葫蘆島市醫(yī)療保障信息平臺密碼測評服務(wù)項目采購項目的潛在供應(yīng)商應(yīng)在線上獲取采購文件，并于****年**月**日 **時**分（北京時間）前提交響應(yīng)文件。
★（一）履約期限及履約地點
1.履約期限：自合同簽訂后**個工作日完成（具體起止日期已簽訂合同為準）
2.履約地點：葫蘆島市龍港區(qū)（采購人指定地點）
★（二）付款方式
項目完成并驗收合格后一次性支付。
（三）服務(wù)內(nèi)容、需滿足的質(zhì)量、安全、技術(shù)規(guī)格等要求
1.總體要求
供應(yīng)商對信息化測試及評估服務(wù)按照密碼應(yīng)用要求開展密碼測評工作,依據(jù)GB/T ****6-****《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》從密碼應(yīng)用技術(shù)要求、密碼應(yīng)用管理要求兩個角度出發(fā)，圍繞信息系統(tǒng)的物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計算安全、應(yīng)用和數(shù)據(jù)安全、管理制度、人員管理、建設(shè)運行、應(yīng)急處置八個方面開展密碼測評工作，通過現(xiàn)場測評逐項比較信息系統(tǒng)與其相應(yīng)安全等級要求之間的差距，進行逐項分析、整體分析、量化評估、風(fēng)險分析，為信息系統(tǒng)的密碼應(yīng)用建設(shè)提供工作建議，保障信息系統(tǒng)密碼合規(guī)、正確、有效地應(yīng)用。供應(yīng)商需提供符合相關(guān)要求的商用密碼應(yīng)用安全性評估報告，并協(xié)助在當(dāng)?shù)孛艽a管理局備案。
★2.具體服務(wù)內(nèi)容
2.1商用密碼應(yīng)用安全性評估過程
商用密碼應(yīng)用安全性評估過程應(yīng)分為四個基本測評活動：測評準備活動、方案編制活動、現(xiàn)場測評活動、分析與報告編制活動。供應(yīng)商和采購人之間的溝通與洽談應(yīng)貫穿整個密碼應(yīng)用安全性評估過程。
1）測評準備活動
根據(jù)供應(yīng)商和采購人簽訂的委托測評協(xié)議書和被測信息系統(tǒng)規(guī)模，供應(yīng)商組建測評項目組，從人員方面做好準備，并編制項目計劃書。供應(yīng)商通過查閱被測系統(tǒng)已有資料并使用調(diào)查表格的方式，了解整個系統(tǒng)的構(gòu)成和密碼保護情況，為編寫密評方案和開展現(xiàn)場測評工作奠定基礎(chǔ)。測評項目組成員在進行現(xiàn)場測評之前，熟悉與被測信息系統(tǒng)相關(guān)的各種組件、調(diào)試測評工具、準備各種表單。
2）方案編制活動
供應(yīng)商應(yīng)根據(jù)已經(jīng)了解到的被測信息系統(tǒng)情況，分析整個被測系統(tǒng)及其涉及的業(yè)務(wù)應(yīng)用系統(tǒng)，以及與此相關(guān)的密碼應(yīng)用情況，確定出本次測評的測評對象；根據(jù)已經(jīng)了解到的被測系統(tǒng)定級結(jié)果，確定出本次測評的測評指標；確認測評過程中需要現(xiàn)場檢查的關(guān)鍵安全點，并且充分考慮到檢查的可行性和風(fēng)險，最大限度的避免對被測系統(tǒng)，尤其是在線運行業(yè)務(wù)系統(tǒng)的影響；確定現(xiàn)場測評的具體實施內(nèi)容；最終完成測評方案的編制。
3）現(xiàn)場測評活動
現(xiàn)場測評準備：召開測評現(xiàn)場首次會，供應(yīng)商應(yīng)負責(zé)介紹測評工作，交流測評信息，進一步明確測評計劃和測評方案中的內(nèi)容，說明測評過程中具體的實施工作內(nèi)容，測評時間安排，測評過程中可能存在的安全風(fēng)險，以便于后面的測評工作開展。供應(yīng)商和采購人確認現(xiàn)場測評需要的各種資源，包括采購人的配合人員和需要提供的測評條件，確認被測信息系統(tǒng)已備份過系統(tǒng)及數(shù)據(jù)。采購人簽署現(xiàn)場測評授權(quán)書。密評人員根據(jù)會議溝通結(jié)果，對測評結(jié)果記錄表單和測評程序進行必要的更新。測評項目組根據(jù)密評方案以及現(xiàn)場測評準備的結(jié)果，安排密評人員在現(xiàn)場完成測評工作，匯總現(xiàn)場測評的測評記錄；召開測評現(xiàn)場結(jié)束會，供應(yīng)商和采購人對測評過程中發(fā)現(xiàn)的問題進行現(xiàn)場確認；密評機構(gòu)歸還測評過程中借閱的所有文檔資料，并由采購人文檔資料提供者簽字確認。
