河池市公共信用信息共享平台升级改造项目信息安全等级保护测评、商用密码应用安全性评估及第三方系统测评采购公告

**市公共信用信息共享平台升级改造

项目信息安全等级保护测评、商用

密码应用安全性评估及第三方

系统测评采购公告

根据《****关于印发自行采购管理办法（修订）的通知》的相关规定，****面向社会公开评选**市公共信用信息共享平台信息安全等级保护测评、商用密码应用安全性评估及第三方系统测评供应商。现将有关事项公告如下。

一、项目基本情况

（一）采购人：****。

（二）项目名称：**市公共信用信息共享平台升级改造项目信息安全等级保护测评、商用密码应用安全性评估及第三方系统测评。

（三）预算上限：￥9.0万元。

（四）提交服务成果时间：自采购人通知进场之日起至12月上旬。

二、服务采购需求

采购服务具体范围、商务条款详见附件；本次预算涵盖税费、专家评审费等全部相关费用，报价需一并包含。

三、供应商资格要求

（一）在中华人民**国境内依法注册的企业法人或其他组织，具有独立承担民事责任的能力，持有****事业单位法人证书等证明文件。
（二）符合《****政府采购法》第二十二条规定，具体包括：具有良好的商业信誉和健全的财务会计制度；具有履行合同所必需的设备和专业技术能力；具有依法缴纳税收和社会保障资金的良好记录；参加政府采购活动前三年内，在经营活动中没有重大违法记录；法律、行政法规规定的其他条件。

（三）本项目特定资格要求：

1.****研究所认证颁发的《等级保护测评服务认证证书》（网络安全服务认证类别下）。

2.****管理局颁发的《商用密码检测机构资质证书》，且业务范围包含商用密码应用安全性评估。

3.****管理部门颁发的检验检测机构资质认定（CMA/中国计量认证）证书，且认可的能力范围包含软件产品。

说明：供应商须同时满足以上所列全部资质要求，须随响应文件一并提供对应资质证书复印件，并加盖供应商单位公章。

4.2023年1月1日至今（以合同签订时间为准），承担过同类升级改造项目服务业绩（需随响应文件提供合同关键页复印件，如合同首页、服务内容页、双方签字盖章页）。

（四）供应商未被“信用中国”网站（https://www.****.cn/）列入失信被执行人、重大税收违法失信主体名单，****政府采购网（http://www.****.cn****政府采购严重违法失信行为记录名单。

（五）本项目不接受联合体投标，不得转包、分包本项目的任何工作内容。

四、最低评标价法

本项目采用最低评标价法开展评审：评审小组会对所有投标文件进行符合性审查，剔除不满足招标文件全部实质性要求的投标后，对其余有效投标的报价按由低到高排序，投标报价最低****一中标候选人。

五、报价文件所需资料

意向报价的供应商持以下资料报名（均需加盖公章）：

（一）供应商营业执照（复印件）。

（二）法定代表人身份证（复印件）。

（三）法定代表人授权委托书及委托人身份证复印件。

（四）服务报价表。

（五）无重大违法违规记录（提供“信用中国”****政府采购网查询结果截图）。

（六）服务方案。

（七）售后服务方案。

（八）拟投入项目人员配备。

（九）不属于联合体投标承诺书、资质证书及供应商认为需要提供的其他材料。

（十）供应商出具报名响应材料真实性承诺书（供应商提供虚假资料被查实的，****小组将否决其报名资格，同时将相关情况报财政部门备案）。

以上报价材料由报价供应商自行编制，所有文件须加盖单位公章并装订成册，一式两份（正本一份副本一份，正本需逐页盖章，副本可为正本盖章复印件）分别注明“正本”或“副本”。报价供应商需在响应文件封面注明单位名称、地址、联系人及手机号码。报价文件须密封递交，文件袋封口处有密封条并加盖公章为合格。

六、报价时间和地点
（一）报价文件递交截止时间：2026年10月30日—2026年11月5日（节假日除外），上午8:00—12:00；下午15:00—18:00，逾期未递交将不再受理。

（二）报价文件递交地点：****市**区**大道6****中心F区四楼425室。

（三）采购单位联系人及联系方式

联系人：兰工，联系电话：0778-****225。

七、评选结果

报价文件递交截止时间后，****小组按最低评标价法推荐供应商候选人。如选定的成交供应商放弃成交资格，应在收到成交通知书后当天通知采购方。若选定的成交供应商放弃成交或因不可抗力提出无法履行合同，采购方可按报价第二低的候选供应商为成交供应商，并以此类推。

