泉州市教育局信息系统商用密码应用安全性评估服务

****信息系统商用密码应用安全性评估服务

密码应用安全性评估

****管理局

****

竞价选取

普通

费用报价

无

295000

90日

陈晓荣

059****84115

一、项目概况 根据《中华人民**国密码法》《中华人民**国网络安全法》《国家政务信息化项目建设管理办法》《信息安全技术信息系统密码应用基本要求》《商用密码应用安全性评估管理办法》等法律法规、制度和规范，对**市教育入学一件事（复评，物理环境和系统架构有变化）、****考中招信息管理系统（复评，物理环境有变化和软硬件全部信创化）、“泉教育”平台（初评，含在线教育一体化模块、中小学教师职称评审模块、校家社模块、教育督导管理模块、体质健康监测模块及服务期内新增模块或子系统）3个第3级密码应用的信息系统开展商用密码应用安全性评估（简称"密评"），完成评估工作后，针对信息系统存在的密评安全问题，提出具体整改意见，并配合采购人对存在的问题进行整改，分别出具《商用密码应用评估报告》，****管理部门完成备案工作。 二、密码应用方案评估服务 对采购单位编制的**市教育入学一件事、****考中招信息管理系统、“泉教育”平台（含在线教育一体化模块、中小学教师职称评审模块、校家社模块、教育督导管理模块、体质健康监测模块及服务期内新增模块或子系统）共3个系统的密码应用方案开展评估服务，验证方案中选用的密码算法（如SM2、SM4、SM3等）、密码产品（加密机、密钥管理系统等）是否符合国家密码标准，是否规划使用具备商用密码产品认证证书的产品。检查方案中密码应用场景的覆盖范围，是否包含身份鉴别、数据传输加密、数据存储加密、完整性校验、不可否认性等核心场景，无遗漏关键业务环节。审查密码应用与系统架构的适配性，方案设计是否考虑系统扩展性、兼容性，密码技术部署是否会影响系统正常运行效率。 汇总测评结果，明确方案是否符合商用密码应用安全要求，出具测评结论。针对方案中存在的合规短板、安全隐患，提出具体的优化整改建议。 三、应用系统评估服务 1、由供应商安排的服务人员采用系统评估方式，及时发现被测系统脆弱性，识别风险，了解被测系统安全状况。对照密码应用方案对被测系统开展评估。根据被评估对象的实际情况、被测系统使用的密码产品情况，选择并确定测评依据。在被测系统真实环境下进行测评，以评估密码应用及保障是否安全有效，密码使用和管理是否合规、正确、有效。 2、密码技术应用测评包括但不限于以下内容： 物理和环境安全密码测评：须对物理访问控制、电子门禁、视频监控等内容进行测评。 网络和通信安全密码测评：须对通信过程的数据真实性、完整性、机密性等内容进行测评。测评过程中所采用的网络协议检测分析类工具应支持上传pcap、pcapng类型流量数据，支持IPSec、SSL/TLS、TLCP、SSH协议分析。 设备和计算安全密码测评：须对身份鉴别、访问控制、安全审计、可信验证、重要可执行程序来源真实性等内容进行测评。测评过程中所采用的基线符合性判定类工具支持对物理环境、网络通信、设备计算、应用系统、数据**及密钥管理等层面进行全维度符合性判定，精准识别算法合规性、协议安全性、密钥生命周期管理、访问控制与审计日志等合规风险点。 应用和数据安全密码测评：须对应用系统访问控制、重要数据传输完整性和机密性、重要数据存储的完整性和机密性等内容进行测评。测评过程中所采用的身份鉴别保护措施核查类工具支持对身份鉴别环节进行密码合规性自动化核查，可检测SM2/SM3/SM4国密算法应用、口令安全、证书有效性、登录锁定、重放防护、日志完整性等功能。 管理制度及人员管理：须对管理制度的制定、发布、评审和修定等内容进行测评；须对人员管理、职责权限、人员教育培训、人员离岗、人员考核、人员录用等内容进行测评。 建设运行：须对安全方案设计、系统安全性评估等内容进行测评。 应急处置：须对系统应急处置、应急管理、安全事件处置等内容进行测评。 密钥管理测评：检测被测系统密钥管理各环节，包括对密钥的生成、存储、分发、导入、导出、使用、备份、恢复、归档与销毁等环节进行管理和策略制定的全过程是否符合要求。 安全管理测评：从制度、人员、实施和应急四个方面，对被测系统的密码安全管理进行商用密码应用安全性管理测评。 密码应用安全评估报告：****管理局要求包含的内容编制或参考模板编制密码应用安全评估报告。 四、服务交付物 ****管理部门备案通过后的密码应用方案的《商用密码应用安全性评估报告》和系统的《商用密码应用安全性评估报告》。 五、供应商资格要求 供****管理局公告（53号）发布的《商用密码检测机构（商用密码应用安全性评估业务）目录》中所列机构，在报价文件中提供其商用密码检测机构资质证书的扫描件。 六、服务交付要求 1、为保证服务质量及服务期间系统稳定运行，供应商应安排至少3名具备商用密码应用安全性评估从业人员考核成绩合格证书的技术人员提供现场服务，拟派出的项目经理应具有信息系统项目管理师计算机技术与软件（高级）专业技术资格证书和密码技术应用员证书，技术负责人应具有数据安全官证书（CCRC-DSO）或注册数据安全治理专业人员证书（CISP-DSG），项目服务人员原则上不得随意更换，确需更换的，须提前10个工作日书面通知采购人，更换人员的资质不得低于原人员，并经采购人书面同意。为确保本项目数据安全，项目服务人员须在服务期间提供现场服务，应提供7*24小时应急响应服务，在接到采购人通知后能够在5小时内到达项目现场提供技术支持。 2、为满足本项目测评要求，确保项目数据安全及知识产权合规，供应商拟投入本项目的密码测评工具须为正版工具，具有版权证明。数据处理不得超出测评必要范围、不得留存泄露、测评结束后须删除数据副本。 3、服务期限：中标人应在采购人提出测评申请后60日内出具正式的评估报告，第三方的整改时间不计入测评服务期限。中标人应在出具评估报告后30日内协助****管理部门提交备案材料，并负责跟进备案进度。 4、验收标准：中标人应在测评后提供完整整改建议，并对采购人完成整改后的系统开展复测，直至采购人取得密评结论为“基本符合”或以上（评分不低于60分且无高风险问题）的评估报告。 供应商需针对以上服务交付要求提供书面承诺（承诺函格式自拟）。中标人应在签订合同前提供相关证书材料，若中标人无法提供证明，采购人有权暂缓签约，并将相关线索报送同级有关部门依法处理。经有关部门认定存在提供虚假材料等违法违规情形的，采购人有权不予签订采购合同。

竞价选取

2026-10-08

2026-10-12

否