4）分析與報告編制活動
在現(xiàn)場測評工作結(jié)束后，供應(yīng)商應(yīng)對現(xiàn)場測評獲得的測評結(jié)果進行匯總分析，形成評估結(jié)論，并編制評估報告。密評人員在初步判定各測評單元涉及的各個測評對象的測評結(jié)果后，還需進行單元測評、整體測評、量化評估和風(fēng)險分析。經(jīng)過整體測評后，有的測評對象的測評結(jié)果可能會有所變化，需進一步修訂測評結(jié)果，而后進行量化評估和風(fēng)險分析，最后形成評估結(jié)論。
2.2密評應(yīng)用技術(shù)要求
（1）密碼測評的目的
密碼測評的目的是通過對采購單位指定的信息系統(tǒng)在密碼應(yīng)用技術(shù)要求和密碼應(yīng)用管理要求方面的測評，對這些信息系統(tǒng)的密碼應(yīng)用情況與其相應(yīng)級別的密碼應(yīng)用要求進行差距分析和測評,深入查找密碼應(yīng)用的薄弱環(huán)節(jié)和安全隱患，分析面臨的風(fēng)險，測評結(jié)果作為采購單位進一步完善系統(tǒng)安全策略及安全技術(shù)防護措施依據(jù)。
（2）技術(shù)標準要求
供應(yīng)商應(yīng)依據(jù)GB/T ****6—****《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》、GM/T****-****《信息系統(tǒng)密碼應(yīng)用測評要求》、GM/T ****-****《信息系統(tǒng)密碼應(yīng)用測評過程指南》、《信息系統(tǒng)密碼應(yīng)用高風(fēng)險判定指引》標準和系統(tǒng)自身的安全需求，對被測系統(tǒng)進行密評工作，密碼應(yīng)用安全性評估的技術(shù)服務(wù)包括以下內(nèi)容:
1）通用測評要求
核查信息系統(tǒng)中使用的密碼算法、密碼技術(shù)、密碼產(chǎn)品和密碼服務(wù)是否滿足國家密碼管理的相關(guān)標準或規(guī)范要求。
2）密碼應(yīng)用技術(shù)要求測評
具體應(yīng)包括:物理和環(huán)境安全測評、網(wǎng)絡(luò)和通信安全測評、設(shè)備和計算安全測評、應(yīng)用和數(shù)據(jù)安全測評，制定安全驗證性測評工作方案，驗證不同安全等級信息系統(tǒng)的密碼應(yīng)用是否達到相應(yīng)安全等級的安全保護能力、是否滿足相應(yīng)安全等級的保護要求。
（3）物理和環(huán)境安全測評
物理和環(huán)境安全主要實現(xiàn)對信息化測試及評估服務(wù)所在機房重要區(qū)域的物理防護，物理機房的進出必須嚴格符合相關(guān)規(guī)范，并對相關(guān)人員進出信息實時記錄，防止非法人員采用非法手段進出，如果出現(xiàn)人為物理破壞將造成不可逆的重大損失。
針對“身份鑒別”、“電子門禁記錄數(shù)據(jù)存儲完整性”、“視頻監(jiān)控記錄數(shù)據(jù)存儲完整性”物理和環(huán)境安全方面采取的密碼保障措施進行各項測評，詳細記錄現(xiàn)場測評情況（如訪談記錄、配置截圖、抓包分析截圖、產(chǎn)品照片），完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
標準要求內(nèi)容：
l宜采用密碼技術(shù)進行物理訪問身份鑒別,保證重要區(qū)域進入人員身份的真實性。
l宜采用密碼技術(shù)保證電子門禁系統(tǒng)進出記錄數(shù)據(jù)的存儲完整性。
l宜采用密碼技術(shù)保證視頻監(jiān)控音像記錄數(shù)據(jù)的存儲完整性。
（4）網(wǎng)絡(luò)和通信安全測評
