关于信息系统服务采购需求公告

序号

标的名称

数量及

单位

服务项目要求(或技术参数需求)

1

信息系统（三级）等保、密评、方案评估、整改咨询及培训服务

1项

项目需求:

依照《信息安全技术--信息系统安全等级保护基本要求》（GB/T 22239-2019）、《信息系统安全等级保护测评准则》、《商用密码应用安全性评估管理办法》、《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）等文件要求，对我单位开发的信息系统（三级）进行网络安全等级保护测评、商用密码应用安全性评估、商用密码应用方案评估；针对测评结果提供等保整改建议、密评整改建议、保护方案咨询服务，出具相应的报告；对系统使用单位提供网络安全相关培训。

（一）、网络安全等级保护测评

1、项目服务依据标准

(1) 《计算机信息系统安全保护等级划分准则》（GB 17859-1999)

(2) 《信息安全等级保护管理办法》（公通字〔2007〕43号）

(3) 《信息安全技术 网络安全等级保护定级指南》（GB/22240-2020）

(4) 《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）

(5) 《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）

(6) 《信息安全技术 网络安全等级保护测评过程指南》（GB/T 28449-2018)

(7) 《信息安全技术 网络安全等级保护设计技术要求》（GB/T 25070-2019）

(8) 《信息安全技术 网络安全等级保护测试评估技术指南》（GB/T 36627-2018）

(9) 《信息安全技术 信息安全风险评估方法》（GB/T20984-2022）

(10) 《网络安全等级保护测评高风险判定实施指引(试行》

2、项目服务执行要求

信息系统的安全等级测评内容应包括技术和管理两大类，必要时需提供扩展方面的测评，其中包括：

(1) 技术类测评

①　安全物理环境（物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护）；

②　安全通信网络（网络架构、通信传输、可信验证）；

③　安全区域边界（边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证）；

④　安全计算环境（身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护）；

⑤　安全管理中心（系统管理、审计管理、安全管理、集中管控）；

(2) 管理类测评

①　安全管理制度（安全策略、管理制度、制度和发布、评审和修订）；

②　安全管理机构（岗位设置、人员配备、授权和审批、沟通和合作、审核和检查）；

③　安全管理人员（人员录用、人员离岗、安全意识教育和培训、外部人员访问管理）；

④　安全建设管理（定级和备份、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商选择）；

⑤　安全运维管理（环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理）。

（二）、商用密码应用安全性及方案评估

1、项目服务依据标准

(1) 《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021）

(2) 《信息系统密码应用测评过程指南》（GM/T0116-2021）

(3) 《信息安全技术 信息系统密码应用测评要求》（GB/T 43206-2023）

(4) 《信息系统密码应用高风险判断指引》

(5) 《商用密码应用安全性评估量化评估规则》

(6) 《商用密码应用安全性评估 FAQ(第四版)》

2、项目服务执行要求

从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理测评等方面对信息系统商用密码应用安全性进行评估，评估主要包含以下内容：

(1) 物理和环境测评内容：身份鉴别、电子门禁记录数据的完整性、视频记录数据完整性、密码模块实现。

(2) 网络和通信测评内容：身份鉴别、访问控制信息完整性、通信数据完整性、通信数据保密性、集中管理通道安全、密码模块实现。

(3) 设备和计算测评内容：身份鉴别、远程管理鉴别信息保密性、访问控制信息完整性、敏感标记完整性、重要程序或文件完整性、日志记录完整性、密码模块实现。

(4) 应用和数据测评内容：身份鉴别、访问控制信息和敏感标记完整性、数据传输保密性、数据存储保密性、数据传输完整性、数据存储完整性、日志记录完整性、重要应用程序的加载和卸载、抗抵赖。

(5) 安全管理测评内容：包括制度管理测评、人员管理测评、建设运行测评、应急处置测评。

二、供应商资格要求

资格要求

1、具有公安部第三研究所颁发的《网络安全服务认证证书等级保护测评服务认证》；

2、具有国家密码管理局颁发、业务范围包含商用密码应用安全性评估的《商用密码检测机构资质证书》。

报价要求

供应商的报价应包括：本项目所有服务项目所涉及实施、调试、验收、培训、差旅等各种费用和售后服务、税金及其它所有成本费用的总和。

服务期限

自合同签定之日起至出具全部测评报告之日止。

交付时间

合同签订后4个月内交付。

质量保证期

质量保证期：自提交服务成果并经采购人验收合格之日止。

付款条件

1、本合同签订后 5个工作日内，采购人向成交人支付合同总金额的50%；

2、成交人提交全部测评报告并经采购人验收合格后5 工作日内，采购人向成交人支付合同总金额的50%。

业绩要求

供应商提供自 2023年1月1日至本项目询比公告发出之前止行业相关网络安全等级保护测评及商用密码应用安全性评估有效业绩至少各一份。

售后服务要求

1、出具的测试报告具备法律效力；

2、对于测评的工作要承担法律责任；

3、符合服务行业的特性。

其它要求

1、供应商必须按采购人要求签署相关保密协议，严格遵守协议要求。

2、本项目采购标的需执行国家相关标准、行业标准、地方标准或其他强制性标准、规范等要求。