昆明市第一人民医院商用密码应用与数据安全建设项目询价邀请公告（二次）

****为增进对该类产品性能及市场行情的了解，本着“公平、公开、公正”的原则，拟对下列产品召开产品介绍会，现邀请符合条件的厂家、供应商携优质的产品、服务前来参加展示交流。

1.采购数量：

2. 采购项目需实现的功能和目标

（1）商用密码应用安全性评估服务

对HIS系统、内网网络2个系统，按照GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》第三级要求，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面开展商用密码应用安全性评估。

评估内容包括通用要求测评、密码应用基本要求测评，对密码应用的合规性、正确性、有效性进行全面检测分析和评估验证。

编制形成商用密码应用安全性评估报告，作为系统通过密评的法定依据。

根据《商用密码应用安全性评估管理办法》第九条要求，系统建成运行后每年至少开展一次商用密码应用安全性评估。

（2）密码应用方案编制服务

依照相关法律法规和标准规范，根据商用密码应用需求，制定HIS系统、内网网络的商用密码应用方案。

方案应涵盖商用密码应用需求的全面性、合理性和针对性，对照相关标准规范选取适用指标，分析商用密码应用流程和机制的可实施性，论证商用密码技术、产品和服务选用的合规性，以及密钥管理的安全性。

商用密码应用方案须通过商用密码应用安全性评估，方可作为商用密码保障系统的建设依据。

（3）网络与通信安全整改

部署VPN综合安全网关，采用国密算法，实现内网网络数据传输加密，满足密评要求。

打通南、北院区院区链路加密，保障跨院区业务数据在传输过程中的机密性和完整性。

产品须采用国密算法，符合密评要求，保障数据传输和存储的安全性。

****医院现有服务器、客户端、移动智能终端所有操作系统的使用。

（4）数据安全与分类分级服务

依据《数据安全法》和《医疗卫生机构数据安全和个人信息保护管理办法（试行）》要求，建立医院数据分类分级保护制度。

将医疗卫生机构数据划分为核心数据、重要数据、一般数据三类，实行差异化、精细化防护。

定期梳理数据台账、识别重要数据，动态调整数据级别，形成“分类清晰、定级准确、动态管理”的数据管控模式。

结合数据分类分级系统，制定相关分级分类策略规则并进行策略录入，使其能够对数据进行精准识别和分析。

交付成果包括但不限于《数据分类分级报告》《分类分级模板》以及《数据安全分类分级管理办法》。

3.技术要求：

（1）商用密码应用安全性评估服务技术要求

评估****管理局认定，依法取得商用密码检测机构资质。

评估工作须依据GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》、GM/T 0115-2021《信息系统密码应用测评要求》、GM/T 0116-2021《信息系统密码应用测评过程指南》等标准执行。

评估内容包括但不限于：密码算法合规性检测、密码产品合规性检测、密钥管理安全性评估、密码应用正确性和有效性验证。

评估结果须在30****管理部门备案。

（2）VPN综合安全网关技术要求

须采用国密算法（SM2/SM3/SM4等），支持国密SSL/TLS协议。

具备IPSec/SSL双模传输加密能力，支持院内外安全接入。

支持TLS 1.3国密套件，支持透明代理模式。

具备双机热备能力，保障高可用性。

具备商用密码产品认证证书。

（3）数据分类分级服务工具技术要求

****医院各类业务系统数据（LIS系统、EMR系统、PASS系统、CDSS系统、PACS/RIS系统、ICU系统、医保结算系统、移动护理系统、手术麻醉系统、互联网医疗对外服务系统）进行自动扫描、识别和分类。

支持按照《数据安全技术数据分类分级规则》（GB/T 43697-2024）等标准进行分类分级。

支持核心数据、重要数据、一般数据三级分类体系。

具备数据资产台账管理、数据分级标识、敏感数据发现等功能。

含2年维保服务，提供软件升级和技术支持。

4.商务要求

（1）资质要求

密评服务供应****管理局认定的商用密码检测机构资质。

数据分类分级服务供应商应具有医疗行业数据安全服务经验，技术团队应具备注册信息安全工程师或注册数据安全治理专业人员资质。

密码产品须具有商用密码产品认证证书。

（2）服务要求

密评服务须在合同签订后90个工作日内完成现场评估并出具评估报告。

密码应用方案编制须在合同签订后60个工作日内完成并通过密评。

VPN网关须在合同签订后60个工作日内完成部署和调试。

数据分类分级服务须安排不少于1名专业工程师（5×8小时），按单位系统需求服务1年。

****医院数据安全服务工作经验。

供应商须提供完整的项目实施方案、进度计划和售后服务承诺。

（3）验收要求

密评服务以通过商用密码应用安全性评估并取得正式评估报告为验收标准。

密码应用方案以通过商用密码应用安全性评估为验收标准。

VPN网关以完成部署、通过密评相关指标检测为验收标准。

数据分类分级工作以交付《数据分类分级报告》《分类分级模板》《数据安全分类分级管理办法》等成果文件为验收标准。

（4）保密要求

供应商在服****医院业务数据、患者信息等均属保密信息，须签订保密协议。

严禁违法采集、超范围传输、违规对外提供、擅自公开数据等行为。

境内重要数据必须境内存储。

（5）售后服务要求

密码产品须提供不少于3年的免费质保服务。

数据分类分级工具须提供2年维保服务。

供应商须提供7×24小时技术支持响应，重大问题须在4小时内到达现场处理。

各厂家/供应商请于2026年7月26日中午12时前提交报价资料。

提交方式：邮件提交

（1）提供企业营业执照（加盖鲜章）扫描件；

（2）报名单位的法定代表人授权委托书原件及被授权人身份证扫描件；

（3）项目报价单（含分项报价及总价）（加盖鲜章）扫描件；

（4）类似项目案例： 提供近三年内完成的、特别是医疗卫生行业的同类项目案例合同关键页扫描件；

2. 报价格式：

四、申明

本公告在****官网发布（www.****.com） 本次询价仅作为院方调研需要，****医院最终采购结果，医院不支付任何相关费用。

****

2026年7月21日