二分中心2024年信息系统密码应用测评服务的竞争性磋商公告-比地招标网

您当前为:【游客状态】，文中****为隐藏内容，仅对会员开放，后查看完整商机。全国免费咨询热线：400-999-4928

您当前为:【游客状态】，免费信息为7天前的招标信息，后可查看商机。全国免费咨询热线：400-999-4928

公告内容：

项目概况

*分中心****年信息系统密码应用测评服务采购项目的潜在供应商应在****市****网获取采购文件，并于****年**月**日 **:**（北京时间）前提交响应文件。

*、项目基本情况

项目编号：*********************-********

项目名称：*分中心****年信息系统密码应用测评服务

预算编号： ****-********

采购方式：****

预算金额（元）： *******元 （国库资金：*******元；自筹资金：*元）

最高限价（元）： 包*-*******.**元

采购需求：

包名称：*分中心****年信息系统密码应用测评服务

数量：*

预算金额（元）：*******.**

简要规则描述：开展*中心**个系统的密码应用测评，出具符合规范的《密码应用安全性评估报告》，并协助落实密码应用安全整改工作。

合同履约期限： 自合同签订之日起至****年**月**日前完成测评工作并通过验收。

本项目（ 否 ）接受联合体投标。

*、申请人的资格要求：

*.满足《中华人民共和国****法》第***条规定；

*.落实****政策需满足的资格要求：根据《****促进中小企业发展管理办法》等规定，本项目专门面向中小企业采购。中小企业应当按照规定提供《中小企业声明函》。

*.本项目的特定资格要求：*、符合《中华人民共和国****法》第***条的规定
*、未被“信用中国”（***.***********.***.**）、中国****网（***.****.***.**）列入失信被执行人、重大税收违法案件当事人名单、****严重违法失信行为记录名单
*、具有国家密码管理局下发的《关于同意开展商用密码应用安全性评估试点工作的告知书》公文的接收单位的证明材料，或在国家密码管理局的《商用密码应用安全性评估试点机构目录》内。

*、获取采购文件

时间：****年**月**日至****年**月**日，每天上午 **:**:**-**:**:** ，下午**:**:**-**:**:**（北京时间，法定节假日除外）

地点：****市****网

方式：网上获取

售价（元）：*

*、响应文件提交

截止时间：****年**月**日 **:**（北京时间）

地点：********网（***.****.**.***.**）

*、响应文件开启

开启时间： ****年**月**日 **:** （北京时间）

地点：********网（***.****.**.***.**）

*、公告期限

自本公告发布之日起*个工作日。

*、其他补充事宜

*、凡对本次招标提出询问，请按以下方式联系

*.采购人信息

名称：****市大数据中心

地址：****市****区寿阳路**弄**号

联系方式：***-********

*.采购代理机构信息

名称：****

地址：****市大连路***号

联系方式：********

*.项目联系方式

项目联系人：**** 张敏捷

电话：********

附件信息：

********************************.****
*****

*分中心****年信息系统密码应用测评服务项目采购需求

项目概述

开展密码应用安全性评估工作是完善信息系统密码应用安全防护能力的重要环节，也是信息系统密码应用安全建设和管理的重要组成部分。本项目通过测评发现****市大数据中心信息化服务第*分中心（以下简称“*中心”）信息系统密码应用的安全现状与需要达到的安全等级或目标的差异，并进行全面有效的密码应用安全整改建设，使系统密码应用在技术和管理方面有针对性的加强和完善，以确保网络和信息系统的安全。

本项目需采购符合条件的商用密码应用安全性测评服务，出具符合规范的《商用密码应用安全性评估报告》，并协助落实密码应用安全整改工作，提升*中心各信息化服务团队业务数据、信息系统安全管控能力，确保*中心管辖内的各类信息化应用和数据安全、可靠、稳定运行。

