采购内容及要求

一、（根据本项目实际情况，填写“采购标的”或“项目概况”）

1、项目概述

《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发〔2003〕27号）提出“加强以密码技术为基础的信息保护和网络信任体系建设，要建立协调管理机制，规范和加强以身份认证、授权管理、责任认定等为主要内容的网络信任体系建设”。《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发〔2012〕23号）也提出“加强网络信任体系建设和密码保障，强化密码在保障电子政务、电子商务安全和保护公民个人信息等方面的支撑作用”。

2018年7月中共中央办公厅、国务院办公厅关于印发《金融和重要领域密码应用与创新发展工作规划（2018—2022年）》的通知，文件中提到，到2022年，全社会应用密码技术保护网络安全的意识普遍增强，密码与国家重大战略和新技术新应用深度融合，密码保障金融和重要领域网络安全的作用得到充分发挥，有力支撑信息领域核心技术突破，切实维护国家安全、促进经济社会发展、保护人民群众利益。积极推进检察、公安、海关、税务、市场监管等系统政务密码应用。规范电子印章、电子文件、电子证照和移动政务办公中的密码应用，推进安全可靠应用和电子凭证网上报销中的密码应用。

商用密码对于网络空间技术领域具有重要的基础性、引领性、关键性地位，特别是在数据加密、身份鉴别、访问控制、取证溯源等方面依然发挥着难以替代的重要作用。到目前为止，密码技术仍是保障网络与信息安全最有效、最可靠、最经济的关键核心技术。

本项目将针对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目进行商用密码应用改造，项目建设依据国家密码应用政策要求，满足合规、正确、有效使用密码的同时，将强化福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目的密码应用防护能力，提升福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目综合防护能力，保护国家和公共利益。

2、项目服务内容

（1）商用密码应用改造服务

根据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，针对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目从方案制定和评审、终端密码改造、国密安全通道改造、设备层密码改造、应用和数据安全密码改造及密码应用管理体系制度编制服务等，使福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目达到第三级密码应用基本要求，满足商用密码应用安全性评估要求。

（2）商用密码应用安全性评估服务

依据《中华人民共和国密码法》、《中华人民共和国网络安全法》、《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）、《信息系统密码测评要求》（试行）等国家行业现行有效的标准、规范对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目进行商用密码应用安全性评估，信息系统的《密码应用安全性评估报告》须取得“基本符合”或以上评估结论，并完成密码应用方案商用密码应用安全性评估报告和被测系统商用密码应用安全性评估报告在密码管理局密评的备案工作。

3、项目服务目标

根据商用密码应用安全性有关规定，针对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目开展信息系统商用密码功能改造升级、密码安全性评估等工作，最终使福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目取得方案《商用密码应用安全性评估报告》且报告结论应为“通过”和系统《商用密码应用安全性评估报告》且报告结论应为“基本符合”或“符合”，并在密码管理局完成备案工作。

二、技术要求

★本项目须针对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目5个系统开展商用应用改造服务和商用密码应用安全性评估服务，总体服务包括系统调研分析服务、密码安全风险分析与差距评估服务、商用密码应用方案编制服务、商用密码应用方案备案服务、商用密码应用业务流程和开发流程设计服务、商用密码应用测试环境服务、终端密码改造服务、国密安全通道改造服务、设备层密码改造服务、应用与数据安全密码改造服务、密码应用管理体系制度编制服务、商用密码应用安全性自评估服务、商用密码应用安全性评估机构测评对接服务、测评整改辅助服务、密评报告备案辅助服务、密码安全性评估服务、技术咨询和一线保障服务等服务，通过服务确保5个系统取得方案《商用密码应用安全性评估报告》且报告结论应为“通过”和系统《商用密码应用安全性评估报告》且报告结论应为“基本符合”或“符合”，并在密码管理局完成备案工作。本项目概算包括5个系统的上述服务相关一切开发，对接、测评服务的所有费用。（投标人须提供承诺函，并加盖投标人公章）。

