黑龙江省征信有限责任公司第三方商用密码安全性评估服务采购/招标公告

参数性质

序号

具体技术(参数)要求

★

1

特定资质

登录查看公告（第53号）《商用密码检测机构（商用密码应用安全性评估业务）目录》之内的商用密码检测机构，须提供证明材料。

2

测评依据标准

①GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》

②GB/T 43206—2023《信息安全技术 信息系统密码应用测评要求》

③GM/T0116-2021《信息系统密码应用测评过程指南》

④GB/T 43207-2023《信息安全技术 信息系统密码应用设计指南》

⑤信息系统密码应用高风险判定指引（2021）

⑥商用密码应用安全性评估量化评估规则（2023版）

3

服务要求

供应商针对黑龙江省融资信用征信服务平台系统提供密码测评，对系统密码应用方案提供咨询服务，并对密码应用提供全过程咨询、培训与保障服务。

在服务期内，供应商至少具备6名《商用密码应用安全性评估从业人员考核证书》（原商用密码应用安全性评估人员测评能力考核）的密评人员在1小时内作好服务应答和反馈，对出现的问题进行现场分析、记录、处置和归档。服务期间提供应急保障工作。

（1）项目负责人：对密评项目的实施进行全面负责。至少需具备商具备商用密码应用安全性评估从业人员考核（原商用密码应用安全性评估人员测评能力考核）证书。

（2）技术负责人：主持本次密评技术管理工作，解决密评工作执行过程中遇到的技术相关难题。

（3）项目团队成员：负责现场密评实施工作和报告编制等工作。

4

技术要求

4.1.供应商应依据国家密码法规、密码应用相关技术标准，采用科学的测评方法、流程和工作规范开展商用密码应用安全性评估工作。供应商应具备商用密码应用安全性技术测评实施、管理测评实施、系统整体评估能力。供应商为本项目配备能够依据测评结果做出专业判断以及出具测评报告的能力的测评人员，测评人员必须通过国家密码管理部门（或其授权的机构）组织的考核（即商用密码应用安全性评估人员测评能力考核证书），遵守国家有关法律法规，按照相关标准，为用户提供安全、客观、公正的评估服务，保证评估的质量和效果。

4.2.供应商应具有完善的测评方案，有计划、按步骤地开展测评工作，且测评方案应专业性强，对系统现状及需求理解应准确，方案应科学合理，内容应完整、可靠性强，实施方法和技术措施应可操作性和有效性强，在签订密评合同后供应商应立即成立密评工作小组，并严格按照合同履行密评责任。

4.3.供应商应具有良好的质量控制的能力和质量管理体系，以保证测评工作的客观、公正、安全。供应商针对本项目测评过程中的质量管理方案内项目质量管理应完备，项目质量保障措施应科学、可行、完善，项目管理与风险应控制合理。

4.4.供应商在现场测评工作中必须在不影响采购人信息系统正常运行的前提下进行。

4.5.供应商应遵守相应的密评工作制度，包括会议制度、密评文件制度、密评记录制度、工作报告制度等，保证密评工作协调有序的进行。

4.6.供应商应根据被测系统的具体情况，按合同约定，配备满足密评工作需要的人员、设备和工具。为保障密评实施与合同约定服务周期内的服务响应，供应商应具备系统环境模拟实验能力。

4.7.供应商应具有完善的应急流程，具有快速应急响应服务团队，以保证在整个项目过程中不影响委托单位信息系统的正常运行。

4.8.为保障密评过程中可能涉及的重要数据和敏感信息的安全，供应商具备安全保密管理制度与数据安全能力，采取的安全管理措施应得当，且能够很好保障本项目测评数据的安全，明确对采购人的系统、信息、数据有安全保密的义务，项目组需在入场前签署保密协议。

4.9.供应商完成商用密码应用安全性评估工作后，应协助用户在30日内将评估结果报国家密码管理部门备案。

5

检测工具要求

供应商具备本项目服务所需的检测软件及工具，提供密码应用安全性风险自评估系统工具，具备商用密码应用安全检测核心能力要求。

（1）须提供所使用测评软件、工具的合法权属佐证材料，包括但不限于采购合同及发票或软件著作权登记证书或正规授权使用协议等材料：

（2）须提供对应软件、工具的核心功能界面截图，截图需清晰体现商用密码应用安全检测相关功能模块。

6

数据安全能力要求

供应商须具备安全保密管理制度与数据安全能力，采取的安全管理措施应得当，且能够很好保障本项目测评数据的安全，明确对采购人的系统、信息、数据有安全保密的义务，须具备数据管理能力成熟度管理证书。