采购需求前附表
一、项目概述
1.项目背景
为进一步加强吉林省税务局网络安全主动防护能力，同时为严防税费相关数据被滥用和泄露，根据税务总局文件要求，拟进行网络安全整改加固及数据安全日志分析系统项目的建设。
2.项目内容
2.1采购内容
采购WAF设备2台、异构WAF设备2台、高级威胁感知设备1套。建设数据安全日志留痕及分析系统，主要包括：数据库接入管理、统一数据库运维操作管理、软件操作接入管理、数据库常用操作模板管理、操作缓存管理、操作回溯管理、辅助数据库操作功能等主要功能，驻场运维工程师一人，服务期一年。
2.2实现目标
更换老旧网络安全设备，补足安全技术短板，进一步加强省局网络安全防护能力。建设数据安全日志留痕及分析系统，实现强化对税收分析平台、办公辅助系统等省局自建软件的税费数据查询操作日志留痕管理，具备可支持总局金税四期相关软件系统数据库税费数据操作日志留痕的扩展功能。建立数据库操作回溯平台，将数据库DDL操作产生日志和影响的数据进行留痕6个月，6个月内可以进行追溯和数据还原，强化对相关系统数据库数据维护管理。强化相关系统税费操作日志管理等数据安全管理目标。
二、投标/响应要求
（一）供应商资格要求
1.供应商必备的资质
（1）★法人或者其他组织的营业执照等证明文件（复印件）；
（2）★2020或2021年度经会计师事务所审计的财务报告，包括资产负债表、利润表(损益表、收益表)、现金流量表、所有者权益变动表及其附注（复印件）；开业不满一年的提供验资报告或银行出具的资信证明或公司成立之日后的财务报表（复印件）；财务报告中要求提供内容为实质性要求条款(即重要条款)，缺少相关资料，在评标时将其视为无效投标。
（3）★提供近6个月已缴存的至少一个月的纳税证明或完税证明的相关材料，如依法免税或不需要纳税的，则应提供相应文件证明（复印件）；
（4）★提供近6个月已缴存的至少一个月的社会保障资金缴存单据或社保机构开具的社会保险参保缴费情况证明的相关材料，如依法不需要缴纳社会保障资金的，则应提供相应文件证明（复印件）；
（5）★参加本项目投标前三年内，在经营活动中没有重大违法记录（指供应商因违法经营受到刑事处罚或者责令停产停业、吊销许可证或者执照、较大数额罚款等行政处罚）的书面声明；
（6）★具备履行合同所必需的设备和专业技术能力的证明材料(由供应商根据项目需求提供说明材料或者承诺)。
2.供应商优选资质要求
（1）具有ISO9001系列质量认证证书
（2）具有ISO20000信息技术服务管理体系资质
（3）具有ISO27001信息安全管理体系认证证书
（4）具有CMMI软件能力成熟度模型认证证书
（5）具有良好的企业信用情况
（6）成功案例要求：
提供2019年1月1日以来（以合同签订日期为准）独立承担实施的相似或类似项目成功案例。
3.本次招标不接受联合体投标，禁止有隶属关系或相关联企业同时投标，不得转包及分包，不采购进口产品。
（二）投标文件技术部分响应内容要求
投标人依据业务技术需求提供相关方案，包括项目需求理解、项目管理方案、集成实施方案、验收方案和售后服务方案。
三、项目需求
其中★指标为必备指标，不满足按无效处理；▲指标为重要指标，满足得分不满足不得分；无标识的为一般指标。

序号	指标种类	指标名称	指标内容	是否需要证明材料
产品1（高级威胁感知设备）
1	硬件规格	硬件规格	★硬件：2U硬件，2 *12核心24线程CPU，160内存，1 * 250G SSD系统盘 + 3 * 2T HDD RAID 0数据盘，2集成千兆电口（管理口）+4独立千兆电口（业务口）+2独立万兆光口（业务口），冗余电源。	需提供官网截图或URL链接