1）網(wǎng)絡(luò)和通信安全主要實現(xiàn)對信息系統(tǒng)與經(jīng)由外部網(wǎng)絡(luò)連接的實體進行網(wǎng)絡(luò)通信時的安全防護，密碼應(yīng)用要求主要涉及通信過程中實體身份真實性、數(shù)據(jù)機密性和數(shù)據(jù)完整性，以及網(wǎng)絡(luò)邊界訪問控制和設(shè)備接入控制。針對“身份鑒別”、“通信數(shù)據(jù)完整性”、“通信過程中重要數(shù)據(jù)的機密性”、“網(wǎng)絡(luò)邊界訪問控制信息的完整性”、“安全接入認證”網(wǎng)絡(luò)和通信安全方面采取的密碼保障措施進行各項測評，詳細記錄現(xiàn)場測評情況(如訪談記錄、配置截圖、抓包分析截圖、產(chǎn)品照片)，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
2）標準要求內(nèi)容
① 應(yīng)采用密碼技術(shù)對通信實體進行身份鑒別,保證通信實體身份的真實性。
② 宜采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。
③ 應(yīng)采用密碼技術(shù)保證通信過程中重要數(shù)據(jù)的機密性。
④ 宜采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問控制信息的完整性。
⑤ 可采用密碼技術(shù)對從外部連接到內(nèi)部網(wǎng)絡(luò)的設(shè)備進行接入認證,確保接入設(shè)備身份的真實性。
（5）設(shè)備和計算安全測評
1）設(shè)備和計算安全主要實現(xiàn)對信息化測試及評估服務(wù)中各類設(shè)備和計算環(huán)境的安全防護,密碼應(yīng)用要求主要涉及對登錄設(shè)備用戶的身份鑒別、遠程管理通道的建立、重要可執(zhí)行程序來源真實性，以及系統(tǒng)資源訪問控制信息、設(shè)備的重要信息資源安全標記、重要可執(zhí)行程序、日志記錄的完整性。
2）針對“身份鑒別”、“遠程管理通道安全”、“系統(tǒng)資源訪問控制信息完整性”、“重要信息資源安全標記完整性”、“日志記錄完整性”、“重要可執(zhí)行程序完整性、重要可執(zhí)行程序來源真實性”設(shè)備和計算安全方面采取的密碼保障措施進行各項測評，詳細記錄現(xiàn)場測評情況(如訪談記錄、配置截圖、抓包分析截圖、產(chǎn)品照片)，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
3）標準要求內(nèi)容
① 應(yīng)采用密碼技術(shù)對登錄設(shè)備的用戶進行身份鑒別,保證用戶身份的真實性。
② 遠程管理設(shè)備時,應(yīng)采用密碼技術(shù)建立安全的信息傳輸通道。
③ 宜采用密碼技術(shù)保證系統(tǒng)資源訪問控制信息的完整性。
④ 宜采用密碼技術(shù)保證設(shè)備中的重要信息資源安全標記的完整性。
⑤ 宜采用密碼技術(shù)保證日志記錄的完整性。
⑥ 宜采用密碼技術(shù)對重要可執(zhí)行程序進行完整性保護,并對其來源進行真實性驗證。
（6）應(yīng)用和數(shù)據(jù)安全
1）應(yīng)實現(xiàn)對信息系統(tǒng)中應(yīng)用及其數(shù)據(jù)的安全防護,密碼應(yīng)用主要涉及應(yīng)用的用戶身份鑒別、訪問控制，以及應(yīng)用相關(guān)重要數(shù)據(jù)的存儲安全、傳輸安全和相關(guān)行為的不可否認性。其中，重要數(shù)據(jù)包括鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息。針對“身份鑒別”、“訪問控制信息完整性”、“重要信息資源安全標記完整性”、“重要數(shù)據(jù)傳輸機密性”、“重要數(shù)據(jù)存儲機密性”、“重要數(shù)據(jù)傳輸完整性”、“重要數(shù)據(jù)存儲完整性”、“不可否認性”應(yīng)用和數(shù)據(jù)安全方面采取的密碼保障措施進行各項測評，詳細記錄現(xiàn)場測評情況(如訪談記錄、配置截圖、抓包分析截圖、產(chǎn)品照片)，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
2）標準要求內(nèi)容
① 應(yīng)采用密碼技術(shù)對登錄用戶進行身份鑒別,保證應(yīng)用系統(tǒng)用戶身份的真實性。
② 宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的訪問控制信息的完整性。
