广西恒盛工程集团有限公司项目及数据管理项目（HSZB2026X0328）成交结果公告

一、项目编号：****

二、项目名称：项目及数据管理项目

三、中标（成交）信息：

供应商名称：****

供应商地址：中国(**)自由贸易试验区**片区金龙路2号**万科大厦D座2楼211号

成交金额：人民币贰拾柒万捌仟伍佰元整（￥278500.00）

四、主要标的信息：

名称：项目及数据管理项目

服务范围：开展项目及数据管理项目1项。

服务要求：一、项目开发管理

1、密码安全风险分析与差距评估服务

针对业务系统密码应用合规性、正确性、有效性的问题，围绕物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全及密码安全管理制度等方面进行安全风险的分析，以确定目前可能存在的风险问题和安全隐患，从而能够及时、有效地采用合规的密码技术、产品和服务，解决系统密码应用安全风险隐患；参照GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相关等级密码应用要求、《信息系统密码应用高风险判定指引》、《商用密码应用安全性评估量化评估规则》、商用密码应用安全性评估FAQ（第三版）等对与业务系统密码应用安全指标进行差距评估，并根据差距分析结果、现实具备的密码设施和技术手段提供建议措施及对现状下的应用改造措施。

2、商用密码应用测试环境服务

根据系统所需调用的密码**，协助应用开发商搭建与所需调用的密码**同样的测试环境，输出密码应用接口，包括身份认证、数据加解密、签名验签、时间戳等密码应用接口，并形成密码应用对接指南。

3、终端密码改造服务

（1）根据业务系统终端情况，完成国密浏览器功能、C/S客户端与业务系统适配工作，智能密码钥匙（数字证书）适配的工作。保障终端访问业务系统的兼容性，保障身份鉴别的国密安全。最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。

（2）服务提供商具备良好的PKI认证系统开发和应用能力，根据场景开发适配多场景通用的智能密码钥匙系统。

（3）服务提供商需提供系统CA认证功能开发、业务界面的规划和开发、接口DEMO、功能逻辑开发指导服务，实现基于SM2算法的数字证书认证功能，提供过程文档、阶段测试、代码支撑和验证。

（4）服务提供商需指导通过国密浏览器采用数字证书工具进行业务系统认证。

4、国密安全通道改造服务

完成国密浏览器、C/S客户端与国密安全网关的国密安全通道、国密安全运维通道改造适配工作，保障业务与运维的重要数据传输的机密性和完整性。最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。

5、设备层密码改造服务

完成设备层密码改造适配，如应用服务器、数据库服务器、跳板机、数据管理系统等国密功能适配工作，保障业务系统所涉及设备层的身份鉴别、运维安全通道、**访问控制信息和日志记录完整性，最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。

6、应用与数据安全密码改造服务

（1）完成业务系统在身份鉴别（基于国密的身份认证）、访问控制信息完整性（基于国密消息鉴别码技术、数字签名技术对用户权限数据、重要配置数据的完整性保护）、数据传输安全（采用国密安全通道技术、对称密码算法、非对称密码算法对重要数据进行传输机密性和完整性保护）、数据存储安全（采用国密对称密码算法、非对称密码算法对重要数据进行存储机密性和完整性保护）、业务操作抗抵赖（采用国密数字签名、可信时间戳技术对用户操作进行固化，实现行为可溯源，责任可追究）等工作。保障业务与运维的重要数据存储的机密性、完整性及抗抵赖性。最终达到GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》相应等级要求，满足商用密码应用安全性评估。

（2）服务提供商具备良好的国密算法检测能力，拥有自主研发的国密算法检测工具。

（3）服务提供商具备客户端文件透明加解密服务验证能力，拥有自主研发的文件保险箱软件工具。

（4）服务提供商需提供数据加解密功能开发对接，业务界面的规划和开发、接口DEMO、功能逻辑开发指导服务，实现基于SM4算法的数据加解密运算功能，提供过程文档、阶段测试、代码支撑和验证。

（5）服务提供商具备良好的数据完整性保护服务验证能力，拥有自主研发的国密算法数据完整性保护系统。

（6）服务提供商具备良好的日志数据完整性保护服务验证能力，拥有自主研发的密码应用日志审计系统。

（7）服务提供商需提供数据完整性保护功能开发对接，业务界面的规划和开发、接口DEMO、功能逻辑开发指导，实现数据摘要运算、MAC运算功能，提供过程文档、阶段测试、代码支撑和验证，满足访问控制策略、日志记录完整性保护等需求。

