序号

采购品目名称

标的名称

数量
(计量单位)

标的金额 （元）

所属行业

是否涉及核心产品

是否涉及采购进口产品

是否涉及强制采购节能产品

是否涉及优先采购节能产品

是否涉及优先采购环境标志产品

1

测试评估认证服务

软件测试服务

1.00（项）

430,000.00

软件和信息技术服务业

否

否

否

否

否

序号

采购品目名称

标的名称

数量
(计量单位)

标的金额 （元）

所属行业

是否涉及核心产品

是否涉及采购进口产品

是否涉及强制采购节能产品

是否涉及优先采购节能产品

是否涉及优先采购环境标志产品

1

测试评估认证服务

信息安全等级保护测评服务

1.00（项）

240,000.00

软件和信息技术服务业

否

否

否

否

否

序号

采购品目名称

标的名称

数量
(计量单位)

标的金额 （元）

所属行业

是否涉及核心产品

是否涉及采购进口产品

是否涉及强制采购节能产品

是否涉及优先采购节能产品

是否涉及优先采购环境标志产品

1

测试评估认证服务

密码应用安全性评估服务

1.00（项）

240,000.00

软件和信息技术服务业

否

否

否

否

否

序号

报价内容

数量

单价

最高限价

价款形式

报价说明

1

软件测试服务

1.00（项）

430,000（元）

430,000.00

总价

无

序号

报价内容

数量

单价

最高限价

价款形式

报价说明

1

信息安全等级保护测评服务

1.00（项）

240,000（元）

240,000.00

总价

无

序号

报价内容

数量

单价

最高限价

价款形式

报价说明

1

密码应用安全性评估服务

1.00（项）

240,000（元）

240,000.00

总价

无

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

采购品目名称

标的名称

产品名称

不涉及

序号

符号标识

技术要求名称

技术参数与性能指标

1

★

基本要求

在智慧蓉城金牛区运行中心一期软件开发完成并达到测评条件后，对本项目所涉及的定制开发软件系统按照项目承建单位的合同条款，以及相关的国际、国家和行业的质量标准，对相关信息系统进行功能性、可靠性、易用性、效率性能、用户文档集、维护性、信息安全性方面进行软件验收测试，并出具《测试报告》。

1.技术标准

GB/T 25000.51-2016 《系统与软件工程 系统与软件质量要求和评价（SQuaRE） 第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》。

2.测试原则

客观性和公正性原则：按照评估双方相互认可的评估方案，基于明确定义的评估方式和解释，实施评估活动。

可再现性原则：不论谁执行评估，依照同样的要求，使用同样的评估方式，对每个评估实施过程的重复执行应该得到同样的结果。

结果完善性原则：测评所产生的结果应当证明是良好的判断和对测评项的正确理解。测评过程和结果应确保其满足了测评方案的要求。

3.测试对象及范围

1.测评内容

包括软件功能性、可靠性、易用性、效率性能、用户文档集、维护性、信息安全性。

1.1功能性测试

软件产品满足明确和隐含要求功能的能力。具体内容包括：功能完备性、功能正确性、功能适合性、功能性的依从性。功能测试的目的是在系统集成之后，通过设计测试用例、执行用例、获取结果，保证系统功能符合用户的业务需求；

分析被测信息系统功能需求，依据《软件需求规格说明书》、《系统详细设计文档》和软件产品质量要求验证系统实现了全部需求和设计，测试覆盖所有功能点，确保各项功能是可正确执行的；

根据系统《软件需求规格说明书》和《系统详细设计文档》，分析各功能点测试的优先级别。用户经常使用、关系到系统核心功能、优先级别较高的功能点应予以重点关注，尤其在回归测试时应优先执行。

1.2可靠性测试

软件产品维持规定的可靠性级别的能力。按照软件运行剖面对软件进行随机测试的测试方法。

可靠性测试主要是通过设计软件产品异常处理及风险处理测试用例,从容错性、数据保护、易恢复性、系统连续使用情况下运行稳定性方面对软件产品的可靠性进行质量测试,并将可靠性测试结果与用户需求中的可靠性要求比较,评价软件产品的可靠性是否符合用户需求。具体测试内容可以包括:

容错性测试。屏蔽用户操作错误:考察对用户常见的误操作的提示和屏蔽情况；输入数据有效性检查:系统对数据录入的有效性检查;错误提示的准确性:对用户的错误提示准确程度；

数据保护测试。考察系统数据保护措施是否可用,在断网、停止服务操作时是否会丢失数据;异常情况的数据保护:有无数据操作错误引起系统异常退出的情况；

在系统连续使用情况下运行稳定性测试。考察系统在一定负载下长时间运行时,系统的健康程度。

1.3易用性测试

软件产品被理解、学习、使用和吸引用户的能力。关注软件使用时是否感觉方便，能否通过简单的操作达到用户的目的，界面是否美观，排版是否合理。具体内容包括：易理解性、易学性、易操作性、吸引性。