附件：采购服务内容及要求

附件

采购服务内容及要求

一、等保测评

（一）总的要求

依照《中华人民**国网络安全法》、《信息系统安全等级保护管理办法》******厅等相关文件的要求，依据《网络安全等级保护基本要求》（GB/T 22239-2019）对**市公共信用信息共享平台升级改造项目系统（二级）开展网络安全等级保护测评工作；并出具符合国家****管理部门规范要求、**机关认可的信息系统网络安全等级测评报告。

（二）标准依据

等级保护测评过程中，必须依照以下标准：

l 1.《信息系统安全等级保护定级指南》（GB/T22240-2020）

l 2.《计算机信息系统安全保护等级划分准则》（GB 17859-1999）

l 3.《网络安全等级保护基本要求》（GB/T 22239-2019）

l 4.《网络安全等级保护测评要求》（GB/T 28448-2019）

l 5.《网络安全等级保护测评过程指南》（GB/T 28449-2018）

l 6.《网络安全等级保护设计技术要求》（GB/T 25070-2019）

l 7.《网络安全等级保护测试评估技术指南》（GB/T 36627-2018）

（三）测评内容

1.安全通用要求

安全通用要求测评内容应包括安全技术和安全管理两大类，其中技术类应包括对安全物理环境、安全通信网络、安全区域边界、安全计算环境、****中心五个方面的测评，安全管理类测评应包括对安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面的测评。

2.安全扩展要求

如本项目执行时发现等级保护对象涉及测评标准安全扩展要求（云计算、移动互联网、物联网、大数据、工业控制）等方面内容的，则根据实际情况选定适用的安全扩展要求测评内容开展本项目测评工作。

（四）测评方法

在测评实施过程中，应采用访谈、检查和测试、渗透测试等测评方法进行，并与国家相关规范及标准的要求相符。

访谈是指测评人员通过引导信息系统相关人员进行有目的（有针对性的）交流以帮助测评人员理解、分析或取得证据的过程；

检查是指测评人员通过对测评对象（如管理制度、操作记录、安全配置等）进行观察、查验、分析以帮助测评人员理解、分析或取得证据的过程；

测试是测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看和分析结果以帮助测评人员获取证据的过程；

渗透测试是模拟黑客的攻击方法，对受保护对象的应用系统、主机、网络进行攻击，从而验证测评对象的弱点、技术缺陷或漏洞的一种评估方法。

（五）其他事项

在提供服务时，严格遵守双方的有关规章制度；保证不擅自将用户提供的纸质及电子文档复制给其他单位或个人，不将服务产生的报告等资料泄露给其他单位或个人。

（六）服务成果

完成初次测评后应提出具体整改意见并敦促指导整改，待整改完毕后再进行正式测评，并出具符合国家****管理部门规范要求、**和网安部门认可的《网络安全等级保护测评报告》。

二、商用密码安全性评估服务

（一）总体要求

依据《中华人民**国密码法》、《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）要求和系统自身的安全需求分析，对**市公共信用信息共享平台升级改造项目系统（二级）进行商用密码应用安全性评估，为重要网络和信息系统的密码安全提供科学评价，逐步规范网络运营者的密码使用和管理行为。

（二）技术标准

1.《中华人民**国密码法》

2.《中华人民**国网络安全法》

3.《中华人民**国数据安全法》

4.《商用密码管理条例》

5.《商用密码应用安全性评估管理办法》

6.《GB/T 39786-2021 信息安全技术信息系统密码应用基本要求》

7.《GB/T 43206-2023 信息安全技术信息系统密码应用测评要求》

8.《GB/T 43207-2023 信息安全技术 信息系统密码应用设计指南》

9.《信息系统密码应用高风险判定指引》

（三）服务内容

1.商用密码应用方案评估

（该内容已于**市公共信用信息共享平台升级改造项目批复前完成，不列入此次采购范畴）

2.商用密码应用安全性评估

依据《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）等技术标准对**市公共信用信息共享平台升级改造项目系统（二级）进行商用密码应用安全性评估工作，并出具符合要求的《商用密码应用安全性评估报告》。

1）评估流程

密码应用安全性评估过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。供应商和采购人之间的沟通与洽谈贯穿整个密码应用安全性评估过程。

