采购需求

标项一

一、项目背景

网络安全等级保护是国家关于信息安全的基本政策，《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号），明确要求我国信息安全保障工作实行等级保护制度，提出“抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。在2016年的第十二届全国人民代表大会常务委员会第二十四次会议通过了《中华人民共和国网络安全法》，为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，而制定的法律。由全国人民代表大会常务委员会于2016年11月7日发布，自2017年6月1日起施行。其中第二十一条也明确提出了“国家实行网络安全等级保护制度”，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

二、项目内容

 对衢州市本级45个三级等保备案的应用系统开展网络安全等级保护测评，从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理等层面进行测评。

序号	单位	应用名称
1	衢州市营商办	衢州市信用信息共享系统
2		衢州市不动产登记一窗受理子系统
3		衢州市可信电子文件综合管理系统
4		衢州市机关内部最多跑一次系统
5		衢州市居住证积分管理系统
6		衢州市绿色金融服务信用信息系统
7		衢州市涉企通办系统
8		衢州市数字营商一体化系统
9		衢州市智慧政务服务系统
10		衢州市政企共治系统
11		衢州市营商数据融合仓
12		衢州市投资项目全流程数字化监管服务系统
13		衢州市—浙江政务服务网统一行政权力运行系统
14	衢州市大数据局	衢州市衢通码系统（衢州市重点人群核酸检测系统、衢州市疫情防控车辆专用通行证申办系统）
15		衢州市协同办公系统
16		衢州市数字化改革应用系统
17		衢州市公共数据服务管理系统
18		衢州市智治支撑系统
19		衢州市基层治理综合信息平台系统
20	衢州市应急管理局	衢州市智慧安环一体化系统
21	衢州市民政局	衢州市民政信息化综合系统（衢州市智慧养老系统与衢州民政殡仪公墓综合管理系统）
22	衢州市医保局	衢州市多险合一系统
23	衢州智造新城管委会	衢州智造新城智慧园区管理系统
24	衢州市资源规划局	衢州市国土空间基础信息系统
25		衢州市数字衢州地理空间框架系统
26		衢州市本级不动产统一登记系统
27	衢州市生态环境局	衢州城市数据大脑生态环境综合协同系统
28	衢州市机关事务中心	衢州市机关事务中心智慧后勤系统（安保）
29		衢州市机关事务智慧后勤管理系统（安保）
30	衢州市纪委、监委	衢州市基层小微权力运行系统
31		衢州市纪委市监委服务监督系统
32	衢州市监管办	衢州市公共资源电子交易系统
33	衢州市公积金中心	衢州市住房公积金管理系统（衢州市住房公积金“全域通”多业务协同——贷款“不见面”系统）
34	衢州市人社局	衢州市社保多险合一系统
35		衢州人社一体化系统
36	衢州市发改委	衢州市浙江省经济运行监测分析数字化系统
37		衢州市发展和改革委员会门户网站
38	衢州市公安局	衢州市公安网上审批系统
39		衢州市互联网管理应用综合系统
40		衢州市公安局智控平台系统
41		衢州市公安局智处平台系统
42		衢州市公安门户网站
43		衢州市公安视频图像信息应用系统
44	衢州市卫健委	区域化业务系统
45	绿色产业发展研究院	衢州人才工作数字化治理应用