服务期限：自合同签订之日起至****年**月**日

服务地点：****市黄浦区威海路**号**楼

预算金额：*******元

采购金额（最高限价）：*******元

组织形式：集中采购

采购方式：****

面向企业类型：中小微

是否接受联合体响应：否

服务范围

系统重要等级

本项目重要信息系统清单为：

*.****市深化公立医院综合改革试点智能信息管理系统，等保*级

*.****市卫生健康委员会数据中台，等保*级

*.****市卫生和计划生育委员会门户网站，等保*级

*.****市中药服务安心达系统，等保*级

*.****市互联网诊疗监管子系统，等保*级

*.****市医院评审与监测系统，等保*级

*.市卫生健康协同办公系统，等保*级

*.****市互联网上网服务营业场所计算机经营管理系统，等保*级

本项目*般信息系统清单为：

*.****市民族和宗教事务局门户网站，等保*级

*.****市电子病历应用水平评级管理系统，等保*级

维护清单

*、安全服务清单：

序号	服务对象	系统名称	服务标准
*	密码应用安全性评估	****市深化公立医院综合改革试点智能信息管理系统	采购人完成整改后应积极做好复测工作，在项目验收前顺利通过密码测评，目标得分符合****市大数据中心相关要求。
		****市卫生健康委员会数据中台
		****市卫生和计划生育委员会门户网站
		****市中药服务安心达系统
		****市互联网诊疗监管子系统
		****市医院评审与监测系统
		市卫生健康协同办公系统
		****市互联网上网服务营业场所计算机经营管理系统
		****市民族和宗教事务局门户网站
		****市电子病历应用水平评级管理系统

安全服务内容

服务内容

开展*中心**个系统的密码应用测评，出具符合规范的《密码应用安全性评估报告》，并协助落实密码应用安全整改工作

测评依据

*.《商用密码应用安全性评估管理办法》；

*.《信息安全技术信息系统密码应用基本要求》（**/******-****）；

*.《信息系统密码应用测评要求》；

*.《信息系统密码应用测评过程指南》；

*.《信息系统密码应用高风险判定指引》；

*.《商用密码应用安全性评估量化评估规则》。

测评内容

依据《信息安全技术信息系统密码应用基本要求》（**/******-****）、《信息系统密码测评要求》、《信息系统密码应用测评过程指南》、《信息系统密码应用高风险判定指引》、《商用密码应用安全性评估量化评估规则》等技术要求，逐*对信息系统进行密码应用的合规性、正确性、有效性进行安全性评估，通过商用密码应用安全性评估深入查找密码应用的薄弱环节和安全隐患，分析面临的风险，为提升信息系统安全奠定基础。

测评的内容包括但不限于以下内容：

（*）安全技术测评：包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等*个方面的安全测评。

（*）安全管理测评：包括安全管理（分为制度、人员、建设和应急*个子模块）的安全测评。

测评各阶段详细的服务内容如下表：

序号	测评阶段	测评类	服务说明
*	评估准备	准备阶段	编制项目计划书、收集被测系统基本资料并完成调查表格，分析调查结果，准备工具和评估表单
*	方案编制	评估方案编制	识别并描述被测系统基本情况、确定测评对象、资产和威胁评估、系统定级结果和测评指标、确定检查点和检查方法、确定单元测评内容
*	总体测评	总体要求	通过访谈、配置检查和工具测试的方式评估信息系统的密码算法、密码技术、密码产品和密码服务的合规性
*	安全技术测评	物理和环境安全	通过访谈、配置检查和工具测试的方式测评信息系统机房环境的安全情况。主要涉及对象为机房环境的电子门禁系统。本次评测包括电子门禁的身份鉴别和电子门禁记录的完整性保护。
		网络和通信安全	通过访谈、配置检查和工具测试的方式测评信息系统的网络和通信安全保障情况。本次重点测评包括通信对象的身份鉴别、访问控制信息完整性、通信数据完整性和通信数据机密性等
		设备和计算安全	通过访谈、配置检查和工具测试的方式测评信息系统的主机安全保障情况，本次重点测评包括本地主机和数据库服务器身份鉴别、远程管理身份鉴别身份信息机密性、访问控制信息完整性、敏感标记完整性、日志记录完整性等
		应用和数据安全	将通过访谈、配置检查的方式测评信息系统的数据安全保障情况，主要涉及对象为信息系统的管理数据及业务数据等,本次重点测评包括信息系统身份鉴别、访问控制信息完整性、数据传输机密性、数据存储机密性、数据传输完整性、数据存储完整性、日志记录完整性等
*	安全管理测评	安全管理	安全管理部分为全局性问题，涉及密码安全管理制度、密码安全管理人员、系统实施和系统应急管理等*个方面。
*	分析报告阶段	报告编制	根据测评编制《信息系统商用密码应用安全性评估报告》，包括：概述、被测系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评的结果记录及结果汇总、整体测评、测评结果汇总、风险分析、评估结论等内容。