（1）测评准备活动

供应商通过查阅被测系统已有资料并使用调查表格的方式，了解整个系统的构成和密码保护情况，为编写密评方案和开展现场测评工作奠定基础。测评项目组成员在进行现场测评之前，熟悉与被测信息系统相关的各种组件、调试测评工具、准备各种表单等。

（2）方案编制活动

根据已经了解到的被测信息系统情况，分析整个被测系统及其涉及的业务应用系统，以及与此相关的密码应用情况，确定出本次测评的测评对象；根据已经了解到的被测系统定级结果，确定出本次测评的测评指标；确认测评过程中需要现场检查的关键安全点，并且充分考虑到检查的可行性和风险，最大限度地避免对被测系统，尤其是在线运行业务系统的影响；确定现场测评的具体实施内容；最终完成测评方案的编制。

（3）现场测评活动

①现场测评准备：召开测评现场首次会，供应商介绍测评工作，交流测评信息，进一步明确测评计划和测评方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排，测评过程中可能存在的安全风险等，以便于后面的测评工作开展。供应商和采购方确认现场测评需要的各种**，包括采购方的配合人员和需要提供的测评条件等，确认被测信息系统已备份过系统及数据。采购方签署现场测评授权书。密评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。

②开展现场测评：测评项目组根据密评方案以及现场测评准备的结果，安排密评人员在现场完成测评工作，汇总现场测评的测评记录；召开测评现场结束会，供应商和采购方对测评过程中发现的问题进行现场确认；密评机构归还测评过程中借阅的所有文档资料，并由采购方文档资料提供者签字确认。

（4）分析与报告编制活动

①在现场测评工作结束后，供应商对现场测评获得的测评结果进行汇总分析，形成评估结论，并编制评估报告。

②密评人员在初步判定各测评单元涉及的各个测评对象的测评结果后，还需进行单元测评、整体测评、量化评估和风险分析。经过整体测评后，有的测评对象的测评结果可能会有所变化，需进一步修订测评结果，而后进行量化评估和风险分析，最后形成评估结论。

2）密评应用技术要求

（1）通用测评要求

核查被测系统中使用的密码算法、密码技术、密码产品和密码服务是否满足国家密码管理的相关标准或规范要求。

（2）密码应用技术评估要求

具体包括但不限于：物理和环境安全测评、网络和通信安全测评、设备和计算安全测评、应用和数据安全测评，政务信息系统密码应用与安全性评估、制定测评工作方案等，验证不**全等级信息系统的密码应用是否达到相应安全等级的安全保护能力、是否满足相应安全等级的保护要求。

（3）物理和环境安全测评

物理和环境安全主要实现对被测系统所在机房等重要区域的物理防护，物理机房的进出必须严格符合相关规范，并对相关人员进出信息实时记录，防止非法人员采用非法手段进出，防止出现人为物理破坏，防止造成不可逆的重大损失。

针对“身份鉴别”、“电子门禁记录数据存储完整性”、“视频监控记录数据存储完整性”等物理和环境安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况（如访谈记录、配置截图、抓包分析截图、产品照片等），完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

物理和环境安全测评要求：

①需要采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性。

②需要采用密码技术保证电子门禁系统进出记录数据的存储完整性。

③需要采用密码技术保证视频监控音像记录数据的存储完整性。

（4）网络和通信安全测评

网络和通信安全主要实现对信息系统与经由外部网络连接的实体进行网络通信时的安全防护，密码应用要求主要涉及通信过程中实体身份真实性、数据机密性和数据完整性，以及网络边界访问控制和设备接入控制。

针对“身份鉴别”、“通信数据完整性”、“通信过程中重要数据的机密性”、“网络边界访问控制信息的完整性”、“安全接入认证”等网络和通信安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况（如访谈记录、配置截图、抓包分析截图、产品照片等），完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

网络和通信安全测评要求内容：

①应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性。

②宜采用密码技术保证通信过程中数据的完整性。

③应采用密码技术保证通信过程中重要数据的机密性。

④宜采用密码技术保证网络边界访问控制信息的完整性。

⑤可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入设备身份的真实性。

（5）设备和计算安全测评

设备和计算安全主要实现对被测系统中各类设备和计算环境的安全防护，密码应用要求主要涉及对登录设备用户的身份鉴别、远程管理通道的建立、重要可执行程序来源真实性，以及系统**访问控制信息、设备的重要信息**安全标记、重要可执行程序、日志记录的完整性。