③ 宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要信息資源安全標記的完整性。
④ 應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸過程中的機密性。
⑤ 應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在存儲過程中的機密性。
⑥ 宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸過程中的完整性。
⑦ 宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在存儲過程中的完整性。
l在可能涉及法律責(zé)任認定的應(yīng)用中, 應(yīng)采用密碼技術(shù)提供數(shù)據(jù)原發(fā)證據(jù)和數(shù)據(jù)接收證據(jù),實現(xiàn)數(shù)據(jù)原發(fā)行為的不可否認性和數(shù)據(jù)接收行為的不可否認性。
2.3密碼應(yīng)用管理要求
供應(yīng)商應(yīng)從管理制度、人員管理、建設(shè)運行和應(yīng)急處置四個方面進行安全管理測評，驗證信息系統(tǒng)安全管理機制是否完善，是否能確保密碼技術(shù)被合規(guī)、正確、有效的實施。
（1）管理制度
1）供應(yīng)商應(yīng)針對“具備密碼應(yīng)用安全管理制度”、“密鑰管理規(guī)則”、“建立操作規(guī)程”、“定期修訂安全管理制度”、“明確管理制度發(fā)布流程”、“制度執(zhí)行過程記錄留存”制度方面采取的管理措施進行各項測評,詳細記錄現(xiàn)場測評情況，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
2）標準要求內(nèi)容l
① 應(yīng)具備密碼應(yīng)用安全管理制度,包括密碼人員管理、密鑰管理、建設(shè)運行、應(yīng)急處置、密碼軟硬件及介質(zhì)管理制度。
② 應(yīng)根據(jù)密碼應(yīng)用方案建立相應(yīng)密鑰管理規(guī)則。
③ 應(yīng)對管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程。
④ 應(yīng)定期對密碼應(yīng)用安全管理制度和操作規(guī)程的合理性和適用性進行論證和審定,是否對存在不足或需要改進之處進行修訂。
⑤ 應(yīng)明確相關(guān)密碼應(yīng)用安全管理制度和操作規(guī)程的發(fā)布流程并進行版本控制。
⑥ 應(yīng)具有密碼應(yīng)用操作規(guī)程的相關(guān)執(zhí)行記錄并妥善保存。
（2）人員管理
1）針對“了解并遵守密碼相關(guān)法律法規(guī)和密碼管理制度”、“建立密碼應(yīng)用崗位責(zé)任制度”、“建立上崗人員培訓(xùn)制度”、“定期進行安全崗位人員考核”、“建立關(guān)鍵崗位人員保密制度和調(diào)離制度”人員方面采取的管理措施進行各項測評，詳細記錄現(xiàn)場測評情況，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
2）標準要求內(nèi)容
① 相關(guān)人員應(yīng)了解并遵守密碼相關(guān)法律法規(guī)、密碼應(yīng)用安全管理制度。
② 應(yīng)建立密碼應(yīng)用崗位責(zé)任制度,明確各崗位在安全系統(tǒng)中的職責(zé)和權(quán)限。
A.根據(jù)密碼應(yīng)用的實際情況,設(shè)置密鑰管理員、密碼安全審計員、密碼操作員關(guān)鍵安全崗位;
B.對關(guān)鍵崗位建立多人共管機制;
C.密鑰管理、密碼安全審計、密碼操作人員職責(zé)互相制約互相監(jiān)督,其中密碼安全審計員崗位不可與密鑰管理員、密碼操作員兼任;
D.相關(guān)設(shè)備與系統(tǒng)的管理和使用賬號不得多人共用。
③ 應(yīng)建立上崗人員培訓(xùn)制度,對于涉及密碼的操作和管理的人員進行專門培訓(xùn),確保其具備崗位所需專業(yè)技能。
④ 應(yīng)定期對密碼應(yīng)用安全崗位人員進行考核。