2.1商用密码应用改造服务

2.1.1系统调研分析服务

投标人应对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目开展现状调研，包括机房、网络和系统密码应用现状情况的摸底，形成《信息系统密码应用安全评估基本情况调查表》。针对每个系统的情形进行调研，保证福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目在密改前的情况清楚，由于涉及每个业务系统的详细分析，精确到每个系统等保、用户情况及使用场景、应用总体框架、功能模块、业务流程、信息资源分析、数据资产情况、软硬件构成等。（提供《信息系统密码应用安全评估基本情况调查表》模板并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.2密码安全风险分析与差距评估服务

（1）针对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目密码应用合规性、正确性、有效性的问题，围绕物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全及密码安全管理制度等方面进行安全风险的分析，以确定目前可能存在的风险问题和安全隐患，从而能够及时、有效地采用合规的密码技术、产品和服务，解决系统密码应用安全风险隐患。

（2）参照GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相关等级密码应用要求、《信息系统密码应用高风险判定指引》、《商用密码应用安全性评估量化评估规则》、商用密码应用安全性评估FAQ（第三版）等对与福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目密码应用安全指标进行差距评估，并根据差距分析结果、现实具备的密码设施和技术手段提供建议措施及对现状下的应用改造措施。（提供《密码安全风险评估与建议》模板并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.3商用密码应用方案编制服务

根据密码应用的差距分析及需求分析结果，结合已有及云平台的密码设施，完成密码应用总体设计和整体方案设计，并依据《政务信息系统密码应用与安全性评估工作指南》、GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》等标准规范编制商用密码应用方案。（提供《商用密码应用方案》模板并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.4商用密码应用方案备案服务

针对评估通过的商用密码应用方案，将定稿方案打印并按照密码管理局的要求填写相关备案材料，加盖业主公章后，依据福建省有关政策，对商用密码应用方案进行备案，并递交主管部门审核。

2.1.5商用密码应用业务流程和开发流程设计服务

根据GB/T 39786《信息安全技术 信息系统密码应用基本要求》及相关规范向业主、应用开发商开展规范解读，使业主、应用开发商理解商用密码应用的主要内容、详细密码应用流程、密钥管理机制、使用的算法、系统认证的方式、接口等各指标密码应用流程，并形成“密码应用开发指导书”。

2.1.6商用密码应用测试环境服务

根据系统所调用云平台的密码资源，协助应用开发商搭建测试环境，输出密码应用接口，包括身份认证、数据加解密、签名验签、时间戳等密码应用接口，并形成密码应用对接指南。（提供《密码应用对接指南》模板并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.7终端密码改造服务

（1）根据业务系统终端情况，完成国密浏览器功能、APP、C/S客户端与业务系统适配工作，智能密码钥匙（数字证书）适配的工作。保障终端访问业务系统的兼容性，保障身份鉴别的国密安全。最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。（提供《终端密码产品安装及使用指导书》并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

（2）投标人具备良好的PKI认证中间件开发和应用能力，拥有自主研发、多场景通用的智能密码钥匙工具。（投标人须提供中华人民共和国国家版权局颁发的多元通智能密码钥匙《软件著作权》复印件并加盖投标人公章，软著名称包含关键词“智能密码钥匙”，2分，未提供或软著名称不满足者不得分）

（3）投标人需提供系统CA认证功能开发、业务界面的规划和开发、接口DEMO、功能逻辑开发指导服务，实现基于SM2算法的数字证书认证功能，提供过程文档、阶段测试、代码支撑和验证。（投标人须提供PKI认证中间件支持福建省经济信息中心政务CA的认证操作截图并加盖投标人公章，2分，截图不完整的不得分）

（4）投标人需指导通过国密浏览器采用数字证书工具进行业务系统认证（投标人须提供基于国密浏览器和智能密码钥匙工具集成的界面并加盖投标人公章，2分，截图不完整的不得分）

2.1.8国密安全通道改造服务

（1）完成国密浏览器、APP、C/S客户端与国密安全网关的国密安全通道、机房互联国密安全通道、国密安全运维通道改造适配工作，保障业务与运维的重要数据传输的机密性和完整性。最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。（提供《国密安全通道设计说明书》并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