针对“身份鉴别”、“远程管理通道安全”、“系统**访问控制信息完整性”、“重要信息**安全标记完整性”、“日志记录完整性”、“重要可执行程序完整性、重要可执行程序来源真实性”等设备和计算安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况（如访谈记录、配置截图、抓包分析截图、产品照片等），完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

设备和计算安全测评标准要求内容：

①应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性。

②远程管理设备时，应采用密码技术建立安全的信息传输通道。

③宜采用密码技术保证系统**访问控制信息的完整性。

④宜采用密码技术保证设备中的重要信息**安全标记的完整性。

⑤宜采用密码技术保证日志记录的完整性。

⑥宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证。

（6）应用和数据安全测评

实现对信息系统中应用及其数据的安全防护，密码应用主要涉及应用的用户身份鉴别、访问控制，以及应用相关重要数据的存储安全、传输安全和相关行为的不可否认性。其中，重要数据包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

针对“身份鉴别”、“访问控制信息完整性”、“重要信息**安全标记完整性”、“重要数据传输机密性”、“重要数据存储机密性”、“重要数据传输完整性”、“重要数据存储完整性”、“不可否认性”等应用和数据安全方面采取的密码保障措施进行各项测评，详细记录现场测评情况（如访谈记录、配置截图、抓包分析截图、产品照片等），完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

应用和数据安全测评标准要求内容：

①应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性。

②宜采用密码技术保证信息系统应用的访问控制信息的完整性。

③宜采用密码技术保证信息系统应用的重要信息**安全标记的完整性。

④应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性。

⑤应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性。

⑥宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性。

⑦宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性。

⑧在可能涉及法律责任认定的应用中， 应采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性。

（7）密码应用管理要求测评

从管理制度、人员管理、建设运行和应急处置四个方面进行安全管理测评，验证信息系统安全管理机制是否完善，是否能确保密码技术被合规、正确、有效地实施。

①管理制度

针对“具备密码应用安全管理制度”、“密钥管理规则”、“建立操作规程”、“定期修订安全管理制度”、“明确管理制度发布流程”、“制度执行过程记录留存”等制度方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

管理制度标准要求内容：

a应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等制度。

b应根据密码应用方案建立相应密钥管理规则。

c应对管理人员或操作人员执行的日常管理操作建立操作规程。

d应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，是否存在不足或需要改进之处进行修订。

e应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制。

f应具有密码应用操作规程的相关执行记录并妥善保存。

②人员管理

针对“了解并遵守密码相关法律法规和密码管理制度”、“建立密码应用岗位责任制度”、“建立上岗人员培训制度”、“定期进行安全岗位人员考核”、“建立关键岗位人员保密制度和调离制度”等人员方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

人员管理标准要求内容：

a相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度。

b应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限。

c根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位。

d对关键岗位建立多人共管机制。

e密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密码安全审计员岗位不可与密钥管理员、密码操作员兼任。

f相关设备与系统的管理和使用账号不得多人共用。

g应建立上岗人员培训制度，对涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能。

h应定期对密码应用安全岗位人员进行考核。

i应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。

③建设运行

针对“制定密码应用方案”、“制定密钥安全管理策略”、“制定实施方案”、“投入运行**行密码应用安全性评估”、“定期开展密码应用安全性评估及攻防对抗演习”等建设方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

建设运行标准要求内容：

a应依据密码相关标准和密码应用需求，制定密码应用方案。

b应根据密码应用方案，确定系统涉及的密钥种类、体系及其生存周期环节，各环节密钥管理要求按照GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》。

c应按照应用方案实施建设。

d投入运行前应进行密码应用安全性评估，评估通过后系统方可正式运行。

e在运行过程中，应严格执行既定的密码应用安全管理制度，是否定期开展密码应用安全性评估及攻防对抗演习，并根据评估结果进行整改。

④应急处置

针对“应急策略”、“事件处置”、“向有关主管部门上报处置情况”等应急方面采取的管理措施进行各项测评，详细记录现场测评情况，完成单项及单元测评结果判定。测评结果应由采购方配合人员确认。

