一、项目名称

海南热带雨林国家公园监测设施运营管理项目。

二、项目概况

本次对五指山分局智慧管理游客中心综合运营管控系统（三级）进行网络安全等级保护测评和密码应用安全性评估进行邀标。

三、邀标单位

海南热带雨林国家公园管理局五指山分局。

四、招标方式

竞争性磋商

五、报名资格要求

1、具有独立法人资格，持有合法有效的法人证书，并配备符合行业要求的技术人员，需提供事业单位法人证书、营业执照和相关资质材料（复印件加盖单位公章）。

2、本项目的特定资格要求：供应商在国家密码管理局公布的国家密码管理局公告（第42号）《商用密码应用安全性评估试点机构目录》中；供应商具有公安部第三研究所颁发的网络安全等级测评与检测评估机构服务认证证书。

六、报名所需资料

1、报价函，报价明细，报价函格式自拟；

2、须提供法人证书（副本）和相关资质证书（留复印件，复印件加盖公司公章）；

3、必须为未被列入信用中国网站(www.creditchina.gov.cn)的“失信被执行人”、“重大税收违法案件当事人名单”、“政府采购严重违法失信名单”；（提供查询结果的网页截图并加盖单位公章）；

4、提供前3年内在经营活动中没有重大违法记录的书面声明并加盖公章；

5、现场报名人员须提供法人授权委托书（附双方身份证复印件和联系方式）；

6、提供单位近期工作业绩。

以上材料按照顺序装订并密封。

七、报名时间

2023年10月19日至2023年10月23日。

八、报名地点

海南热带雨林国家公园管理局五指山分局五指山市三月三大道河南一横路1号。

九、发布公告的媒介?

本次选聘公告在五指山市人民政府网站发布。

十、联系人及联系方式

罗绍忠? 188*****600

海南热带雨林国家公园管理局五指山分局

??????????????????????2023年10月19日

用户需求

1.?项目背景

通过委托专业的网络安全等级保护测评和商用密码应用评估服务机构，对五指山分局智慧管理游客中心综合运营管控系统安全保护等级进行需求分析，并协助用户方完成备案相关事宜。依据等保2.0标准和密码标准体系，如《信息安全技术 网络安全等级保护基本要求》(GBT*****-2019)、《信息安全技术 网络安全等级保护测评要求》（GBT*****-2019）、《信息安全技术 信息系统密码应用基本要求》（GBT *****-2021）、《信息系统密码应用测评要求》（GMT 0115-2021）对信息系统的物理机房、网络结构、应用系统、主机、网络及安全设备等进行合规性检查，分析信息系統与安全保护等级要求及密码应用要求之间的差距，并出具《网络安全等级保护测评报告》和《商用密码应用安全评估报告》及提出具有针对性的整改意见。

2.?项目工期和地点

项目实施工期：至合同签订起50日内提交测评报告及相关文档。

地点：用户指定。

3.?项目需求 3.1.?网络安全等级保护测评

3.1.1.?测评内容

1、对用户的信息系统进行摸底、分析和梳理，提出详细的测评方案及完成系统备案工作。

2、逐一对信息系统进行安全等级保护测评，测评的内容包括但不限于以下内容：

（1）安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心五个方面的安全测评；

（2）安全管理测评：包括安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理五个方面的安全测评。

3、完成测评工作后，出具符合等保要求的网络安全保护等级测评报告，提出整改意见。

3.1.2.?测评输出(包括但不限于以下内容)

（1）网络安全等级保护定级相关文件和报告；

（2）网络安全等级保护测评报告。

3.1.3.?测评对象描述

测评对象信息如下：

3.1.4.?测评服务要求

网络等级保护测评过程需按照《信息安全技术 网络安全等级保护测评过程指南》开展工作，等级测评过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。测评双方之间的沟通与洽谈应贯穿整个等级测评过程。

（1）测评准备活动

测评准备工作包括编制项目启动、信息收集和分析、工具和表单准备。

详细要求见下表：

（2）方案编制活动

方案编制活动包括测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书开发及测评方案编制等六项主要任务。

详细要求见下表：

（3）现场测评活动

现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。

现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还三项主要任务。

详细要求见下表：

（4）报告分析及编制活动

在现场测评工作结束后，应对现场测评获得的测评结果（或称测评证据）进行汇总分析，形成等级测评结论，并编制测评报告。

测评人员在初步判定单元测评结果后，还需进行整体测评，经过整体测评后，有的单元测评结果可能会有所变化，需进一步修订单元测评结果，而后进行风险分析和评价，形成等级测评结论。分析与报告编制活动包括单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成及测评报告编制六项主要任务。

详细要求见下表：

3.2.?商用密码应用安全评估

3.2.1.?评估内容

1、对商用密码应用方案进行分析和梳理，确认相关密码应用设计和建设以及重要敏感数据，提出详细的评估方案。

2、逐一对信息系统进行商用密码应用安全评估，评估的内容包括但不限于以下内容：

（1）安全技术测评：包括物理和环境安全、网络和通信安全、设备和计算安全和应用和数据安全四个方面的安全测评；

（2）安全管理测评：包括安全管理、人员管理、建设运行和应急处置四个方面的安全测评。

3、完成评估工作后，出具符合密评要求的商用密码应用评估报告，提出整改意见并协助完成系统备案。

3.2.2.?评估输出(包括但不限于以下内容)