（2）投标人所采用的国密浏览器工具可与现网安全网关建立安全通道，实现身份认证鉴别，保障数据传输过程中的机密性和完整性。测试工具支持龙芯、兆芯、飞腾、鲲鹏等不同CPU架构；支持中标麒麟、银河麒麟、统信UOS、中科方德等国产操作系统，国密浏览器工具通过国家信息技术安全研究中心的安全性检测。（投标人须提供国家信息技术安全研究中心出具的安全性检测报告复印件并加盖投标人公章，2分，未提供或不完整的不得分）

2.1.9设备层密码改造服务

完成设备层密码改造适配，如应用服务器、数据库服务器、跳板机、数据管理系统等国密功能适配工作，保障业务系统所涉及设备层的身份鉴别、运维安全通道、资源访问控制信息和日志记录完整性，最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。（提供《设备与设计安全密码设计说明书》并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.10 应用与数据安全密码改造服务

   （1）完成业务系统在身份鉴别（基于国密的身份认证）、访问控制信息完整性（基于国密消息鉴别码技术、数字签名技术对用户权限数据、重要配置数据的完整性保护）、数据传输安全（采用国密安全通道技术、对称密码算法、非对称密码算法对重要数据进行传输机密性和完整性保护）、数据存储安全（采用国密对称密码算法、非对称密码算法对重要数据进行存储机密性和完整性保护）、业务操作抗抵赖（采用国密数字签名、可信时间戳技术对用户操作进行固化，实现行为可溯源，责任可追究）等工作。保障业务与运维的重要数据存储的机密性、完整性及抗抵赖性。最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。

（2）投标人具备良好的密码中间件封装能力，可提供统一数据加解密验证服务，拥有自主研发的国密算法中间件软件工具。（投标人须提供中华人民共和国国家版权局颁发的国密算法中间件软件《软件著作权》复印件并加盖投标人公章，软著名称包含关键词“国密算法中间件”以及第三方国家权威机构颁发的软件安全检测报告，2分，未提供或软著名称不满足者不得分）

（3）投标人具备客户端文件透明加解密服务验证能力，拥有自主研发的文件保险箱软件工具。（投标人须提供中华人民共和国国家版权局颁发的文件保险箱《软件著作权》复印件并加盖投标人公章，软著名称包含关键词“文件保险箱”或者“数据保险箱”，2分，未提供或软著名称不满足者不得分）

（4）投标人需提供数据加解密功能开发对接，业务界面的规划和开发、接口DEMO、功能逻辑开发指导服务，实现基于SM4算法的数据加解密运算功能，提供过程文档、阶段测试、代码支撑和验证。（投标人须提供对上述功能采用的工具能够实现对加密功能测试、含有ECB、CBC加密等功能证明截图并加盖投标人公章，2分，截图不完整的不得分）

（5）投标人具备良好的数据完整性保护服务验证能力，拥有自主研发的国密算法数据完整性保护系统。（投标人须提供中华人民共和国国家版权局颁发的国密算法数据完整性保护《软件著作权》复印件并加盖投标人公章，软著名称包含关键词“数据完整性保护”，2分，未提供或软著名称不满足者不得分）

（6）投标人具备良好的日志数据完整性保护服务验证能力，拥有自主研发的密码应用日志审计系统。（投标人须提供中华人民共和国国家版权局颁发的密码应用日志审计《软件著作权》复印件并加盖投标人公章，软著名称包含关键词“日志审计”，2分，未提供或软著名称不满足者不得分）

（7）投标人需提供数据完整性保护功能开发对接，业务界面的规划和开发、接口DEMO、功能逻辑开发指导，实现数据摘要运算、MAC运算功能，提供过程文档、阶段测试、代码支撑和验证，满足访问控制策略、日志记录完整性保护等需求。（投标人须提供摘要运算、MAC运算功能截图并加盖投标人公章，2分，截图不完整的不得分）