应急处置标准要求内容：

a应制定密码应用应急策略，做好应急**准备，当密码应用安全事件发生时，应立即启动应急处置措施，结合实际情况及时处置。

b事件发生后，应及时向信息系统主管部门进行报告。

c事件处置完成后，应及时向信息系统主管****管理部门报告事件发生情况及处置情况。

（8）实施原则

为保障项目的顺利实施，在项目实施过程中应遵循以下原则：

①规范性原则

加强项目管理，在人员、质量和时间进度等方面进行严格管控。

②标准化原则

评估过程应严格遵守国家的相关法律、法规、规范、标准等相关要求。

③完整性原则

在评估过程中，应确保评估数据、过程记录的完整性。评测内容要综合考虑所有评测对象的技术措施，并建立完整有效的评测流程，保证不存在影响评测结果的疏忽或遗漏。

④保密性原则

在评估过程中，切实加强对人员、技术等方面的组织管理；与所有相关人员签署具有法律意义的保密协议，确保在项目实施过程中涉及的所有信息，不会泄露给第三方单位或个人，不得擅自利用这些信息。

（四）服务成果

完成初次测评后应提出具体整改意见并敦促指导整改，待整改完毕后再进行正式测评，并****管理部门规范要求认可的《商用密码应用安全性评估报告》。

三、第三方系统测评服务

（一）总体要求

根据《系统与软件工程系统与软件质量要求和评价（SQuaRE） 第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》（GB/T 25000.51-2016）；工程项目信息系统项目设计方案；工程项目信息系统检测方案。对本项目的功能性、易用性、可靠性、可移植性等进行测试。测评服务成果：在测评结束时供应商提供的《软件测试报告》必须具有法律效力。

（二）技术标准

1.《中华人民**国网络安全法》

2.GB/T 25000.51—2016《系统与软件工程系统与软件质量要求和评价（SQuaRE） 第 51 部分：就绪可用软件产品（RUSP）的质量要求和测试细则》

3.GB/T 9386—2008《计算机软件测试文件编制规范》

（三）服务内容

本项目工作具体内容包括但不限于以下内容。

1.功能测试

成交供应商需依据采购需求中的技术标准，结合用户对系统建设的整体功能方向的要求，对系统涉及的所有业务逻辑、功能项、功能逻辑进行全覆盖评测。包含但不限于：

适合性：测试评估系统提供的应用功能满足既定业务和用户目标的达成情况。

准确性：测试评估系统提供具有所需正确或相符的结果或效果的能力。

互操作性：测试评估系统与一个或多个系统进行交互的能力。

2.性能测试

要求供应商站在用户体验的角度，使用专业的负载生成设备，在性能模型的基础上验证系统是否能够达到用户确定的性能指标，是否符合系统设计阶段各项文档对系统性能的要求。对系统正常交互量及峰值交互量进行预估，并基于预估的交互量，对系统性能进行全方位的测试，测试指标包含但不限于以下内容：

并发数：对系统中发生的各项业务，预测正常并发数量和峰值并发数量，对系统进行并发测试。若承建方交付的系统无法完全满足用户并发量的需求，成交供应商需提供现有系统目前支持的并发量数目，为优化系统提供参照和依据。

时间特性：测试系统是否能够及时响应最终用户的指令，能够满足最终用户的及时性要求。响应时间为主要考核指标，响应时间=网络响应时间+应用处理时间。

**利用性：在规定条件下，测试软件产品执行其各项功能时，使用合适数量和类别的**的能力。

吞吐量：测试系统承载负荷的能力和压力。要求给出吞吐量在受压情况下具体的变化情况，以此说明系统合理吞吐量的范围，为优化系统提供依据。

3.可靠性测试

成交供应商在验收前组织开展可靠性测试或可靠性评估，根据软件系统可靠性结构（单元与系统间可靠性关系）、寿命类型和各单元的可靠性试验信息，利用概率统计方法，评估出系统的可靠性特征量。软件可靠性是软件系统在规定的时间内以及规定的环境条件下，完成规定功能的能力。可靠性测试包括以下三个方面：

成熟性：测试评估系统由于软件故障引起失效的频度。

容错性：在出现软件故障的情况下，测试评估系统维持规定性能的容错能力。

易恢复性：在失效发生的情况下，测试系统重建规定的性能级别并恢复受直接影响的数据的能力。

4.易用性测试

成交供应商评估系统是否易于理解、学习和使用。对系统的易用性测试包括以下三个方面：

易理解性：评估用户是否能够迅速理解系统并能将系统用于特定任务和使用环境。

易学性：评估对于未接触过该类系统的新用户，系统是否易于学习和掌握。

易操作性：评估系统界面设计是否科学合理，操作是否简单。

5.文档测试

为了保障项目建设过程中文档的完备性，避免由于文档缺失造成的后续运维及整改开发困难。项目实施中，需确保项目承建厂商提供完整并撰写合格的文档。成交供应商应通过文档测试，对系统所属的文档集进行查缺，确保文档集的完整性。对单一文档而言，成交供应商需检测承建方提供的文档是否满足该类文档的标准，如对于功能设计文档，业务和系统逻辑是否描述清晰；对于操作手册，是否可以正确、简明地指引用户依据具体业务情况进行系统操作。文档测试包含但不限于以下内容：

