昆明市住房公积金管理中心网络安全等级保护测评及商用密码应用安全性评估服务项目采购公告

一、项目基本信息

（一）采购人：****；

（二）项目名称：网络安全等级保护测评及商用密码应用安全性评估服务项目；

（三）资金来源：2026****中心部门预算；

（四）评审方式：在实质性响应全部采购需求前提下，低价中标（最低评标价法）；

（五）项目预算及最高限价：人民币60000.00元（含税包干总价，供应商报价不得超出最高限价，超出视为无效报价）；

（六）实施地点：****指定地点；

（七）完工周期：合同签订后30日内完成。

(八）相应文件提交截止时间及地点标书代写

时间：2026年8月21日17:00前；

地点：****中心2号楼304办公室，有意愿参与本项目的供应商需按采购公告及采购需求要求制作应标文件并按要求在截止时间内递交文件；逾期送达或者未送达至制定地点或者未按照要求密封的应标文件，采购人将拒收。标书代写

（一）投标人资格条件

1.投标人应符合《****政府采购法》第二十二条及《****政府采购法实施条例》第十七条的要求：

一是具有独立承担民事责任的能力，提供法人或者其他组织的营业执照等证明文件；二是具有良好的商业信誉和健全的财务会计制度，提供2023年度或2024年度财务报表（包括资产负债表、利润表、现金流量表），****公司，按实际情形提供财务报表；三是具有履行合同所必需的设备和专业技术能力，提供相关证明材料；四是有依法缴纳税收和社会保障资金的良好记录，提供2024年至今任意3个月的依法缴纳税收和缴纳社会保障资金的证明（成立未满3个月的，提供成立以来的税收和社会保障资金缴纳凭证或相关情况说明；依法免税或不需要缴纳社会保障资金的投标人，应提供相应文件证明）；****政府采购活动前三年内，在经营活动中没有重大违法记录（重大违法记录是指投标人因违法经营受到刑事处罚或者责令停产停业、吊销许可证或者执照、较大数额罚款等行政处罚）的书面声明。

2.投标人未被列入信用中国网站（www.****.cn）失信被执行人名单、重大税收违法案件当事人名单、政府采购严重违法失信行****政府采购网（www.****.cn）政府采购严重违法失信行为信息记录名单。

3.单位负责人为同一人或者存在直接控股、管理关系的不同投标人，不得参****政府采购活动，否则均按无效处理。

4.******部第三研究所颁发的《网络安全服务认证证书等级保护测评服务认证证书》****管理局颁发的《商用密码检测机构资质证书》（且在有效期内）（原件或复印件加盖公章）。

5.本次招标不接受联合体投标。

根据网络安全相关要求，对****1个三级信息系统进行安全测评及提供安全服务。测评内容包括两个方面：一是网络安全等级保护测评；二是商用密码应用安全性评估。

1.网络安全等级保护测评

测评内容包括两个方面：一是安全控制测评，主要测评网络安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评信息系统的整体安全性。详细安全服务内容见技术要求。安全控制测评分为安全技术测评和安全管理测评两大类。一是安全技术测评：安全物理环境、安全通信网络、安全区域边界、安全计算环境、****中心五个层面的测评；二是安全管理测评：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面的测评。系统整体测评须在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性等。

2.商用密码应用安全性评估

根据有关法律、行政法规、标准及规范和要求对信息系统开展商用密码应用安全性评估服务，应在国家商用密码应用安全相关政策和标准的指导下，结合采购方实际信息网络及应用系统现状，评估系统密码应用是否合规、正确、有效，并通过测评发现其密码保障系统存在的安全隐患和风险，提出有针对性的加强完善密码安全管理和防护建议，****管理部门完成备案工作。

（一）网络安全等级保护测评要求

1.服务周期和地点要求：详见投标人须知前附表；

2.测评服务标准规范要求：根据《中华人民**国网络安全法》《中华人民**国数据安全法》《中华人民**国个人信息保护法》《信息安全等级保护管理办法》《网络安全等级保护条例》GB/T22239-2019《信息安全技术 网络安全等级保护基本要求》GB/T25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》GB/T28448-2019《信息安全技术 网络安全等级保护测评要求》GB/T28449-2018《信息安全技术 网络安全等级保护测评过程指南》进行测评。