2	性能	性能	★至少满足：静态文件检测能力400万个/天、动态文件检测能力12800个	需提供官网截图或URL链接
3	协议解析和文件还原	协议解析和文件还原	支持对IPv4/IPv6等网络层协议的解析，支持VLAN、VXLAN等网络流量的解析。
4			支持对HTTP、FTP、SMB、SMTP、POP3、IMAP、WebMail、HTTP proxy等协议传输文件的还原。
5	恶意文件检测	恶意文件检测	恶意文件检测功能至少静态文件检测、动态行为检测、威胁情报检测、机器学习检测等技术，待检测文件综合利用上述几种检测技术进行文件检测，输出综合检测结果，同时也需各检测技术引擎输出各自检测结果。
6			静态文件检测技术支持包括：文件HASH检测、反病毒引擎检测、CVE检测、YARA自定义规则检测等检测引擎，且每种静态文件检测技术引擎均能够各自输出检测结果。
7			沙箱支持加密压缩包破解功能，可自定义压缩口令字典，用于自动尝试破解压缩包文件进行检测。
8			沙箱支持对样本产生的联网行为进行威胁情报检测，发现黑IP、黑域名、黑URL及黑MD5请求行为。
9			沙箱支持对样本的联网行为进行数据包存储，在系统管理界面能够在线查看联网数据包内容，至少能够查看到目的IP、目的端口、16进制和ASCII格式数据包内容。
10			沙箱支持对样本文件内容的敏感词过滤，发现文件正文内容中存在的黑IP、黑域名、黑URL内容。如：word文档正文中包含有黑IP、黑域名、黑URL内容可被检测出威胁。
11			沙箱支持安装包程序释放物检测，安装包文件在沙箱中能够自动完成安装，并对安装包中隐藏的恶意释放物进行文件检测。
12			▲沙箱支持提取shellcode，能够shellcode进行反汇编后展示，并支持高亮等形式醒目标识出反编译的代码中的执行点代码。	需提供配置界面截图或URL链接
13			支持机器学习模型检测文件威胁，包括对PE、PDF、Office类文件类型的机器学习模型，模型覆盖：动态学习模型、静态学习模型、动态和静态混合学习模型。
14			▲支持利用机器学习模型对恶意样本进行智能分类分析，分类至少包括：广告软件、后门软件、下载者、木马、蠕虫的分类判定。	需提供配置界面截图或URL链接
15			文件检测支持检测规则自定义功能，包括：YARA自定义规则、文件黑HASH等策略自定义。
16			文件检测报告需具备：文件名、威胁级别、文件HASH检测结果、内容分析结果、行为分析结果、CVE检测结果、机器学习检测结果等信息及样本的行为进程树、样本的行为实体图、API调用等信息。
17			流量检测至少支持协议：icmp、udp、tcp、dns、http、httpproxy、webmail、ftp、smtp、pop3、imap、smb、TLS、SSH、MSN、JABBER、DCERPC、IRC、MODBUS、ENIP、DNP3、NFS、NTP、IKEV2、KRB5、DHCP、TFTP等。
18	流量威胁检测	流量威胁检测	▲支持Web攻击、失陷主机、远程漏洞攻击、隐蔽信道行为、异常通信行为等威胁通信会话数据包存储，且支持在系统管理界面在线查看数据包内 容，包括目的IP、目的端口、16进制和ASCII格式数据包内容。	需提供配置界面截图或URL链接
19			支持Web攻击检测，检测Web漏洞扫描及利用行为，支持Web攻击结果自动判断和告警规则示例图离线查看。支持Webshell控制检测，能够检测Webshell控制行为。
20			失陷主机检测至少包括通过信誉库（黑IP、黑URL、黑域名）和恶意代码通信特征库（恶意代码上线、文件操作、屏幕截图、命令控制等活动行为特征）来检测失陷主机通信活动行为。
