依据《GB/T39786-2021信息安全技术信息系统密码应用基本要求》等标准的要求，对采购方重要信息系统进行商用密码应用安全性评估及提供建设咨询服务，提供总体规划、密码应用方案评审、安全建设咨询、商用密码应用安全性评估服务，并出具符要求的相关报告。项目概况编写日期：2022年7月商用密码应用安全性评估采购需求武汉市人力资源和社会保障局

《商用密码管理条例》《政务信息系统密码应用与安全性评估工作指南》《关于请进一步加强国家政务信息系统密码应用与安全性评估工作的函》《中华人民共和国密码法》2.1遵循的标准和规范工作内容

根据《GB/T39786-2021信息安全技术信息系统密码应用基本要求》，投标人选择与之相对应的标准条款，对武汉市人力资源和社会保障局需要测评的信息系统所涉及的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、密钥管理及安全管理等方面进行评估，出具密码应用安全性评估报告。2.2商用密码应用安全性评估《信息系统密码应用高风险判定指引》《信息系统密码应用测评要求》《信息系统密码应用测评过程指南》《GB/T39786-2021信息安全技术信息系统密码应用基本要求》

设备和计算安全应包括：身份鉴别、远程管理身份鉴别信息机密性、访问控制信息完整性、敏感标记完整性、重要程序文件完整性、日志记录完整性、硬件密码模块实现等工作单元。（3）、设备和计算安全网络和通信安全应包括：身份鉴别、访问控制信息完整性、通信数据完整性、通信数据机密性、集中管理通道安全、硬件密码模块实现等工作单元。（2）、网络和通信安全物理和环境安全应包括：身份鉴别、电子门禁记录数据完整性、视频记录数据完整性、硬件密码模块实现等工作单元。（1）、物理和环境安全

安全管理应包括制度、人员、建设、应急等工作单元。（6）、安全管理密钥管理应包括密钥生成、密钥存储、密钥分发、密钥导入与导出、密钥使用、密钥备份与恢复、密钥归档、密钥销毁等工作单元。（5）、密钥管理应用和数据安全应包括身份鉴别、访问控制、数据传输安全、数据存储安全、日志记录完整性、重要应用程序的加载和卸载、抗抵赖、硬件密码模块实现等工作单元。（4）、应用和数据安全

保密原则：对评估的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害招标方的行为。在项目实施过程中必须满足以下原则：3.1评估实施原则实施要求对评估中检测出的问题针对性提出解决方案，协助采购方完善系统防护措施，达到对应标准，满足监督审核要求。2.3整改咨询服务

3.2整体要求整体性原则：评估的范围和内容应当整体全面，包括密码应用于安全性评估等相关要求涉及的各个层面。最小影响原则：评估工作应尽可能小的影响系统和网络，并在可控范围内；评估工作不能对现有信息系统的正常运行、业务的正常开展产生任何影响。可控性原则：项目安排工作进度要跟上进度表的安排，保证工作的可控性。规范性原则：投标人对工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制。标准性原则：评估方案的设计与实施应依据国家信息系统安全等级保护的相关标准进行。

3.4安全管理要求商用密码应用安全性评估工具须包含算法验证工具、随机数检测工具、协议分析工具和漏洞扫描工具等。在使用前应对工具进行检测，如果需要则对工具进行软件或代码升级。3.3专用工具要求（3）供应商必须具备丰富的项目经验，参与项目的评估人员不少于3人；供应商应持有中国信息安全测评中心颁发的信息安全服务资质证书（安全工程类一级）或质量管理体系认证证书(ISO9001)或软件企业证书或检验检测机构资质认定证书（CMA）。（2）投标人应详细描述人员的组成、资质及各自职责的划分。投标人应配置有评估资质的专业人员进行本次商用密码评估工作。（1）投标人应详细描述本次信息系统评估的整体实施方案，包括项目概述、评估方案、评估过程中需使用设备清单、时间安排、阶段性文档提交等。

（1）对被评估单位的性质、机房物理位置、网络与系统、应用与服务、资料与数据、人员与管理等方面的信息进行严格的安全保密管理；3.4.2评估中（2）签订安全保密协议。（1）对实施人员要进行安全保密教育，制定安全保密措施；3.4.1评估前为做好全过程的安全保密工作，在商用密码应用安全性评估前、中、后三个阶段都要做好安全保密工作。