3.测评内容要求：一是安全技术测评；网络安全等级保护基本要求包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、****中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理十个层面。本次依据《GB/T 22239-2019信息安全技术网络安全等级保护基本要求》采用安全通信要求指标。本次依据《网络安全等级保护基本要求》采用相关指标。二是信息系统的等级测评，测评对象种类上基本覆盖、数量进行抽样，重点抽查主要的设备、设施、人员和文档等。可以抽查的测评对象种类主要考虑以下几个方面：

（2）存储被测系统重要数据的介质的存放环境；

（3）办公场地；

（4）整个系统的网络拓扑结构；

（5）安全设备，包括防火墙、入侵检测设备和防病毒网关等；

（6）边界网络设备（可能会包含安全设备），包括路由器、防火墙、认证网关和边界接入设备（如楼层交换机）等；

（7）对整个信息系统或其局部的安全性起作用的网络互联设备，如核心交换机、汇聚层交换机、路由器等；

（8）承载被测系统主要业务或数据的服务器（包括其操作系统和数据库）；

（9）管理终端和主要业务应用系统终端；

（10）能够完成被测系统不同业务使命的业务应用系统；

（11）业务备份系统；

（12）信息安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人；

（13）涉及到信息系统安全的所有管理制度和记录。

4.测评服务提交成果要求

供应商完成等级保护测评工作应按要求提供相应系统的测评报告、整改建议书及测评实施计划书等，包括但不限于：

（1）《等级保护测评实施计划》；

（2）《等级保护测评过程记录文件》；

（3）《信息系统等级保护测评报告》；

（4）《安全整改建议书》；

（5）其它应交付的文档。

5.测评工具要求

本项目实施所需测评工具需具备以下功能：

（1）仪表盘：查看资产、策略统计信息；

（2）资产管理：管理资产信息，根据IP段搜索资产并添加到资产管理中；

（3）策略管理：管理系统基础策略信息、管理系统高级策略信息、管理基线库信息；

（4）扫描管理：管理基础扫描信息、管理高级扫描信息；（5）离线任务：离线状态下实现信息安全扫描；

（6）报表管理：用于下载各种报表；

（7）系统设置：用户管理、角色管理、机构管理、区域管理、菜单管理。

（二）商用密码应用安全性评估要求

1.服务周期和地点要求：详见投标人须知前附表。

2.测评服务标准规范要求：根据《中华人民**国网络安全法》《中华**国密码法》《商用密码管理条例》《GB/T 39786-2021 信息安全技术 信息系统密码应用基本要求》《GB/T 43206-2023信息安全技术 信息系统密码应用测评要求》《GB/T 43207-2023信息安全技术 信息系统密码应用涉及指南》《政务信息系统密码应用与安全性评估工作指南》《信息系统密码应用高风险判定指引》《商用密码应用安全性评估量化评估规则》《国家政务信息化项目建设管理办法》测评。

3.测评内容要求：结合相关国家标准和要求，从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全的各个层面提供全面整体的密码应用安全技术支撑，保障信息系统的用户身份真实性、重要数据的机密性和完整性、操作行为的不可否认性等。密码应用安全性评估工作包括但不限于以下层面：

4.整改建议：成交人应对照密码应用安全性评估要求，对评估报告中的整改项目，提出详细的、切实可行的改进措施和建议，并做好密改工作的技术指导和协调配合工作，确保达成评估对应的等级标准要求。

5.成果交付：“商用密码应用安全性评估”成果交付物包括但不限于以下内容（包括纸质版和电子版）：

（1）《商用密码应用安全性评估实施方案》；

（2）《商用密码应用安全性评估过程记录文件》；

（3）《商用密码应用安全性评估报告》；

（4）相关的备案证书/证明材料；

（5）其他应交付的文档等。

（三）评分办法