21			支持DNS、HTTP、ICMP等协议的隐蔽信道检测，至少包括：DNS协议TXT字段、DNS域名Label长度内容、DNS协议非法字符、HTTP中的Cookie数据传输 、ICMP流负载等方式的隐蔽信道。
22			支持可疑流量检测功能，支持检测100种以上主流黑客工具的流量；检测主流远程应用软件和代理软件通信行为；支持检测捆绑软件、弹窗、流量推广等广告软件通信行为；支持对协议异常、异常错误显示、可疑SSL、可疑下载行为、策略异常、主机探测、端口扫描行为的等可疑流量检测。
23			支持异常行为的检测功能，包括但不限于动态域名、DGA检测、异常协议、异常心跳等。
24			支持攻击确认功能，根据告警的回包状态、包内容关键词、频率，分析告警成功、失败、企图，优先关注攻击成功，明确重点。
25			支持特征高亮功能，在Pcap包在线预览中，标记出web攻击、漏洞攻击等告警的恶意代码特征，提高分析效率。
26	场景化分析	场景化分析	支持口令专项场景化分析，至少能对FTP、TELNET、POP3、SMTP、IMAP等协议的登录口令进行审计，能够识别口令是否为弱口令。
27			支持非法访问场景化分析，能够配置网络安全基线策略，对符合策略的异常访问行为进行检测。
28			支持邮件场景化分析，能够对邮件内容、恶意发件人、邮件附件进行检测分析。其中邮件内容检测功能需能够自定义邮件正文内容关键词，恶意发件人检测功能需能够自定义发件人黑名单和白名单。
29	关联分析	关联分析	支持时间序列关联分析模型，能够查询系统产生的所有事件，并按照事件产生的时间进行排列，以呈现该资产的所遭受攻击的全局路径图。
30			支持基于KILLCHAIN关联分析模型，能够对指定资产所遭受的攻击行为按照KILLCHAIN不同阶段继续分类统计、分析，以全局的视图呈现网络中指定资产遭受到的攻击情况。
31	态势感知	态势感知	支持对实时攻击态势进行动态地图展示，在态势地图中可按日或按周展示各种攻击源到目的地址的攻击路径，并统计告警数量和被监测网络全局范围中攻击源地址、被攻击地址、攻击来源国家的TOP5排名。
32			支持对已经配置的资产（如：服务器、桌面系统、移动设备、网络设备、安全设备、打印机）进行重点监控，查看资产当天/一周对应的威胁情况，帮助管理员进行快速响应。
33	告警方式	告警方式	支持以邮件方式将告警信息发送到指定的接收人邮箱。
34			支持事件上传至第三方平台功能，至少支持Syslog和Kafka两种方式转发系统性能日志、审计日志、威胁警告事件等内容。
35	安全报告和统计报表	安全报告和统计报表	支持自动化生成安全报告功能，能够自定义威胁报告内容，生成相应的系统威胁状态分析报告，并导出成可编辑的WORD格式。
36			支持自定义时间和类型统计报表查询，能够对指定时间段内，当前系统的所有事件以及指定分类（文件、失陷主机、漏洞攻击、WEB检测、异常行为）的统计信息进行查询，并支持以邮件形式自动发送报表到指定邮箱中。
37	知识库	知识库	系统应支持对检测出的威胁信息提供知识说明。知识库内容需包括威胁标签、描述信息、解决建议、时间线等信息。
38	可视化调试管理	可视化调试管理	支持自定义策略进行抓包，按照协议、IP、端口抓取流量包并存储流量PCAP文件。
39	防火墙联动	防火墙联动	支持与山石、天融信等品牌防火墙联动，实现网络攻击行为的阻断。支持自动阻断联动和自定义阻断联动两种方式。
40	配置与管理	配置与管理	支持开启/停用系统主要功能模块操作，如文件检测、WEB检测、流量检测等功能模块。
