宜宾市中医医院关于核心系统商用密码应用安全性评估和软件测评服务项目市场调研的公告

发布时间:2026-11-11

各潜在供应商：

按照《中华人民**国密码法》《商用密码管理条例》《商用密码应用安全性评估管理办法》及国家、省、市密码管理、信息化项目验收等相关要求，我院拟对“互联网+”****医院建设项目涉及的核心系统开展软件测评服务和商用密码应用安全性评估工作。按照医院工作计划，现面向社会开展市场调研，诚邀各潜在供应商积极参与。详细要求如下。

一、项目需求信息

（一）项目名称及背景

项目名称：****核心系统商用密码应用安全性评估和软件测评服务项目。

项目背景：按照《中华人民**国密码法》《商用密码管理条例》《商用密码应用安全性评估管理办法》及国家、省、市密码管理、信息化项目验收等有关要求，需对“互联网+”****医院建设项目涉及的核心系统开展软件测评服务和商用密码应用安全性评估工作。

（二）项目目标

1.为指定核心系统开展商用密码应用安全性评估服务（以下简称密评）

2.为指定核心系统开展第三方软件测评服务。

通过本次市场调研，摸清项目的服务方案、资质条件和市场价格水平，为后续采购需求编制和预算测算提供依据。

（三）商用密码应用安全性评估服务

1.服务依据。供应商应依据《中华人民**国密码法》《中华人民**国网络安全法》《商用密码管理条例》《商用密码应用安全性评估管理办法》《医疗卫生机构网络安全管理办法》《中医医院信息与数字化建设规范（2024版）》《医疗卫生机构数据安全和个人信息保护管理办法（试行）》《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021）《信息安全技术 信息系统密码应用测评要求》（GB/T 43206-2023）《信息安全技术 信息系统密码应用设计指南》（GB/T 43207-2023）《信息系统密码应用测评过程指南》（GM/T 0116-2021）《信息系统密码应用高风险判定指引》《商用密码应用安全性评估量化评估规则》等现行法律法规、标准规范和行业要求，对被测信息系统开展商用密码应用安全性评估。

2.服务范围与等级要求。商用密码应用安全性****医院内网核心系统，****医院已完成网络安全等级保护定级备案的信息系统（2个）：****医院****医院****医院三级等保备案名称为准）。

3.服务内容

（1）密码应用方案评估。依据GB/T 39786-2021、GB/T 43207-2023及信息系统自身安全需求，对信息系统密码应用方案开展评估，重点审核密码应用场景、保护对象、密码应用需求、部署场景、密钥管理策略、实施保障措施等内容，查找密码应用薄弱环节和安全隐患，分析面临风险，形成科学、准确的评估结论，并提出可落地的整改建议。

方案评估应包括形式审核、实质审核、指标评估、评估结论和报告编制等工作。形式审核重点核查文本内容的完整性和规范性；实质审核重点核查密码应用场景、保护对象、需求分析、部署场景和实施保障措施；指标评估重点围绕身份鉴别、机密性、完整性、不可否认性等技术要求，以及管理制度、人员管理、建设运行、应急处置等管理要求开展评估。

（2）系统商用密码应用安全性评估。依据GB/T 39786—2021、GB/T 43206—2023及信息系统自身安全需求，对信息系统开展商用密码应用安全性评估，内容包括通用要求测评、密码应用技术测评、密码应用管理测评、单元测评、整体测评、量化评估、风险分析和报告编制等。

通用要求测评应核查信息系统中使用的密码算法、密码技术、密码产品、密码服务和密钥管理是否满足国家密码管理相关要求。密码应用技术测评应覆盖物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全，重点验证身份鉴别、通信数据完整性、重要数据传输和存储机密性、重要数据传输和存储完整性、访问控制信息完整性、日志记录完整性、不可否认性等要求是否满足相应安全等级。