（一）针对招标人指定的信息系统，提供等保定级、测评、备案、渗透测试等服务。包括：

1. 提供网络安全等级保护定级咨询服务，协助招标人组织专家进行网络安全等级保护定级评审，并承担评审费用。

2. 根据国家等级保护相关要求，进行网络安全等级保护测评，提供整改建设咨询服务，提交符合等保要求的测评报告。

3. 协助信息系统业主单位完成等级保护备案手续。

4. 对重要信息系统进行渗透测试，提供整改建议咨询服务和复测服务。

（二）按照招标人指定的时间、地点、对象，提供网络安全等级保护工作政策性解读、技术性培训。

三、项目输出成果

本项目输出成果包括但不限于以下成果：

（一）《网络安全等级保护定级建议报告》（仅初次测评提供）；

（二）《等级保护备案表》（仅初次测评提供）；

（三）《网络安全等级保护测评报告》（▲投标人承诺测评分数达到80分及以上）；

（四）《网络安全等级整改建议书》；

四、测评依据

开展信息系统等级测评等服务，需遵循以下要求及标准：

（一）中华人民共和国计算机信息系统安全保护条例（国务院第147号令）；

（二）关于开展全国重要信息系统安全等级保护定级工作的通知（公信安〔2007〕861号）；

（三）信息安全等级保护管理办法(公通字〔2007〕43号）

（四）信息系统安全等级保护定级指南（GB/T 22240-2020）；

（五）信息系统安全等级保护基本要求(GB/T 22239-2019）；

（六）信息系统安全等级保护测评要求(GB/T 28448-2019）。

五、项目原则

在本次项目实施过程中，项目实施团队应遵循以下原则：

1保密性原则

遵守保密协议，不获取未授权数据，不利用工作机会泄露或自私存储、转卖客户数据。

2最小影响原则

通过管理和技术两个层面将工作所带来的影响降至最小，避免由于占用过多人力或资源而干扰客户正常业务，避免实施过程对信息系统的正常运行产生不利的影响。

3可操作性原则

通过详细定义每个阶段的任务和任务实践内容，明确定义参与人员的职责和每项工作开始前的必备条件和结束时的输出结果，从而规范实施的流程，保证实施过程的可操作性和可控性。

4质量控制原则

通过项目管理的方法，从项目的组织、角色定义与培训、沟通与确认、进度控制、文档控制、汇报与验收等多个环节保证评估服务的总体质量。

5风险规避原则

在工作开始前，充分考虑可能引入的多方面风险，告知客户可能存在的风险，并采取相应的控制措施加以规避。

6符合性原则

工作应符合国家、行业、国际等相关的安全标准与规范。

7整体性原则

系统优化的范围和内容应当系统性、全面，覆盖采购人安全所涉及的各个层面、业务条线、内部组织架构，力求建立全面、整体的安全防护体系。

六、安全责任

（一）中标人企业内部应制定网络和数据安全管理制度并落实。

（二）中标人应落实实施团队账号权限管控和资源访问白名单管理，如实提供核心技术人员背景调查资料。核心技术人员背景审查不合格的，中标人应按采购人要求更换，直至合格为止。

（三）中标人应配合采购人的安全技术监管措施，并及时针对发现的问题进行整改。

（四）中标人应遵守采购人制定的网络和数据安全问责追责机制，并在发生安全问题时承担相应责任，及时整改。

（五）如中标人要求，采购人须无条件与采购人签订保密协议。

 

标项二

一、项目概述

1、项目背景

党的十八大以来，我国商用密码管理逐步向法治化、规范化、体系化方向迈进。2019年10月26日，第十三届全国人民代表大会常务委员会第十四次会议表决通过《中华人民共和国密码法》，自2020年1月1日起施行，这既是党中央作出的重要战略部署，也是顺应全球信息化发展趋势、维护国家网络和信息安全的必然要求。

2019年12月30日，国务院办公厅印发文件《国家政务信息化项目建设管理办法》（国办发〔2019〕57号），自2020年2月1日起施行，明确要求“各部门政务信息化项目，应按规定履行审批程序并向国家发改革委进行备案。备案文件包括密码应用方案和密码应用安全性评估报告，并要求政务信息化项目建设单位，应同步规划、同步建设、同步运行密码保障系统并定期进行密码测评；政务信息化项目在项目报批阶段，编制密码应用方案并开展密码应用方案评审，同时将方案和密码应用方案评审报告作为履行项目审批程序的必备材料；政务信息化项目在建设阶段，确保密码应用符合国家规定或者批复要求，建设完成后需组织对系统进行密评，将结论作为验收重要内容，验收不合格的不得通过项目验收；政务信息化项目在运行阶段，对于不符合密码应用要求的政务信息系统，不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统；国办、发改委等部门会同有关职能部门，对密码应用情况实施监督管理，视情予以通报批评、暂缓安排投资计划、暂停项目建设直至终止项目；各部门应当严格按要求采用密码技术，并定期开展密码应用安全性测评，确保政务信息系统运行安全和政务信息资源共享交换的数据安全。

开展密码应用安全性评估工作是完善信息系统密码应用安全防护能力的一个重要环节，也是信息系统密码应用安全建设和管理的重要组成部分。通过测评可以发现信息系统密码应用的安全现状与需要达到的安全等级或目标的差异， 进行全面有效的密码应用安全整改建设，使系统密码应用在技术和管理方面有针对性的加强和完善，以确保网络和信息系统的安全。

在商用密码应用安全性评估项目实施过程中，需邀请国家密码管理局授权的商用密码应用安全性测评目录中明确的测评机构进行测评，并出具符合规范的《密码应用安全性评估报告》，并协助被测评单位及相关技术支撑单位落实密码应用安全整改工作。

