附件

政务云网信息系统商用密码应用安全性评估

服务采购需求

一、项目背景

根据《商用密码应用安全性评估管理办法》要求，重要网络与信息系统每年至少开展一次商用密码应用安全性评估。广西电子政务外网自治区级信创云平台等12个信息系统安全保护等级定为第三级，因此，需要开展商用密码应用安全性评估服务采购工作。

二、服务内容和要求

（一）总的要求

根据《中华人民共和国密码法》《中华人民共和国网络安全法》《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）《信息系统密码应用测评要求》（GM/T 0115-2021）《信息系统密码应用测评过程指南》（GM/T 0116-2021）《商用密码管理条例》等法规和规范的要求，对广西电子政务外网自治区级信创云平台等12个信息系统开展系统密码应用方案安全性评估，并通过测评发现应用系统存在的安全隐患和风险，出具对应的系统密码应用方案安全性评估报告和政务信息系统密码应用与安全性评估报告，并提出有针对性的加强完善密码安全管理和防护意见，对系统密码应用方案及改进后的被测系统提供咨询、评估服务，同时协助采购人完成对应的整改工作。

（二）标准依据

《计算机信息系统安全保护等级划分准则》（GB 17859-1999)

《网络安全等级保护基本要求》（GB/T 22239-2019）

《网络安全等级保护测评要求》（GB/T 28448-2019）

《网络安全等级保护测评过程指南》（GB/T 28449-2018)

《网络安全等级保护设计技术要求》（GB/T 25070-2019）

《网络安全等级保护测试评估技术指南》（GB/T 36627-2018）

《中华人民共和国密码法》

《信息安全技术 计算机信息系统安全保护等级划分准则》GB 17859-1999

《信息安全技术 信息系统密码应用基本要求》GB/T 39786-2021

《信息系统密码应用测评要求》GM/T 0115-2021

《信息系统密码应用测评过程指南》GM/T 0116-2021

《政务信息系统密码应用与安全性评估工作指南》（2020年版）

《信息系统密码应用高风险判定指引》

《商用密码应用安全性评估量化评估规则》

《国家政务信息化项目建设管理办法》

如有最新规定按最新规定执行。

（三）测评内容

包含但不限于如下任务要求：

1.开展密码测评工作，并依据相关文件模板，对测评范围内的信息系统作出具符合国家密码管理局和当地密码管理部门要求的密评报告；

2.根据测评结果，给出整改意见，指导采购人对被测系统暴露出的密码应用安全问题进行整改；

3.根据测评需要承办专家评审会；

4.根据国家密码管理局和当地密码管理部门关于规范商用密码应用安全性评估结果备案工作的通知，协助准备备案资料并完成密评备案工作；

5.协助采购人完成与密评相关的其他工作。

（四）测评方法

密码应用安全性评估过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。供应商和采购人之间的沟通与洽谈贯穿整个密码应用安全性评估过程。

1.测评准备活动

根据供应商和采购人签订的委托测评协议书和被测信息系统规模，供应商组建测评项目组，从人员方面做好准备，并编制项目计划书。供应商通过查阅被测系统已有资料并使用调查表格的方式，了解整个系统的构成和密码保护情况，为编写密评方案和开展现场测评工作奠定基础。测评项目组成员在进行现场测评之前，熟悉与被测信息系统相关的各种组件、调试测评工具、准备各种表单等。

2.方案编制活动

根据已经了解到的被测信息系统情况，分析整个被测系统及其涉及的业务应用系统，以及与此相关的密码应用情况，确定出本次测评的测评对象；根据已经了解到的被测系统定级结果，确定出本次测评的测评指标；确认测评过程中需要现场检查的关键安全点，并且充分考虑到检查的可行性和风险，最大限度的避免对被测系统，尤其是在线运行业务系统的影响；确定现场测评的具体实施内容；最终完成测评方案的编制。

3.现场测评活动

（1）现场测评准备：召开测评现场首次会，供应商介绍测评工作，交流测评信息，进一步明确测评计划和测评方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排，测评过程中可能存在的安全风险等，以便于后面的测评工作开展。供应商和采购方确认现场测评需要的各种资源，包括采购方的配合人员和需要提供的测评条件等，确认被测信息系统已备份过系统及数据。采购方签署现场测评授权书。密评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。

（2）开展现场测评：测评项目组根据密评方案以及现场测评准备的结果，安排密评人员在现场完成测评工作，汇总现场测评的测评记录；召开测评现场结束会，供应商和采购方对测评过程中发现的问题进行现场确认；密评机构归还测评过程中借阅的所有文档资料，并由采购方文档资料提供者签字确认。

4.分析与报告编制活动

（1）在现场测评工作结束后，供应商对现场测评获得的测评结果进行汇总分析，形成评估结论，并编制评估报告。

（2）密评人员在初步判定各测评单元涉及的各个测评对象的测评结果后，还需进行单元测评、整体测评、量化评估和风险分析。经过整体测评后，有的测评对象的测评结果可能会有所变化，需进一步修订测评结果，而后进行量化评估和风险分析，最后形成评估结论。