密码应用管理测评应从管理制度、人员管理、建设运行、应急处置四个方面开展，验证信息系统密码安全管理机制是否完善，是否能够确保密码技术被合规、正确、有效地实施。

供应商应通过访谈、文档审查、配置核查、工具测试、现场查验等方式开展测评，详细记录测评过程和证据，完成单项、单元及整体测评结果判定，并依据《商用密码应用安全性评估量化评估规则》和《信息系统密码应用高风险判定指引》开展量化评估和风险分析。

4.服务要求

供应商应严格按照《信息系统密码应用测评过程指南》组织实施，建立项目质量控制机制，确保测评工作规范、客观、公正、可追溯。服务流程应包括方案阶段、建设阶段、评估阶段和报备阶段：方案阶段完成密码应用方案评估并提出整改建议；建设阶段提供密码应用建设咨询和技术指导；评估阶段开展商用密码应用安全性评估并出具报告；报备阶段****管理部门完成备案。

供应商在测****医院业务系统正常运行，应采取必要风险控制措施，避免因测评操作导致业务中断、数据损坏、数据泄露或产生异常业务数据。确需在业务系统或生产环境中开展测试的，应提前提交测试方案并经采购人书面确认。

5.整改咨询与复评要求

供应商仅负责密码应用整改咨询、技术指导、整改方案建议和测评复核工作，不承担密码产品采购、系统改造开发、代码修改、网络调整、设备配置变更等实施工作。相关密码产品采购、系统改造开发等工作由采购人或采购人委托的其他单位另行实施。

如因首次商用密码应用安全性评估未通过，或因系统密码应用不符合GB/T 39786—2021相应等级要求需开展复评的，供应商应在采购人完成整改后提供不少于一次复评服务，复评服务费用已包含在本项目报价中，采购人不再另行支付。因采购人未及时组织整改、未按期提供复评条件或测评范围发生重大变更导致的额外复评，双方可另行协商。

6.备案服务要求

（1****管理部门要求整理、提交备案材料；

（2）****管理部门对备案材料进行补正、说明和修改；

（3）协****管理部门备案受理证明或备案完成证明；

（4）提供备案过程中所需的技术支撑和材料准备服务。

7.成果要求

供应商应提交以下成果：

（1）《密码应用方案评估报告》；

（2）《商用密码应用安全性评估报告》；

（3）测评实施方案、测评原始记录、问题清单、风险清单和整改建议材料；

（4）备案所需相关材料及备案受理证明或备案完成证明；

（5）采购人要求的其他过程文档和成果文件。

上述报****管理部门规定的格式和内容要求，能够作为项目验收、密码应用备案和后续整改的依据。

8.项目管理要求

供应商应组建满足本项目实施需要的项目团队，明确项目负责人、技术负责人和测评人员，项目实施期间现场服务人员原则上不少于4人。供应商应保证项目团队人员稳定，确需更换的，应提前报采购人同意，替换人员应具备同等或更高专业能力。供应商应提供测评结果交底、整改技术咨询和备案支撑服务，并在报告交付后提供不少于6个月的免费技术咨询服务，协助采购人完成问题整改和复评准备。

（四）软件测评服务

1.服务内容

采购独立第三方开展指定软件的测评服务，由具备相应资质的专业测评机构对指定业务系统进行评测。测评机构应依据采购文件、技术合同、需求规格说明书、系统详细设计文档、项目批复文件及国家现行标准规范，对软件系统的文档、功能、性能效率、安全性、可靠性、易用性、兼容性、可维护性、可移植性等进行符合性测试和验收测试，验证软件质量是否符合招标需求、合同约定及相应国家标准要求，并出具可用于项目验收的软件测评报告。加急标书代写

主要服务内容包括：编制测试方案、测试计划和测试用例；搭建或确认测试环境；开展功能、性能、安全、可靠性、兼容性、易用性、可维护性、可移植性、接口与互联互通等测试；开展用户文档集核查；形成缺陷清单并配合整改；开展回归测试；提交测评报告及相关过程文档；配合采购人完成项目验收。