3.4.3评估后（6）对进场人员遵守被测单位的相关管理规定。（5）工作过程中对人员要实施封闭式集中管理；（4）对评估设备、介质进行严格的保密管理；（3）对被测单位信息系统的信息资产、发现的脆弱性和发生过的安全事件等威胁情况要控制知情范围；（2）评估工具应经过严格测试和检验，确保不对被评估系统造成损失，工作结束后不驻留任何程序；

指定项目经理为专人负责商用密码应用安全性评估过程中的安全保密管理工作，对评估活动、评估人员以及相关文档和数据进行安全保密管理，对重点设备的技术检测进行监督，对接入的检测设备进行控制。项目开展工作涉及到单位重要信息系统和数据，在评估过程中必须加强安全保密管理与风险控制。3.5风险规避要求（3）在其他风险测评任务或宣传材料中不涉及被测单位的秘密、敏感情况。（2）现场工作结束后，按被测单位的要求及时还原系统，确保系统中不遗留任何代码或可执行程序；（1）认真清退各种文档、资料和数据并予以销毁，确保工作过程中敏感数据不被泄漏；

（3）人员与数据管理对评估直接影响系统工作时，尽可能避开敏感时期。（2）操作时间控制在实施过程中必须遵守的相关操作章程，以防止敏感信息泄漏和确保及时处理意外事件。（1）操作的申请和监护对评估工作中可能出现的安全风险点，按照检测对象周密制定评估方法，根据被评估对象的不同采取相应的风险控制手段。不限于以下方法：

（6）优化扫描策略对影响较大的重要关键业务系统在无法搭建模拟环境情况下，原则上不采用评估工具，采用访谈、测评和简单测试的方式进行。（5）关键业务系统风险控制根据评估范围界定的系统情况，在实施前制定应急预案。（4）制定应急预案必须高度重视信息保密工作，加强资料管理，确保人员可靠、稳定和可控。评估与被评估单位之间应签署保密协议，按国家有关要求做好保密工作。

评估内容采购方协调厂商按需提供各应用系统的名称、版本、协议、开发语言、进程名和相应的端口号等信息，在评估之前，由三方共同分析评估对业务可能造成的风险，分析可能存在的问题。（8）厂商协作对业务系统和数据库主机，应对其上数据进行备份，防止评估过程中对设备与主机的损伤影响业务系统的正常运行。（7）数据备份与恢复分类扫描:对不同的主机和设备类型执行不同的扫描会话，从而减少不必要的脆弱项目测试。针对扫描对象细化扫描策略：对不同类型的主机或设备，需要根据其上不同的应用和服务情况，有针对性地定制扫描策略选项。

主要涉及设备和计算安全：身份鉴别、远程管理通道安全、系统资源访问控制信息完整性、重要信息资源安全标记完整性、日志记录完整性、重要可执行程序完整性、重要可执行程序来源真实性方面评估。4.3设备和计算安全主要涉及网络和通信安全：身份鉴别、通信数据完整性、通信过程中重要数据的机密性、网络边界访问控制信息的完整性、安全接入认证方面评估。4.2网络和通信安全主要涉及物理与环境安全：身份鉴别、电子门禁记录数据存储完整性、视频监控记录数据存储完整性方面评估。4.1物理和环境安全

主要涉及密码人员管理：了解并遵守密码相关法律法规和密码管理制度、建立密码应用岗位责任制度、建立上岗人员培训制度、定期进行安全岗位人员考核、建立关键岗位人员保密制度和调离制度方面评估。4.6人员管理主要涉及密码管理制度：具备密码应用安全管理制度、密钥管理规则、建立操作规程、定期修订安全管理制度、明确管理制度发布流程、制度执行过程记录留存方面评估。4.5管理制度主要涉及应用和数据安全：身份鉴别、访问控制信息完整性、重要信息资源安全标记完整性、重要数据传输机密性、重要数据存储机密性、重要数据传输完整性、重要数据存储完整性、不可否认性方面评估。4.4应用和数据安全

评估输出成果主要涉及密码应急处置：应急策略、事件处置、向有关主管部门上报处置情况方面评估。4.8应急处置主要涉及密码建设运行：制定密码应用方案、制定密钥安全管理策略、制定实施方案、投入运行前进行密码应用安全性评估、定期开展密码应用安全性评估及攻防对抗演习方面评估。4.7建设运行