41			黑白名单自定义库管理功能，包括：黑IP、黑URL、黑域名、文件HASH；白IP、白域名、白文件HASH、YARA检测规则自定义配置。
42			支持对重要资产、业务系统信息登记，资产类型支持：服务器、桌面系统、移动设备、网络设备、安全设备、打印机、其他设备等多种类型，同时支持自定义配置资产关联告警策略，策略支持：威胁等级、资产名称、邮件发送人、邮件接收人等自定义。
43	产品资质	产品资质	提供产品的《计算机软件著作权登记证书》。	需提供证书扫描件或URL链接
产品2（WAF）
1	性能参数	性能参数	★提供的产品：USB接口≥2, RJ45串口≥1, GE管理口≥2，万兆SFPP接口≥2，硬盘≥500G。	需提供官网截图或URL链接
2			★提供的产品：应用层吞吐量≥20GB，最大并发连接数≥400万，每秒新建事务数≥70000cps。	需提供官网截图或URL链接
3			▲支持HTTP 1.0/1.1，且可根据现网环境配置协议降级。	需提供配置界面截图或URL链接
4			具有自主专利技术，支持与同品牌SaaS扫描服务或者Web漏洞扫描器产品联动，在WAF上定期自动获取专家级、个性化的《WEB漏洞扫描报告》，自动生成WEB安全防护策略；支持手动导入扫描结果，也支持在WAF上自动下发扫描任务，扫描完成后扫描结果自动上传WAF。
5			支持多种防护动作，包括但不限于放过、阻断、接受、重定向、伪装、清除和替换。可针对不同安全风险提供多种可选方案。
6			支持在安全日志中带有客户端真实IP地址，便于IP溯源。
7			支持对于用户登录密码错误的次数进行限制，并可封禁异常登录的账号或IP，封禁时间可以配置。
8			▲支持ARP攻击防护，支持MAC地址绑定。	需提供配置界面截图或URL链接
9			支持对攻击源地址的智能阻断，支持永久封禁或者自定义IP封禁时间（秒/分钟/小时），并且可以手工解除解禁。
10			支持不同安全事件类型以不同的颜色区分。
11	产品资质	产品资质	厂商应具备足够的信息安全服务技术实力及安全服务保障能力，获得中国信息安全测评中心颁发的信息安全服务安全开发类一级资质证书。
12			参与起草了《标准信息安全技术 WEB应用防火墙 安全技术要求与测试评价方法》GB/T 32917-2016。
13			2014-2017连续4年入选Gartner WAF魔力象限。
14	部署能力	部署能力	支持与同品牌的抗拒绝服务系统联动，对流量进行按需清洗。
15			▲反向代理透明部署：在反向代理模式下，支持不改变客户端源IP，满足客户因会话保持等业务需要，需要网络设备不改变源IP的场景。	需提供配置界面截图或URL链接
16			支持HTTPS国密算法
产品3（异构WAF）
1	硬件参数	硬件参数	★硬盘容量≥500G，冗余电源，接口：千兆电口≥4个，千兆光口≥4个，万兆光口SFP+≥4个。	需提供官网截图或URL链接
2	性能参数	性能参数	★网络层吞吐量≥35G，应用层吞吐量≥15G，并发连接数≥410万，HTTP新建连接数≥18万。	需提供官网截图或URL链接
3	功能参数	功能参数	支持路由模式、透明模式、虚拟网线模式、旁路镜像模式等多种部署方式。
4			支持Web管理、串口管理、SSH管理等多种不同方式。
5			支持链路聚合功能，可以将多个物理链路组合成一个性能更高的逻辑链路接口，提高链路带宽和链路可靠性。
6			支持静态路由、策略路由和多播路由协议，并支持BGP、RIP、OSPF等动态路由协议。