⑤ 應(yīng)建立關(guān)鍵人員保密制度和調(diào)離制度,簽訂保密合同,承擔(dān)保密義務(wù)。
（3）建設(shè)運行
1）針對“制定密碼應(yīng)用方案”、“制定密鑰安全管理策略”、“制定實施方案”、“投入運行前進行密碼應(yīng)用安全性評估”、“定期開展密碼應(yīng)用安全性評估及攻防對抗演習(xí)”建設(shè)方面采取的管理措施進行各項測評，詳細記錄現(xiàn)場測評情況，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
2）標準要求內(nèi)容
① 應(yīng)依據(jù)密碼相關(guān)標準和密碼應(yīng)用需求,制定密碼應(yīng)用方案。
② 應(yīng)根據(jù)密碼應(yīng)用方案,確定系統(tǒng)涉及的密鑰種類、體系及其生存周期環(huán)節(jié), 各環(huán)節(jié)密鑰管理要求照 GB/T ****6-****《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》附錄 B。
③ 應(yīng)按照應(yīng)用方案實施建設(shè)。
④ 投入運行前應(yīng)進行密碼應(yīng)用安全性評估,評估通過后系統(tǒng)方可正式運行。
⑤ 在運行過程中,應(yīng)嚴格執(zhí)行既定的密碼應(yīng)用安全管理制度,是否定期開展密碼應(yīng)用安全性評估及攻防對抗演習(xí),并根據(jù)評估結(jié)果進行整改。
（4）應(yīng)急處置
1）針對“應(yīng)急策略”、“事件處置”、“向有關(guān)主管部門上報處置情況”應(yīng)急方面采取的管理措施進行各項測評，詳細記錄現(xiàn)場測評情況，完成單項及單元測評結(jié)果判定。測評結(jié)果應(yīng)由采購人配合人員確認。
2）標準要求內(nèi)容
① 應(yīng)制定密碼應(yīng)用應(yīng)急策略,做好應(yīng)急資源準備,當(dāng)密碼應(yīng)用安全事件發(fā)生時,應(yīng)立即啟動應(yīng)急處置措施,結(jié)合實際情況及時處置。
② 事件發(fā)生后,應(yīng)及時向信息系統(tǒng)主管部門進行報告。
③ 事件處置完成后,應(yīng)及時向信息系統(tǒng)主管部門及歸屬的密碼管理部門報告事件發(fā)生情況及處置情況
★（四）需執(zhí)行的國家相關(guān)標準、行業(yè)標準、地方標準或者其他標準、規(guī)范
1.GB/T ****6-****《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》
2.GM/T ****-****《信息系統(tǒng)密碼應(yīng)用測評要求》
3.GM/T ****-****《信息系統(tǒng)密碼應(yīng)用測評過程指南》
4.其他標準規(guī)范及技術(shù)要求詳見“（三）服務(wù)內(nèi)容、需滿足的質(zhì)量、安全、技術(shù)規(guī)格等要求”
★（五）驗收標準及方法
1.驗收標準
(1)流程完整性：測評工作需完成測評準備、方案編制、現(xiàn)場測評、分析與報告編制四個基本活動，每個活動的成果文件（項目計劃書、測評方案、測評記錄、評估報告）需齊全且符合要求。
(2)報告合規(guī)性：商用密碼應(yīng)用安全性評估報告需符合國家密碼管理相關(guān)標準，內(nèi)容涵蓋測評對象、測評指標、測評過程、測評結(jié)果、風(fēng)險分析及改進建議，且經(jīng)采購人確認無異議。
(3)備案協(xié)助：供應(yīng)商需成功協(xié)助采購人在當(dāng)?shù)孛艽a管理局完成備案，獲取備案相關(guān)證明材料。
(4)問題整改：針對測評過程中發(fā)現(xiàn)的問題，供應(yīng)商需提供合理的整改建議，采購人依據(jù)建議整改后，相關(guān)密碼應(yīng)用隱患需得到消除或緩解。
2.驗收方法
(1)驗收程序：由采購人組織驗收
(2)成果文件審查：采購人組織人員審查供應(yīng)商提交的項目計劃書、測評方案、測評記錄、評估報告等成果文件，核查文件內(nèi)容的完整性、準確性與合規(guī)性。
(3)現(xiàn)場核驗：采購人對測評過程中的關(guān)鍵環(huán)節(jié)（如現(xiàn)場測評記錄、配置截圖、抓包分析截圖等）進行現(xiàn)場核驗，確認測評工作的真實性與有效性。
