| 索引号: | 11100000013544955P/2025-02418 | 公开方式: | 主动公开 |
| 发布机构: | 国家税务总局吉林省税务局 | 组配分类: | 政府采购 |
| 文件编号: | 发文日期: | 2025-10-21 |
采购需求前附表
序号 | 类别 | 内容 |
1 | 项目立项 | 项目立项时间:2025年 5 月 22 日 |
项目立项证明文件:R有 £无 | ||
2 | 项目预算安排 | 总预算金额(万元):45 |
当年预算安排金额(万元):45 | ||
项目资金来源:基本支出 | ||
3 | 项目采购内容 | 1、安全管理平台数据流通监测探针 |
4 | 项目实施时间 | 自合同签订之日起30天到达吉林省税务局指定地点,并保证所有货物全部符合质量标准和要求。货物经验收合格后,30天内完成部署上线,并保证所有设备稳定运行。 质量保障服务期限:自验收通过之日起三年。 |
5 | 项目实施地点 | 国家税务总局吉林省税务局(长春市南湖大路1518号) |
6 | 项目实施范围 | 国家税务总局吉林省税务局指定范围 |
7 | 项目相关单位 | 需求部门:信息中心 |
验收部门:信息中心 | ||
8 | 采购意向公开 | R本项目已于 2025年 5 月 30 日公开采购意向 |
£本项目经立项审批不公开采购意向 | ||
9 | 支持中小企业 | R本项目专门面向中小企业采购。 |
£本项目预留预算金额的 %专门面向中小企业采购 | ||
£本项目不适宜由中小企业提供,且已履行报批手续。 | ||
10 | 公告期限 | 自本公告发布之日起3个工作日。 |
11 | 意见反馈方式 | 凡对本次公告内容提出意见反馈,请以书面形式按以下方式联系。名称:国家税务总局吉林省税务局 地 址:长春市南湖大路1518号 项目联系人:冯全成,罗立权 联系方式:0431-80500300 |
1项目概述
1.1项目背景
1.1.1项目目的、意义及背景
为全面落实网络和数据安全监控工作要求,严防各类网络攻击、真抓真管违规用数行为,提升税务系统整体网络和数据安全防护能力,拟配备重要业务系统数据泄漏监测探针,分别用于系统前台使用侧和后台运维侧数据流通监测,为重要业务系统数据安全监测模型提供准确的数据源,增强重要业务系统数据安全防护能力。
1.2项目内容
1.2.1项目建设思路
安全管理平台数据流通监测探针部署数据流通监测探针,监测API接口数据流通; 结合重要业务系统特征,进一步拓展安全管理平台数据安全监测模型监测范围,有效发现潜在的数据泄露风险。
1.2.2采购内容
采购设备包括:数据流通监测探针1台。
1.2.3项目实施要求
1.2.3.1实施范围要求
安全管理平台数据流通监测探针在业务专网区域增加一台数据流通监测探针,通过旁路镜像流量的方式全面分析和深度识别业务应用系统的API接口,发现API接口自身存在的风险和接口数据流通风险,持续监控业务调用API进行数据流转的各种行为及时发现数据使用异常行为,保障数据API接口的安全与合规。
1.2.3.2实施时间要求
到货期限:自合同签订之日起30天内到达吉林省税务局指定地点,并保证所有货物全部符合质量标准和要求。30天内完成安装调试,并保证所有设备稳定运行。
质量保障服务期限:自验收通过之日起三年。
1.2.3.3实施地点要求
国家税务总局吉林省税务局
1.3其他要求
1.3.1采购标的需执行的相关标准规范
按照网络安全法和数据安全法等法律法规要求,为提升系统网络安全建设水平。
2投标/响应要求
2.1对供应商的要求
2.1.1必备资质
2.1.1.1投标人应遵守有关国家法律、法规和条例,具备《中华人民共和国政府采购法》第二十二条的规定和本文件中规定的条件。
2.1.1.2本项目的特定资格要求
无。
2.1.2优选资质/优选指标
2.1.2.1相关证书
序号 | 证书名称 | 备注 |