二、采购内容

  对衢州市本级52个三级等保备案的应用系统开展密码应用安全性测评，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行和应急处置等方面进行安全评估。

序号	单位	应用名称
1	衢州市营商办	衢州市信用信息共享系统
2		衢州市不动产登记一窗受理子系统
3		衢州市可信电子文件综合管理系统
4		衢州市机关内部最多跑一次系统
5		衢州市居住证积分管理系统
6		衢州市绿色金融服务信用信息系统
7		衢州市涉企通办系统
8		衢州市数字营商一体化系统
9		衢州市智慧政务服务系统
10		衢州市政企共治系统
11		衢州市营商数据融合仓
12		衢州市投资项目全流程数字化监管服务系统
13		衢州市—浙江政务服务网统一行政权力运行系统
14	衢州市大数据局	衢州市衢通码系统（衢州市重点人群核酸检测系统、衢州市疫情防控车辆专用通行证申办系统）
15		衢州市协同办公系统
16		衢州市数字化改革应用系统
17		衢州市公共数据服务管理系统
18		衢州市智治支撑系统
19		衢州市基层治理综合信息平台系统
20	衢州市应急管理局	衢州市智慧安环一体化系统
21	衢州市民政局	衢州市民政信息化综合系统（衢州市智慧养老系统与衢州民政殡仪公墓综合管理系统）
22	衢州市医保局	衢州市多险合一系统
23	衢州智造新城管委会	衢州智造新城智慧园区管理系统
24	衢州市资源规划局	衢州市美丽大花园核心区国土空间治理现代化系统
25		衢州市国土空间基础信息系统
26		衢州市数字衢州地理空间框架系统
27		衢州市本级不动产统一登记系统
28	衢州市生态环境局	衢州城市数据大脑生态环境综合协同系统
29	衢州市机关事务中心	衢州市机关事务中心智慧后勤系统（安保）
30		衢州市机关事务智慧后勤管理系统（安保）
31	衢州市纪委、监委	衢州市基层小微权力运行系统
32		衢州市纪委市监委服务监督系统
33	衢州市监管办	衢州市公共资源电子交易系统
34	衢州市公积金中心	衢州市住房公积金管理系统（衢州市住房公积金“全域通”多业务协同——贷款“不见面”系统）
35	衢州市人社局	衢州市社保多险合一系统
36		衢州人社一体化系统
37	衢州市发改委	衢州市浙江省经济运行监测分析数字化系统
38		衢州市发展和改革委员会门户网站
39	衢州市公安局	衢州市公安网上审批系统
40		衢州市互联网管理应用综合系统
41		衢州市公安局智控平台系统
42		衢州市公安局智处平台系统
43		衢州市公安门户网站
44		衢州市公安视频图像信息应用系统
45	衢州市委统战部	衢州市同心智富·乡贤通系统
46	衢州市教育局	衢州市初中学业考试与高中招生管理系统
47	团市委	衢州市“志愿衢州”网站
48	衢州市市场监管局	衢州药品信息化追溯系统（衢药安链）
49	衢州市住建局	衢州市建设职业学校信息化建设系统
50		衢州市房地产交易及信用监管系统
51	衢州市退役军人事务局	衢州市退役军人全生命周期管理保障应用
52	绿色产业发展研究院	衢州人才工作数字化治理应用

三、测评依据

(1) 《商用密码应用安全性评估管理办法》（试行）；

(2) 《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021）；

(3) 《信息系统密码应用测评要求》；

(4) 《信息系统密码应用测评过程指南》；

(5) 《信息系统密码应用高风险判定指引》；

(6) 《商用密码应用安全性评估量化评估规则》。

四、测评内容

依据《信息安全技术 信息系统密码应用基本要求》（GB/T39786-2021）、《信息系统密码测评要求》、《信息系统密码应用测评过程指南》、《信息系统密码应用高风险判定指引》、《商用密码应用安全性评估量化评估规则》等技术要求，逐一对信息系统进行密码应用的合规性、正确性、有效性进行安全性评估，通过商用密码应用安全性评估深入查找密码应用的薄弱环节和安全隐患，分析面临的风险，为提升信息系统安全奠定基础。

测评的内容包括但不限于以下内容：

1、安全技术测评：包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个方面的安全测评。

（1）物理和环境安全

测评类别	测评单元
安全技术测评-物理和环境安全	身份鉴别
	电子门禁记录数据完整性
	视频记录数据完整性
	密码产品
	密码服务

（2）网络和通信安全

测评类别	测评单元
安全技术测评-网络和通信安全	实体鉴别
	通信数据完整性
	敏感信息或通信报文机密性
	网络边界访问控制信息完整性
	安全接入认证
	密码产品
	密码服务

