虚拟化信息安全服务项目-立方招采通

一、项目名称

虚拟化信息安全服务项目

二、项目招募方

广州汽车集团股份有限公司

三、项目概况

1、项目概况：本项目主要致力于分析广汽电子电器架构平台中的核心零部件零部件SVCC及其关键技术hypervisor（虚拟化I型）的威胁风险，并通过SVCC渗透测试和EEA5.0架构级渗透测试对其风险分析过程和结论进行检验，最终完善相应的信息安全规范，为后续零部件虚拟化开发和SVCC开发提供科学、合规的理论支撑和实践指导。

2、采购范围：

1) 、基于广汽平台的SVCC零部件及其虚拟化层设计、SVCC上所有信息安全相关功能场景、功能设计，完成信息安全威胁分析和风险评估。重点展开虚拟化层、跨域通信、资源共享带来的威胁；

2) 、针对SVCC上虚拟化I型的虚拟化层及其承载的功能、数据流详细开展威胁分析与风险评估；

3) 、结合威胁分析和风险评估的结果，编制相应的信息安全目标、信息安全需求、信息安全概要设计方案、信息安全测试用例。虚拟化和多域融合的相关需求、概要设计方案、测试用例需至少占交付内容的1/4。经威胁分析得出的所有信息安全需求，不应少于80条；

4) 、开展SVCC和其所在的EE架构分别两轮渗透测试，最终漏洞期待总数如下：

①、车端严重4个，高危8个，中危和低危不限个数；

②、云端和移动端严重4个，高危8个，中危和低危不限个数；

验收和结算会按照漏洞个数进行比例验收和结算；

5) 、将渗透测试结果检验TARA，并对TARA进行迭代；

6) 、开展不少于22个工作日的基于上述工作，以及虚拟化II型信息安全的培训；

7) 、整个风险分析过程需在广汽TARA自动化工具上开展；

8) 、所有文档交付物需要使用广汽的模板，或应该覆盖广汽模板中的关键要素并符合国内外审查要求。

交付文档最小范围：

3、服务地点：供应商团队应在项目启动、威胁分析报告初稿提交前、关键里程碑节点、项目出现风险时等应派至少2名相关工作人员到甲方现场（广州番禺）进行驻场工作，渗透测试实施阶段需有3名工作人员到甲方现场进行驻场；威胁分析与风险评估调研阶段需全程驻场；项目驻场时间不得少于80个工作日。前期准备和后期总结阶段，邀请方有权因为项目进度、交付物质量、漏洞复现等问题要求供应商驻点。

4、合作周期：合同签订起18个月。

四、供应商资格要求

本次招募要求供应商满足如下资格条件：

1、有独立法人资格和承担民事责任的能力；

2、无失信记录，具有良好的商业信誉和健全的财务会计制度且无不良商业行为；

3、注册资金≥1000万元，实缴资金≥200万元；

4、证书要求(提供企业相关网络安全体系认证证书，如ISO 21434，ISO 9001、ISO 27001)；

5、近三年财务状况，未出现资不抵债（提供加盖公章的报表）；

6、生产能力、服务能力说明(团队配置、售后服务承诺等)；

生产能力：主营业务内容包含车辆信息安全建设咨询（包含威胁分析与风险评估、国内外合规咨询）、车联网信息安全测试（包含合规测试、渗透测试）、车联网信息安全产品开发（如入侵监测、防火墙、VSOC、安全网关等）

1)、具备电子电器架构以及零部件咨询项目能力；（提供整车＼架构、零部件威胁分析与风险评估项目加盖公章的合同或验收报告各2份）

2) 、具备车载虚拟化威胁分析与风险评估、开发、测试的能力；（提供至少1个相关项目虚拟化分析部分的脱敏示例，包括风险分析过程、信息安全目标、信息安全需求、信息安全概要方案和测试用例，加盖公章的合同或验收报告。如一个项目无法覆盖所有相关支撑材料，可通过多个项目体现。）

3)、具备多域融合零部件信息安全分析和测试经验；（提供至少1个多域融合方案的典型威胁分析与风险评估样例、相应的信息安全目标、信息安全需求、信息安全概要方案、信息安全测试用例示例）

4) 、具备整车＼架构级（覆盖云管端）渗透测试、零部件渗透测试能力；（提供整车＼架构渗透测试、零部件渗透测试项目加盖公章的合同或验收报告各3份）

5) 、具备多域融合域控渗透测试能力；（提供至少1个相关测试项目加盖公章的合同或5项相关测试用例展示）

6) 、具备车载虚拟化渗透测试能力；（提供至少1个相关测试项目加盖公章的合同或5项相关测试用例展示）

团队能力：

1) 、拥有至少8人的车辆信息安全咨询团队，经验覆盖整车、架构、零部件（尤其是网关、底盘、车身、动力、座舱娱乐域、智驾域等）威胁分析与风险评估、信息安全合规建设、零部件信息安全开发、车联网攻防等；（提供劳务合同或近3个月社保证明）

2)、拥有至少8人的车辆信息安全渗透测试团队，经验覆盖整车、架构、零部件（尤其是网关、底盘、车身、动力、座舱娱乐域、智驾域等）漏洞挖掘、合规测试等；（提供劳务合同或近3个月社保证明）

3）、为本项目至少配备项目经理（1人）、质量经理（1人）、汽车信息安全咨询工程师（2人以上）、渗透测试工程师（3人）。其中，项目经理具备2年以上整车厂汽车信息安全大型项目管理经验，熟悉汽车信息安全体系建设。至少1名信息安全咨询工程师具备多域融合、车载虚拟化零部件分析或相关攻防项目经验。渗透测试工程师需具备至少5年以上的渗透测试经验，且实际做过车联网渗透测试项目，其中至少1名渗透测试工程师具备多域融合、车载虚拟化渗透测试项目经验。项目经理、渗透测试工程师和至少1名信息安全工程师需为国内驻点工作人员。（提供劳务合同或近3个月社保证明）。

售后服务：提供至少2年的售后咨询服务，对项目交付成果在整车项目中落地遇到的问题点提供邮件、电话等方式的咨询服务

7、同类项目业绩要求

1）、具有已验收的覆盖车载虚拟化内容的车辆零部件威胁分析与风险评估咨询项目实绩至少1例（提供盖章合同、合同关键相关内容页、验收报告、相关交付内容示例证明）

2）、具有已验收的覆盖车载虚拟化的车端零部件渗透测试项目实绩至少1例（提供盖章合同、合同关键相关内容页、验收报告、相关交付内容示例证明）

3）、具有已验收的整车＼架构级渗透测试（非合规导向，即非R155或GB44495确认测试）项目实绩至少1例（提供盖章合同、合同关键相关内容页、验收报告、相关交付内容示例证明）

8、委外说明：本项目仅渗透测试部分可委外参与，且委外供应商需满足上述供应商资格要求的第1条、第2条、第3条、第4条、第5条、第6条的2）项、第7条的4）、5）项的要求，并提供相关要求的证明。

五、项目报名

1、报名方式

（1）凡有意参加报名的供应商，请至广汽集团采购服务平台（https://gpsp.gac.com.cn）注册报名，可在平台网站首页点击下载"平台操作手册"，供应商根据手册要求进行注册，注册申请审核完成即为注册成功。供应商根据公告项目名称，按照报名要求上传资料。未按照此方式报名的，视作无效报名。

（2）报名截止时间：招募审批通过后十天。

2、报名资料

报名资料于报名截止时间前上传至广汽集团采购平台，报名资料包含但不限于以下内容：（报名资料需命名清楚、分门别类，可快速识别）