★（六）質(zhì)量保證和售后服務(wù)要求
1.質(zhì)量保證要求
服務(wù)期限內(nèi)，若因供應(yīng)商測評工作失誤導(dǎo)致測評結(jié)果不準確、評估報告不符合要求或備案失敗，供應(yīng)商應(yīng)重新開展測評工作，直至滿足采購人需求。
供應(yīng)商需建立質(zhì)量保障機制，對測評過程中的每個環(huán)節(jié)進行質(zhì)量管控，安排專人負責(zé)質(zhì)量檢查，確保測評工作質(zhì)量符合相關(guān)標準與采購要求。
2.售后服務(wù)要求
（1）咨詢響應(yīng)效率
對于采購人的電話、郵件等咨詢，供應(yīng)商需在**小時內(nèi)完成首次響應(yīng)，復(fù)雜問題需在3個工作日內(nèi)給出完整解決方案。
（2）現(xiàn)場服務(wù)效率
需現(xiàn)場協(xié)助的問題，供應(yīng)商需在收到采購人需求后 ** 小時內(nèi)抵達現(xiàn)場，一般問題需在 1 個工作日內(nèi)解決，復(fù)雜問題需在 3 個工作日內(nèi)解決（特殊情況需簽訂延期協(xié)議）。
（3）售后服務(wù)期限
自商用密碼應(yīng)用安全性評估報告出具并完成備案之日起，售后服務(wù)期限不少于1年；服務(wù)期限屆滿后，采購人若有繼續(xù)服務(wù)需求，雙方可另行協(xié)商服務(wù)內(nèi)容與費用，供應(yīng)商應(yīng)優(yōu)先提供服務(wù)。
（4）技術(shù)培訓(xùn)
售后服務(wù)期限內(nèi)，供應(yīng)商需免費為采購人提供至少 1 次密碼應(yīng)用相關(guān)技術(shù)培訓(xùn)，內(nèi)容包括密碼應(yīng)用標準解讀、系統(tǒng)密碼安全維護等，幫助采購人提升密碼應(yīng)用管理能力。
（5）信息更新
若國家密碼管理相關(guān)標準、政策發(fā)生變化，供應(yīng)商需及時告知采購人，并提供相關(guān)政策解讀與應(yīng)對建議，協(xié)助采購人做好系統(tǒng)密碼應(yīng)用調(diào)整工作。
★（七）保密要求
1.信息保密要求
測評相關(guān)信息保密供應(yīng)商應(yīng)對測評過程中獲取的所有信息嚴格保密，包括但不限于：被測信息系統(tǒng)的架構(gòu)設(shè)計、網(wǎng)絡(luò)拓撲、設(shè)備配置信息、業(yè)務(wù)數(shù)據(jù)（含鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要個人信息等）、密碼應(yīng)用方案、密鑰管理規(guī)則，以及采購方提供的各類文檔資料（如系統(tǒng)備份數(shù)據(jù)、管理制度文件）。嚴禁以任何形式（紙質(zhì)復(fù)印、電子拷貝、口頭傳播）向第三方泄露，且不得將上述信息用于本項目測評以外的其他用途。
測評成果保密商用密碼應(yīng)用安全性評估報告（含初稿、終稿）、現(xiàn)場測評記錄（訪談記錄、配置截圖、抓包分析截圖）、風(fēng)險分析數(shù)據(jù)等測評成果，屬于采購方敏感信息，供應(yīng)商需按采購方要求進行保密管理。報告僅可提供給采購方及當(dāng)?shù)孛艽a管理局備案使用，未經(jīng)采購方書面許可，不得向其他單位或個人提供；測評過程中產(chǎn)生的電子記錄需加密存儲，紙質(zhì)記錄需鎖存于安全柜，避免信息外泄。
2.人員保密要求
保密意識與責(zé)任供應(yīng)商需確保項目組所有成員（含項目經(jīng)理、測評工程師、技術(shù)支持人員）了解并遵守國家密碼相關(guān)法律法規(guī)及采購方保密規(guī)定，明確 “誰接觸、誰負責(zé)” 的保密原則。項目啟動前，所有成員需簽署《項目保密承諾書》，承諾對接觸的敏感信息承擔(dān)保密義務(wù)，若發(fā)生泄密需承擔(dān)相應(yīng)法律責(zé)任，該要求與文檔 “3.2 人員管理” 中 “建立關(guān)鍵人員保密制度” 條款直接對應(yīng)。
參與項目的核心人員應(yīng)通過供應(yīng)商內(nèi)部保密審查，確保無不良記錄；供應(yīng)商不得隨意更換項目組成員，若確需更換，需經(jīng)采購人確認，避免因人員流動導(dǎo)致泄密風(fēng)險。
