一、项目名称

晋商银行应用安全与供应链安全分析设备采购项目

二、项目背景   

开源技术已成为全球软件技术和产业创新的主导模式，是新一代信息技术发展的基础和动力，广泛应用于各行各业，开源软件的使用为金融科技的发展和创新注入了巨大的活力，也让金融行业具备更高的灵活性。根据《关于规范金融业开源技术应用于发展的意见》中的相关要求，金融机构应当把保障信息系统安全作为使用开源技术的底线，认真开展事前技术评估和安全评估，堵塞安全漏洞，切实保证技术可持续和供应链安全，提升信息系统业务连续性水平。根据业务场景，选择适宜的技术路线，制定合理的开源技术应用策略，包括独立完成开源技术应用及运维、引入第三方机构的开源技术支持服务、采购开源技术提供商的商业软件版本及服务等。

我行系统通过建设开展应用安全与供应链安全分析平台对开源软件资产识别、开源软件安全风险分析、开源软件漏洞告警及开源软件安全管理等功能，帮助用户掌握开源软件资产信息，及时获取开源软件漏洞情报，降低由开源软件带来的安全风险，保障企业交付更安全的软件。

三、询价邀请书

晋商银行股份有限公司就以上项目进行询价采购，邀请贵公司提交密封的独立报价文件。

1.采购人：晋商银行股份有限公司

2.询价人报价地址：山西省太原市长风街59号晋商银行办公大楼21层

3.报价内容：

1）采购内容：应用安全与供应链安全分析设备。

2）数量：至少1台。

3）免费维保服务期限：自合同签订起三年。

四、工作内容

序号	产品名称	产品服务内容
1	硬件参数要求	1、提供独立国产自主可控硬件设备方式部署。 2、硬件性能要求：国产CPU:≥16核32线程；内存≥64G；2个SSD或HDD组成RAID1，每块硬盘≥2TB；接口≥2个千兆电口；标配750w冗余欧标电源；检测速度每小时百万行代码；TPS大于等于100。
	功能参数要求	1、组件库中的数据规模，组件的总版本数不应低于1000万个； 2、支持基于角色的数据权限控制，通过数据权限+用户组权限范围的双重控制，提高数据的安全性和保密性 3、支持基于角色的功能权限管理功能，用户可以自定义对每个角色的所有功能进行增删改查。 4、支持包括C++，C，C#，Go，Java，Kotlin，JavaScript，Objective-C，Swift，Perl，PHP，Python，Ruby，Rust，Scala等在内的不少于15种编程语言相关组件的检测； 5、支持分析开源组件所使用的许可协议及其风险。 6、对于配置文件的分析，应支持多层级的检测，即包括直接依赖和间接依赖，并给出多层依赖关系的图形化展示； 7、支持链接本地maven仓库，将其作为私有组件库，匹配被测项目中的组件信息。 8、具备漏洞分析与管理功能，能够分析开源组件所关联的漏洞，漏洞库需兼容CNNVD、CNVD、CVE等权威漏洞库，并在公开漏洞库的基础上提供自有商业漏洞库。 9、支持通过bom特征文件以及zip、jar、war、tgz等格式源码文件进行软件成分分析。 10、支持通过git、svn、gitlab、github、gitee、极狐等代码管理工具进行软件成分分析。 11、支持同时对多个代码仓库地址或分支进行软件成分分析。 12、扫描结果包括组件名称、组件版本、组件调用情况、组件依赖关系、漏洞分布情况、漏洞详情、许可协议详情等信息，支持按组件、按漏洞、按许可协议进行详情查看。 13、组件漏洞详情应包含漏洞编号、漏洞名称、漏洞级别、攻击复杂度、CVSS评分、发布时间、更新时间、漏洞描述、影响范围、解决方案、公开漏洞库信息等内容。 14、支持自定义数据筛选功能，满足多种查询、分析场景下的漏洞数据分析需求 15、支持对指定两个任务进行对比分析，以便快速掌握应用组件漏洞修复情况，以柱状图形式展示两次扫描任务的组件风险情况和漏洞风险情况对比，并以饼状图形式展示剩余组件风险信息和剩余漏洞风险信息，支持基于两次任务扫描时间间隔推导并展示风险修复时长，支持以报表形式导出对比结果。 16、支持导出扫描报告，支持对导出内容进行自定义，报告类型支持word版和csv版，支持导出SBOM。 17、支持支持按条件自定义导出组件信息。
3	售后服务要求	1、产品提供原厂专业设备规划和实施服务，包括设备上架安装、策略调优、使用培训及项目文档移交等完整的实施服务。 2、产品提供三年设备原厂售后服务：售后服务期限内，需要无偿提供三年软件升级、硬件质量保障。
合计

