关于【北京市经济运行监测调度平台密码应用性安全评估项目】中选结果的公告

一、项目背景

**市经济运行监测调度平台建设项目围绕服务首都经济高质量发展、推进经济治理体系和治理能力现代化的总体目标，贯彻中央、北****政府建设、完善宏观经济治理等相关文件指示精神，聚焦市领导关于加强经济运行大数据监测预测预警工作有关要求，依托“市大数据平台”、“智慧发改”建设基础，应用大数据、云计算等新一代信息技术，搭建支撑全市经济运行监测调度工作的信息化平台，实现全市经济运行领域政务数据、社会数据充分汇聚、融合共享，****政府、市发展改革委、市经信局等经济运行相关单位、全市16区政府、****开发区管理委员会等相关领导和业务人员高效开展宏观、中观、微观等多层次、宽领域、立体化经济运行监测分析、预测预警与指挥调度等工作，助力全市实现“情况清，判断准，预测早，调度快”的目标。建设内容为经济监测、经济预警、经济预测、经济任务调度管理、形势分析、指标透视、报告服务、个人工作台8个子系统，及配套相关应用支撑平台、终端展示系统等。

国家网络安全和密码相关法律法规明确要求非涉密的关键信息基础设施、网络安全保护第三级以上网络、国家政务信息系统等网络与信息系统开展商用密码应用安全性评估（简称“密评”）工作。为保证本项目密评工作符合要求，保障系统安全、平稳的运行，在《中华人民**国计算机信息系统安全保护条例》（国务院令第147号）、《中华人民**国密码法》、《商用密码管理条例》、《商用密码应用安全性评估管理办法》及**市相关要求等相关政策文件的要求和指导下，开展商用密码应用安全性评估工作。

二、项目目标

完成**市经济运行监测调度平台商用密码应用安全性评估工作并出具相应的商用密码应用安全性评估报告，确保**市经济运行监测调度平台能够满足密码合规的要求。

三、第三方测试技术规格

完成**市经济运行监测调度平台商用密码应用安全性评估工作。具体要求为：

（一）服务要求总则

1.1供应商应遵循“面向应用、保证质量、客观公正、诚信守诺”的原则，并依据相关国家标准、行业标准开展第三方安全服务和测评工作。

1.2本要求提供的是最低限度的要求，供应商应保证提供符合本评估要求和有关标准的优质服务。

1.3本评估要求所使用的标准和规范如与供应商所执行的标准不一致时，按较高标准执行。

需遵循的依据包括但不限于：

GB/T 39786-2021 《信息安全技术 信息系统密码应用基本要求》

GB/T 43206-2023 《信息安全技术 信息系统密码应用测评要求》

GM/T 0116-2021《信息系统密码应用测评过程指南》

《商用密码应用安全性评估量化规则》

《信息系统密码应用高风险判定指引》

《商用密码应用安全性评估FAQ》(第四版)

其他相关文件等。

（二）安全测评要求

2.1密码应用安全性评估要求

依据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》、GB/T 43206-2023 《信息安全技术 信息系统密码应用测评要求》、GM/T 0116-2021《信息系统密码应用测评过程指南》、《商用密码应用安全性评估量化规则》等国家相关标准要求，对**市经济运行监测调度平台进行商用密码应用安全性评估。