2.测评机构资质与人员要求

测评机构应****服务所需的专业能力，出具的测评报告应具备CMA（检验检测机构资质认定）或CNAS（中国****委员会）认可标识，能够满足项目验收、审计和归档要求。

测评机构应组建满足项目实施需要的项目团队，明确项目负责人、测试工程师、安全测试人员等岗位。项目负责人及主要测评人员须为测评机构本单位正式员工，具备软件测评相关经验和专业能力。项目实施期间确需更换项目负责人的，应事先报采购人书面同意，替换人员应具备同等或更高专业能力。

3.测试依据与适用标准

测评工作应至少依据下列标准规范及其现行有效版本开展：

（1）《系统与软件工程 系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》（GB/T 25000.51-2016）；

（2）GB/T 25000.23、GB/T 25000.10等相关软件产品质量标准；

（3）与本项目相关的网络安全、数据安全、个人信息保护法律法规及医疗卫生行业信息化建设标准规范；

（4）项目批复文件、采购文件、技术合同、需求规格说明书、系统详细设计文档、接口设计文档、用户文档集等。加急标书代写

如国家或行业发布新的适用标准规范，测评机构应结合采购人要求采用现行有效版本。

4.测试范围与测试对象

软件测试对象为：****医院信息平台。包括各业务系统、功能模块、系统间接口、数据、用户文档集及配套运行环境。测评机构应围绕采购需求、需求规格说明书、系统详细设计文档、接口设计文档等，梳理测试对象清单，确保测试覆盖全部约定功能点、关键业务流程、重要接口和数据项，形成可追溯的测试范围说明。

5.测试环境与版本控制要求

测评机构须在与实际生产环境保持一致或接近的环境中开展测试。测试环境应与生产环境有效隔离，不得影响采购人业务系统的正常运行。确需在生产环境或接近生产环境开展测试的，应提前提交测试方案、测试时间窗口和风险防控措施，并经采购人书面确认。

被测软件须保证版本统一，测评所用版本应与承建单位最终交付版本一致。如软件版本发生变更，涉及变更部分的测试工作须重新进行，并相应更新测试记录、缺陷清单和测评报告。

6.测试数据与保密要求

测试所用数据应优先采用脱敏数据或构造的合成数据，严禁直接使用未经脱敏的真实患者个人信息、诊疗数据开展测试。确需在测试中使用生产数据的，须事先经采购人书面同意，并采取去标识化、访问控制、最小权限等必要安全措施。

测评机构对采购人提供的业务资料、系统配置、测评数据、报告文档、患者信息等负有保密义务。项目实施前应签订保密协议；未经采购人书面同意，不得复制、留存、外传、公开披露或用于本项目以外任何用途。测试结束后，测评机构应按采购人要求归还或销毁涉及的数据及测试中间产物，并提供销毁记录。

7.测试内容与质量要求

测评机构应围绕以下质量特性开展验收测试，验证被测系统是否符合《需求规格说明书》及相关技术文件要求。

（1）功能测试。对采购需求、工作范围、需求规格说明书、系统详细设计文档中约定的功能与模块实现情况逐项评价，核查是否存在功能缺失、功能不符、流程中断、数据错误等问题。应按功能点重要程度确定测试优先级，对用户高频使用、涉及核心诊疗与管理流程的功能重点关注，并在回归测试中优先执行。应对关键业务流程开展数据流向测试，覆盖正常输入、正常流程及非法输入、异常操作、边界条件、重复提交、流程撤销等异常场景。应对数据取值范围、计算逻辑、统计报表、即时数据与历史数据一致性进行准确性测试。

（2）性能测试。应采用自动化测试工具模拟多用户并发、大数据量、高峰业务等场景，对响应时间、吞吐量、并发承载能力、**占用等进行测试，重点覆盖门诊高峰、集中查询、批量处理、报表生成、接口调用等典型场景，提供可量化的性能指标、测试曲线、**监控数据和测试结论。