（五）密码应用技术要求

1、通用测评要求

核查被测系统中使用的密码算法、密码技术、密码产品和密码服务是否满足国家密码管理的相关标准或规范要求。

2、密码应用技术评估要求

具体包括但不限于:物理和环境安全测评、网络和通信安全测评、设备和计算安全测评、应用和数据安全测评，政务信息系统密码应用与安全性评估、制定测评工作方案等，验证不同安全等级信息系统的密码应用是否达到相应安全等级的安全保护能力、是否满足相应安全等级的保护要求。

3、物理和环境安全测评

物理和环境安全主要实现对被测系统所在机房等重要区域的物理防护，物理机房的进出必须严格符合相关规范，并对相关人员进出信息实时记录，防止非法人员采用非法手段进出，防止出现人为物理破坏，防止造成不可逆的重大损失。

针对“身份鉴别”、“电子门禁记录数据存储完整性”、“视频监控记录数据存储完整性”等物理和环境安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况（如访谈记录、配置截图、抓包分析截图、产品照片等），完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

4、网络和通信安全测评

网络和通信安全主要实现对信息系统与经由外部网络连接的实体进行网络通信时的安全防护，密码应用要求主要涉及通信过程中实体身份真实性、数据机密性和数据完整性，以及网络边界访问控制和设备接入控制。

针对“身份鉴别”、“通信数据完整性”、“通信过程中重要数据的机密性”、“网络边界访问控制信息的完整性”、“安全接入认证”等网络和通信安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况(如访谈记录、配置截图、抓包分析截图、产品照片等)，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

5、设备和计算安全测评

设备和计算安全主要实现对被测系统中各类设备和计算环境的安全防护,密码应用要求主要涉及对登录设备用户的身份鉴别、远程管理通道的建立、重要可执行程序来源真实性，以及系统资源访问控制信息、设备的重要信息资源安全标记、重要可执行程序、日志记录的完整性。

针对“身份鉴别”、“远程管理通道安全”、“系统资源访问控制信息完整性”、“重要信息资源安全标记完整性”、“日志记录完整性”、“重要可执行程序完整性、重要可执行程序来源真实性”等设备和计算安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况(如访谈记录、配置截图、抓包分析截图、产品照片等)，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

6、应用和数据安全测评

实现对信息系统中应用及其数据的安全防护,密码应用主要涉及应用的用户身份鉴别、访问控制，以及应用相关重要数据的存储安全、传输安全和相关行为的不可否认性。其中，重要数据包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

针对“身份鉴别”、“访问控制信息完整性”、“重要信息资源安全标记完整性”、“重要数据传输机密性”、“重要数据存储机密性”、“重要数据传输完整性”、“重要数据存储完整性”、“不可否认性”等应用和数据安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况(如访谈记录、配置截图、抓包分析截图、产品照片等)，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

7、密码应用管理要求测评

从管理制度、人员管理、建设运行和应急处置四个方面进行安全管理测评，验证信息系统安全管理机制是否完善，是否能确保密码技术被合规、正确、有效的实施。

（1）管理制度

针对“具备密码应用安全管理制度”、“密钥管理规则”、“建立操作规程”、“定期修订安全管理制度”、“明确管理制度发布流程”、“制度执行过程记录留存”等制度方面采取的管理措施进行各项测评,详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

（2）人员管理

针对“了解并遵守密码相关法律法规和密码管理制度”、“建立密码应用岗位责任制度”、“建立上岗人员培训制度”、“定期进行安全岗位人员考核”、“建立关键岗位人员保密制度和调离制度”等人员方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

（3）建设运行

针对“制定密码应用方案”、“制定密钥安全管理策略”、“制定实施方案”、“投入运行前进行密码应用安全性评估”、“定期开展密码应用安全性评估及攻防对抗演习”等建设方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

（4）应急处置

针对“应急策略”、“事件处置”、“向有关主管部门上报处置情况”等应急方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

8、政务信息系统密码应用与安全性评估

对被测系统进行测评，判断其是否符合政务信息系统密码应用与安全要求，单独出具对应的政务信息系统密码应用与安全性评估报告。

政务信息系统密码应用与安全性评估要求：

《政务信息系统密码应用与安全性评估工作指南》（2020年版）

（六）服务成果

根据项目内容要求，完成12个信息系统测评工作，针对12个信息系统以电子版和纸质版形式出具对应的系统密码应用方案安全性评估报告和政务信息系统密码应用与安全性评估报告，并针对采购人的咨询进行及时反馈,方式包括但不限于现场支撑、邮件、电话或报告。

三、报价要求

报价人应参考《广西壮族自治区财政厅关于印发<广西壮族自治区本级要求政务信息化建设和运维项目预算支出标准>的通知》（桂财建〔2023〕102号）文件要求，安全保护等级定为三级的信息系统系统测评费用按6万元/系统的上限值控制。