（1）商用密码应用评估备案相关文件和报告；

（2）商用密码应用安全评估报告。

3.2.3.?评估对象描述

评估对象信息如下：

3.2.4.?评估服务要求

信息系统开展的实际密码评估，按照《信息系统密码应用基本要求》，结合《信息系统密码测评要求》给出每个要求条款的评估实施方法。首先给出总体要求、典型密码产品应用、密码功能的评估实施方法，然后从密码技术应用的物理和环境、网络和通信、设备和计算、应用和数据及安全管理等方面进行评估。评估过程分为四项基本评估活动：评估准备活动、方案编制活动、系统评估活动、分析与报告编制活动。评估双方之间的沟通与洽谈应贯穿整个评估过程。

3.2.4.1.?评估准备活动

u?评估准备活动的工作流程

评估准备活动的目标是顺利启动评估项目，准备评估所需的相关资料，为顺利编制评估方案打下良好的基础。

评估准备活动包括项目启动、信息收集和分析、工具和表单准备三项主要任务。

u?评估准备活动的主要任务

??项目启动

在项目启动任务中，评估机构组建密码评估项目组，获取评估委托单位及被测系统的基本情况，从基本资料、人员、计划安排等方面为整个评估项目的实施做基本准备。

??输入：委托评估协议书、保密协议等。

??输出/产品：项目计划书。

??信息收集和分析

评估机构通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和商用密码保护情况，为编写评估方案和开展系统评估工作奠定基础。

??输入：调查表格，被测系统总体描述文件，被测系统商用密码总体描述文件，安全管理制度文件，密钥管理制度，各种密码安全规章制度及相关过程管理记录、配置管理文档，评估委托单位的信息化建设与发展状况以及联络方式；密码应用方案及评审意见，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次测评报告。

??输出/产品：完成的调查表格。

??工具和表单准备

评估项目组成员在进行系统评估之前，熟悉与被测系统相关的各种组件、调试评估工具、准备各种表单等。

??输入：各种与被测系统相关的技术资料。

??输出/产品：选用的评估工具清单，打印的各类表单，如系统评估授权书、风险告知书、文档交接单、会议记录表单、会议签到表单。

3.2.4.2.?方案编制活动

u?方案编制活动的工作流程

方案编制活动的目标是整理评估准备活动中获取的信息系统相关资料，为系统评估活动提供最基本的文档和指导方案。

方案编制活动包括评估对象确定、评估指标确定、评估检查点确定、评估内容确定及评估方案编制五项主要任务。

u?方案编制活动的主要任务

??评估对象确定

根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，以及与此相关的商用密码应用情况，确定出本次评估的评估对象。

??输入：完成的调查表格，评估作业指导书。

??输出/产品：评估方案的评估对象部分。

??评估指标确定

根据已经了解到的被测系统定级结果，确定出本次评估的评估指标。

输入：完成的调查表格，信息系统密码应用基本要求，评估作业指导书。

??输出/产品：评估方案的评估指标部分。

??评估检查点确定

评估过程中，需要对一些关键安全点进行现场检查确认，比如利用工具抓包测试、查看关键设备的配置、确认密码算法、密码技术、密码产品、密码系统的使用情况等等。这些检查点需要在方案编制时考虑，并且充分考虑到检查的可行性和风险，最低限度的避免对被测系统，尤其是在线运行业务系统的影响。

??输入：被测系统详细结构，选用的密码算法、密码技术、密码产品、密码系统详细信息，信息系统密码应用基本要求，评估作业指导书。

??输出/产品：评估方案的评估检查点部分。

??评估内容确定

本部分确定系统评估的具体实施内容，即评估单元内容。

??输入：完成的调查表格，评估方案的评估对象、评估指标及评估工具接入点部分，评估作业指导书。

??输出/产品：评估方案的评估单元实施部分。

??评估方案编制

评估方案是评估工作实施的基础，指导评估工作的现场实施活动。评估方案应包括但不局限于以下内容：项目概述、评估对象、评估指标、测试检查点以及评估单元实施等。

??输入：委托评估协议书，完成的调研表格，信息系统密码应用基本要求中相应等级的技术和管理要求，评估方案的评估对象、评估指标、测试检查点、评估内容部分，评估作业指导书。

??输出/产品：经过评审和确认的评估方案文本。

3.2.4.3.?系统评估活动

u?系统评估活动的工作流程

系统评估活动通过与评估委托单位进行沟通和协调，为系统评估的顺利开展打下良好基础，然后依据评估方案实施系统评估工作，将评估方案和评估工具等具体落实到系统评估活动中。系统评估工作应取得分析与报告编制活动所需的、足够的证据和资料。

