名稱

內(nèi)容及參數(shù)

數(shù)量

備注

衛(wèi)生健康領(lǐng)域軟件供應(yīng)鏈安全評估技術(shù)服務(wù)方案

******醫(yī)院軟件供應(yīng)鏈安全全量問題的修復(fù)建議”；

******醫(yī)院，在軟開廠商的配合下提供“整改計(jì)劃表”；

******醫(yī)院、軟開廠商進(jìn)行整改過程的測試服務(wù)；

******醫(yī)院提供滿足文件要求的整改服務(wù)，含評估報(bào)告；

5、整改后達(dá)到并可通過四川省衛(wèi)生健康領(lǐng)域軟件供應(yīng)鏈要求；

6、咨詢服務(wù)內(nèi)容

①主要包括:使用SAST/二進(jìn)制、應(yīng)用包等多種方式對資產(chǎn)(軟件業(yè)務(wù)系統(tǒng))進(jìn)行分析及檢測。組織軟件供應(yīng)鏈能力總部及分中心技術(shù)專家對全量問題清單進(jìn)行多維度、系統(tǒng)性的分析，提供修復(fù)建議。

②SAST靜態(tài)源代碼:對程序源代碼進(jìn)行分析，以識(shí)別其中的嚴(yán)重和高危安全漏洞，以及邏輯漏洞，并給出問題代碼的正確示例。

③二進(jìn)制安全分析:對二進(jìn)制問題掃描發(fā)現(xiàn)的嚴(yán)重和高危漏洞進(jìn)行問題分析，并提供修復(fù)建議。

④應(yīng)用包成分分析:通過檢測工具提取的問題清單，逐一進(jìn)行人工排查，核實(shí)問題詳情，并提供修復(fù)建議。

8、整改服務(wù)內(nèi)容

******醫(yī)院根據(jù)衛(wèi)健委要求梳理整改計(jì)劃表的內(nèi)容，梳理內(nèi)容有:缺陷名稱、缺陷描述、缺陷代碼位置、整改方式;組件名稱、組件版本、漏洞編號、整改方式等內(nèi)容，并按照文件要求完成整改工作。

9、測試服務(wù)內(nèi)容

******醫(yī)院使用，服務(wù)商******醫(yī)院在整改過程中及時(shí)發(fā)現(xiàn)問題從而整改問題。

10、整改結(jié)束后，根據(jù)信息中心復(fù)測結(jié)果出具最新版本評估報(bào)告，該報(bào)告可用于軟件供應(yīng)鏈專項(xiàng)評估工作抽查環(huán)節(jié)。

1

滿足已提交軟件供應(yīng)鏈評估約18個(gè)軟件的評估服務(wù)，涉及嚴(yán)重漏洞約 939 個(gè) ，高危漏洞約3455 個(gè)以及其他中低危漏洞