易理解性是指用户认识软件的结构、功能、向导、逻辑、概念、应用范围、接口难易程度。该特性更多的是指文档内容易于理解，所有文档语言简练，内容应该与产品实际情况相一致，且所有文档中的语句无歧义；

易学习性是指用户使用软件或产品的容易程度(运行控制、输入、输出)。对于易学习性有两个方面的约束：一是所有与用户有关的文档内容都应该详细、结构清晰、语言准确;二是软件或产品本身易学，菜单选项很容易找到，一般菜单不要超过三级，各图标含义明确、简单易懂，操作步骤向导解释清楚、易懂；

易操作性是指用户操作和运行控制产品难易程度。易操作性要求人机界面友好、界面设计科学合理、操作简单。易操作的软件让用户可以直接根据窗口提示进行使用，无须过多地参考使用说明书和参加培训；

易吸引性是指用户第一次接触产品时，对产品的喜爱程度。

1.4效率性能测试

软件产品所提供性能的能力。关注在多用户、大并发量的情况下系统是否满足客户的实际需要，主要从吞吐量、点击率、平均事物响应时间、负载下的平均事物响应时间来进行测试。

使用性能测试工具，对系统进行压力负载、大数据量测试，验证系统的性能是否满足用户的业务需求。

各信息系统的并发访问量、性能指标根据《软件需求规格说明书》和《系统详细设计文档》确定。

时间特性和资源利用特性

分析系统用户行为，依据性能需求验证分级部署的信息系统支持高并发处理业务的能力；

系统数据容量在设计值范围内，响应时间满足用户性能需求；

系统资源利用在合理的数值范围，不超过资源指标的预警值；

1.5用户文档集测试

需判定用户文档是否包含使用该软件所必须要的信息、所陈述的功能以及最终用户能调用的功能、可靠性特征及其操作、可能导致数据丢失的系统终止或结束条件、是否给出必要数据的备份和恢复指南、对所有关键功能是否提供细则信息和参考信息，支持用户使用、操作、维护。用户文档及相关材料是否有软件实际相符。

1.6维护性测试

软件产品可被修改的能力。修改可能包括修正、改进或软件适应环境、需求和功能规格说明中的变化。具体内容包括：易分析性、易改变性、稳定性、易测试性、维护性依从性。

1.7信息安全性测试

软件产品本身的安全能力。软件安全测试包括安全功能验证、安全策略验证和软件安全实现验证，本次安全测试主要验证整个软件的实现是否安全，有没有严重的安全漏洞，是从整体上对软件进行安全测试。

序号

符号标识

技术要求名称

技术参数与性能指标

1

★

项目要求

供应商具有公安部第三研究所颁发且有效的《网络安全等级测评与检测评估机构服务认证证书》（在响应文件中提供证书复印件）。

序号

符号标识

技术要求名称

技术参数与性能指标

1

★

项目要求

供应商应在国家密码管理局公告（第42号）的《商用密码应用安全性评估试点机构目录》中或国家密码管理局认可的可在本地区、本行业（领域）开展密评试点的工作机构（在响应文件中提供相关证明材料）。

 序号

 符号标识

 服务要求名称

 服务要求内容

1

★

具体服务要求

1.实施要求

1.1系统梳理

对本次测评的软件系统进行梳理，了解软件系统的主要业务应用、系统架构情况。

1.2现场测评

对本项目所涉及软件系统进行现场测试，出具缺陷报告，待建设项目成交供应商整改后进行回归测试。

1.3成果递交

整理测试结果，出具软件测试报告。测评报告以纸质文档提交，具体数量以采购人要求为准。

2.实施过程风险管理

测试实施过程中，被测系统可能面临业务中断、数据丢失安全风险，供应商应就可能存在的风险进行识别并提醒采购人进行数据备份。

3.项目管理与实施保障

对项目进行管理，通过计划、组织、指导和控制，促进项目实施，并符合以下要求：

3.1供应商及其测试人员应当严格执行GB/T 25000.51-2016 《系统与软件工程 系统与软件质量要求和评价（SQuaRE） 第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》规定，提供客观、公平、公正的服务；测试过程中其相关人员应注意测试记录和证据的接收、处理、存储和销毁，保护其在测试期间免遭改变/遗失，并保守秘密；

3.2供应商拟投入本项目的测试人员应仅限于中华人民共和国境内的中国公民，且无犯罪记录。

2

其他要求

（一）人员配置：1.总测评工程师：具有①信息系统项目管理师证书；②系统规划与管理师证书；③数据库系统工程师证书；④软件评测师证书。 2.技术负责人（1人）：具有①系统规划与管理师证书；②系统架构设计师证书；③信息系统项目管理师证书。