7			▲产品支持用户账号安全保护功能，包括用户账号多余入口检测、用户账号弱口令检测、用户账号暴力破解检测、失陷账号检测，防止因账号被暴力破解导致的非法提权情况发生。	需提供配置界面截图并提供国内权威检测机构关于“账号保护”的相关证书证明功能有效性
8			支持基于IP对象的会话控制策略，实现并发连接数的合理限制。
9			支持多维度安全策略设置，可基于时间、用户、应用、IP、域名等内容进行安全策略设置。
10			▲产品支持服务器漏洞防扫描功能，并对扫描源IP进行日志记录和联动封锁。	提供具备CMA认证的第三方权威机构关于“国家/地区的流量管理”功能项的产品检测报告
11			支持对文件传输行为进行安全过滤，支持基于上传、下载、双向的文件内容过滤，内容过滤类型至少支持网页、脚本、压缩文件、图片、可执行文件、适配、文本等常见文件类型。
12			支持安全策略有效性分析功能，分析内容至少包括策略冗余分析、策略匹配分析、风险端口风险等内容，提供安全策略优化建议。
13			产品支持勒索病毒检测与防御功能，针对勒索病毒攻击设置专项安全策略
14			产品支持Cookie攻击防护功能，并通过日志记录Cookie被篡改。
15			产品支持异常数据包攻击防御，防护类型包括IP数据块分片传输防护、Teardrop攻击防护、Smurf攻击防护、Land攻击防护、WinNuke攻击防护等攻击类型。
16			产品支持对SMTP、HTTP、FTP、SMB、POP3、HTTPS、IMAP等协议进行病毒防御。
17			产品支持杀毒白名单设置，可以例外排除特定MD5和URL的病毒文件，针对特定文件不进行查杀。
18			▲产品支持主动防御功能，通过与云端蜜罐智能联动，通过仿真虚拟业务混淆黑客攻击，并对攻击进行溯源取证和阻断威胁IP，保护网络真实业务安全。	需提供配置界面截图或URL链接
19			支持基于地区维度设置流控策略，实现多区域流量批量快速管控功能。
20			产品支持未知威胁检测能力。
21	商务资质	商务资质	所投防火墙产品具备IT产品信息安全认证证书EAL4增强级
产品4（数据安全日志留痕及分析系统和运维）
1	软件操作接入管理	软件操作接入管理	能够支持对省局税收分析平台、办公辅助系统等自建软件操作接入管理，包含接入配置管理功能、操作采集功能、操作数据应用功能。配置管理功能，提供接入渠道管理，数据使用管理，服务器配置等配置功能。 支持部署内网和外联网，针对网段内的数据库适配后可以进行数据日志的留痕和分析。提供软件对接的接口，支持存量系统和新增系统数据操作相关的日志搜集对接。
2	统一数据库接入管理	统一数据库接入管理	对接入的数据库进行统一管理，对数据库关键信息（如数据库IP、数据库端口、登录用户、登录密码）进行记录，在进行数据库信息保存时需先进行对信息加密（参照数据加解密服务中的要求）后进行数据保存。防止数据库敏感信息广泛传播。使用数据库敏感信息时也需要遵守信息解密规范，对操作人员身份进行确认后进行数据解密后按权限范围进行使用。
3	数据库操作管理	数据库操作管理	在进行统一数据库操作前需要确定用户访问权限，选择能够访问的进行过统一数据库接入的数据库。
4	数据库操作回溯管理	数据库操作回溯管理	缓存后的数据，可以提供给数据库操作审核人员进行参考，也可以在数据库操作实际执行后进行数据回溯。对于删除操作，会将操作对应的原始数据显示出来，对于更新语句，会将更新字段的原值和新值同时显示出来，并可下载数据，可做为恢复数据使用。
5	统一服务器操作管理	统一服务器操作管理	统一服务器操作管理功能主要实现服务器维护功能、常用维护模板保存功能、批量运维等功能。服务器维护功能，操作员登录后选定一台服务器，会显示一个模拟的终端输入界面，在这里可以输入操作执行，与shell窗口方式相似。