（3）安全性测试。应对身份鉴别、访问控制、权限管理、会话管理、操作审计、日志记录、数据备份与恢复等进行测试，验证系统防止未授权访问、数据篡改、数据泄露和抵御内外部攻击的能力，重点检查敏感数据展示、导出、下载、打印及接口调用环节的安全控制。

（4）可靠性测试。应验证系统在持续运行、异常输入、网络波动、服务中断、**不足等情况下稳定运行及异常恢复能力，确保不出现数据丢失、流程错乱或系统不可用。

（5）兼容性测试。应验证系统与硬件设备、操作系统、数据库、中间件、浏览器、终端及第三方系统的兼容性，测试安装、部署、升级及互联互通情况。

（6）易用性测试。应对界面风格一致性、操作流程、提示信息、错误反馈、导航结构进行评测，确保中断操作、输入错误、流程异常等均有清晰、准确、易理解的提示信息。

（7）可维护性测试。应核查系统的可分析性、可修改性、稳定性和可测试性，评价配置管理、日志记录、错误定位、版本升级、补丁更新等维护能力。

（8）可移植性测试。应验证用户可按安装文档完成系统部署、配置和卸载，测试系统在约定环境中的适应、共存和替换能力。

（9）接口与互联互通测试。应对各业务系统间及与外部系统间的接口功能、数据一致性、传输正确性、异常处理和容错能力进行测试，确保接口稳定可靠、数据流转准确。

（10）用户文档集核查。应核查交付文档的完备性、正确性、一致性与可操作性，至少包括使用手册、管理手册、运行维护手册、培训资料（PPT、视频教程）、操作指南等，确保文档与系统实际功能一致，内容清晰、无歧义、可操作。

8.缺陷管理与回归测试要求

测评机构应对测试中发现的问题形成缺陷清单，按致命、严重、一般、轻微进行分级，明确问题描述、严重程度、复现步骤、影响范围和整改建议。

被测系统整改后，测评机构须开展回归测试，对已整改问题进行复测验证，形成复测记录与复测结果。验收时不应存在致命及严重级别未关闭缺陷；一般及以下级别缺陷应形成整改计划并经采购人确认。

测评机构应形成“需求—用例—缺陷—复测”全过程可追溯记录，确保测试结论客观、真实、可复现。

9.测评报告要求

供应商应确保测评工作的客观性和独立性，不得提供虚假测评、无效测评或隐瞒重大缺陷。

测评报告应至少包含测试依据、测试范围、测试环境、测试方法、测试用例执行情况、缺陷清单、整改建议、复测结果和明确测试结论等内容。报告应加盖测评机构公章，并按要求体现CMA或CNAS资质标识，能够作为项目验收、整改和归档的依据。

10.成果交付清单

测评机构应交付下列成果：

（1）测试方案、测试计划、测试用例；

（2）《软件测评报告》（含相应资质标识）；

（3）缺陷清单、复测报告及整改建议；

（4）测评原始记录、测试过程记录及采购人要求的其他过程文档。

上述成果应以纸质版和电子版形式交付。

11.实施配合与现场管理要求

供应商应服从采购人项目管理安排，与采购人、承建单位保持有效沟通，及时确认测试范围、测试环境、测试数据和测试进度。

测****医院业务系统正常运行。确需在生产或接近生产环境测试的，须提前提交测试方案并经采购人书面确认。对测试发现的问题，测评机构应配合承建单位进行问题定位、整改说明、复测验证和验收答疑。

测评机构进入采购人现场开展测试的，应遵守采购人信息安全、机房管理、网络接入、数据保密等相关规定。

（五）商务及履约要求

1.履约期限。本项目服务周期为3个月。供应商如需**服务周期，须向采购人提交书面申请并说明理由，采购人同意后可适当**工期。如因采购人自身密码整改进度导致备案延后或不通过，不影响供应商（服务方）该项目验收工作。

2.付款方式和验收条件。双方签订合同后10个工作日内，采购人支付合同总价款的60%；采购人收到符合要求的正式成果文件（商用密码应用安全性评估报告及整改建议材料，软件测评服务含测评报告、缺陷清单等过程文档），经最终验收合格后10个工作日内，支付合同总价款的40%。供应商须出具合法有效完整的完税发票及凭证资料后进行支付结算，付款****银行转账。