（二）供应商拟投入本项目的专业技术测评团队：1.具有软件评测师证书； 2.具有（电子计算机专业）中级及以上技术职称证书； 3.具有（计算机应用研究与设计专业）中级及以上技术职称证书； 4.具有（信息与通信工程专业）中级及以上工程师职称证书； 5.具有（项目管理或工程管理专业）中级及以上技术职称证书。

（三）测评方案：测评方案包含①测评实施方案；②项目组织管理方案；③测评计划安排；④项目质量保障措施；

（四）履约能力：具有类似项目业绩（类似项目业绩指：软件测评服务业绩）。

 序号

 符号标识

 服务要求名称

 服务要求内容

1

★

项目需求

按照《中华人民共和国网络安全法》要求“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。”以及《信息安全等级保护管理办法》要求“信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》技术标准，定期对信息系统安全等级状况开展等级测评”。

（一）测评内容包括技术和管理测评：

1.技术安全性测评包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。

2.管理安全测评包括：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

（二）测评对象及范围

本次等级保护测评系统包括：

（三）依据标准

①《中华人民共和国网络安全法》

②GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》

③GB/T28448-2019《信息安全技术 网络安全等级保护测评要求》

④GB/T28449-2018《信息安全技术 网络安全等级保护测评过程指南》

⑤GB/T36627-2018《信息安全技术 网络安全等级保护测试评估技术指南》

⑥《信息安全等级保护管理办法》公通字 [2007] 43号

（四）测评原则

1.客观性和公正性原则：

虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式和解释，实施测评活动。

2.经济性和可重用性原则：

基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于结果适用于目前的系统，并且能够反映出目前系统的安全状态基础之上。

3.可重复性和可再现性原则：

不论谁执行测评，依照同样的要求，使用同样的测评方式，对每个测评实施过程的重复执行应该得到同样的结果。可再现性和可重复性的区别在于，前者与不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。

4.结果完善性原则：

测评所产生的结果应当证明是良好的判断和对测评项的正确理解。测评过程和结果应当服从正确的测评方法以确保其满足了测评项的要求。

（五）项目具体要求

对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。

对安全控制测评的描述，使用工作单元方式组织。工作单元分为安全技术和安全管理两大类。安全技术测评包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个方面；安全管理测评包括：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面。

系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。测评人员应根据特定信息系统的具体情况，结合本标准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性。

供应商根据国家对信息安全等级保护工作的相关法律和技术标准要求，结合本项目的系统保护等级开展实施与之相应的检查、访谈、测试工作。

（六）测评要求

1.安全物理环境

2.安全通信网络

3.安全区域边界

4.安全计算环境

5.安全管理中心

6.安全管理制度

7.安全管理机构

8.安全管理人员

9.安全建设管理

10.安全运维管理

11.安全扩展要求

按照所测评系统的具体情况选用云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制系统安全扩展要求。

12.验证测试相关要求

按照等级保护测评要求，测评过程中应配备必要的工具、仪器/设备对信息系统进行验证测试，采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障。

验证测试内容包括以下内：

（1）渗透测试

验证安全策略正确性；保证用户登录窗体身份验证的安全性；非授权用户不能浏览到未授权内容；不存在跨站点脚本攻击漏洞；脚本不存在SQL、Cookie注入漏洞；安全的处理异常，没有出错页面泄露系统信息；应用和系统漏洞及其他，并提出整改建议。验证内容包括以下几个方面：

（2）性能测试

通过模拟手段对网络（包括丢包、时延、带宽）、软件系统（包括负载、响应）、负载下硬件占用（包含CPU、内存）进行全面的测评评估验证系统的可靠性、可用性，通过对测试结果的分析，给出相应的整改建议。

（3）漏洞扫描

据相关标准、规范要求对重要信息系统的安全漏洞进行测评。分析总结系统中存在的主要安全漏洞，指出系统中可能被利用的安全漏洞、系统配置错误缺陷以及相应的安全加固意见、建议。

（七）测评工作步骤

等级保护测评工作流程，受委托测评机构实施的等级测评工作活动及流程与运营、使用单位的自查活动及流程会有所差异，初次等级测评和再次等级测评的工作活动及流程也不完全相同，而且针对不同等级信息系统实施的等级测评工作活动及流程也不相同。受委托测评机构对信息系统的初次等级测评可以分为四项活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。供应商应对等级保护测评各阶段具体工作内容进行描述。