（8）投标人具备良好的重要可执行程序保护、数字签名服务，以及实现安全签名认证服务等验证能力，拥有自主研发的签名验签软件工具。（投标人须提供中华人民共和国国家版权局颁发的签名验签软件《软件著作权》复印件并加盖投标人公章，软著名称包含关键词“签名验签”，2分，未提供或软著名称不满足者不得分）

（9）投标人需提供业务操作抗抵赖功能开发对接，业务界面的规划和开发、接口DEMO、功能逻辑开发指导服务，实现对关键业务，如招标采购、财政支付操作的不可否认性功能，提供过程文档、阶段测试和验证。（投标人须提供电子盖章、时间戳等功能证明截图并加盖投标人公章，2分，截图不完整的不得分）

（10）完成5个业务系统的密码应用改造，包括梳理应用保护数据和密码流程、密码改造开发需求和业务文档、证书认证功能开发和界面定制、数据加密业务定制开发、数据完整性保护业务定制开发、应用密码功能测试与升级等改造工作，与应用侧的沟通和适配计划，明确与应用开发商工作界面。（须提供承诺函及明确的适配计划、应用开发商开发主要内容材料并加盖投标人公章，2分，未提供或不完整的不得分）

2.1.11 密码应用管理体系制度编制服务

按照GB/T39786-2021《信息安全技术 信息系统密码应用基本要求》中管理制度、人员管理、建设运行、应急处置19项指标的最新要求，结合福州市大数据服务中心实际情况，对密码应用安全管理制度进行修订和完善（每年更新1次）。

2.1.12 商用密码应用安全性自评估服务

依据GB/T39786-2021《信息安全技术 信息系统密码应用基本要求》等标准，对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目开展商用密码应用安全性自评估工作。测评过程包括测评准备、现场测评及分析与报告编制。测评范围包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理等41项指标，使用自主研发的检测工具从密码服务、信息系统自身及管理三个方面，对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目商用密码应用的合规性、正确性、有效性作出判断并形成自评估报告，并对不合格的指标提出整改措施和建议。（提供《自评估报告》模板并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.13商用密码应用安全性评估机构测评对接服务

包含第三方密评机构首次开展商用密码应用安全性评估的对接服务，服务内容包含：现场测评支持如访谈、密评过程文档填写、配置核查、实地支撑、现场抓包测试及其他合规性流程工作等。

2.1.14测评整改辅助服务

（1）依据商用密码应用安全性评估阶段建议，对建议中提到的可能的、潜在的中高风险问题，配合整改。(提供《高风险项分析和整改建议》并加盖投标人公章，得2分，未提供或者材料提供不合格的不得分）

  （2）提供包括定制中间件、专用工具、代码优化等工具或服务，使得系统更有效、便捷调用密码服务，并逐步消除高风险，降低中风险数量，并优化到最小风险，加强替代性措施，如普通HTTPS、非合规证书、密钥明文存储、口令明文等问题处置，保障系统综合风险评价最小，持续满足该阶段对密码应用的测评要求。（投标人须提供REST风格身份认证、加解密、签名验签、MAC运算、时间戳等5项功能截图及接口文档并加盖投标人公章，得2分，未提供或者材料提供不合格的不得分）

   （3）采取符合国家政策要求的最新的密码产品、技术和服务，对系统密码安全漏洞进行整改，有效防止潜在安全风险可能导致的福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目被非授权访问、数据被非法截取、泄漏和篡改，以保持密码应用的持续性和有效性。

  （4）基于系统运行现状、网络现状和密码设施现状，结合具体项目、已有密码设施、云平台密码设施、第三方密码设施等，提出最优的密码安全加固建议并予以支撑。(提供《密码安全加固建议》并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）

2.1.15密评报告备案辅助服务

对于最终完成商用密码应用安全性评估的福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目，在取得商用密码应用安全性评估报告出具之日起30日内填写《网络与信息系统密评备案信息表》，连同商用密码应用安全性评估报告及其他备案材料报密码管理部门备案，经形式审查合格的，由省密码管理局向备案主体出具已履行备案要求的证明文件。负责支撑整体备案过程中有关事项，以保证备案工作的顺利开展，取得省密码管理局出具的有关证明文件。