2.1.1测评准备：

含测试需求调研和方案编制；

2.1.2测试内容：

（1）通用要求；

（2）技术要求；

（3）管理要求；

（4）密钥管理；

2.1.3 密码应用安全咨询

基于新标准规范变化与现状差距，为**市经济运行监测调度平台的密码应用安全建设提供咨询服务，以合规、正确、有效的落实商用密码安全建设；

2.1.4 测试相关文档：

（1）结果汇总；

（2）整体分析；

（3）风险评估；

（4）量化评估；

（5）报告编制及审核等。

四、测试实施要求

4.1供应商必须在比选参选文件中详细说明用于本次评估的服务内容、服务方法、测试工具及其使用计划。

4.2供应商应按照管理方的要求制定详细的项目实施计划（包括时间计划、实施地点等），在项目实施计划由管理方确定后，供应商进入实施阶段。

4.3供应商应依据项目合同和项目进度安排确定测试内容和测试关键点，制定详细的评估计划和评估方案，并经用户方确定后进入具体评估实施阶段。

4.4供应商应依据合同条款及相关标准分阶段向用户方提交相关文档。

4.5供应商应在服务过程中，制定问题管理方案，并及时向管理方和用户方提交整改建议。对整改后的系统提供相应的商用密码应用安全性评估。

4.6供应商应按管理方要求提交商用密码应用安全性评估报告，该报告的内容包括结论、详细测试结果描述以及系统的测试环境描述等。

4.7供应商应组成合理的项目评估团队，严格按照项目管理制度保证测试工作按质、按量、按时实施。

五、评估人员要求

5.1供应商应组织专业化的团队执行本项目，并向管理方提供拟参与本项目的各人员的有效联系方式（包括手机、办公电话、传真、电子邮箱等）。

5.2该团队须具备有经验的密评工程师，充分理解应用系统需求；熟悉商用密码应用安全性评估工作；具有相应的信息技术安全检测基础理论的专业知识；接受过软件、硬件和网络技术等方面的技术培训；接受过知识产权保护方面的专门教育，具备知识产权意识，确保采购人利益和机密不被泄漏。

5.3供应商须指定一名项目总负责人，全程负责本项目评估工作。项目总负责人必须具有3年及以上的密评工作经验，且具备2个及以上密评项目管理经验，且该项目负责人应有项目管理类资质证书等（具体要求见“评分标准”）（提供相关证明)。

5.4供应商须指派2名及以上人员（含项目负责人）全时承担项目重要岗位的工作。

5.5密评团队一经创建，不得随意变更。未经管理方许可，项目总负责人不得变更。

5.6项目团队具有通过商用密码应用安全性评估人员测评能力考核，并取得证书的人员（具体要求见“评分标准”）（提供资质证明复印件，并加盖供应商公章）。

六、测试环境要求

6.1采购人具备提供被测试的应用系统软件和安全测试环境的能力。如果是生产环境供应商须给出合理的使用计划，该计划不会对生产环境造成任何影响。

6.2供应商具备提供本项目所需的应急服务的能力。

6.3供应商具备提供专有测试环境和网络环境的能力。

七、测试工具要求

为保证密评的公正和准确，供应商应对服务过程中使用的各种软件的版权负责。承诺测试所采用的测试工具均需为正版测试工具，并且在应答文件中需写出具体的工具介绍和使用计划。如果因此引起版权纠纷，由供应商承担相应责任。

八、文档交付物要求

服务完成后，供应商应当为采购人出具包括但不限于下述形式文档交付物：

8.1**市经济运行监测调度平台商用密码应用安全性评估报告，纸质版3份，电子版1份。

8.2测评方案及测评过程文档 电子文档集1套。

8.3其他甲方要求的与**市经济运行监测调度平台商用密码应用相关的文档或报告文件。

九、保密要求

9.1供应商应与委托方签订保密协议。如果参与服务的人员在规定的保密期内发生失泄密行为，供应商应承担全部责任。

9.2供应商须在比选参选文件中对服务过程中引用或产生的所有资料做出明确的保密承诺，包括但不限于纸质文档、电子文档、数据、软件、程序等。保密责任最终以正式签署的保密协议为准。

9.3在未经采购人书面同意的情况下，供应商不得将本项目、与项目中相关的任何内容、资料（包括所涉及的书面和磁介质资料，下同）透露给任何人。否则，供应商须承担因此给采购人造成的一切经济损失，采购人保留追究法律责任的权力。供应商须在对外保密的前提下，对从事本项目的供应商人员提供有关情况，所提供的情况仅限于执行比选响应必不可少的范围。

十、服务期限和地点要求

服务期限：合同签订之日起两个月内或项目最终验收结束后。

服务地点：****中心和其他地点。

十一、其它要求

11.1供应商在参加比选以及开展工作过程中按照国家保密法律法规以及采购人的要求，做好有关保密工作。本项目涉及的相关材料、数据等严格保密，未经许可，不得擅自做其他用途使用，不得公开或向第三方提供。

11.2供应商在执行本项目的过程中不得违反行业相关规定，不得存在一切违法行为。如存在上述行为，由供应商自行承担相应的法律责任。

合同签订之日起两个月内或项目最终验收结束后