一、项目名称<>

海南热带雨林国家公园监测设施运营管理项目。<>

[if !supportLists]二、[endif]项目概况<>

本次对五指山分局智慧管理游客中心综合运营管控系统（三级）进行网络安全等级保护测评和密码应用安全性评估进行邀标。<>

三、邀标单位<>

海南热带雨林国家公园管理局五指山分局。<>

四、招标方式<>

竞争性磋商<>

五、报名资格要求<>

1、具有独立法人资格，持有合法有效的法人证书，并配备符合行业要求的技术人员，需提供事业单位法人证书、营业执照和相关资质材料（复印件加盖单位公章）。<>

2、本项目的特定资格要求：(略)<>

<>

六、报名所需资料<>

1、报价函，报价明细，报价函格式自拟；<>

2、须提供法人证书（副本）和相关资质证书（留复印件，复印件加盖公司公章）；<>

3、必须为未被列入信用中国网站(www.creditchina.gov.cn)的“失信被执行人”、“重大税收违法案件当事人名单”、“政府采购严重违法失信名单”；（提供查询结果的网页截图并加盖单位公章）；<>

4、提供前3年内在经营活动中没有重大违法记录的书面声明并加盖公章；<>

5、现场报名人员须提供法人授权委托书（附双方身份证复印件和联系方式）；<>

6、提供单位近期工作业绩。<>

以上材料按照顺序装订并密封。<>

七、报名时间<>

(略)年(略)月(略)日至(略)年(略)月(略)日。<>

八、报名地点<>

海南热带雨林国家公园管理局五指山分局五指山市三月三大道河南一横路1号。<>

九、发布公告的媒介 <>

本次选聘公告在五指山市人民政府网站发布。<>

十、联系人及联系方式<>

罗绍忠  (略)<>

海南热带雨林国家公园管理局五指山分局<>

                      (略)年(略)月(略)日

<>

<>

<>

用户需求<>

[if !supportLists]1. [endif]项目背景<>

通过委托专业的网络安全等级保护测评和商用密码应用评估服务机构，对五指山分局智慧管理游客中心综合运营管控系统安全保护等级进行需求分析，并协助用户方完成备案相关事宜。依据等保2.0标准和密码标准体系，如《信息安全技术 网络安全等级保护基本要求》(GBT(略)-(略))、《信息安全技术 网络安全等级保护测评要求》（GBT(略)-(略)）、《信息安全技术 信息系统密码应用基本要求》（GBT (略)-(略)）、《信息系统密码应用测评要求》（GMT (略)-(略)）对信息系统的物理机房、网络结构、应用系统、主机、网络及安全设备等进行合规性检查，分析信息系統与安全保护等级要求及密码应用要求之间的差距，并出具《网络安全等级保护测评报告》和《商用密码应用安全评估报告》及提出具有针对性的整改意见。<>

[if !supportLists]2. [endif]项目工期和地点<>

项目实施工期：(略)<>

地点：(略)<>

[if !supportLists]3. [endif]项目需求<><><>

1、对用户的信息系统进行摸底、分析和梳理，提出详细的测评方案及完成系统备案工作。<>

2、逐一对信息系统进行安全等级保护测评，测评的内容包括但不限于以下内容：<>

（1）安全技术测评：(略)<>

（2）安全管理测评：(略)<>

3、完成测评工作后，出具符合等保要求的网络安全保护等级测评报告，提出整改意见。<>

[if !supportLists]3.1.2. [endif]测评输出(包括但不限于以下内容)<>

（1）网络安全等级保护定级相关文件和报告；<>

（2）网络安全等级保护测评报告。<>

[if !supportLists]3.1.3. [endif]测评对象描述<>

测评对象信息如下：<>

<>

[if !supportLists]3.1.4. [endif]测评服务要求<>

网络等级保护测评过程需按照《信息安全技术 网络安全等级保护测评过程指南》开展工作，等级测评过程分为四个基本测评活动：(略)<>

（1）测评准备活动<>

测评准备工作包括编制项目启动、信息收集和分析、工具和表单准备。<>

详细要求见下表：<>

<>

（2）方案编制活动<>

方案编制活动包括测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书开发及测评方案编制等六项主要任务。<>