1.准备活动阶段：对被测系统进行调研分析，明确测评对象、测评方法工作。

2.方案编制阶段：制定信息安全等级保护测评项目计划书、测评实施方案，并提交委托方确认。

3.现场测评阶段：按照等级保护相关标准规范要求从访谈、检查、测试几方面进行测试评估并出具《整改意见》，并在整改过程中提供技术咨询服务。

4.分析与报告编制：向委托方提交被测信息系统安全等级保护测评报告以及相应文档。

（八）实施要求

1.系统梳理

协助完成待测信息系统梳理工作。

2.初测

对本项目所涉及信息系统进行现场测评，初次测评完成后提交初评的整改意见报告。

3.整改加固协助

协助对测评过程中发现的安全问题进行技术整改加固工作，并进行整改后的回归测评。

4.成果递交

整理测评结果，提交被测信息系统安全等级保护测评报告以及相应文档。

（九）项目管理与实施保障

对项目进行科学严格的管理，通过系统计划、有序组织、科学指导和有效控制，促进项目全面顺利实施，供应商必须提供完整的项目管理方案，并符合以下要求：

1.供应商及其测评人员应当严格执行有关国家信息安全等级保护相关标准和有关规定，提供客观、公平、公正、有效的等级保护测评服务，并承担相应的法律责任。

2.应具备能够保证其公正性、独立性的质量体系，确保测评活动不受任何可能影响测评结果的商业、财务、健康、环境方面的压力。

3.供应商在对被测评单位开展等级保护测评服务之前需与被测评单位签订保密协议，测评过程中向被测评单位借阅的文档资料应在测评工作结束后全部归还被测评单位，未经被测评单位允许，不得擅自复制、保留。

4.供应商的岗位配置要至少配置项目经理（或总测评师）、技术负责人、质量负责人、保密安全员和档案管理员，其中项目经理（或总测评师）、技术负责人、质量负责人、保密安全员和档案管理员应独立配置，不能有兼任的情况。

5.测评人员要求

参与此次等级保护测评的供应商其测评人员应具备并符合以下要求：

（1）开展此次等级保护测评工作的人员仅限于中华人民共和国境内的中国公民，且无犯罪记录。

（2）开展此次等级保护测评工作的人员应具备参与同类行业信息安全测评项目的经验。

（3）针对软件、网络、云安全方面的测评技术人员除具有相应测评师证书以外，还应该持有相关技术资格证书。

（4）测评项目组人员在对开展等级保护测评工作之前需签订保密协议。

6.测评工具要求

（1）采用的测评工具必须获得正版授权，并在有效期内，不得使用盗版软件。

（2）采用的测评工具在功能、性能满足使用要求前提下，应优先采用具有国内自主知识产权的同类产品。

（3）采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障。

（4）测评机构所使用的测评工具不会对系统产生破坏或负面影响。

7.由于测评工作存在一定的风险，包括：数据丢失、配置参数丢失、网络中断、服务中断隐患，供应商应当充分识别测评工作可能带来的风险并告知委托方，委托方应当就测评工作存在潜在风险采取必要措施进行确认后方可开展测评。

2

其他要求

（一）管理团队1.项目经理（1人）：具有①网络（或信息）安全等级测评师（高级）证书；②网络安全服务相关专业高级技术职称证书；③数据安全官证书；④注册信息系统审计师（CISP-CISA)证书。 2.技术负责人（1人）：具有①网络（或信息）安全等级测评师（高级）证书；②软件评测师证书；③注册数据安全治理专业人员（CISP-DSG）证书。 3.质量负责人（1人）：具有①网络（或信息）安全等级测评师证书；②信息系统项目管理师证书；③系统规划与管理师证书。

（二）供应商拟投入本项目的专业技术测评团队：具有①数据安全官证书；②（电子计算机专业类）中级及以上技术职称证书；③大数据分析师证书；

（三）测评方案：测评方案包含①测评实施方案；②测评工具安排方案；③项目组织管理方案；④应急方案；⑤售后服务方案；

（四）履约能力：具有类似项目业绩（类似项目业绩指信息化类等保测评（或等级保护测评）服务业绩）。

 序号

 符号标识

 服务要求名称

 服务要求内容

1

★

技术服务要求

（一）测评需求

为全面贯彻总体国家安全观和网络强国战略，深入贯彻落实习近平总书记关于核心技术自主可控重要批示精神和工作安排，积极响应《国务院办公厅关于印发国家政务信息化项目建设管理办法的通知》（国办发〔2019〕57号）文件精神，落实《成都市电子政务项目管理办法》（成办发〔2021〕66号）和《关于进一步加强我市政务信息化项目密码应用与安全性评估工作的通知》（成密局发〔2022〕01号）文件要求，持续推进商用密码工作，进一步加强重要信息系统密码应用与安全性评估工作，依据《中华人民共和国网络安全法》、《中华人民共和国密码法》、《国家政务信息化项目建设管理办法》、《信息系统密码应用基本要求》、《商用密码管理条例》法律法规、制度和规范，落实重要信息系统根据“同步规划、同步建设、同步运行”的原则，拟对重要信息系统开展商用密码应用安全性评估。

