序號

指標(biāo)種類

指標(biāo)名稱

指標(biāo)內(nèi)容

重要性

是否需要證明材料

1

總體要求

總體要求

投標(biāo)人須根據(jù)采購人要求在規(guī)定時間內(nèi)（根據(jù)實際需求分批次）完成指定系統(tǒng)的密碼應(yīng)用安全性評估，并出具相關(guān)報告。測評報告須提供電子版和紙質(zhì)版，且須達(dá)到密碼管理局等信息安全監(jiān)管部門的要求，投標(biāo)人須對此作出承諾。

★

否

2

總體要求

總體要求

投標(biāo)人對因本項目取得的采購人相關(guān)信息負(fù)有保密義務(wù)，未經(jīng)采購人同意，不得對外公布或提供給第三方，包含但不限于操作系統(tǒng)信息、數(shù)據(jù)庫配置信息、中間件配置信息、網(wǎng)絡(luò)配置信息和安全漏洞信息等，投標(biāo)人須對此作出承諾。

★

否

3

總體要求

評估服務(wù)

中標(biāo)人依據(jù)《GB/T ****6—****信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》的條款要求，逐一對信息系統(tǒng)密碼應(yīng)用進行安全技術(shù)測評：包括物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計算安全、應(yīng)用和數(shù)據(jù)安全等四個方面的安全測評。

#

否

4

總體要求

評估服務(wù)

中標(biāo)人依據(jù)《GB/T ****6—****信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》的條款要求，逐一對信息系統(tǒng)密碼應(yīng)用進行安全管理測評：包括密鑰管理、安全管理（分為制度、人員、建設(shè)和應(yīng)急四個子模塊）兩個方面的安全測評。

#

否

5

測評要求

工具要求

中標(biāo)人在項目實施過程中所使用到的各種工具軟件由中標(biāo)人推薦，經(jīng)采購人確認(rèn)后由中標(biāo)人提供并在項目中使用。在投標(biāo)文件中應(yīng)詳細(xì)描述所使用的安全技術(shù)工具（軟硬件型號、功能和性能描述）、使用的方式和時間、對環(huán)境和平臺的要求以及使用可能對系統(tǒng)造成的風(fēng)險等。

#

否

6

測評要求

密碼應(yīng)用方案評估

若密碼應(yīng)用方案發(fā)生變更，則中標(biāo)人應(yīng)對變更后的密碼應(yīng)用方案進行商用密碼應(yīng)用安全性評估。

#

否

7

測評要求

密碼應(yīng)用方案評估

中標(biāo)人應(yīng)從《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》（GM/T ****6-****）中選擇相應(yīng)等級的評估指標(biāo)，結(jié)合信息系統(tǒng)的構(gòu)成特點，確定具體的評估對象，針對廈門市稅務(wù)局編制的商用密碼安全應(yīng)用方案，通過訪談、檢查和測試等方式判斷其安全技術(shù)和安全管理各層面所對應(yīng)評估指標(biāo)的符合程度，判斷被評估系統(tǒng)在密碼應(yīng)用設(shè)計和落地方面是否滿足符合國家信息系統(tǒng)商用密碼應(yīng)用安全中的合規(guī)性、正確性、有效性要求，找出與國家標(biāo)準(zhǔn)要求之間的差距，根據(jù)評估結(jié)果出具差距分析報告，作為后續(xù)安全整改的依據(jù)，幫助其達(dá)到信息系統(tǒng)商用密碼應(yīng)用安全的要求。

#

否

8

應(yīng)急響應(yīng)

應(yīng)急響應(yīng)

若在系統(tǒng)測評過程中發(fā)生系統(tǒng)故障，中標(biāo)人應(yīng)能夠協(xié)調(diào)系統(tǒng)運維專家遠(yuǎn)程或現(xiàn)場提供應(yīng)急響應(yīng)等技術(shù)支持服務(wù)。

#

否

9

備案

備案

中標(biāo)人應(yīng)完成備案所需文檔，協(xié)助采購人向密碼管理局等相關(guān)部門申請密碼應(yīng)用安全性評估備案。

#

否

**

數(shù)據(jù)安全風(fēng)險評估

總體要求

中標(biāo)人按照《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》等法律法規(guī)，對6個等保三級信息系統(tǒng)開展調(diào)研，掌握數(shù)據(jù)處理者的基本情況，業(yè)務(wù)和信息系統(tǒng)情況，數(shù)據(jù)資產(chǎn)情況，數(shù)據(jù)處理活動等重要信息。

#

否

**

數(shù)據(jù)安全風(fēng)險評估

風(fēng)險識別與分析

中標(biāo)人應(yīng)具備成熟的風(fēng)險評估方法論和相關(guān)經(jīng)驗，通過現(xiàn)場訪談，查閱資料，數(shù)據(jù)取證，滲透測試等方式，深度發(fā)現(xiàn)信息系統(tǒng)的數(shù)據(jù)在生命安全周期內(nèi)的內(nèi)外部威脅，脆弱性以及管理缺陷，并對相關(guān)問題進行風(fēng)險識別和量化分析，形成總結(jié)和建議。

#

否

**

數(shù)據(jù)安全風(fēng)險評估

總結(jié)報告

中標(biāo)人在完成數(shù)據(jù)安全風(fēng)險評估后，應(yīng)提交一份詳盡、客觀的評估報告，報告應(yīng)列明各類風(fēng)險、風(fēng)險等級，可能帶來的安全后果，為業(yè)主數(shù)據(jù)安全管理工作提供科學(xué)依據(jù)。

#

否

**

服務(wù)團隊要求

服務(wù)團隊要求

在項目實施周期內(nèi)，中標(biāo)人為本項目成立密碼安全性評估測評小組。密評測評小組成員(包含項目經(jīng)理)不少于5人。在項目實施過程中，小組人員未經(jīng)采購人同意不得隨意更換，投標(biāo)人須對此作出承諾。

#

否