厦门中实-公开招标-2025-ZS3322-厦门税务2025密码应用安全性评估服务-更正公告

序号

指标种类

指标名称

指标内容

重要性

是否需要证明材料

1

总体要求

总体要求

投标人须根据采购人要求在规定时间内（根据实际需求分批次）完成指定系统的密码应用安全性评估，并出具相关报告。测评报告须提供电子版和纸质版，且须达到密码管理局等信息安全监管部门的要求，投标人须对此作出承诺。

★

否

2

总体要求

总体要求

投标人对因本项目取得的采购人相关信息负有保密义务，未经采购人同意，不得对外公布或提供给第三方，包含但不限于操作系统信息、数据库配置信息、中间件配置信息、网络配置信息和安全漏洞信息等，投标人须对此作出承诺。

★

否

3

总体要求

评估服务

中标人依据《GB/T 39786—2021信息安全技术信息系统密码应用基本要求》的条款要求，逐一对信息系统密码应用进行安全技术测评：包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个方面的安全测评。

#

否

4

总体要求

评估服务

中标人依据《GB/T 39786—2021信息安全技术信息系统密码应用基本要求》的条款要求，逐一对信息系统密码应用进行安全管理测评：包括密钥管理、安全管理（分为制度、人员、建设和应急四个子模块）两个方面的安全测评。

#

否

5

测评要求

工具要求

中标人在项目实施过程中所使用到的各种工具软件由中标人推荐，经采购人确认后由中标人提供并在项目中使用。在投标文件中应详细描述所使用的安全技术工具（软硬件型号、功能和性能描述）、使用的方式和时间、对环境和平台的要求以及使用可能对系统造成的风险等。

#

否

6

测评要求

密码应用方案评估

若密码应用方案发生变更，则中标人应对变更后的密码应用方案进行商用密码应用安全性评估。

#

否

7

测评要求

密码应用方案评估

中标人应从《信息安全技术 信息系统密码应用基本要求》（GM/T 39786-2021）中选择相应等级的评估指标，结合信息系统的构成特点，确定具体的评估对象，针对厦门市税务局编制的商用密码安全应用方案，通过访谈、检查和测试等方式判断其安全技术和安全管理各层面所对应评估指标的符合程度，判断被评估系统在密码应用设计和落地方面是否满足符合国家信息系统商用密码应用安全中的合规性、正确性、有效性要求，找出与国家标准要求之间的差距，根据评估结果出具差距分析报告，作为后续安全整改的依据，帮助其达到信息系统商用密码应用安全的要求。

#

否

8

应急响应

应急响应

若在系统测评过程中发生系统故障，中标人应能够协调系统运维专家远程或现场提供应急响应等技术支持服务。

#

否

9

备案

备案

中标人应完成备案所需文档，协助采购人向密码管理局等相关部门申请密码应用安全性评估备案。

#

否

10

数据安全风险评估

总体要求

中标人按照《数据安全法》《网络安全法》等法律法规，对6个等保三级信息系统开展调研，掌握数据处理者的基本情况，业务和信息系统情况，数据资产情况，数据处理活动等重要信息。

#

否

11

数据安全风险评估

风险识别与分析

中标人应具备成熟的风险评估方法论和相关经验，通过现场访谈，查阅资料，数据取证，渗透测试等方式，深度发现信息系统的数据在生命安全周期内的内外部威胁，脆弱性以及管理缺陷，并对相关问题进行风险识别和量化分析，形成总结和建议。

#

否

12

数据安全风险评估

总结报告

中标人在完成数据安全风险评估后，应提交一份详尽、客观的评估报告，报告应列明各类风险、风险等级，可能带来的安全后果，为业主数据安全管理工作提供科学依据。

#

否

13

服务团队要求

服务团队要求

在项目实施周期内，中标人为本项目成立密码安全性评估测评小组。密评测评小组成员(包含项目经理)不少于5人。在项目实施过程中，小组人员未经采购人同意不得随意更换，投标人须对此作出承诺。

#

否