详细要求见下表：<>

<>

（3）现场测评活动<>

现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。<>

现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还三项主要任务。<>

详细要求见下表：<>

<>

（4）报告分析及编制活动<>

在现场测评工作结束后，应对现场测评获得的测评结果（或称测评证据）进行汇总分析，形成等级测评结论，并编制测评报告。<>

测评人员在初步判定单元测评结果后，还需进行整体测评，经过整体测评后，有的单元测评结果可能会有所变化，需进一步修订单元测评结果，而后进行风险分析和评价，形成等级测评结论。分析与报告编制活动包括单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成及测评报告编制六项主要任务。<>

详细要求见下表：<>

[if !supportLists]3.2. [endif]商用密码应用安全评估<><>

1、对商用密码应用方案进行分析和梳理，确认相关密码应用设计和建设以及重要敏感数据，提出详细的评估方案。<>

2、逐一对信息系统进行商用密码应用安全评估，评估的内容包括但不限于以下内容：<>

（1）安全技术测评：(略)<>

（2）安全管理测评：(略)<>

3、完成评估工作后，出具符合密评要求的商用密码应用评估报告，提出整改意见并协助完成系统备案。<>

[if !supportLists]3.2.2. [endif]评估输出(包括但不限于以下内容)<>

（1）商用密码应用评估备案相关文件和报告；<>

（2）商用密码应用安全评估报告。<>

[if !supportLists]3.2.3. [endif]评估对象描述<>

评估对象信息如下：<>

[if !supportLists]3.2.4. [endif]评估服务要求<>

信息系统开展的实际密码评估，按照《信息系统密码应用基本要求》，结合《信息系统密码测评要求》给出每个要求条款的评估实施方法。首先给出总体要求、典型密码产品应用、密码功能的评估实施方法，然后从密码技术应用的物理和环境、网络和通信、设备和计算、应用和数据及安全管理等方面进行评估。评估过程分为四项基本评估活动：(略)<>

[if !supportLists]3.2.4.1. [endif]评估准备活动<>

[if !supportLists]u [endif]评估准备活动的工作流程<>

评估准备活动的目标是顺利启动评估项目，准备评估所需的相关资料，为顺利编制评估方案打下良好的基础。<>

评估准备活动包括项目启动、信息收集和分析、工具和表单准备三项主要任务。<>

[if !supportLists]u [endif]评估准备活动的主要任务<>

[if !supportLists]? [endif]项目启动<>

在项目启动任务中，评估机构组建密码评估项目组，获取评估委托单位及被测系统的基本情况，从基本资料、人员、计划安排等方面为整个评估项目的实施做基本准备。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]信息收集和分析<>

评估机构通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和商用密码保护情况，为编写评估方案和开展系统评估工作奠定基础。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]工具和表单准备<>

评估项目组成员在进行系统评估之前，熟悉与被测系统相关的各种组件、调试评估工具、准备各种表单等。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]3.2.4.2. [endif]方案编制活动<>

[if !supportLists]u [endif]方案编制活动的工作流程<>

方案编制活动的目标是整理评估准备活动中获取的信息系统相关资料，为系统评估活动提供最基本的文档和指导方案。<>

方案编制活动包括评估对象确定、评估指标确定、评估检查点确定、评估内容确定及评估方案编制五项主要任务。<>

[if !supportLists]u [endif]方案编制活动的主要任务<>

[if !supportLists]? [endif]评估对象确定<>

根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，以及与此相关的商用密码应用情况，确定出本次评估的评估对象。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]评估指标确定<>

根据已经了解到的被测系统定级结果，确定出本次评估的评估指标。<>

输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]评估检查点确定<>

评估过程中，需要对一些关键安全点进行现场检查确认，比如利用工具抓包测试、查看关键设备的配置、确认密码算法、密码技术、密码产品、密码系统的使用情况等等。这些检查点需要在方案编制时考虑，并且充分考虑到检查的可行性和风险，最低限度的避免对被测系统，尤其是在线运行业务系统的影响。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]评估内容确定<>

本部分确定系统评估的具体实施内容，即评估单元内容。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]评估方案编制<>

评估方案是评估工作实施的基础，指导评估工作的现场实施活动。评估方案应包括但不局限于以下内容：(略)<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]3.2.4.3. [endif]系统评估活动<>

[if !supportLists]u [endif]系统评估活动的工作流程<>

系统评估活动通过与评估委托单位进行沟通和协调，为系统评估的顺利开展打下良好基础，然后依据评估方案实施系统评估工作，将评估方案和评估工具等具体落实到系统评估活动中。系统评估工作应取得分析与报告编制活动所需的、足够的证据和资料。<>