（8）服务提供商具备良好的重要可执行程序保护、数字签名服务，以及实现安全签名认证服务等验证能力，拥有自主研发的签名验签合规性验证工具软件。

（9）服务提供商需提供业务操作抗抵赖功能开发对接，业务界面的规划和开发、接口DEMO、功能逻辑开发指导服务，实现对关键业务，如重要操作的不可否认性功能，提供过程文档、阶段测试和验证。

（10）完成业务系统的密码应用改造，包括梳理应用保护数据和密码流程、密码改造开发需求和业务文档、证书认证功能开发和界面定制、数据加密业务定制开发、数据完整性保护业务定制开发、应用密码功能测试与升级等改造工作，与应用侧的沟通和适配计划，明确与应用开发商工作界面。（服务提供商须提供承诺，格式自拟。承诺内容需明确适配计划、应用开发商开发主要内容材料）

7、测评整改辅助服务

（1）依据商用密码应用安全性评估阶段建议，对建议中提到的可能的、潜在的中高风险问题，配合整改。

（2）提供包括定制中间件、专用工具、代码优化等工具或服务，使得系统更有效、便捷调用密码服务，并逐步消除高风险，降低中风险数量，并优化到最小风险，加强替代性措施，如普通HTTPS、非合规证书、密钥明文存储、口令明文等问题处置，保障系统综合风险评价最小，持续满足该阶段对密码应用的测评要求。

（3）采取符合国家政策要求的最新的密码产品、技术和服务，对系统密码安全漏洞进行整改，有效防止潜在安全风险可能导致的业务系统被非授权访问、数据被非法截取、泄漏和篡改，以保持密码应用的持续性和有效性；基于系统运行现状、网络现状和密码设施现状，结合具体项目、已有密码设施、云平台密码设施、第三方密码设施等，提出最优的密码安全加固建议并予以支撑。

8、密评报告备案辅助服务

对于最终完成商用密码应用安全性评估的业务系统，在取得商用密码应用安全性评估报告出具之日起30日内填写《网络与信息系统密评备案信息表》，连同商用密码应用安全性评估报告及其****管理部门备案，经形式审查合格的，****管理局向备案主体出具已履行备案要求的证明文件。负责支撑整体备案过程中有关事项，以保证备案工作的顺利开展，****管理局出具的有关证明文件。

二、数据开发管理

1、支持不同环境密码基础设施封装密码服务系统，可无需二次封装，即可实现对本次的密码设备、及用户已办理的智能密码钥匙调用，提供至少包括JAVA/REST风格接口，满足服务端、客户端密码应用安全调用需求。

2、支持国密SM2、SM3、SM4算法，具有数据加解密、签名验签、密钥管理等功能。

3、可延伸支持CRYSTALS–Dilithium、Falcon、SPHINCS+、CRYSTALS–KYBER等抗/后量子密码算法。

4、提供服务能力包括证书校验、签名验签、数据加解密、MAC/HMAC、随机数、密钥管理、批处理加解密、批处理签名、批处理时间戳、文件加解密、数字信封等功能。

5、支持批量数据加解密、签名、大文件加密等专用接口封装能力。

6、提供客户端PKI插件，支持不同CA认证，实现用户安全身份鉴别。

7、提供的客户端系统，须对接至智能密码钥匙，实现重要可执行程序完整性、重要可执行程序来源真实性。

三、商用密码市县安装及培训

1、采购人指定不少于5个点（市或县）对商用密码浏览器及key进行试点安装。

2、对中心指定操作员进行商用密码浏览器及key进行安装培训，同时在操作员赴市县安装时给予必要的远程技术支撑。

服务时间：自签订合同之日起至12月底。

服务标准：无

五、评审专家名单：

韦江彦、张紫键、滕培积

六、代理服务收费标准及金额：按发改价格〔2011〕534号收费标准向成交人收取，由成交人在领取成交通知书时一次性向采购代理机构付清。

本项目代理服务费为：人民币肆仟壹佰柒拾捌元整（￥4178.00元）

七、公告期限：

自本公告发布之日起1个工作日。

八、 其他补充事宜：

网上公告媒体查询：（http://www.****.cn）。

九、凡对本次公告内容提出询问，请按以下方式联系：

1.采购人信息

名称：****

地址：**市**路34号

联系方式：谭祺 180****2516

2.采购代理机构信息

名称：****

地址：****大学西路5号新缘大厦6楼

联系方式：欧玥 0771-****069、181****7260

****

2026年6月24日