通过商用密码应用安全性评估掌握信息系统密码应用情况，深入查找密码应用的薄弱环节和安全隐患，发现其商用密码应用和管理方面存在的安全风险，为信息系统的商用密码的安全应用提供参考，推动和促进整改措施落实，推动密码应用水平不断提升；保障信息统安全、稳定、合规的运行，保护重要数据的安全。

（二）测评对象

本次系统商用密码应用安全性评估的信息系统对象见下表：

本次密评服务需针对表中系统，按照GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》、GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》标准、规范，对信息系统密码应用的合规性、正确性和有效性进行评估。

（三）依据与规范

1.法律法规

《中华人民共和国网络安全法》

《中华人民共和国密码法》

《国家政务信息化项目建设管理办法》

《商用密码管理条例》

《成都市电子政务项目管理办法》（成办发〔2021〕66号）

《关于进一步加强我市政务信息化项目密码应用与安全性评估工作的通知》（成密局发〔2022〕01号）

2.测评依据的主要标准

GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》

GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》

GM/T 0116-2021《信息系统密码应用测评过程指南》

3.其他测评标准或规范性文件

《信息系统密码应用高风险判定指引》

《商用密码应用安全性评估量化评估规则》(2023版)

被测系统的《密码应用解决方案》

被测系统中商用密码产品的相关标准

（四）密评内容

依据GB/T39786-2021《信息安全技术 信息系统密码应用基本要求》、GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》、GM/T 0116-2021《信息系统密码应用测评过程指南》、系统的《密码应用解决方案》和系统自身的安全需求分析，对被评估系统进行密码应用安全性评估，为重要网络和信息系统的密码安全提供科学评价，逐步规范网络运营者的密码使用和管理行为。

根据被评估对象系统需满足的对应安全级别密码应用要求(以三级要求为例)，开展商用密码应用安全性评估内容的基本范围如下：

（1）通用要求测评

对信息系统所使用的密码算法、密码技术、密码产品、密码服务进行合规性测评。

信息系统中使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求。

信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。

信息系统中使用的密码产品、密码服务应符合法律法规的相关要。

（2）密码应用基本要求测评

从八个方面：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行、应急处置对信息系统的密码应用基本要求进行测评。

验证信息系统的商用密码应用基本要求是否达到其所对应网络安全等级保护级别密码应用安全保护要求和能力。

1）物理和环境安全测评

宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；

宜采用密码技术保证电子门禁系统进出记录数据存储完整性；

宜采用密码技术保证视频监控音像记录数据的存储完整性；

以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

以上采用密码产品，应达到GB/T 37092二级及以上安全要求。

2）网络和通信安全测评

应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；

宜采用密码技术保证通信过程中数据的完整性；

应采用密码技术保证通信过程中重要数据的机密性；

宜采用密码技术保证网络边界访问控制信息的完整性；

可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性；

以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

以上采用密码产品，应达到GB/T 37092二级及以上安全要求。

3）设备和计算安全测评

应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；

远程管理设备时，应采用密码技术建立安全的信息传输通道；

宜采用密码技术保证系统资源访问控制信息的完整性；

宜采用密码技术保证设备中的重要信息资源安全标记的完整性；

宜采用密码技术保证日志记录的完整性；

宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证；

以上如采用密码服务，该密码服务应符合法律法规相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

以上采用密码产品，应达到GB/T 37092二级及以上安全要求。

4）应用和数据安全测评

应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；

宜采用密码技术保证信息系统应用访问控制信息的完整性；

宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；

应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；

应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；

宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；

宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；

在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性；

以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

以上采用的密码产品，应达到GB/T 37092二级及以上安全要求。

5）管理制度测评

应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理制度；

应根据密码应用方案建立相应密钥管理规则；

应对管理人员或操作人员执行的日常管理操作建立规程；

应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对存在不足或需要改进之处进行修订；

应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制；

应具有密码应用操作规程的相关执行记录并妥善保存。

6）人员管理测评

相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；

应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限：

--根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员关键安全岗位；

--对关键岗位建立多人共管机制；

--密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密码安全审计员岗位不可与密钥管理员、密码操作员兼任；

--相关设备与系统的管理和使用账号不得多人共用。

应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；

应定期对密码应用安全岗位人员进行考核；

应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。

7）建设运行测评

应依据密码相关标准和密码应用需求，制定密码应用方案；

应根据密码应用方案，确定系统涉及的密钥种类、体系及其生存周期环节，各环节密钥管理要求参照GB/T39786-2021附录B；

应按照应用方案实施建设；

投入运行前应进行密码应用安全性评估，评估通过后系统方可正式运行；

在运行过程中，应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评估及攻防对抗演习，并根据评估结果进行整改。