1 | 质量管理体系认证证书(ISO9001) | 由认证机构经国家认证认可监督管理委员会批准并在有效期内 |
2 | 信息安全管理体系认证(ISO/IEC 27001) | 由认证机构经国家认证认可监督管理委员会批准并在有效期内 |
3 | 信息技术服务管理体系认证(ISO/IEC 20000) | 由认证机构经国家认证认可监督管理委员会批准并在有效期内 |
2.1.2.2成功案例
提供2022年1月1日以来(以合同签订日期为准)独立承担类似项目成功案例。
2.1.3是否允许联合体
否
2.1.4是否专门面向中小企业
本项目专门面向中小企业采购项目
2.1.5其他要求
无。
2.2技术部分投标/响应内容
2.2.1技术投标/响应总要求
(1)需提供法人或者其他组织的营业执照等证明文件(复印件)。
(2)★2024年度经会计师事务所审计的财务报告,包括资产负债表、利润表(损益表、收益表)、现金流量表、所有者权益变动表及其附注(复印件);开业不满一年的提供验资报告或银行出具的资信证明或公司成立之日后的财务报表(复印件);财务报告中要求提供内容为实质性要求条款(即重要条款),缺少相关资料,在评标时将其视为无效投标。
(3)需提供近6个月内已缴存的至少两个月的纳税证明或完税证明的相关材料,如依法免税或不需要纳税的,则应提供相应文件证明(复印件)。
(4)需提供近6个月内已缴存的至少两个月的社会保障资金缴存单据或社保机构开具的社会保险参保缴费情况证明的相关材料,如依法不需要缴纳社会保障资金的,则应提供相应文件证明(复印件)。
2.2.2投标/响应方案要求
以下相关方案,若作为评审因素,则投标人应在满足★关键指标项要求的前提下,根据项目特点和采购需求,制定更为完整、详细、可操作性强的方案。
投标人根据项目特点和采购需求,制定和提供完整、详细、可操作性强的管理实施方案、技术服务方案、应急及安全保障方案、保密方案、验收方案。
3项目需求
3.1总体要求
数据流通监测探针1台。
3.2采购产品一览表
序号 | 产品类别 | 产品名称 | 数量 | 单位 | 备注 |
1 | 数据流通监测探针 | 数据流通监测探针 | 1 | 台 |
3.3采购产品详细清单及技术指标
采购文件(技术部分)中有标注★号的,为必备服务要求,必须满足,如未作出响应,将导致响应无效;#为重要服务内容、△为一般服务内容。
序号 | 指标种类 | 指标名称 | 指标内容 | 重要性 | 是否需要证明材料 |
1 | 规格 | 硬件规格 | 标准2U机架式硬件设备,1+1冗余电源; | # | 是 |
2 | 规格 | 处理能力 | 应用层处理能力≥10Gbps; | # | 是 |
3 | 规格 | 硬件规格 | 提供≥2颗22核CPU;≥256G内存;≥4T SATA*3;≥2 个 10/100/1000M 自适应千兆电口;≥2个万兆 SPF+接口(满配光模块);设备须提供用于单独管理维护升级的管理接口,不能占用业务口; | ★ | 是 |
4 | 规格 | 硬件规格 | 支持IPv4和IPv6环境的部署。 | # | 是 |
5 | 部署 | 部署方式 | 支持硬件旁路监听流量的方式;同时支持agent软节点探针的部署,能够采集云化部署方式应用系统访的问流量,Agent需现场在云内主机内编译生成,不得使用私有动态库,不得从外部带入任何私有的二进制文件或其他可执行程序。 | ★ | 是 |
6 | 资产梳理 | 接口解析 | 支持并提供识别流量中的接口,在web界面能够查询和查看接口信息,接口信息包括接口地址、所属域名或应用、被访问量、接口包含的敏感信息标签等信息。 | # | 是 |
7 | 资产梳理 | 接口功能 | 支持并提供内置识别接口类型,根据接口功能分类包括但不限于登录接口、包含敏感数据的接口、上传接口、下载接口等。 | # | 是 |
