体系框架，设计安全保障体系方案，综合提升信息系统的安全保障能力和防护水平，确保信息系统的安全稳定运行。

省级纪检监察外网安全体系建设遵循等级保护“一个中心、三重防护、多级互联”的安全防护理念，建设全局的纵深安全防护体系，将纪检监察外网划分成计算环境、区域边界和通信网络三部分，设计有效的安全防护及监测，构建“三重防护”体系。同时，构建安全管理中心，实现统一的安全管理、审计管理、系统管理。

安全保障框架从物理安全、安全基础设施、通信网络安全、区域边界安全、计算环境安全等方面开展安全技术体系设计，从安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理、应急预案管理六个方面开展安全管理体系设计，综合保障纪检监察外网安全。

省级系统总体架构如下图所示：

图29安全保障框架图

大庆市纪检监察外网参考省级纪委安全防护体系进行建设，统筹开展对检举举报平台12388电话举报受理系统、平台基层版、信息查询审批系统、大庆市党纪政务处分决定执行电子监察系统的安全防护，所有安全体系建设应符合等级保护2.0三级标准开展建设，建设内容包括终端设备的防病毒系统、主机审计系统、身份鉴别系统和RA认证系统，实现所有终端设备的安全防护。

大庆市本级纪检监察外网在安全方面，统筹建设边界防火墙、入侵检测、网络审计（含数据库审计）、运维审计、日志审计，建立安全运维管理平台，使用商密IPSec VPN进行控制，确保整体机房环境符合安全规范。县（区）纪检监察外网如存在应用于纪检监察外网的自建系统，安全等级保护建设也应满足等级保护2.0三级标准开展。乡（镇）、街道、派驻纪检监察机构作为接入节点，仅需考虑建设商密IPSec VPN即可。

纪检监察外网安全保障体系主要包含以下五个方面：

1．构建符合等保三级要求的纵深防御体系。大庆市纪委监委依据等级保护要求，结合本单位业务实际，围绕物理安全、安全基础设施、通信网络安全、区域边界安全、计算环境安全等方面设计纵深防御体系，实施多层隔离和保护，避免出现单点薄弱环节影响整体安全。

2．建设协同防御、积极响应的安全管理中心。省级纪委监委建设安全管理中心，大庆市纪委监委建设本级的安全管理中心，与上级管理中心进行连接，实现安全系统协同联动防御。

3．建设完善的安全基础设施。依托于省级电子政务外网建设的电子认证基础设施，通过政务外网数字证书体系，实现市县乡统一身份认证。

4．规范跨网数据交换安全隔离与控制。省级建设网络安全接入和交换平台，对跨网数据交换采取必要的安全隔离与控制措施，并进行边界安全防护。市本级通过与省级进行连接，实现纪检监察外网和其他专网的数据交换。

5．建立健全全省各级纪检监察机关安全管理体系。成立本单位安全管理机构，制定安全策略与配套安全管理制度，明确安全管理人员工作职责和要求，组织管理安全建设和安全运维，为纪检监察外网的安全运行提供组织保障。

6.3.     电子认证系统建设

黑龙江省纪委监委综合考虑电子认证系统的高效、便捷、易于维护等综合因素，此次项目将开展二级RA系统的建设工作，实现以数字证书认证服务为核心的纪检监察外网信任体系。建设模型如下：

图30部署图

省级证书注册中心逻辑结构如下图所示。

图31证书注册中心逻辑结构

省级证书注册中心主要包括核心业务系统、安全防护系统、承载网络及辅助系统、机房和配套设施等。主要包括证书注册系统、目录服务系统、密码机，安全认证网关。

综合考虑黑龙江省内的整体情况与各单位实际用户数量，大庆市纪检监察机构此次暂不建设LRA系统，统一由黑龙江省纪委监委负责各单位证书颁发、审核、注销、更新、证书的下载等工作，黑龙江省纪委监委将根据单位实际接入人数进行证书颁发，通过快递的方式将USBKEY智能密码钥匙派发至各单位。

7. 售后及服务支持需求

7.1.   质保期

本项目属于交钥匙工程，质保期自项目验收完成后开始计算，项目中的所有硬件设备质保期3年。

7.2.   质保、维护服务方式

质保期内，乙方派专人驻场对本项目所涉及的软件硬件产品及网络提供到达现场服务、远程技术支持服务，所涉及的费用全部由乙方承担。

多功能防火墙产品:提供三年硬件维保服务，三年入侵防御特征库升级服务、三年防病毒特征库升级服务、三年应用识别库升级服务；

网络版防病毒软件、主机监控与审计系统客户端和身份鉴别系统客户端产品提供三年升级服务。

7.3维护服务要求

维护人员在接到用户报修故障起12小时内，最长不得超出48小时，协助用户解决故障。硬件设备维修期间，如影响网络正常应用需协调相应备品备件到场应急使用。

8. 设备清单

技术参数要求