（3）设备和计算安全

测评类别	测评单元
安全技术测评-设备和计算安全	实体鉴别
	安全的信息传输通道
	系统资源访问控制信息完整性
	重要信息资源安全标记完整性
	日志记录完整性
	重要程序或文件完整性
	密码产品
	密码服务

（4）应用和数据安全

测评类别	测评单元
安全技术测评-应用和数据安全	实体鉴别
	访问控制
	重要信息资源安全标记完整性
	数据传输机密性
	数据存储机密性
	数据传输完整性
	数据存储完整性
	不可否认性
	密码产品
	密码服务

 

2、安全管理测评：包括安全管理（分为制度、人员、建设和应急四个子模块）的安全测评。

（1）管理制度

测评类别	测评单元
安全管理测评-管理制度	具备密码应用安全管理制度
	密钥管理规则
	建立操作规程
	定期修订安全管理制度
	明确管理 制度发布流程
	制度执行过程记录留存

（2）人员管理

测评类别	测评单元
安全管理测评-人员管理度	了解并遵守密码相关法律法规和密码管理制度
	建立密码应用岗位责任制度
	建立上岗人员培训制度
	定期进行安全岗位人员考核
	建立关键岗位人员保密制度和调离制度

（3）建设运行

测评类别	测评单元
安全管理测评-建设运行	制定密码应用方案
	制定密钥安全管理策略
	制定实施方案
	投入运行前进行密码应用安全性评估
	定期开展密码应用安全性评估及攻防对抗演习

（4）应急处置

测评类别	测评单元
安全管理测评-应急处置	应急策略
	事件处置
	向有关主管部门上报处置情况

五、测评工作原则

遵循以下若干原则，是评估结论真实、准确、可信的基础，也是评估组在独立实施评估时，在相似的情况下得出相似结论的前提。本次商用密码应用安全性测评实施方案设计与具体实施应满足以下原则：

（1）客观公正原则：评估实施过程中评估人员应保证在最小主观判断情形下，按照评估双方认可的评估方案，基于明确定义的评估方式和解释，实施评估活动。

（2）经济性和可重用性原则：评估工作可重用已有评估结果，包括商用密码应用安全性评估结果。所有重用结果都应以结果适用于待评估系统为前提，并能够客观反映目前系统的安全状态。

（3）可重复性和可再现性原则：依照同样的要求，使用同样的评估方法，不同的评估机构对每个评估实施过程的重复执行应得到同样的结果。可再现性和可重复性的区别在于，前者关注不同评估者评估结果的一致性，后者则与同一评估者评估结果的一致性有关。

（4）结果完善性原则：在正确理解《GB/T39786-2021 信息安全技术信息系统密码应用基本要求》各个要求项内容的基础之上，检测所产生的结果应客观反映系统的运行状态。评估过程和结果应服从正确的评估方法，确保其满足要求。

六、测评服务总体要求

（1）供应商应详细描述本次项目的整体实施方案，包括项目概述、密评方案、测试过程中需使用测试设备清单、时间安排、阶段性文档提交和验收标准等。

（2）供应商应详细描述实施人员的组成、资质及各自职责的划分。供应商应配置有经验的技术人员进行本次项目实施。

（3）本次项目实施过程中所使用到的各种工具软件由供应商推荐，经采购人确认后由供应商提供并在项目中使用。在响应文件中应详细描述所使用的安全技术工具（软硬件型号、功能和性能描述）、使用的方式和时间、对环境和平台的要求以及使用可能对系统造成的风险等。

（4）本次项目实施过程中所使用到的测评工具，应包括自主密码专用检测工具、 漏洞扫描工具等获得许可的检测工具，对系统数据进行分析，并以分析结果辅证评估报告。

（5）安全技术工具软件运行可能需要的硬件平台（如笔记本电脑、PC、工作站等）和操作系统软件等由供应商推荐，经采购人确认后由供应商提供并在项目中使用。

（6）项目实施需要的运行环境（如场地、网络环境等）由采购人提供，供应商应详细描述需要的运行环境的具体要求。

七、测评服务过程及内容要求

测评服务过程包括四项基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。测评方与被测单位之间的沟通与洽谈应贯穿整个测评过程。