8 | 资产梳理 | 账号资产识别与管理 | 支持并提供账号资产识别与管理,支持从流量中解析还原应用系统登录账号,支持账号解析的位置至少包含:请求头、请求体、响应头、响应体,可编辑其他属性,如账号所属终端IP、所属部门等。 | # | 是 |
9 | 资产梳理 | 接口清单 | 支持并提供以表格形式导出API接口清单,导出的文件包括接口地址、所属域名或应用、接口包含的敏感信息标签等信息。 | # | 是 |
10 | 资产梳理 | 接口管理 | 支持并提供手动添加单个API接口;设备支持并提供通过web页面对自动识别和手动添加的接口进行管理,能够查看接口的URI、目的IP、端口、请求方法、返回数据标签、最新活跃时间、活跃状态等信息;能够编辑接口名称、接口标签等信息。 | # | 是 |
11 | 风险监测 | 弱点识别 | 支持并提供内置弱点发现规则包括但不限于参数可遍历、basic认证、明文密码认证、数据接口无认证、跨域访问、cookie保存密码、登录错误提示不合理、SQL查询接口、SQL执行接口等。 | # | 是 |
12 | 风险监测 | 自定义弱点检测项 | 支持自定义配置弱点检测参数,根据需要修改弱点发现规则,如调整各类参数阈值、增加删除弱口令字典等。 | # | 是 |
13 | 风险监测 | 业务风险模型规则 | 能结合业务系统的业务流和业务逻辑实现数据流通安全监测模型设计和创建,包含规则不少于20条,提供规则清单。 | # | 是 |
14 | 风险监测 | 自定义业务风险模型 | 自定义业务风险模型 支持自定义业务风险模型,可灵活设定模型监测对象和判断逻辑,包括风险对象:指定账号,指定应用系统,指定接口,数据流通条目及条数,指定IP,指定XFF 设定多种风险指标。 | # | 是 |
15 | 风险监测 | 旁路阻断 | 设备支持并提供对自定义恶意IP进行旁路封堵(非联动方式);支持自定义封堵 IP 时长。 | # | 是 |
16 | 数据审计 | 协议审计 | 支持多种数据传输协议解析和审计,支持协议包括但不限于HTTP、POP3、IMAP、SMTP、SMB、FTP、TFTP等,可以对上述协议传输的文件进行还原,并提供还原的文件下载功能。 | # | 是 |
17 | 数据审计 | 取证溯源 | 支持并提供针对监测发现的安全事件提供取证溯源能力,对事件相关的原始数据进行完整证据固定,支持对取证相关数据进行脱敏展示,支持基于角色控制对审计敏感内容的脱敏显示。 | # | 是 |
18 | 数据审计 | 取证溯源 | 设备支持并提供对已记录API数据包的来源和目标地址、端口信息、完整X-Forwarded-For地址信息进行关键字检索。 | # | 是 |
19 | 数据审计 | 全量分析 | 支持并提供对收集的网络流量进行全量审计和分析,可基于主体用户账号/用户访问IP等进行检索,可通过选中一次访问事件进行账号/用户的访问信息查看。 | # | 是 |
20 | 数据展示 | 应用画像 | 支持以应用为主体创建应用画像,可自定义选择时间范围,绘制期间应用访问关系图谱,展示应用的接口信息、访问终端数以及对应的终端访问接口数等数据。 | # | 是 |
21 | 数据展示 | 大屏展示 | 支持以大屏形式展示业务风险排名、弱点种类、敏感数据流动等实时告警信息。 | # | 是 |
22 | 数据展示 | 报表输出 | 设备支持以docx、pdf等文件格式导出报表,提供指定时间范围内系统运行分析报告,报告包含资产统计、API弱点统计、行为风险统计、系统状态等内容。 | # | 是 |
23 | 管理功能 | SNMP | 支持SNMP等方式读取系统性能指标实时监控功能和告警信息外发,支持SNMP V1、V2c、V3等版本。 | # | 是 |
24 | 管理功能 | 三权分立 | 支持账号三权分立模式,支持角色的产品页面权限控制,控制粒度可以精确到每个页面内的查看、新增、编辑和删除等功能。 | # | 是 |