3.保密与数据安全要求。合同签订时，双方须同步签订网络信息安全保密协议，供应商（含参与项目相关人员）须向院方递交保密承诺书。院方提供的全部信息和资料，供应商保证仅用于本项目，不得向任何第三方泄露或用作其他用途，未经许可不得复制、带走和传播实施方案、工程文档和技术资料。自签订合同之日起至实施完成验收合格日止，实施过程中的人身安全、财产安全、环境安全等一切安全责任及因项目实施造成的直接或间接损失，由供应商自行承担。

4.质量与违约要求。供应商应严格按国家法律法规、标准规范、采购文件及合同约定提供服务，确保测评过程规范、测评结论客观、报告内容完整、备案材料符合要求。出现成果不符合约定、未按服务内容和要求提供服务、逾期交付成果文件、报告不合格且拒不修改、未完成备案配合、擅自更换项目团队主要人员或转包分包、泄露业务数据和患者信息、测评操作导致业务系统中断或数据损坏等情形的，采购人有权要求限期整改、暂停支付合同款项、终止合同，并按《中华人民**国民法典》及合同约定追究责任。加急标书代写

（六）成果与交付要求

1.商用密码应用安全性评估服务成果。包括《密码应用方案评估报告》《商用密码应用安全性评估报告》以及采购人要求的其他过程文档。

2.软件测评服务成果。包括测试方案、测试计划、测试用例，《软件测评报告》（含资质标识），缺陷清单、复测报告及整改建议，测评原始记录、测试过程记录及采购人要求的其他过程文档。

3.交付形式。上述成果均须提供纸质版和电子版，具体份数在合同或商务要求中约定。

二、服务商相关要求

（一）具有独立承担民事责任的能力；

（二）具有良好的商业信誉和健全的财务会计制度；

（三）具有依法缴纳税收和社会保险的良好记录；

（四）参加本次采购活动前三年内，在经营活动中没有重大违法记录；

（五）具有履行合同所必需的设备和专业技术能力，具备医疗卫生行业信息系统密评或软件测评实施经验；

（六）未被列入“信用中国”网站失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单，且未处于“中国政府采购网”政府采购严重违法失信行为信****政府采购活动期间；

（七）供应商应具备商用密码应用安全性评估机构资质，****管理部门公布的商用密码检测机构目录，并能提供相应资质证明文件；供应商应为独立于项目承建单位、软硬件及密码产品供货单位的第三方专业测评机构，同时具备CMA或CNAS资质，并能出具独立性承诺函。

三、调研时间及资料要求

（一）资料提交方式。请潜在供应商将有关资料加盖鲜章后以PDF文档方式发送至邮箱****@qq.com，邮件主题按“项目名称+供应商名称+市场调研资料提交”格式填写，邮件正文提供联系人姓名、电话等联系信息。

（二）资料接收截止时间：2026年11月15日18:00（**时间）。请供应商合理安排时间，确保资料在截止时间前成功发送至指定邮箱，逾期提交的资料不予受理。加急标书代写

（三）应提交资料。包括但不限于：

1.服务需求满足表，按响应分项分别对服务内容逐项响应是否满足；

2.项目报价单，按附件1格式填报；

3.需求修改意见书或实施方案，格式自拟；

4.资质证明材料，营业执照、商用密码应用安全性评估机构资质证书或CMA、CNAS资质证书复印件；

5.类似案例证明材料，近三年医疗卫生机构密评或软件测评项目合同或验收材料；

6.承诺函，按附件3格式出具，同时对分项响应的独立性作出承诺。

四、联系方式

联系人：温老师

咨询电话：0831-****015

单位地址：**省**市**区**大湾路2号。

附件：1.项目报价单.docx

2.公司营业执照、资质证书和案例证明材料.docx

3.承诺函.docx

****

2026年11月11日