2.2密码安全性评估服务

2.2.1商用密码应用方案评估服务

   根据制定的商用密码应用方案，协助用户侧委托商用密码安全性评估机构对商用密码应用方案进行评估，并根据密评机构评估结果进一步完善和修订方案，并最终定稿。   

2.2.2系统商用密码应用安全性评估服务

（1）★针对福州市空间数据资源管理系统、福州市公共信用信息平台二期、福州市城市资源门户项目、福州市可信数字身份公共服务平台项目、福州市政务数据开放共享平台(公共信息资源编目及开放共享)建设项目开展商用密码应用安全性评估，委托必须在国家密码管理局网站公布的《商用密码应用安全性评估试点机构目录》中的商用密码应用安全性评估机构进行密码应用安全性评估密码测评。(提供承诺函并加盖投标人公章）

（2）采用系统评估方式，及时发现被测系统脆弱性，识别风险，了解被测系统安全状况。对照密码应用方案对被测系统开展评估。根据被评估对象的实际情况、被测系统使用的密码产品情况，选择并确定测评依据。在被测系统真实环境下进行测评，以评估密码应用及保障是否安全有效，密码使用和管理是否合规、正确、有效； 

（3）为满足本项目测评需求，投标人所提供商用密码应用安全性评估机构具有自主研发的密码测评工具，至少包含数据提取解析验证、协议分析验证、数字证书格式合规性检测、算法和随机数检测字样的测评工具，（提供包含以上全部字样资质证明材料的复印件并加盖投标人公章，2分，未提供或者材料提供不合格的不得分）。

（4）出具商用密码应用安全性评估报告后，协助业主通过密码应用台账系统完成采购人被测系统密评备案工作。（投标人须提供承诺函并加盖投标人公章，2分，未提供不得分）。

（5）服务期间提供7×24服务响应，需要现场支撑时，投标人所提供商用密码应用安全性评估机构需在规定时间内安排至少1名具有“商用密码应用安全性评估人员测评能力考核”人员的到达现场处理。(投标人须提供承诺函并加盖投标人公章，2分，未提供不得分）

2.3 技术咨询和一线保障服务

（1）根据政务云密码设施的动态变化情况，合理优化业务系统能够使用的密码设施，解决资源瓶颈，优化资源效率，完善和提升系统密码应用程度，满足商用密码功能的需求的同时，适应业务系统对性能的要求及稳定性要求。

（2）根据政策法规变化，对系统使用的密码产品、算法、技术和服务的加强，以便满足最新的政策规范要求。

（3）向用户第一时间汇报、沟通国家、省内政策、技术规范变化，问题处理和跟进情况。配合用户撰写各类密码应用相关报告，汇总各类密码应用相关数据，提交各类密码应用相关报告。

（4）配合业务系统出现密码安全故障或事件时的第一时间处置。

（5）提供工具支持能力，使用密码检测工具配合各业务系统进行密码安全服务建设时的基础问题处置。

三、商务条件

采购包1：

序号	参数性质	类型	要求
1	★	交货时间	自合同签订之日起，2026年6月前完成项目交付。
2	★	交货地点	采购人指定服务地点。
3	★	交货条件	现场交付。
4	★	履约保证金	不缴纳
5	★	是否邀请投标人验收	不邀请投标人验收
6	★	履约验收方式	1、期次1，说明：5个系统取得方案《商用密码应用安全性评估报告》且报告结论应为“通过”和系统《商用密码应用安全性评估报告》且报告结论应为“基本符合”或“符合”并在密码管理局完成备案工作。
7	★	合同支付方式	1、5个系统取得方案《商用密码应用安全性评估报告》且报告结论应为“通过”和系统《商用密码应用安全性评估报告》且报告结论应为“基本符合”或“符合”，并在密码管理局完成备案工作，达到付款条件起30日内，支付合同总金额的100.00%