8）应急处置测评

应制定密码应用应急策略，做好应急资源准备，当密码应用安全事件发生时，应立即启动应急处置措施，结合实际情况及时处置；

事件发生后，应及时向信息系统主管部门进行报告；

事件处置完成后，应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况。

（五）交付物

信息系统密码评估工作完成后，按照国家密码管理局要求包含的内容，参考其发布的针对信息系统的商用密码应用安全性评估报告模版，编制并交付被测信息系统对象的商用密码应用安全性评估报告。

（六）保密要求

供应商对项目实施中获取和产生的数据和结果应严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害采购人利益的行为。

（七）人员配置要求

供应商须为本项目配置：项目经理1人，项目技术负责人1人，服务团队成员不少于4人。

2

其他要求

（一）服务方案：服务方案包含①测评目标和测评依据；②测评流程；③测评方法和采用技术；④人员及组织保障管理；

（二）质量保障措施：质量保障措施包含①质量程序控制文件和质量管理保障体系；②应急响应方案；

（三）1.项目总测评师（1名）：具有①国家密码管理局颁发的商用密码应用安全性评估人员测评能力考核证书；②信息系统项目管理师（高级）证书；③有注册信息安全专业人员（CISP）证书； 2.项目团队：①具备商用密码应用安全性评估人员能力合格证书； 项目团队具有①IT服务项目经理证书；②数据安全认证专家（CDSP）证书；③企业首席质量官（CQO）证书。

（四）测评工具：1.供应商具有国密算法安全检测工具，工具支持SM2/SM3/SM4/ZUC等算法及功能的正确性评估 2.供应商具有国密随机数质量检测工具，支持单项检测项和多检测项。

（五）供应商具有中国合格评定国家认可委员会（CNAS）颁发的《实验室认可证书》，并且认可的能力范围包含：软件（或行业应用软件）中有安全性的。2.供应商具有质量管理体系认证证书，认证范围包括“信息系统安全测评”。

（六）具有类似项目业绩（类似项目业绩指：密评项目业绩）。

序号

符号标识

商务要求名称

商务要求内容

1

★

服务期限

供应商应在采购人提出测评需求后3个月内完成软件测评工作。

2

★

服务地点

成都市（成都市金牛区智慧蓉城运行中心）。

3

★

验收、交付标准和方法

一、验收组织方式： 采购包1： 自行验收 二、是否邀请本项目的其他供应商： 采购包1： 否 三、是否邀请专家： 采购包1： 否 四、是否邀请服务对象： 采购包1： 是 五、是否邀请第三方检测机构： 采购包1： 否 六、履约验收程序： 采购包1： 一次性验收 七、履约验收时间： 采购包1： 1、 验收条件说明： 合同全部工作完成后 ，达到验收条件起 15 日内，验收合同总金额的 100.00%； 八、验收组织的其他事项： 采购包1： 无 九、技术履约验收内容： 采购包1： 按国家有关规定以及技术方案的技术要求和指标、成交供应商的响应文件及承诺与本合同约定标准进行验收：采购人、成交供应商双方如对技术要求和指标的约定标准有相互抵触或异议的事项，由采购人在采购与响应文件中按技术要求和指标比较优胜的原则确定该项的约定标准进行验收； 十、商务履约验收内容： 采购包1： 按国家有关规定以及技术方案的技术要求和指标、成交供应商的响应文件及承诺与本合同约定标准进行验收：采购人、成交供应商双方如对技术要求和指标的约定标准有相互抵触或异议的事项，由采购人在采购与响应文件中按技术要求和指标比较优胜的原则确定该项的约定标准进行验收； 十一、履约验收标准： 采购包1： 其他未尽事宜应严格按照《政府采购需求管理办法》、《财政部关于进一步加强政府采购需求和履约验收管理的指导意见》(财库(2016) 205号)等文件、本项目采购文件以及国家和行业有关标准执行。 十二、履约验收其他事项： 采购包1： 无

4

★

支付方式

一次付清

5

付款进度安排

1、合同签订后，供应商正常履约出具《软件测评报告》，采购人验收合格后，成交供应商提供的真实有效、合法等额发票后，达到付款条件起15日内，支付合同总金额的100.00%