25 | 管理功能 | Syslog | 支持Syslog方式外发安全风险信息;支持TCP、UDP两种传输协议,支持同时外发多个Syslog服务器。 | # | 是 |
26 | 产品资质 | 软件著作权 | 产品具备国家版权局颁发的软件著作权登记证。 | ★ | 是 |
27 | 产品资质 | 网络安全专用证书 | 产品具备由国家认证认可监督管理委员会、工业和信息化部、公安部、国家互联网信息办公室发布的《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录》中的机构颁发的《网络关键设备和网络安全专用产品安全认证证书》或《网络安全专用产品安全检测证书》 | ★ | 是 |
3.4服务要求
3.5其他要求
为及时解决可能出现的故障,中标供应商需要为国家税务总局吉林省税务局提供质保期内7*24小时的技术支持服务,设备出现故障,中标供应商必须按照采购人要求到达现场。为保证优质售后服务,中标供应商应具备相应资质的技术支撑团队。售后服务方式包括:提供7*24小时售后服务热线服务;电子邮件服务;远程指导服务;系统巡检服务;现场服务。
售后及质量保障服务要求:自验收通过之日起三年。
4人员要求
4.1团队要求
4.1.1基本要求
及时解决可能出现的故障,中标供应商需要为国家税务总局吉林省税务局提供质保期内7*24小时的技术支持服务,设备出现故障,中标供应商必须按照采购人要求到达现场。为保证优质售后服务,中标供应商应具备相应资质的技术支撑团队。售后服务方式包括:提供7*24小时售后服务热线服务;电子邮件服务;远程指导服务;系统巡检服务;现场服务。
4.1.2优选资质/优选指标
序号 | 人员类别 | 人员岗位 | 人员要求 | 是否作为加分项 |
1 | 信息系统项目管理师 | 项目经理 | 投标人须在项目实施中,选派工作责任心强、技术水平高、业务熟练、管理经验丰富的专业人员担任项目经理,承担项目实施管理工作。具有成功实施类似项目的实际经验,熟悉行业情况,项目经理具有信息系统项目管理师证书。 | 是 |
5管理实施要求
数据流通监测探针部署、安装与调试。30天内完成安装与调试。
按照合同提供产品和服务,承担与我局现有设备和系统的衔接责任,承诺与本项目相关单位(在用设备和系统集成商、运维商等)进行积极配合,完成硬件安装、调试、测试工作,完成与我局现有信息化资源的适配及融合。
在实施过程中要求由专业的系统集成人员进行安装、检测和故障排除。中标供应商必须服从采购人的统一协调,在实施方案设计、设备供货、技术支持、运行维护等方面相互配合。投标人应充分理解本项目的意义和重要性,在投标时应提交本项目的项目管理方案和集成方案,保障本项目在相关设备到货到能顺利实施。
投标人应根据项目制定合理的产品培训,提交本项目的培训方案,以满足对采购设备和软件的使用和日常维护需求。
6风险管控要求
投标人应提高安全责任意识,严控产品安全质量;建立清晰的软件供应链安全策略,明确相关的管理目标、工作流程、检查内容、责任部门等;严控上游,尤其重点管控开源代码的使用,确保使用的开源代码符合开源许可协议,形成第三方组件清单和安全分析报告,禁止使用存在高安全风险或已停止维护的第三方组件;严控自主开发代码的质量,采用软件源代码安全分析工具,持续检测和修复软件源代码中的安全缺陷和漏洞;建立完善的产品漏洞响应机制,包括产品漏洞信息的收集、漏洞报告渠道的建立和维护、漏洞补丁的开发和发布、客户端漏洞应急响应和修复支持等。发现网络安全漏洞、缺陷、数据泄露或其他重大网络安全风险,及时向采购人进行报告,不得擅自公开或向第三方提供。
7履约验收要求
7.1总体要求
验收名称 | 验收要求 |
第1次验收 | 根据合同内容对本次所采购的产品的型号、规格、数量核对与验收并出具文档。 |
第2次验收 | 货物经验收合格后,完成产品调试、部署上线,所有设备稳定运行后完成验收。 |
7.2具体要求