服务要求

（*）服务提供方应详细描述本次项目的整体实施方案，包括项目概述、密评方案、测试过程中需使用测试设备清单、时间安排、阶段性文档提交和验收标准等。

（*）服务提供方应详细描述实施人员的组成、资质及各自职责的划分。服务提供方应配置有经验的技术人员进行本次项目实施。

（*）本次项目实施过程中所使用到的各种工具软件由服务提供方推荐，经采购人确认后由服务提供方提供并在项目中使用。在响应文件中应详细描述所使用的安全技术工具（软硬件型号、功能和性能描述）、使用的方式和时间、对环境和平台的要求以及使用可能对系统造成的风险等。

（*）本次项目实施过程中所使用到的测评工具，应包括自主密码专用检测工具、漏洞扫描工具等获得许可的检测工具，对系统数据进行分析，并以分析结果辅证评估报告。

（*）安全技术工具软件运行可能需要的硬件平台（如笔记本电脑、**、工作站等）和操作系统软件等由服务提供方推荐，经采购人确认后由服务提供方提供并在项目中使用。

（*）项目实施需要的运行环境（如场地、网络环境等）由采购人提供，服务提供方应详细描述需要的运行环境的具体要求。

服务计划

根据测评对象性质制定项目实施计划，*月底应完成总体服务内容的**%，*月底应完成总体服务内容的**%，**月底应完成总体服务内容的***%。

服务质量考核要求

考核内容：

*.合同要求的实施工作的整体完成情况（范围、进度、质量、风险等）；

*.团队组织架构、岗位设置和人员安排情况；

*.项目实施过程中对用户服务请求的处理和用户投诉情况；

*.项目实施过程中对应急事件的处置情况；

*.项目服务计划的达标情况；

*.项目验收及过程性文档的质量情况；

考核方式：

由****市大数据中心信息化服务第*分中心组织考核，结合项目负责人、用户方、监理方和项目管理小组的意见出具考核结果。

服务质量的考核结果将作为支付合同金额的依据之*。服务质量考核结果为优秀和良好的按合同金额***%支付，服务质量考核结果为*般的按合同金额**%为上限支付。

验收要求

项目实施工作期限终止时，服务提供方应当以书面形式向采购人提交项目服务总结报告。采购人在收到服务提供方提交的《项目服务总结报告》、《商用密码应用安全性评估报告》等材料后**个工作日内，对服务提供方的工作进行验收。如属于服务提供方原因致使项目服务未能通过验收的，服务提供方应当在*个工作日内进行整改，并自行承担相关整改费用，再次接受采购人的验收，直至符合约定要求。

服务组织和人员要求

选派在项目服务方面富有经验的团队人员负责项目的密码测评，项目团队应配置对应的人员，团队应至少配备项目负责人*人，项目经理*人，测评人员*人，保密和档案管理员*人，具体人员要求如下表所示：

角色	主要职责	人数	人员要求	驻场要求
项目负责人	项目计划的部署，组织会议制定整个项目计划。项目过程中的协调组织，项目过程中的风险控制。对测评过程中遇到的各类技术问题进行决策。	*人	通过国家密码管理局组织的商用密码应用测评人员测评能力考核	/
项目经理	负责项目实施过程中测评技术管理工作。参与项目计划的实施，测评过程中的协调组织，保障整个测评任务的完成。	*人	通过国家密码管理局组织的商用密码应用测评人员测评能力考核	/
测评人员	负责项目实施过程中技术应用的测评工作	*人	通过国家密码管理局组织的商用密码应用测评人员测评能力考核	/
保密和档案管理员	负责对各类档案的接收，分类，编目，编制等系统管理。做好文件，资料，档案的保密保管工作。	*人	通过国家密码管理局组织的商用密码应用测评人员测评能力考核	/

人员要求具体如下：

*.项目负责人要求：需通过国家密码管理局组织的商用密码应用安全性评估人员测评能力考核，具有密码技术应用员证书；具有密码学或计算机专业知识和背景能力；具有信息安全方向高级职称证书；负责项目计划部署，项目协调组织，项目风险控制；需根据系统规模和测评范围的大小，以及测评系统的复杂程度，及时调整人员数量和配备；需对测评过程中遇到的各类技术问题进行决策。

*.项目经理要求：需通过国家密码管理局组织的商用密码应用安全性评估人员测评能力考核，具有密码技术应用员证书；负责项目实施过程中测评技术管理工作；参与项目计划实施，项目协调组织，保障整个测评任务的完成。

