北京市经济运行监测调度平台密码应用性安全评估项目比选公告

合同签订之日起两个月内或项目最终验收结束后

1.供应商应为中华人民共和国境内具有独立承担民事责任能力的供应商；

2.供应商应具有良好的商业信誉和健全的财务会计制度；

3.供应商应具有依法缴纳税收和社会保障资金的良好记录；

4.供应商应具有履行合同所必需的设备和专业技术能力；

5.参加采购活动前三年内，在经营活动中没有重大违法记录；

6.本项目的特定资格要求：

6.1本项目是否接受X支机构参与响应：□是 ■否；

6.2 本项目是否属于政府购买服务：□是 ■否；公益一类事业单位、使用事业编制且财政拨款保障的群团组织，不得作为承接主体。

6.3其他特定资格要求：

6.3.1供应商应具有公安部第X络安全等级测评与检测评估机构服务认证证书（仅本项目第1包适用）；

6.3.2供应商必须持有《商用密码检测机构资质证书》（业务范围X商用密码应用安全性评估）（仅本项目第2包适用）；

6.3.3供应商不得为失信被执行人和重大税收违法案件当事人名单的供应商***法失信行为记录名单中被财政部门禁止参加比选采购活动的供应商（处罚决定规定的时间和地域范围内），信用信息截止时点为开标当日；

6.3.4单位负责人为同一人或者存在直接控股、管理关系的不同供应商、实际控制人为同一人、共同股东、一方股东为另一方董事或监事情形的供应商，否决其响应，不得参加同一合同项下的比选采购活动;

6.3.5为采购项目提供X体设计、规范编制或者项目管理、监理、检测等服务的供应商，不得再参加该采购项目的其他采购活动;

6.3.6供应商应获取本项目比选文件。

非必填。如需对服务金额进行补充说明的可填写。

非必填，项目单位根据项目情况对该项目进行具体说明。

非必填。该项目是否存在需要中介机构回避的情况，若有回避情况填写回避单位的名称即可；若不涉及具体情况说明，可填写“无”。

一、项目背景

北京市经X建设项目围绕服务首都经济高质量发展、推进经济治理体系和治理能力现代化的总体目标，贯彻X建设、完善宏观经济治理等相关文件指示精神，聚焦市领导关于加强经济运行大数据监测预测预警工作有关要求，依托建设内容为经济监测、经济预警、经济预测、经济任务调度管理、形势X析、指标透视、报告服务、个人工作台8个子系统，及配X、终端展示系统等。

“密评”）工作。为保证本项目密评工作符合要求，保障系统安全、平稳的运行，在《中华人民共和国计算机信息系统安全保护条例》（国务院令第X号）、《中华人民共和国密码法》、《商用密码管理条例》、《商用密码应用安全性评估管理办法》及北京市相关要求等相关政策文件的要求和指导下，开展商用密码应用安全性评估工作。

二、项目目标

完成北京市经X商用密码应用安全性评估工作并出具相应的商用密码应用安全性评估报告，确保北京市经X能够满足密码合规的要求。

三、第三方测试技术规格

完成北京市经X商用密码应用安全性评估工作。具体要求X

（一）服务要求总则

1.1供应商应遵循“面向应用、保证质量、客观公正、诚信守诺”的原则，并依据相关国家标准、行业标准开展第三方安全服务和测评工作。

1.2本要求提供的是最低限度的要求，供应商应保证提供符合本评估要求和有关标准的优质服务。

1.3本评估要求所使用的标准和规范如与供应商所执行的标准不一致时，按较高标准执行。

需遵循的依据包括但不限于：

GB/T X-X 《信息安全技术 信息系统密码应用基本要求》

GB/T X-X 《信息安全技术 信息系统密码应用测评要求》

GM/T X-X《信息系统密码应用测评过程指南》

《商用密码应用安全性评估量化规则》

《信息系统密码应用高风险判定指引》

《商用密码应用安全性评估FAQ》(第四版)

其他相关文件等。

（二）安全测评要求

2.1密码应用安全性评估要求

依据GB/T X-X《信息安全技术 信息系统密码应用基本要求》、GB/T X-X 《信息安全技术 信息系统密码应用测评要求》、GM/T X-X《信息系统密码应用测评过程指南》、《商用密码应用安全性评估量化规则》等国家相关标准要求，对北京市经X进行商用密码应用安全性评估。