系统评估活动包括系统评估准备、系统评估和结果记录、结果确认和资料归还三项主要任务。<>

[if !supportLists]u [endif]系统评估活动的主要任务<>

[if !supportLists]? [endif]系统评估准备<>

本任务启动系统评估，是保证评估机构能够顺利实施评估的前提。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]系统评估和结果记录<>

评估小组根据评估方案以及系统评估准备的结果，安排评估人员在现场完成评估工作。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]结果确认和资料归还<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]3.2.4.4. [endif]分析与报告编制活动<>

[if !supportLists]u [endif]分析与报告编制活动的工作流程<>

在系统评估工作结束后，评估机构应对系统评估获得的评估结果（或称评估证据）进行汇总分析，形成评估结论，并编制评估报告。<>

评估人员在初步判定评估单元结果后，还需进行整体评估，经过整体评估后，有的评估单元结果可能会有所变化，需进一步修订评估单元结果，而后进行风险分析和评价，形成评估结论。分析与报告编制活动包括单项评估结果判定、评估单元结果判定、整体评估、风险分析、密码等级评估结论形成及评估报告编制六项主要任务。<>

[if !supportLists]u [endif]分析与报告编制活动的主要任务<>

[if !supportLists]? [endif]单项评估结果判定<>

本任务主要是针对单项评估指标，结合具体评估对象，客观、准确地分析评估证据，形成初步单项评估结果，单项评估结果是形成密码等级评估结论的基础。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]评估单元结果判定<>

本任务主要是将单项评估结果进行汇总，分别统计不同评估对象的单项评估结果，从而判定评估单元结果，并以表格的形式逐一列出。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]整体评估<>

针对单项评估结果的不符合项，采取逐条判定的方法，给出整体评估的具体结果，并对系统结构进行整体安全评估。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]风险分析<>

评估人员依据信息系统密码应用的相关规范和标准，采用风险分析的方法分析密码评估结果中存在的安全问题可能对被测系统安全造成的影响。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出：(略)<>

[if !supportLists]? [endif]密码等级评估结论形成<>

评估人员在评估结果汇总的基础上，找出被测系统密码保护现状与密码应用安全性评估要求之间的差距，并形成密码等级评估结论。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]? [endif]密码评估报告编制<>

评估报告应包括但不局限于以下内容：(略)<>

其中，概述部分描述被测系统的总体情况、本次评估的主要评估目的和依据；被测系统描述、评估对象、评估指标、评估内容和方法等部分内容编制时可以参考评估方案相关部分内容，有改动的地方应根据实际评估情况进行修改。<>

[if !supportLists]? [endif]输入：(略)<>

[if !supportLists]? [endif]输出/产品：(略)<>

[if !supportLists]4. [endif]项目服务要求<><>

项目实施过程中，投标人应遵循国家标准、行业标准。<>

在项目实施中投标人须做到：<>

[if !supportLists]1. [endif]提供完整的系统实施方案和项目实施管理办法；<>

[if !supportLists]2. [endif]项目实施完成后提供可靠的后期技术服务工作；<>

[if !supportLists]3. [endif]严格按照双方确定的计划进度保质保量完成工作；<>

[if !supportLists]4. [endif]规范项目实施过程中的文档管理。<>

[if !supportLists]4.2. [endif]项目验收要求<>

中标人必须提供给业主详细的项目验收方案。<>

[if !supportLists]4.2.1. [endif]验收组织<>

成立由业主、中标人以及其他有关人员组成的验收小组，负责对项目进行全面的验收。<>

[if !supportLists]4.2.2. [endif]验收标准<>

[if !supportLists]1) [endif]标准化：(略)<>

[if !supportLists]2) [endif]系统稳定性：(略)<>

[if !supportLists]3) [endif]系统文档：(略)<>

[if !supportLists]4) [endif]系统可操作性：(略)<>

[if !supportLists]4.3. [endif]售后服务要求<>

对于现状测评和评估过程中发现的安全问题，投标人应先出具问题汇总报告，并给招标人预留三十天的整改时间，整改完成后投标人提供一次全面问题复查，并出具《网络安全等级保护测评报告》和《商用密码应用安全评估报告》。同时招标针对本次测评和评估范围内的问题提供一年期的远程技术咨询服务。<>