（1）测评准备活动

本活动是开展测评工作的前提和基础，主要任务是掌握被测信息系统的详细情况，准备测评工具，为编制密评方案做好准备。

（2）方案编制活动

本活动是开展测评工作的关键活动，主要任务是确定与被测信息系统相适应的测评对象、测评指标、测评检查点及测评内容等，形成密评方案，为实施现场测评提供依据。

（3）现场测评活动

本活动是开展测评工作的核心活动，主要任务是根据密评方案分步实施所有测评项目，以了解被测信息系统真实的密码应用现状，获取足够的证据，发现其存在的密码应用安全性问题。

（4）分析与报告编制活动

本活动是给出测评工作结果的活动，主要任务是根据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》的有关要求，通过单元测评、整体测评、量化评估和风险分析等方法，找出被测信息系统密码应用的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距可能导致的被测信息系统所面临的风险，从而给出各个测评对象的测评结果和被测信息系统的评估结论，形成密评报告。

测评各阶段详细的服务内容如下表：

序号	测评阶段	测评类	服务说明
1	评估准备	准备阶段	编制项目计划书、收集被测系统基本资料并完成调查表格，分析调查结果，准备工具和评估表单。
2	方案编制	评估方案编制	识别并描述被测系统基本情况、确定测评对象、资产和威胁评估、系统定级结果和测评指标、确定检查点和检查方法、确定单元测评内容。
3	总体测评	总体要求	通过访谈、配置检查和工具测试的方式评估信息系统的密码算法、密码技术、密码产品和密码服务的合规性。
4	安全技术测评	物理和环境安全	通过访谈、配置检查和工具测试的方式测评信息系统机房环境的安全情况。主要涉及对象为机房环境的电子门禁系统。本次评测包括电子门禁的身份鉴别和电子门禁记录的完整性保护。
		网络和通信安全	通过访谈、配置检查和工具测试的方式测评信息系统的网络和通信安全保障情况。本次重点测评包括通信对象的身份鉴别、访问控制信息完整性、通信数据完整性和通信数据机密性等
		设备和计算安全	通过访谈、配置检查和工具测试的方式测评信息系统的主机安全保障情况，本次重点测评包括本地主机和数据库服务器身份鉴别、远程管理身份鉴别身份信息机密性、访问控制信息完整性、敏感标记完整性、日志记录完整性等
		应用和数据安全	将通过访谈、配置检查的方式测评信息系统的数据安全保障情况，主要涉及对象为信息系统的管理数据及业务数据等,本次重点测评包括信息系统身份鉴别、访问控制信息完整性、数据传输机密性、数据存储机密性、数据传输完整性、数据存储完整性、日志记录完整性等
5	安全管理测评	安全管理	安全管理部分为全局性问题，涉及密码安全管理制度、密码安全管理人员、系统实施和系统应急管理等四个方面。
6	分析报告阶段	报告编制	根据测评编制《信息系统商用密码应用安全性评估报告》，包括：概述、被测系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评的结果记录及结果汇总、整体测评、测评结果汇总、风险分析、评估结论等内容。

两个标项共同商务条款

服务地点、服务周期及费用	1、服务地点：衢州市。 2、服务周期：2022年11月底前完成所有相关单位的等级保护/密码测评工作(具体以各部门实际需求为准）。 3、项目包含所有测评相关的费用。 4、各部门授权衢州市大数据发展管理局采用统采分签方式，完成采购后由各部门按每个标项的中标结果和中标人各自签订采购合同，采购合同支付方式以各单位签订合同为准。
保密要求	中标人必须和招标人签订保密协议，中标人必须要与参加此次项目的所有项目组成员签订保密协议，在合同签订时一并提供给招标人。 中标人具体实施项目中的重要资料和结果，在项目实施期间和实施结束后，中标人不得带离该地点。 中标人对本规范书中的内容及在应标过程中接触的设备信息、数据资料等负有保密责任，不得泄露给任何第三方。
报价要求	1、本项目投标应以人民币报价； 2、报价应包含本项目实施过程中涉及的所有费用，如遇缺项、漏项等由中标人承担，招标人不承担由此产生的任何费用。 3、本项目两个标项均报单价，标项一每个系统等级保护测评单价报价不得高于4.05万元/个；标项二每个系统密码应用安全测评单价报价不得高于8.01万元/个，否则按无效标处理。
其他要求	1、中标人向招标人提供相应的技术文档。 2、做好项目相应的文档整理和归档工作。 3、配合审计单位完成相应的审计工作。 4、系统明细清单供投标人参考，实际测评的系统名称和数量，可能因为系统新增、废止、合并等原因变化，因此最终测评工作量（系统数量/个）以用户实际需求为准。