系统评估活动包括系统评估准备、系统评估和结果记录、结果确认和资料归还三项主要任务。

u?系统评估活动的主要任务

??系统评估准备

本任务启动系统评估，是保证评估机构能够顺利实施评估的前提。

??输入：系统评估授权书，评估方案，风险告知书，风险规避方案等。

??输出/产品：会议记录，更新后的评估计划和评估程序，确认的评估授权书等。

??系统评估和结果记录

评估小组根据评估方案以及系统评估准备的结果，安排评估人员在现场完成评估工作。

??输入：评估方案，评估作业指导书，评估结果记录表格，被测系统的相关文档。

??输出/产品：评估结果记录，工具测试完成后的电子输出记录。

??结果确认和资料归还

??输入：评估结果记录，工具测试完成后的电子输出记录。

??输出/产品：系统评估中发现的问题汇总，证据和证据源记录，评估委托单位的书面认可文件。

3.2.4.4.?分析与报告编制活动

u?分析与报告编制活动的工作流程

在系统评估工作结束后，评估机构应对系统评估获得的评估结果（或称评估证据）进行汇总分析，形成评估结论，并编制评估报告。

评估人员在初步判定评估单元结果后，还需进行整体评估，经过整体评估后，有的评估单元结果可能会有所变化，需进一步修订评估单元结果，而后进行风险分析和评价，形成评估结论。分析与报告编制活动包括单项评估结果判定、评估单元结果判定、整体评估、风险分析、密码等级评估结论形成及评估报告编制六项主要任务。

u?分析与报告编制活动的主要任务

??单项评估结果判定

本任务主要是针对单项评估指标，结合具体评估对象，客观、准确地分析评估证据，形成初步单项评估结果，单项评估结果是形成密码等级评估结论的基础。

??输入：技术安全和管理安全的单项评估结果记录，评估方案，评估作业指导书。

??输出/产品：密码评估报告的评估单元的结果记录部分。

??评估单元结果判定

本任务主要是将单项评估结果进行汇总，分别统计不同评估对象的单项评估结果，从而判定评估单元结果，并以表格的形式逐一列出。

??输入：评估报告的评估单元的结果记录部分，评估作业指导书。

??输出/产品：密码评估报告的评估单元的结果汇总部分。

??整体评估

针对单项评估结果的不符合项，采取逐条判定的方法，给出整体评估的具体结果，并对系统结构进行整体安全评估。

??输入：评估报告的评估单元的结果汇总部分，评估作业指导书。

??输出/产品：评估报告的整体评估部分。

??风险分析

评估人员依据信息系统密码应用的相关规范和标准，采用风险分析的方法分析密码评估结果中存在的安全问题可能对被测系统安全造成的影响。

??输入：完成的调查表格，评估报告的评估单元的结果汇总及整体评估部分，评估作业指导书。

??输出：密码评估报告的评估结果汇总及风险分析和评价部分。

??密码等级评估结论形成

评估人员在评估结果汇总的基础上，找出被测系统密码保护现状与密码应用安全性评估要求之间的差距，并形成密码等级评估结论。

??输入：评估报告的评估结果汇总部分，评估作业指导书。

??输出/产品：密码评估报告的密码等级评估结论部分。

??密码评估报告编制

评估报告应包括但不局限于以下内容：概述、被测系统描述、评估对象说明、评估指标说明、评估内容和方法说明、评估单元、整体评估、评估结果汇总、风险分析和评价、评估结论、整改建议等。

其中，概述部分描述被测系统的总体情况、本次评估的主要评估目的和依据；被测系统描述、评估对象、评估指标、评估内容和方法等部分内容编制时可以参考评估方案相关部分内容，有改动的地方应根据实际评估情况进行修改。

??输入：评估方案，评估单元的结果记录和结果汇总部分，整体评估部分，风险分析和评价部分、评估结论部分，评估作业指导书。

??输出/产品：经过评审和确认的被测系统评估报告。

4.?项目服务要求 4.1.?项目实施要求

项目实施过程中，投标人应遵循国家标准、行业标准。

在项目实施中投标人须做到：

1.?提供完整的系统实施方案和项目实施管理办法；

2.?项目实施完成后提供可靠的后期技术服务工作；

3.?严格按照双方确定的计划进度保质保量完成工作；

4.?规范项目实施过程中的文档管理。

4.2.?项目验收要求

中标人必须提供给业主详细的项目验收方案。

4.2.1.?验收组织

成立由业主、中标人以及其他有关人员组成的验收小组，负责对项目进行全面的验收。

4.2.2.?验收标准

1)?标准化：项目验收最关键的指标，应确保测评过程符合国家标准规范；

2)?系统稳定性：在测评过程中应确保软硬件环境的稳定性、运行正常；

3)?系统文档：验收文档是否齐全、规范、准确、详细；

4)?系统可操作性：交付成果清晰、通俗易懂。

4.3.?售后服务要求

对于现状测评和评估过程中发现的安全问题，投标人应先出具问题汇总报告，并给招标人预留三十天的整改时间，整改完成后投标人提供一次全面问题复查，并出具《网络安全等级保护测评报告》和《商用密码应用安全评估报告》。同时招标针对本次测评和评估范围内的问题提供一年期的远程技术咨询服务。