完备性：评估项目文档是否完全覆盖系统从立项、设计、开发、上线到后期维护等项目生命周期的全部阶段，各阶段文档中是否全面准确地描述了工作过程和工作内容。

正确性：评估文档内容是否描述正确，无错误、无歧义、无模糊化描述。

一致性：评估文档内容与系统的实际需求是否相符合，无差异化描述。

易理解性：评估文档内容是否以图文并茂的方式进行描述，术语和文体，是否采用直观、易懂的描述语言，便于读者理解。

易学性：评估文档内容是否便于浏览，逻辑关系清晰，能够为用户学习使用该系统提供必要的信息。

操作性：评估文档是否注明了必要的操作模式，并提供目次和索引，对于不常用的数据和首字母缩略语是否加以定义和明确。

6.回归测试：

在项目承建方完成组件开发、集成工作后，供应商参照系统功能设计，根据软件开发模型的不同，采用符合实际的方法对系统进行系统测试，对指定需求的匹配程度进行验证。

总体开发完成后，成交供应商需进行验收测试，对软件进行全面评测，确认承建方提供的产品可以满足指定需求，软件运行可以达到预期效果。对于测试中发现的问题，承建方整改后，供应商需要进行回归测试，验证在修改缺陷后是否有新的缺陷引入。

（四）服务成果

完成初次测试后应提出具体整改意见并敦促指导整改，待整改完毕后再进行回归测试，并出具《软件测试报告》。

四、商务要求

（一）服务完成时限要求

总服务周期：自采购人通知进场之日起至12月上旬，三项服务全部完成并提交正式成果报告，并配合采购人完成后续监管部门备案、项目验收工作。

1.信息安全等级保护测评完成期限：自采购人通知进场之日起至12月上旬，提供该项目的最终测评报告。

拟投入本项目的项目负责人须同时具备以下人员证书中任意三种：网络安全等级保护中级或以上测评师资质、注册信息安全专业人员证书（CISP- CISE）、数据安全官证书（CCRC-DSO）、数据安全评估师（CCRC-DSA）、个人信息保护专业人员证书（CCRC-PIPP）、人社部门（原人事部门）高级信息系统项目管理师。

2.商用密码应用安全性评估完成期限：自采购人通知进场之日起至12月上旬，完成待测系统的商用密码应用安全性评估工作，完成的标准以出具正式的报告为准。（包括系统整改时间）

拟投入本项目的项目负责人须同时具备以下人员证书：商用密码应用安全性评估从业人员考核合格证书、三级密码技术应用员证书。

3.第三方系统测评完成期限：自采购人通知进场之日起至12月上旬，完成待测系统的软件测试工作，完成的标准以出具正式的《软件测试报告》为准。（包括系统整改时间）

拟投入本项目的项目负责人须同时具备以下人员证书：软件评测师证书、系统集成项目管理工程师证书。

（二）服务地点：采购单位指定地点。

（三）采购人根据采购文件要求及国家相关标准进行验收。包含但不限于以下内容：

信息安全等级保护测评：严格依据GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》标准完成测评，****网信办、大数据局备案要求的正式等级保护测评报告、安全问题整改清单、配套整改指导方案、测评全流程归档底稿等。

商用密码应用安全性评估：严格依据GM/T 0054-2018、GB/T 39786-2021、GB/T 43206-2023标准完成全系统商用密码应用评估，****管理局报备的正式密评报告、密码应用问题台账、国秘改造专项指导方案、测评过程支撑文档等。

第三方系统测评：覆盖平台全部升级改造功能模块，完成功能、性能、安全性测试，出具符合财政信息化项目验收要求的第三方软件测试报告、系统缺陷与优化建议清单、测评过程归档材料等。

所有成果报告需通过采购人及对应监管部门的合规性核验，如报告不符合备案要求，供应商需免费返工直至通过。

文件下载：