 

五、合格报价人的资格要求

（一）企业注册资本1000万元以上，具有独立承担民事责任的能力；        

（二）具有良好的商业信誉和健全的财务会计制度；

（三）具有履约所必需的专业技术能力、服务渠道支援能力和行业经验； 

（四）最近三年内，各项经营活动没有重大违法记录，没有出现违背社会责任的不良信息； 

（五）单位负责人为同一人或者存在控股、管理关系的不同单位，不得同时参加本项目投标；

（六）2021年至今(以合同签署时间为准)，公司所承接的同类型供应链安全或者软件成分分析产品实施案例(5个以上)清单、简介、合同等证明材料；

（七）具有开发安全领域相关发明型专利证书（5个以上）；

（八）与其它报名的供应商不存在任何关联关系。

六、报价供应商需提交的资质材料

（一）营业执照（副本）、组织机构代码证（副本）、税务登记证（副本）或三证合一；

（二）法定代表人（或单位负责人）授权委托书；授权代表身份证复印件；

（三）企业及服务团队简介；与项目相关的企业及人员资质证书、社保证明等；

（四）2021年至今(以合同签署时间为准)，公司所承接的同类型供应链安全或者软件成分分析产品实施案例 (5个以上)清单、简介、合同等证明材料；

（五）具有开发安全领域相关发明型专利证书（5个以上），提供专利证书等证明材料；

（六）未被最高法院在“中国执行信息公开网”列入失信被执行人名单；未被国家企业信用信息公示系统（https://www.gsxt.gov.cn/）中列入严重违法失信企业名单；

（七）附件：《晋商银行廉洁自律告知书》，供应商签字或盖章，如未提供，视为无效报价文件。

（八）提供公司联系人、电话、电子邮箱、地址等。

注：上述资料均需提供加盖公章的扫描件，请与报价文件相互独立封装。

七、报价人意愿要求

1、服从我行人员管理、财务管理的相关规定；

2、同意与我行签订项目管理相关的协议，包括但不限于保密协议、服务承诺书、工作计划任务书；

3、同意按照我行规定对项目和供应商进行考核、评价、奖励和扣罚；

4、同意接受我行内部、我行聘请的外部机构、我行的上级管理部门进行监督、检查及审计等；

八、报价截止时间

所有报价文件及资质材料应于2024年1月11日18:00(北京时间)前递交至山西省太原市长风街59号晋商银行办公大楼21层。报价及资质材料递送出后，请及时电话同时商务联系人，如采用快递方式递交的，请在快递上备注清楚项目名称，报价文件中请明确联系人信息。迟到的报价文件将被视为无效报价文件拒绝接收。

九、联系方式

商务联系人：韩昱

联系电话：18636186025

邮箱地址：hanyu@jshbank.com

技术联系人：周扬

联系电话：15513019190

邮箱：zhouyang@jshbank.com

 

项目经理（签字）：          

部门负责人（签字）：

 

晋商银行股份有限公司

                                                             2024年1月5日

附件：

晋 商 银 行

廉洁自律告知书

 

尊敬的                 ：

您好！衷心感谢您对晋商银行的信任和支持！

晋商银行自成立以来，始终秉承“诚信、创新、实干”的企业文化，积极践行“以客户为中心”的服务理念，扎根三晋，服务地方经济，服务中小微企业，服务城乡居民。为大力弘扬清廉文化，构建“亲”“清”关系，实现互惠共赢，现将晋商银行从业人员廉洁自律要求告知如下，诚邀您进行监督，携手共建清廉山西。

一、严禁索要或收受礼品、礼金、消费卡和有价证券、支付凭证、商业预付卡、股权、其他金融产品等财物。

二、严禁接受管理服务对象组织的宴请、旅游、健身、娱乐等活动安排。

三、严禁借用管理服务对象的钱款、住房、车辆等财物。

四、严禁在操办婚丧喜庆事宜中，邀请管理服务对象参加宴请或借机敛财。

五、严禁以各种名义向管理服务对象转嫁、摊派和报销费用。

六、严禁以任何形式从事民间借贷、资金掮客、经商办企业、参股入股等营利性活动。

七、严禁违反有关规定在其他单位兼职取酬。

八、严禁利用职务便利或职务影响力，在信贷业务、集中采购、工程建设、外包服务、业务合作等方面为他人谋取利益。

九、严禁发生其他违反党纪国法行规的行为。

 

监督举报方式：

1.举报电话：0351-6819987

2.电子邮箱：jsyhjw@jshbank.com

3.来信来访：晋商银行办公大楼2817室（太原市小店区长风街59号）

 

 

客户签字（盖章）：

联系电话：

签收日期：     年   月   日