*.测评人员要求：需通过国家密码管理局组织的商用密码应用安全性评估人员测评能力考核，具备密码技术应用员证书；负责项目实施过程中技术应用的测评工作。

*.保密和档案员要求：负责制定档案的工作计划，进行工作总结，指导，监督，检查；负责对各类档案的接收，分类，编目，编制等系统管理。做好文件、资料、档案等的保密、保管工作。

网络和数据安全管理要求

服务提供方在提供运维（运营）服务过程中应严格按照“同步规划、同步建设、同步使用”原则落实项目安全技术措施，将系统安全运营相关监控措施纳入方案。

若运维项目为涉密项目，服务提供方还须参考市保密部门管理要求，严格按照国家《中华人民共和国保守国家秘密法》等相关保密法律法规进行管理，并接受中心保密延伸检查。

*、在提供运维（运营）服务过程中，服务提供方应在中心限定的办公区域内、访问或使用中心限定的信息资产（包括但不限于场地办公设施、计算机、服务器等），并在规定的安全环境中进行数据处理、开发测试、运维监控等活动，遵守环境安全监控的要求，在开发测试工作中，不得使用真实生产数据、不得越级操作；

*、提供运维（运营）服务过程中若涉及开源软件、组件等产品的使用，服务提供方应在使用前向中心提供项目涉及产品的完整清单，并附相应产品的漏洞扫描报告、安全评估报告等证明材料，审核通过后方可使用；

*、服务提供方提供运维（运营）服务过程中须保障现有系统的网络通畅、系统可用和数据安全。严格落实网络和数据安全防护能力、密码应用、信创应用等运维、运营工作要求，配合开展系统等级保护定级、密码应用安全性评估等工作；

*、服务提供方在提供运维（运营）服务过程中，被中心或第*方测评机构检测出安全漏洞、等保/密评测评未通过，服务提供方须在规定时限内完成整改并提供复测报告，逾期未整改到位的有权按中心相关管理规定作出处罚；

*、服务提供方须提供自身的网络与数据安全管理制度、保密管理制度，并在成交后提供人员、财务及安全管理情况报告，发生造成中心及项目受影响的变动，应及时向中心报告；

*、服务提供方成交后与中心签订保密协议，同时服务提供方应对项目相关人员开展安全培训，并与该项目人员的签订保密协议，且保证用于项目实施工作的相关终端安装正版杀毒软件及防火墙；

*、提供运维（运营）服务过程中，服务提供方需要对收集到的所有信息严格管理，严禁在网络上传播、散布和出售，牟取商业利益；服务提供方人员不得以任何方式泄露、公开或传播项目涉及的内容及成果；不得非法篡改数据、非法入侵中心网络，不得影响数据的完整性及可用性；不得留存任何安全风险隐患；参与项目建设与质保、维修的个人，不得私自拷贝和留存上述信息副本；

*、指定专人负责项目实施过程中的安全工作，接受中心数据安全部门的直接管理和考核，协助开展安全检查等工作；

*、服务提供方若需互联网端功能测试，应经中心批准同意，结束后应及时关闭测试系统，删除测试数据，并将结果及时报备中心；

**、服务提供方通过项目获取到的中心数据禁止超过合同限定范围使用，以及违规转发第*方；

**、服务提供方应按中心规定申请数据服务接口，加强认证和鉴权防护，保护中心敏感数据不被泄露；

**、服务提供方禁止将管理后台、数据库服务端口暴露在互联网；

**、加强对项目人员的安全管理。进入项目前，项目人员应参加安全培训并通过考核，接受背景调查，提供本人无犯罪记录证明，与中心签订保密协议。入场前，项目人员应填写入场申请，按需申请系统账号、云桌面账号和工位。入场后，项目人员应在中心规定的安全环境中进行数据处理、开发测试、运维监控等活动，遵守环境安全监控的要求，禁止共用账号、拍照等。在开发测试工作中，依据要求将生产数据脱敏使用，禁止将生产数据导入个人电脑、将中心代码或敏感数据泄露或公开。禁止个人私自搭服务端和共享网络、终端跨互联网和政务外网。禁止在互联网传输中心敏感文件。非驻场人员，按需提出入网申请，并安装终端管理工具。禁止将中心数据在个人电脑上留存使用，因需求调研或设计获取数据的，禁止将中心敏感数据外发，或存储在共有云上，数据使用后应进行销毁。

网络和数据安全处罚措施

如供应商在服务周期内发生网络和数据安全工作违约情况，对中心系统造成网络安全或数据安全影响的，按照引发的安全事件等级和次数，中心将采取以下处罚措施，具体处罚措施由中心安全管理部门确定：

