各相关单位：

楚雄市紧密型医共体现有楚雄市智慧医院建设项目-医院网络安全建设暨楚雄市紧密型医共体服务共享中心信息化设备集成项目专题的需求，为更好了解建设方案和建设需求，同时为营造公平公正公开的竞争环境，依据《中华人民共和国政府采购法实施条例》第十五条及《政府采购货物和服务招标投标管理办法》（财政部令第87号）第十条等规定，现面向全社会公开邀请具备相关建设能力、技术能力、有履约服务能力的供应商到我院现场进行交流，请有意向的供应商积极参与前来我院沟通洽谈。相关事宜通知如下：

总体要求及目标

要求对标智慧医疗五级、智慧管理三级、智慧服务三级、院内互联互通成熟度测评四级甲等以上要求，要求构建AI 深度赋能的智慧医院 + 医共体网络安全体系，实现 “预测-防御-检测-响应-恢复”的智能闭环，满足等保三级、国密合规。

项目建设范围及建设内容

项目建设范围：包含楚雄市紧密型医共体所属全体成员单位，具体为：楚雄市人民医院、楚雄市中医医院、楚雄市妇幼保健院、楚雄市疾病预防控制中心、15家乡镇（街道）卫生院、鹿城街道社区卫生服务中心、栗子园社区卫生服务中心、米市街社区卫生服务中心、142家村卫生室。

项目建设内容：

一、核心建设内容：

（1）物理与环境安全

1、机房分区（核心区、运维区、办公区），门禁+视频监控+红外报警；2、双路供电+UPS+备用发电机，温湿度自动控制，防雷接地、消防联动；3、核心服务器、存储、网络设备双机热备，关键链路冗余，满足RTO≤4h、RPO≤15min。

（2）网络安全（AI+零信任架构）

1、网络分区：核心业务区、数据区、互联网区、物联网区、运维区、第三方接入区，严格逻辑隔离，部署下一代防火墙（NGFW）、入侵防御（IPS）、Web 应用防火墙（WAF）。

2、零信任替换 VPN：采用SDP零信任网关，AI+规则双模型动态评估访问风险，权限细化至URL级别，实现“无感访问、强认证、拒不安全”；3、物联网安全：医疗设备（监护仪、呼吸机、影像设备）统一纳管，AI 设备指纹识别、异常行为检测，禁止未授权设备接入。

（3）主机与终端安全

1、服务器：部署 EDR/XDR，AI基线检测、漏洞扫描、恶意代码防护、进程监控，关键服务器最小化权限、禁用不必要服务；2、终端（医生站、护士站、自助机）：终端安全管理系统（TSM），AI异常操作检测、外设管控、补丁管理、防病毒，禁止私装软件、数据外传。

（4）应用与数据安全

1、应用安全：代码审计、渗透测试、API安全网关，AI 识别 SQL 注入、XSS、越权访问，关键操作双人授权、操作留痕；2、数据安全：数据分类分级 + AI 敏感数据识别 + 全生命周期防护；3、AI自动识别敏感数据：识别电子病历、影像、检验报告中的敏感数据，自动打标、脱敏；4、访问控制：最小权限原则，AI 动态权限调整（如医生调班、跨科室会诊）。

二、AI应用：

（1）AI 智能威胁检测与响应（XDR+安全大模型）

1、多源数据融合：接入网络流量、终端日志、服务器日志、WAF/IPS 告警、蜜罐数据、医疗业务日志，构建安全数据湖。

2、AI威胁研判：部署医疗垂直领域安全大模型（本地部署+云端协同），实现：异常流量检测：AI识别DDoS、端口扫描、异常数据传输；未知威胁发现：基于AutoML、图神经网络，学习攻击模式，识别 0day 漏洞、APT 攻击；攻击溯源：60 秒内还原攻击路径，定位攻击源头，生成攻击图谱与处置报告。自动化处置：AI 生成处置预案（IP 封禁、进程终止、隔离终端、阻断业务），10 秒内自动执行，同类攻击零人工阻断。

（2）、 AI 数据安全治理（敏感数据防护）

1、AI敏感数据自动识别与分级：解析电子病历、检验报告，CV 识别医学影像，自动识别身份证、手机号、诊疗记录、基因数据等敏感信息，自动打标；2、AI数据脱敏与动态脱敏：对非授权访问自动脱敏，授权访问按需解密；3、AI数据流转监控：监控数据在院内、院际、互联网的流转，AI识别异常数据外传、批量下载、违规拷贝，实时告警并阻断。

（3）、 AI 身份与访问安全（零信任 AI 引擎）

1、AI用户行为分析：建立医生、护士、管理员、患者的行为基线（登录时间、地点、设备、操作习惯），AI 实时检测异常行为（如异地登录、非工作时间批量查询病历、越权操作），触发二次认证或阻断；AI 动态权限管理：基于用户角色、岗位、业务场景、风险等级，AI 自动调整权限（如急诊医生临时提升权限、会诊医生跨科室访问授权），权限最小化、动态化；2、AI 设备信任评估：对终端、医疗物联网设备进行 AI 风险评估（设备漏洞、恶意软件、异常连接），仅允许高信任设备接入核心业务系统。

（4）、AI 安全运营与运维（智能SOC）

1、AI告警降噪与关联：从海量告警中过滤误报，关联碎片化攻击线索，精准识别高风险事件；2、AI 安全决策支持：安全大模型提供自然语言交互，安全人员可通过语音/文字查询安全态势、攻击详情、处置建议，提升运营效率；3、AI 漏洞管理：自动扫描系统、应用、设备漏洞，AI 评估漏洞危害等级、可利用性，优先修复高风险漏洞，生成修复方案；4、AI 安全态势感知：可视化展示全网安全态势、威胁分布、业务风险、数据安全状态，辅助领导决策。