6

★

违约责任与解决争议的方法

违约责任条款： 1.双方必须遵守本合同并执行合同中的各项规定，保证本合同的合法正常履行。 2.如因供应商工作人员在履行职务过程中的疏忽、失职、过错等故意或者过失原因给采购人造成损失或侵害，包括但不限于采购人本身的财产损失、由此而导致的采购人对任何第三方的法律责任等，供应商对此均应承担全部的赔偿责任。 3.供应商提供的服务不符合本合同规定的，出现违约3次以上或未按采购人要求整改的，采购人有权无条件解除本合同并要求供应商退还已收取的费用。 4.供应商保证本合同所提供服务的权利无瑕疵，包括知识产权等权利无瑕疵，不侵犯任何第三方的合法权益。如任何第三方经法院（或仲裁机构）裁决有权对上述产品主张权利，由供应商承担经济责任的，供应商除应向采购人返还已收款项及利息外，采购人有权无条件解除本合同。 5.给采购人造成经济损失或负面影响，或者供应商因此受到行政或刑事处罚的，采购人有权解除本合同并要求供应商赔偿2万元违约金，供应商还应退还采购人已支付的全部款项。供应商及涉事人员还需承担相关的法律责任。 6.供应商偿付的违约金不足以弥补采购人损失的，还应按采购人损失尚未弥补的部分，支付赔偿金给采购人。 争议管辖： 1.合同履行期间，若双方发生争议，可协商或由有关部门调解解决，协商或调解不成的，向采购人所在地人民法院申请起诉。 2.人民法院应为最终决定，并对双方具有约束力。 3.除另有裁决外，诉讼费应由败诉方负担。 4.在诉讼期间，除正在进行诉讼部分外，合同其他部分继续执行。

序号

符号标识

商务要求名称

商务要求内容

1

★

服务期限

供应商提供一次信息系统安全等级保护测评（三级），测评完成后出具《信息系统安全等级保护测评报告》。供应商应在采购人提出测评需求后3个月内完成信息系统安全等级保护测评（三级）。

2

★

服务地点

成都市（成都市金牛区智慧蓉城运行中心）。

3

★

验收、交付标准和方法

一、验收组织方式： 采购包2： 自行验收 二、是否邀请本项目的其他供应商： 采购包2： 否 三、是否邀请专家： 采购包2： 否 四、是否邀请服务对象： 采购包2： 是 五、是否邀请第三方检测机构： 采购包2： 否 六、履约验收程序： 采购包2： 一次性验收 七、履约验收时间： 采购包2： 1、 验收条件说明： 合同全部工作完成后 ，达到验收条件起 15 日内，验收合同总金额的 100.00%； 八、验收组织的其他事项： 采购包2： 无 九、技术履约验收内容： 采购包2： 按国家有关规定以及技术方案的技术要求和指标、成交供应商的响应文件及承诺与本合同约定标准进行验收：采购人、成交供应商双方如对技术要求和指标的约定标准有相互抵触或异议的事项，由采购人在采购与响应文件中按技术要求和指标比较优胜的原则确定该项的约定标准进行验收； 十、商务履约验收内容： 采购包2： 按国家有关规定以及技术方案的技术要求和指标、成交供应商的响应文件及承诺与本合同约定标准进行验收：采购人、成交供应商双方如对技术要求和指标的约定标准有相互抵触或异议的事项，由采购人在采购与响应文件中按技术要求和指标比较优胜的原则确定该项的约定标准进行验收； 十一、履约验收标准： 采购包2： 其他未尽事宜应严格按照《政府采购需求管理办法》、《财政部关于进一步加强政府采购需求和履约验收管理的指导意见》(财库(2016) 205号)等文件、本项目采购文件以及国家和行业有关标准执行。 十二、履约验收其他事项： 采购包2： 无

4

★

支付方式

一次付清

5

付款进度安排

1、合同签订后，供应商正常履约出具《信息系统安全等级保护测评报告》，采购人验收合格后，成交供应商提供的真实有效、合法等额发票后，达到付款条件起15日内，支付合同总金额的100.00%

6

★

违约责任与解决争议的方法

违约责任条款： 1.双方必须遵守本合同并执行合同中的各项规定，保证本合同的合法正常履行。 2.如因供应商工作人员在履行职务过程中的疏忽、失职、过错等故意或者过失原因给采购人造成损失或侵害，包括但不限于采购人本身的财产损失、由此而导致的采购人对任何第三方的法律责任等，供应商对此均应承担全部的赔偿责任。 3.供应商提供的服务不符合本合同规定的，出现违约3次以上或未按采购人要求整改的，采购人有权无条件解除本合同并要求供应商退还已收取的费用。 4.供应商保证本合同所提供服务的权利无瑕疵，包括知识产权等权利无瑕疵，不侵犯任何第三方的合法权益。如任何第三方经法院（或仲裁机构）裁决有权对上述产品主张权利，由供应商承担经济责任的，供应商除应向采购人返还已收款项及利息外，采购人有权无条件解除本合同。 5.给采购人造成经济损失或负面影响，或者供应商因此受到行政或刑事处罚的，采购人有权解除本合同并要求供应商赔偿2万元违约金，供应商还应退还采购人已支付的全部款项。供应商及涉事人员还需承担相关的法律责任。 6.供应商偿付的违约金不足以弥补采购人损失的，还应按采购人损失尚未弥补的部分，支付赔偿金给采购人。 争议管辖： 1.合同履行期间，若双方发生争议，可协商或由有关部门调解解决，协商或调解不成的，向采购人所在地人民法院申请起诉。 2.人民法院应为最终决定，并对双方具有约束力。 3.除另有裁决外，诉讼费应由败诉方负担。 4.在诉讼期间，除正在进行诉讼部分外，合同其他部分继续执行。