（*）限期整改；

（*）约谈企业负责人；

（*）扣除项目运维费用的*%-*%；

（*）上报主管部门，必要时终止项目合同并追究相关刑事责任。

供应商应承担服务过程中出现赔偿责任（包括但不限于直接损失、间接损失、律师费、诉讼费/仲裁费、调查费、公证费、保全保险费/担保费）。

项目的变更、解除和终止

如果服务提供方丧失履约能力、发生资不抵债或进入破产程序，采购单位可在任何时候以书面形式通知服务提供方终止本项目的执行而不给予服务提供方补偿。该终止本项目将不损害或影响采购单位已经采取或将要采取任何行动或补救措施的权利。

如遇国家、行业管理部门等机构的有关标准和规定调整的，导致本项目内容须做相应调整时，双方应按照公平、合理的原则共同协商修改本项目对应的合同的相关条款。

保密责任

*、供应商因履行本项目而知悉的所有数据、信息和资料（包括但不限于账号信息、图表、文字、计算过程、任何形式的文件、访谈记录、现场实测数据、采购人相关工作程序等）以及因履行本项目而形成的数据、信息和任何形式的工作成果，均是采购人要求保密的信息。未经采购人书面同意，供应商不得对外泄露采购人要求保密的信息，不得用于其他用途，否则供应商需承担由此引起的法律责任和经济责任，包括但不限于直接损失、间接损失、律师费、诉讼费/仲裁费、调查费、公证费等。

*、供应商应采取必要的有效措施保证其参与本项目的人员（包括供应商聘用的人员、借调的人员、实习的人员）无论是在职或离职后，以及供应商的合作方无论是合作中或合作终止后，都能够履行本项目约定的保密义务。若供应商人员或供应商合作方违反保密规定，供应商应承担连带责任。

*、供应商（含供应商参与本项目的人员以及其合作方）未经采购人书面许可，不得以任何形式自行使用或以任何方式向第*方披露、转让、授权、出售与本项目有关的技术成果、计算机软件、源代码、策划文档、技术诀窍、秘密信息、技术资料和其他文件。

*、以上内容的保密期限自供应商知悉保密信息起始至保密信息被合法公开之日止。

*、供应商对采购人提供的临时使用账号要保密，不得公开，对组件开发的账号密码需进行加密，避免信息安全的泄露。未经采购人的同意不得利用采购人的网络及平台进行短信、彩信、微信、邮件等发送,造成的*切后果由供应商负责。

运维过程供应商如出现失、窃密事情，参照网络和数据安全事件处罚措施同等处置，具体处罚措施由中心保密管理部门确定。

违约责任

*、因服务提供方违反保密义务或知识产权约定的，采购人有权要求服务提供方支付本项目费用总额不超过**%的违约金，违约金不足以弥补采购人损失的，采购人有权要求服务提供方赔偿超过部分。若服务提供方违反保密义务，采购人还有权立即单方解除维护服务合同而不承担任何违约责任。

*、服务提供方有下列情形之*，采购人有权解除维护服务合同：

（*）服务提供方在服务周期内出现重大网络与信息安全事故；

（*）因服务提供方服务质量问题导致采购人无法实现目的；

（*）擅自转让或者分包其应履行的义务的；

（*）违反或者未履行维护服务合同约定的其他相关义务，且在采购人要求的合理时间内未能纠正的。

关于转让和分包的规定

本项目不得转让，不得分包。

能力要求

供应商具备*******质量管理认证(资质范围：商用密码产品检测服务)、********信息安全管理认证(资质范围：商用密码产品检测服务、商用密码应用安全性评估服务)、国家密码管理部门颁发的商用密码产品检测机构资质的优先考虑。

您当前为:【游客状态】，文中****为隐藏内容，仅对会员开放，后查看完整商机。全国免费咨询热线：400-999-4928

您当前为:【游客状态】，免费信息为7天前的招标信息，后可查看商机。全国免费咨询热线：400-999-4928

项目编号	-	资质要求	点击查看
招标/采购内容	点击查看	预算金额	点击查看
获取标书截止时间	点击查看	投标截止时间	点击查看
招标单位	点击查看	招标联系人/电话	点击查看
代理机构	点击查看	代理联系人/电话	点击查看
潜在投标单位	点击查看	潜在中标单位	点击查看

创建订单中...

企业分析报告是什么？

创建订单中...

二分中心2024年信息系统密码应用测评服务的竞争性磋商公告

公告内容：