（5）、 AI安全智能体

1、部署安全智能体，实现安全运营自主值守：自动采集数据、分析威胁、处置事件、生成报告，安全人员仅需处理高复杂事件；2、智能体具备医疗行业安全知识，可理解HIS、PACS等业务逻辑，精准识别医疗场景下的安全风险（如处方篡改、病历伪造、医保欺诈）。

三、密码保护建设（国密合规+全链路加密）

（1）、密码体系建设目标

满足《密码法》《商用密码应用安全性评估》要求，核心系统通过密评，全面采用国密算法（SM2/SM3/SM4/SM9），替代 MD5、SHA-1、AES 等非国密算法。构建密钥管理体系（KMS），实现密钥统一生成、分发、存储、轮换、销毁，密钥生命周期安全管控。

（2）、 核心密码应用场景

1、数据存储加密

数据库加密：核心数据库（HIS、EMR、PACS）启用透明加密（TDE），敏感字段（身份证、手机号、诊疗记录）采用SM4 算法字段级加密。

文件加密：电子病历、影像文件、检验报告存储时采用 SM4 加密，密钥由 KMS 管理，仅授权用户可解密访问。

备份加密：数据备份文件采用 SM4 加密，防止备份介质丢失导致数据泄露。

2、数据传输加密

院内传输：核心业务系统间采用国密 TLS 1.3加密，禁用弱协议（SSL 3.0、TLS 1.0/1.1）。

跨网/互联网传输：互联网医院、远程会诊、患者端访问采用国密 VPN/SM2 加密通道，数据传输全程加密、防篡改。

接口加密：医保结算、区域医疗协同等接口采用SM2签名 +SM4加密，确保数据完整性、保密性、不可否认性。

（3）、身份认证与访问控制

用户认证：医护人员、管理员登录采用SM2 国密数字证书 + 人脸识别 / 指纹双因素认证，替代传统用户名密码。

设备认证：医疗设备、终端接入采用SM2 设备证书认证，确保接入设备可信。

电子签名：电子病历、处方、检查报告采用SM3哈希+ SM2 数字签名，确保医疗文书不可篡改、可追溯。

（4）密钥管理系统（KMS）

部署国密合规 KMS，实现：

密钥分类管理：数据加密密钥（DEK）、密钥加密密钥（KEK）、会话密钥分离管理。

密钥自动轮换：SM4 密钥每月轮换，SM2 密钥每年轮换，密钥轮换不影响业务。

密钥审计：所有密钥操作（生成、使用、销毁）全程留痕，满足等保与密评审计要求。

3、密评与合规

完成核心系统商用密码应用安全性评估，取得密评合格报告。

建立密码管理制度、操作规程，定期开展密码安全自查、培训、应急演练。

三、报名时间

2026年4月10日至4月17日16:00，逾期不予受理。

四、报名及报名方式

报名联系人：张老师、付老师

联系电话：0878-3121461

报名邮箱：cxsyywjs2026@163.com

报名须知：报名仅需将公司名称、联系人、联系电话、电子邮箱及加盖公章的所提供产品的著作权证书扫描件发送至报名邮箱。

五、交流时间及地点

征询会时间及地点另行通知，此次征询会的任何一个环节不接受远程交流。

六、征询会受邀方材料要求（以下材料需加盖受邀方鲜公章）

1、受邀方法定代表人身份证明书、法定代表人授权委托书；

2、软件著作权登记证书；

3、受邀方情况介绍；

4、产品技术资料，含产品彩页、产品说明书等；

5、《征询会资料提交表》（附件一）；

6、按《技术交流告知书》要求提交签字和盖章的纸质版技术交流告知书（附件二）；

7、《分模块报价清单》，报价单独密封装订。

现场交流会时，1-6项请按顺序装订成册，预备2份带到会场，请单独密封并在封口处加盖受邀方公章用于存档备用。第7项报价清单单独密封装订，预备2份。

现场征询会时，受邀方需用PPT进行现场陈述（PPT陈述时间45分钟，现场不提供电脑，自备VGA-HDMI转接口），同时做部分重要功能或亮点演示。参会的受邀方需派熟悉产品方案、产品功能、业务流程、技术指标、项目实施、售后服务、商务条款等情况的人员参会，我院将对该项目相关事宜与受邀方进行详细交流。

七、注意事项

1、报名供应商邮箱接到邀请方邮件通知回执即视为报名审核通过。

2、征询会主要围绕产品方案，过往业绩，项目实施和售后服务方案等几个方面进行陈述，整个征询会时间以邀请方规定的为准。

3、各受邀方应充分准备参加征询会所要求的各项材料和需交流的方案，征询会不做受邀方交流结果的排名，技术交流会与后续项目招标采购无直接关系。

4、受邀方需承诺所提供的用于征询会全部资料的真实性和合法性（承诺函格式自拟），如有违反，受邀方将不得参加本次征询会。

5、邀请方不承担受邀方参加征询会过程中产生的任何费用和与之带来的一切责任。

6、受邀方提供给邀请方的项目交流的所有书面资料由邀请方存档备案，该资料不再归还给受邀方，同时邀请方也不承担由此带来的任何法律和经济责任。

八、免责声明

1、本次征询会以自愿参加为原则，是否参加本次征询会不作为今后参加项目投标的资格条件，我方不对参加征询会的单位有任何承诺；

2、本公开邀请函在“楚雄市人民医院”官网公开发布，欢迎具备条件的单位按规定期限报名并认真准备参与本次方案征询会，逾期视为自动放弃，对此我方不承担任何责任；

3、本公开邀请函的内容不作为后续项目招投标的任何依据。

楚雄市紧密型医共体总医院管理中心

2026年4月10日