2.1.1测评准备：

含测试需求调研和方案编制；

2.1.2测试内容：

（1）通用要求；

（2）技术要求；

（3）管理要求；

（4）密钥管理；

2.1.3 密码应用安全咨询

基于新标准规范变化与现状差距，为北京市经X的密码应用安全建设提供咨询服务，以合规、正确、有效的落实商用密码安全建设；

2.1.4 测试相关文档：

（1）结果汇总；

（2）X体X析；

（3）风险评估；

（4）量化评估；

（5）报告编制及审核等。

四、测试实施要求

4.1供应商必须在比选参选文件中详细说明用于本次评估的服务内容、服务方法、测试工具及其使用计划。

4.2供应商应按照管理方的要求制定详细的项目实施计划（包括时间计划、实施地点等），在项目实施计划由管理方确定后，供应商进入实施阶段。

4.3供应商应依据项目合同和项目进度安排确定测试内容和测试关键点，制定详细的评估计划和评估方案，并经用户方确定后进入具体评估实施阶段。

4.4供应商应依据合同条款及相关标准X阶段向用户方提交相关文档。

4.5供应商应在服务过程中，制定问题管理方案，并及时向管理方和用户方提交X改建议。对X改后的系统提供相应的商用密码应用安全性评估。

4.6供应商应按管理方要求提交商用密码应用安全性评估报告，该报告的内容包括结论、详细测试结果描述以及系统的测试环境描述等。

4.7供应商应组成合理的项目评估团队，严格按照项目管理制度保证测试工作按质、按量、按时实施。

五、评估人员要求

5.1供应商应组织专业化的团队执行本项目，并向管理方提供拟参与本项目的各人员的有效联系方式（包括手机、办公电话、传真、电子邮箱等）。

5.2该团队须具备有经验的密评

5.3供应商须指定一名项目总负责人，全程负责本项目评估工作。项目总负责人必须具有3年及以上的密评工作经验，且具备2个及以上密评项目管理经验，且该项目负责人应有项目管理类资质证书等（具体要求见“评X标准”）（提供相关证明)。

5.4供应商须指派2名及以上人员（含项目负责人）全时承担项目重要岗位的工作。

5.5密评团队一经创建，不得随意变更。未经管理方许可，项目总负责人不得变更。

5.6项目团队具有通过商用密码应用安全性评估人员测评能力考核，并取得证书的人员（具体要求见“评X标准”）（提供资质证明复印件，并加盖供应商公章）。

六、测试环境要求

6.1采购人具备提供被测试的应用系统软件和安全测试环境的能力。如果是生产环境供应商须给出合理的使用计划，该计划不会对生产环境造成任何影响。

6.2供应商具备提供本项目所需的应急服务的能力。

6.3供应商具备提供X络环境的能力。

七、测试工具要求

为保证密评的公正和准确，供应商应对服务过程中使用的各种软件的版权负责。承诺测试所采用的测试工具均需为正版测试工具，并且在应答文件中需写出具体的工具介绍和使用计划。如果因此引起版权纠纷，由供应商承担相应责任。

八、文档交付物要求

服务完成后，供应商应当为采购人出具包括但不限于下述形式文档交付物：

8.1北京市经X商用密码应用安全性评估报告，纸质版3份，电子版1份。

8.2测评方案及测评过程文档 电子文档集1套。

8.3其他甲方要求的与北京市经X商用密码应用相关的文档或报告文件。

九、保密要求

9.1供应商应与委托方签订保密协议。如果参与服务的人员在规定的保密期内发生失泄密行为，供应商应承担全部责任。

9.2供应商须在比选参选文件中对服务过程中引用或产生的所有资料做出明确的保密承诺，包括但不限于纸质文档、电子文档、数据、软件、程序等。保密责任最终以正式签署的保密协议为准。

9.3在未经采购人书面同意的情况下，供应商不得将本项目、与项目中相关的任何内容、资料（包括所涉及的书面和磁介质资料，下同）透露给任何人。否则，供应商须承担因此给采购人造成的一切经济损失，采购人保留追究法律责任的权力。供应商须在对外保密的前提下，对从事本项目的供应商人员提供有关情况，所提供的情况仅限于执行比选响应必不可少的范围。

十、服务期限和地点要求

服务期限：合同签订之日起两个月内或项目最终验收结束后。

服务地址：Xspan>十一、其它要求

X.1供应商在参加比选以及开展工作过程中按照国家保密法律法规以及采购人的要求，做好有关保密工作。本项目涉及的相关材料、数据等严格保密，未经许可，不得擅自做其他用途使用，不得公开或向第三方提供。

X.2供应商在执行本项目的过程中不得违反行业相关规定，不得存在一切违法行为。如存在上述行为，由供应商自行承担相应的法律责任。