6	日志管理	日志管理	日志管理子系统主要实现集中化日志采集功能、统一管理日志、多维度关联日志分析功能、快速发现潜在安全事件功能、对各类风险实时监控告警通知等功能，从而达到事前预防问题，事中实时的发现问题的目标。
7	日志数据加解密服务	日志数据加解密服务	系统需要实现并提供密码服务处理服务，处理平台数据交互接口调用规范，方便系统及第三方软件进行数据加解密的调用服务。密码认证处理服务提供HTTP通用结构标准方式，密码算法使用符合国密标准的密码算法进行加解密。
8	系统管理	系统管理	权限管理子系统包括用户管理、角色管理、权限管理、代码表维护等功能。用户提供新建用户、修改用户、删除用户（非物理删除）、导入用户等用户操作。对采集到的重要的用户信息进行加密保存。

四、项目实施要求
（一）到货及实施工期要求：
1、硬件部分
设备到货期限：合同签订后30日内设备到货，7日内完成安装调试。
2、软件部分
合同签订后30日内完成软件开发。数据安全日志留痕及分析系统部署和实施工作，包括需求分析、概要设计、代码开发、软件测试、上线部署实施、验收等。
项目实施地点为吉林省税务局。
（二）编制项目方案要求：
中标供应商应编制详细的项目方案，包括但不限于项目组织机构、实施计划、进度管理、质量管理、风险管理、沟通管理等。
（三）工作范围及内容要求：
1、硬件部分
到货后，根据采购人安排的系统调整时间窗口进行设备替换，为保证业务稳定，要编制实施及应急方案，将原有设备配置平滑迁移并在线割接，实现新老设备的平稳更替，满足后续业务及技术发展的需求。
2、软件部分
（1）根据项目需要，完成需求分析、概要设计、代码开发、软件测试、上线部署等工作
（2）提供完整的培训方案，培训组织职责清晰、科学、严谨，风险控制合理，具有较强的可操作性，确保实际使用单位完全掌握使用方法和日常维护要求。
（3）根据合同及双方约定，完成项目验收工作。
（四）实施队伍要求：
（1）中标供应商需为本项目配备专门的实施团队，实施团队要求具有类似项目经验，应选派专人担任项目经理，具有2年以上项目管理经验，具有成功实施类似项目的实际经验，熟悉行业情况。
（2）中标供应商需采用国际通用的软件工程实施和项目管理方法，制定行之有效的项目计划管理方案，采用科学合理的方法确定进度目标，提供完整的质量保证体系，对项目实施的全过程进行监控和管理，对项目进度和工程实施进度进行控制。
（3）中标供应商投标人需投入不低于8人的技术力量，参与人员具备系统分析师、系统架构设计师、中间件（weblogic）系统管理员、用户界面（UI）设计师、数据库大师认证【OCM(Oracle Certified Master) 11g】等相关资质。
五、项目验收要求
1、到货验收
采购人根据合同内容对本次所采购设备的型号、规格、数量等核对并验收。
2、项目实施后验收
采购设备由原厂商和中标供应商提供现场专业技术咨询、安装、集成、割接上线、调试、特护和试运行技术支持服务。软件通过系统测试或试运行，并将测试或试运行阶段出现的问题全部解决，保障系统上线并稳定运行1个月后，文档齐全，投标人可提出验收申请。
3、验收要求
（1）项目验收由采购人组成验收小组，对整体工作进行验收。
（2）中标供应商应提前准备验收资料、项目总结等文档。
（3）项目验收基本要求如下：
运行期间系统整体运行正常；系统功能及性能指标满足招标人要求。
（4）在运行维护中出现性能指标或功能上不符合招标文件和合同要求时，由中标供应商负责解决。采购人有拒绝的权利并保留索赔权利。
