衢州市人民醫(yī)院決定就商用密碼應(yīng)用安全性評估服務(wù)項目擬采用詢價方式進行采購，歡迎符合資格條件的供應(yīng)商前來參加。

一、采購組織類型：自行采購

二、采購方式：詢價

三、采購預(yù)算：4.9萬元

四、采購內(nèi)容：

五、依據(jù)標準：

《商用密碼應(yīng)用安全性評估管理辦法》；

《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》（GB/T 39786-2021）；

《信息系統(tǒng)密碼應(yīng)用測評要求》；

《信息系統(tǒng)密碼應(yīng)用測評過程指南》；

《信息系統(tǒng)密碼應(yīng)用高風險判定指引》；

《商用密碼應(yīng)用安全性評估量化評估規(guī)則》。

六、技術(shù)要求：

依據(jù)《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》（GB/T39786-2021）、《信息系統(tǒng)密碼測評要求》、《信息系統(tǒng)密碼應(yīng)用測評過程指南》、《信息系統(tǒng)密碼應(yīng)用高風險判定指引》、《商用密碼應(yīng)用安全性評估量化評估規(guī)則》等技術(shù)要求，逐一對信息系統(tǒng)進行密碼應(yīng)用的合規(guī)性、正確性、有效性進行安全性評估，通過商用密碼應(yīng)用安全性評估深入查找密碼應(yīng)用的薄弱環(huán)節(jié)和安全隱患，分析面臨的風險，為提升信息系統(tǒng)安全奠定基礎(chǔ)。

七、測評內(nèi)容：

測評的內(nèi)容包括但不限于以下內(nèi)容：

1、安全技術(shù)測評：包括物理和環(huán)境安全、 網(wǎng)絡(luò)和通信安全、 設(shè)備和計算安全、 應(yīng)用和數(shù)據(jù)安全等四個方面的安全測評。

（1）物理和環(huán)境安全

測評類別	測評單元
安全技術(shù)測評-物理和環(huán)境安全	身份鑒別
	電子門禁記錄數(shù)據(jù)完整性
	視頻記錄數(shù)據(jù)完整性
	密碼產(chǎn)品
	密碼服務(wù)

 

（2）網(wǎng)絡(luò)和通信安全

測評類別	測評單元
安全技術(shù)測評-網(wǎng)絡(luò)和通信安全	實體鑒別
	通信數(shù)據(jù)完整性
	敏感信息或通信報文機密性
	網(wǎng)絡(luò)邊界訪問控制信息完整性
	安全接入認證
	密碼產(chǎn)品
	密碼服務(wù)

 

（3）設(shè)備和計算安全

測評類別	測評單元
安全技術(shù)測評-設(shè)備和計算安全	實體鑒別
	安全的信息傳輸通道
	系統(tǒng)資源訪問控制信息完整性
	重要信息資源安全標記完整性
	日志記錄完整性
	重要程序或文件完整性
	密碼產(chǎn)品
	密碼服務(wù)

 

（4）應(yīng)用和數(shù)據(jù)安全

測評類別	測評單元
安全技術(shù)測評-應(yīng)用和數(shù)據(jù)安全	實體鑒別
	訪問控制
	重要信息資源安全標記完整性
	數(shù)據(jù)傳輸機密性
	數(shù)據(jù)存儲機密性
	數(shù)據(jù)傳輸完整性
	數(shù)據(jù)存儲完整性
	不可否認性
	密碼產(chǎn)品
	密碼服務(wù)

 

2、安全管理測評：包括安全管理（分為制度、人員、建設(shè)和應(yīng)急四個子模塊）的安全測評。

（1）管理制度

測評類別	測評單元
安全管理測評-管理制度	具備密碼應(yīng)用安全管理制度
	密鑰管理規(guī)則
	建立操作規(guī)程
	定期修訂安全管理制度
	明確管理 制度發(fā)布流程
	制度執(zhí)行過程記錄留存

 

（2）人員管理

測評類別	測評單元
安全管理測評-人員管理	了解并遵守密碼相關(guān)法律法規(guī)和密碼管理制度
	建立密碼應(yīng)用崗位責任制度
	建立上崗人員培訓制度
	定期進行安全崗位人員考核
	建立關(guān)鍵崗位人員保密制度和調(diào)離制度

 

（3）建設(shè)運行

測評類別	測評單元
安全管理測評-建設(shè)運行	制定密碼應(yīng)用方案
	制定密鑰安全管理策略
	制定實施方案
	投入運行前進行密碼應(yīng)用安全性評估
	定期開展密碼應(yīng)用安全性評估及攻防對抗演習

 