序号

符号标识

商务要求名称

商务要求内容

1

★

服务期限

在具备测试条件45个工作日内完成商用密码应用安全性评估工作（不含整改期及其他可影响密评进度的情况或因素）

2

★

服务地点

成都市（成都市金牛区智慧蓉城运行中心）。

3

★

验收、交付标准和方法

一、验收组织方式： 采购包3： 自行验收 二、是否邀请本项目的其他供应商： 采购包3： 否 三、是否邀请专家： 采购包3： 否 四、是否邀请服务对象： 采购包3： 是 五、是否邀请第三方检测机构： 采购包3： 否 六、履约验收程序： 采购包3： 一次性验收 七、履约验收时间： 采购包3： 1、 验收条件说明： 合同全部工作完成后 ，达到验收条件起 15 日内，验收合同总金额的 100.00%； 八、验收组织的其他事项： 采购包3： 无 九、技术履约验收内容： 采购包3： 按国家有关规定以及技术方案的技术要求和指标、成交供应商的响应文件及承诺与本合同约定标准进行验收：采购人、成交供应商双方如对技术要求和指标的约定标准有相互抵触或异议的事项，由采购人在采购与响应文件中按技术要求和指标比较优胜的原则确定该项的约定标准进行验收； 十、商务履约验收内容： 采购包3： 按国家有关规定以及技术方案的技术要求和指标、成交供应商的响应文件及承诺与本合同约定标准进行验收：采购人、成交供应商双方如对技术要求和指标的约定标准有相互抵触或异议的事项，由采购人在采购与响应文件中按技术要求和指标比较优胜的原则确定该项的约定标准进行验收； 十一、履约验收标准： 采购包3： 其他未尽事宜应严格按照《政府采购需求管理办法》、《财政部关于进一步加强政府采购需求和履约验收管理的指导意见》(财库(2016) 205号)等文件、本项目采购文件以及国家和行业有关标准执行。 十二、履约验收其他事项： 采购包3： 无

4

★

支付方式

一次付清

5

付款进度安排

1、合同签订后，供应商正常履约出具《商用密码应用安全性评估报告》，采购人验收合格后，成交供应商提供的真实有效、合法等额发票后，达到付款条件起15日内，支付合同总金额的100.00%

6

★

违约责任与解决争议的方法

违约责任条款： 1.双方必须遵守本合同并执行合同中的各项规定，保证本合同的合法正常履行。 2.如因供应商工作人员在履行职务过程中的疏忽、失职、过错等故意或者过失原因给采购人造成损失或侵害，包括但不限于采购人本身的财产损失、由此而导致的采购人对任何第三方的法律责任等，供应商对此均应承担全部的赔偿责任。 3.供应商提供的服务不符合本合同规定的，出现违约3次以上或未按采购人要求整改的，采购人有权无条件解除本合同并要求供应商退还已收取的费用。 4.供应商保证本合同所提供服务的权利无瑕疵，包括知识产权等权利无瑕疵，不侵犯任何第三方的合法权益。如任何第三方经法院（或仲裁机构）裁决有权对上述产品主张权利，由供应商承担经济责任的，供应商除应向采购人返还已收款项及利息外，采购人有权无条件解除本合同。 5.给采购人造成经济损失或负面影响，或者供应商因此受到行政或刑事处罚的，采购人有权解除本合同并要求供应商赔偿2万元违约金，供应商还应退还采购人已支付的全部款项。供应商及涉事人员还需承担相关的法律责任。 6.供应商偿付的违约金不足以弥补采购人损失的，还应按采购人损失尚未弥补的部分，支付赔偿金给采购人。 争议管辖： 1.合同履行期间，若双方发生争议，可协商或由有关部门调解解决，协商或调解不成的，向采购人所在地人民法院申请起诉。 2.人民法院应为最终决定，并对双方具有约束力。 3.除另有裁决外，诉讼费应由败诉方负担。 4.在诉讼期间，除正在进行诉讼部分外，合同其他部分继续执行。