序號(hào)

指標(biāo)種類

指標(biāo)名稱

指標(biāo)內(nèi)容

重要性

是否需要證明材料

1

總體要求

總體要求

投標(biāo)人須根據(jù)采購(gòu)人要求在規(guī)定時(shí)間內(nèi)（根據(jù)實(shí)際需求分批次）完成指定系統(tǒng)的密碼應(yīng)用安全性評(píng)估，并出具相關(guān)報(bào)告。測(cè)評(píng)報(bào)告須提供電子版和紙質(zhì)版，且須達(dá)到密碼管理局等信息安全監(jiān)管部門(mén)的要求，投標(biāo)人須對(duì)此作出承諾。

★

否

2

總體要求

總體要求

投標(biāo)人對(duì)因本項(xiàng)目取得的采購(gòu)人相關(guān)信息負(fù)有保密義務(wù)，未經(jīng)采購(gòu)人同意，不得對(duì)外公布或提供給第三方，包含但不限于操作系統(tǒng)信息、數(shù)據(jù)庫(kù)配置信息、中間件配置信息、網(wǎng)絡(luò)配置信息和安全漏洞信息等，投標(biāo)人須對(duì)此作出承諾。

★

否

3

總體要求

評(píng)估服務(wù)

中標(biāo)人依據(jù)《GB/T ****6—****信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》的條款要求，逐一對(duì)信息系統(tǒng)密碼應(yīng)用進(jìn)行安全技術(shù)測(cè)評(píng)：包括物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全等四個(gè)方面的安全測(cè)評(píng)。

#

否

4

總體要求

評(píng)估服務(wù)

中標(biāo)人依據(jù)《GB/T ****6—****信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》的條款要求，逐一對(duì)信息系統(tǒng)密碼應(yīng)用進(jìn)行安全管理測(cè)評(píng)：包括密鑰管理、安全管理（分為制度、人員、建設(shè)和應(yīng)急四個(gè)子模塊）兩個(gè)方面的安全測(cè)評(píng)。

#

否

5

測(cè)評(píng)要求

工具要求

中標(biāo)人在項(xiàng)目實(shí)施過(guò)程中所使用到的各種工具軟件由中標(biāo)人推薦，經(jīng)采購(gòu)人確認(rèn)后由中標(biāo)人提供并在項(xiàng)目中使用。在投標(biāo)文件中應(yīng)詳細(xì)描述所使用的安全技術(shù)工具（軟硬件型號(hào)、功能和性能描述）、使用的方式和時(shí)間、對(duì)環(huán)境和平臺(tái)的要求以及使用可能對(duì)系統(tǒng)造成的風(fēng)險(xiǎn)等。

#

否

6

測(cè)評(píng)要求

密碼應(yīng)用方案評(píng)估

若密碼應(yīng)用方案發(fā)生變更，則中標(biāo)人應(yīng)對(duì)變更后的密碼應(yīng)用方案進(jìn)行商用密碼應(yīng)用安全性評(píng)估。

#

否

7

測(cè)評(píng)要求

密碼應(yīng)用方案評(píng)估

中標(biāo)人應(yīng)從《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》（GM/T ****6-****）中選擇相應(yīng)等級(jí)的評(píng)估指標(biāo)，結(jié)合信息系統(tǒng)的構(gòu)成特點(diǎn)，確定具體的評(píng)估對(duì)象，針對(duì)廈門(mén)市稅務(wù)局編制的商用密碼安全應(yīng)用方案，通過(guò)訪談、檢查和測(cè)試等方式判斷其安全技術(shù)和安全管理各層面所對(duì)應(yīng)評(píng)估指標(biāo)的符合程度，判斷被評(píng)估系統(tǒng)在密碼應(yīng)用設(shè)計(jì)和落地方面是否滿足符合國(guó)家信息系統(tǒng)商用密碼應(yīng)用安全中的合規(guī)性、正確性、有效性要求，找出與國(guó)家標(biāo)準(zhǔn)要求之間的差距，根據(jù)評(píng)估結(jié)果出具差距分析報(bào)告，作為后續(xù)安全整改的依據(jù)，幫助其達(dá)到信息系統(tǒng)商用密碼應(yīng)用安全的要求。

#

否

8

應(yīng)急響應(yīng)

應(yīng)急響應(yīng)

若在系統(tǒng)測(cè)評(píng)過(guò)程中發(fā)生系統(tǒng)故障，中標(biāo)人應(yīng)能夠協(xié)調(diào)系統(tǒng)運(yùn)維專家遠(yuǎn)程或現(xiàn)場(chǎng)提供應(yīng)急響應(yīng)等技術(shù)支持服務(wù)。

#

否

9

備案

備案

中標(biāo)人應(yīng)完成備案所需文檔，協(xié)助采購(gòu)人向密碼管理局等相關(guān)部門(mén)申請(qǐng)密碼應(yīng)用安全性評(píng)估備案。

#

否

**

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估

總體要求

中標(biāo)人按照《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》等法律法規(guī)，對(duì)6個(gè)等保三級(jí)信息系統(tǒng)開(kāi)展調(diào)研，掌握數(shù)據(jù)處理者的基本情況，業(yè)務(wù)和信息系統(tǒng)情況，數(shù)據(jù)資產(chǎn)情況，數(shù)據(jù)處理活動(dòng)等重要信息。

#

否

**

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)識(shí)別與分析

中標(biāo)人應(yīng)具備成熟的風(fēng)險(xiǎn)評(píng)估方法論和相關(guān)經(jīng)驗(yàn)，通過(guò)現(xiàn)場(chǎng)訪談，查閱資料，數(shù)據(jù)取證，滲透測(cè)試等方式，深度發(fā)現(xiàn)信息系統(tǒng)的數(shù)據(jù)在生命安全周期內(nèi)的內(nèi)外部威脅，脆弱性以及管理缺陷，并對(duì)相關(guān)問(wèn)題進(jìn)行風(fēng)險(xiǎn)識(shí)別和量化分析，形成總結(jié)和建議。

#

否

**

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估

總結(jié)報(bào)告

中標(biāo)人在完成數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估后，應(yīng)提交一份詳盡、客觀的評(píng)估報(bào)告，報(bào)告應(yīng)列明各類風(fēng)險(xiǎn)、風(fēng)險(xiǎn)等級(jí)，可能帶來(lái)的安全后果，為業(yè)主數(shù)據(jù)安全管理工作提供科學(xué)依據(jù)。

#

否

**

服務(wù)團(tuán)隊(duì)要求

服務(wù)團(tuán)隊(duì)要求

在項(xiàng)目實(shí)施周期內(nèi)，中標(biāo)人為本項(xiàng)目成立密碼安全性評(píng)估測(cè)評(píng)小組。密評(píng)測(cè)評(píng)小組成員(包含項(xiàng)目經(jīng)理)不少于5人。在項(xiàng)目實(shí)施過(guò)程中，小組人員未經(jīng)采購(gòu)人同意不得隨意更換，投標(biāo)人須對(duì)此作出承諾。

#

否