（4）應(yīng)急處置

測評類別	測評單元
安全管理測評-應(yīng)急處置	應(yīng)急策略
	事件處置
	向有關(guān)主管部門上報處置情況

八、測評要求：

1、商用密碼應(yīng)用安全性評估測評要求

（1）供應(yīng)商應(yīng)詳細描述本次項目的整體實施方案，包括項目概述、密評方案、測試過程中需使用測試設(shè)備清單、時間安排、階段性文檔提交和驗收標準等。

（2）供應(yīng)商應(yīng)詳細描述實施人員的組成、資質(zhì)及各自職責的劃分。供應(yīng)商應(yīng)配置有經(jīng)驗的技術(shù)人員進行本次項目實施，為保證項目順利實施供應(yīng)商為國家密碼管理部門頒發(fā)的商用密碼產(chǎn)品檢測機構(gòu)的優(yōu)先考慮。

（3）本次項目實施過程中所使用到的各種工具軟件由供應(yīng)商推薦，經(jīng)采購人確認后由供應(yīng)商提供并在項目中使用。在實施方案中應(yīng)詳細描述所使用的安全技術(shù)工具（軟硬件型號、功能和性能描述）、使用的方式和時間、對環(huán)境和平臺的要求以及使用可能對系統(tǒng)造成的風險等，同時具備密碼測評的模擬驗證環(huán)境提供相應(yīng)的計算機軟件著作權(quán)登記證書或?qū)＠C書。

（4）本次項目實施過程中所使用到的測評工具，應(yīng)包括自主密碼專用檢測工具、 漏洞掃描工具等提供相應(yīng)的計算機軟件著作權(quán)登記證書或?qū)＠C書，對系統(tǒng)數(shù)據(jù)進行分析，并以分析結(jié)果輔證評估報告。

2、項目實施要求

（1）實施方應(yīng)保證投標項目在采購方條件成熟時應(yīng)立即開展實施；

（2）實施方在項目實施過程中應(yīng)服從采購方的統(tǒng)一領(lǐng)導和協(xié)調(diào)，采購方有權(quán)裁決實施方的責任范圍，實施方必須執(zhí)行，在采購方限定的時間內(nèi)解決問題。如果實施方不能按時完成測評內(nèi)容，采購方有權(quán)中止項目、索賠或拒付款項；

（3）承擔本次項目的項目負責人應(yīng)具備商用密碼產(chǎn)品檢測能力；

（4）承擔本次項目的項目經(jīng)理應(yīng)通過國家密碼管理局組織的商用密碼應(yīng)用安全性評估人員測評能力考核；

（5）承擔本次項目測評駐場人員應(yīng)具有密評檢測或安全服務(wù)相關(guān)的工作經(jīng)驗，有較強的溝通協(xié)調(diào)能力；組長應(yīng)具有密碼應(yīng)用技術(shù)員等相關(guān)證書，并通過國家密碼管理局組織的商用密碼應(yīng)用安全性評估人員測評能力考核且結(jié)果為優(yōu)秀；

（6）項目驗收完成后，要求提供為期一年的測評咨詢服務(wù)。

九、供應(yīng)商資格要求：

1.屬于國家密碼管理局下發(fā)的《關(guān)于同意開展商用密碼應(yīng)用安全性評估試點工作的告知書》公文的接收單位，或在國家密碼管理局發(fā)布的《商用密碼應(yīng)用安全性評估試點機構(gòu)目錄》內(nèi)；

2.符合《中華人民共和國政府采購法》第二十二條規(guī)定的各項條件；

3.符合《關(guān)于規(guī)范政府采購供應(yīng)商資格設(shè)定及資格審查的通知》（浙財采監(jiān)〔2013〕24號）第六條規(guī)定，且未被“信用中國”（www.creditchina.gov.cn）、中國政府采購網(wǎng)（www.ccgp.gov.cn）列入失信被執(zhí)行人、重大稅收違法案件當事人名單、政府采購嚴重違法失信行為記錄名單；

4.不接受聯(lián)合體投標。

十、遞交投標文件截止及詢價時間：

2024年6月26日下午14時（北京時間）

十一、遞交投標文件及詢價地點：

衢州市柯城區(qū)閩江大道100號1號樓三樓信息處。

十二、遞交投標文件時應(yīng)提供以下資料：

1.營業(yè)執(zhí)照副本復(fù)印件（復(fù)印件加蓋單位公章）；

2.法人授權(quán)委托書原件、受委托人身份證復(fù)印件（復(fù)印件加蓋單位公章；授權(quán)書上須明確授權(quán)代表姓名、采購項目名稱、聯(lián)系電話）；

3.供應(yīng)商資格證明文件。

十三、發(fā)布公告的媒體：

衢州市人民醫(yī)院官網(wǎng)

十四、聯(lián)系方式：

1.聯(lián)系人：劉先生，電話：0570-3121306；

2.聯(lián)系地址：衢州市柯城區(qū)閩江大道100號1號樓三樓信息處，郵政編碼：324000。