4、主要交付成果及要求
中标供应商必须向采购人提供以下资料及文档，所有文档要求详实、完整，对于软件开发规范中涉及的技术文档，应按照规范要求进行提交，并确保项目文档的完整性和准确性。
包括但不限于以下文档：需求规格说明书、软件设计说明书、测试用例、内部测试报告、业务技术测试及试运行报告及文档、需求变更相关文档、最新版操作手册等。
六、项目技术支持服务要求
1、质保期：
（1）硬件质保三年。
（2）软件部分，项目验收之日起，提供两年的技术支持和运行维护，包括新增特色软件接口及数据库日志留痕对接服务。驻场运维人员具备至少三年工作经验，从事过税务行业相关开发及运维经历。
2、响应时间：在接到故障/报修电话后1小时内做出实质性响应，一般维护应在4小时内解决问题；根据用户要求，问题解决后24小时内，提交问题处理报告，说明问题种类、问题原因、问题解决中使用的方法及造成的损失等情况。
3、应急响应：服务期内，如遇到突发设备故障等情况，投标人应承诺给予支持，委派工程师配合完成相应工作。
4、售后服务团队：中标供应商设有专业、规范的呼叫中心，提供7×24小时技术支持和服务，以电话、远程网络或现场服务等方式，及时、高效处理使用过程中出现的问题。
七、税收信息化项目开发和应用管理工作要求
中标供应商应严格按照吉林省税务局应用信息系统开发和运维服务方管理要求开展工作，确保数据安全日志留痕及分析系统系统安全、稳定、高效运行。
八、其他要求
1.项目保密要求：
（1）双方应对在合同签订或履行过程中所接触的对方信息，包括但不限于知识产权、技术资料、技术诀窍、内部管理及其他相关信息，负有保密义务。
（2）中标供应商在使用用户方为其提供的数据、程序、用户名、口令、资料及采购方相关的业务和技术文档，包括税收政策、方案设计细节、程序文件、数据结构，以及相关业务系统的硬软件、文档、测试和测试产生的数据时，应遵循以下约定:
应以审慎态度避免泄露、公开或传播用户方的信息;
未经用户方书面许可，不得对有关信息进行修改、补充、复制:
未经用户方书面许可，不得将信息以任何方式(如 E-mail)携带出采购方场所:
未经用户方书面许可，不得将信息透露给任何其他人:
用户方以书面形式提出的其他保密措施。
（3）保密期限不受合同有效期的限制，在合同有效期结束后，信息接受方仍应承担保密义务，直至该等信息成为公开信息。
（4）双方如出现泄密行为，泄密方应承担相关的法律责任并承担由此给对方造成的经济损失。
2.知识产权要求：
中标供应商需保证所提供的服务不侵犯第三方的知识产权（专利权、商标权、版权等），因侵害第三方知识产权而产生的法律责任，全部由投标人承担。
3、中标供应商禁止另行开发合同业务需求范围内、供纳税人、缴费人使用的软件；禁止在合同履行期间“围猎”税务人员，对违反以上规定的，将纳入失信名单；对于违反网络安全规定行为造成不良后果的中标供应商，3年内限制参加税务系统政府采购活动；中标供应商应建立防止违法违规聘用离职税务人员风险控制制度，如出现违法违规聘用离职税务人员行为，采购人有权对中标供应商采取以下措施：限期改正、要求支付违约金、解除合同、3年内限制参加所聘人员原单位及下属单位信息化项目政府采购活动等措施。投标人针对以上内容提供承诺函。
4.付款方式：本项目硬件设备到货，完成安装、调试正常运行；软件开发完毕系统上线运行，经需求部门验收合格后15日内乙方提出付款申请并出具合法等额发票后15日内一次性支付全部费用。
履约保证金及其返还：本采购项目收取履约保证金为合同金额的10%。合同履行完毕乙方无违约行为，履约保证金于合同期限届满后15日内无息返还。