(1)验收工作由采购人组织实施,由采购人、中标供应商共同完成。中标供应商应配合完成各阶段验收工作,必要时由中标供应商或第三方机构按照验收要求完成测试,提交项目验收方案及测试相关文档,经项目单位确认各项指标达到合同约定后进行项目验收。
(2)中标供应商应在项目验收、测试时提供相关测试环境及必要的设备和工具,使用各类支撑工具应保证采购人在测试过程合法免费使用,中标供应商承担由于知识产权等纠纷导致的所有责任。
(3)中标供应商提供的各类文档应内容完整、描述清晰、版本最新,各类方案要求实现目标明确、工作措施得力、可操作性强、具有前瞻性。产出物应提供电子和纸质两种介质,保持版本一致。
(4)对验收中发现的问题,中标供应商应提出有效解决办法和措施,经采购人确认后实施。
8其他要求
8.1必备要求
8.1.1通用必备要求
1.本项目中如涉及商品包装和快递包装的,其包装需求标准应不低于《关于印发<商品包装政府采购需求标准(试行)>、<快递包装政府采购需求标准(试行)>的通知》(财办库〔2020〕123 号)规定的包装要求,如有其他包装需求,详见采购文件技术部分相关章节。
2.本项目中如涉及网络关键设备或网络安全专用产品的,应严格执行国家互联网信息办公室、工业和信息化部、公安部、财政部和国家认证认可监督管理委员会 2023年第 1 号《关于调整网络安全专用产品安全管理有关事项的公告》及国家互联网信息办公室、工业和信息化部、公安部和国家认证认可监督管理委员会 2023 年第 2号《关于调整<网络关键设备和网络安全专用产品目录>的公告》等相关文件要求,所投标(响应)设备或产品至少符合以下条件之一:一是已由具备资格的机构安全认证合格或安全检测符合要求;二是已获得《计算机信息系统安全专用产品销售许可证》,且在有效期内。
3.本项目中如涉及国家强制性产品认证证书(CCC 认证证书)、电信设备进网许可证、无线电发射设备核准证等市场准入类资质的,应严格执行国家相关法律法规的要求。
以上相关要求,由供应商在响应时应答,在履约验收中,采购人将按照采购文件、中标/成交供应商响应文件、采购合同等对中标/成交供应商提供的货物和服务进行验收,必要时依法依规开展相应检测、认证。
8.1.2★税收信息化项目开发和应用管理工作要求
供应商在采购以及后续项目实施过程中,应严格遵守税务总局税收信息化项目开发和应用管理工作要求。对于违反合同约定的,依据合同约定及政府采购有关规定,采购人可采取要求限期改正、在应付合同金额中扣除违约金、解除合同等措施;对于存在严重违法失信行为的,由采购人按规定推送财政部纳入政府采购严重违法失信行为记录名单。
8.1.3★供应链安全管理要求
1、人员资格要求
(1)签订承诺书。供应商应严格落实国家税务总局网络安全和保密管理要求,承担技术支持人员的网络安全和保密管理责任,按采购人要求签订协议和承诺书。
(2)开展背景审查。供应商承担技术支持人员背景审查工作,提供其身份证明、履历、家庭成员及主要社会关系、无犯罪记录证明等材料,并提交采购人进行备案。
(3)设置网络安全负责人(由驻场运维人员兼任)。供应商为本项目配备一名网络安全负责人,该负责人具备独立决策能力并保持相对稳定,在项目实施的全过程负责网络安全工作,组织落实各项网络安全要求。
2、日常行为规范要求
(1)工作能力要求。供应商负责对技术支持人员进行资格条件、工作胜任力以及网络安全能力评估,对技术支持人员承担的工作进行安全保密风险分析,明确技术支持人员工作范围和边界,重点防范设备和资料失窃、误操作导致的软硬件故障、工作信息和税费数据等信息泄露、信息系统越权访问和网络攻击等风险。
(2)教育培训要求。供应商负责对技术支持人员进行网络和数据安全法律法规、网络安全意识、网络安全管理、网络安全技能、保密意识以及网络安全警示教育等培训,上岗前对其进行考核。
3、违约惩戒措施
供应商对供应链安全管理责任落实不到位,造成安全事件或产生不良影响的,采购人按照法律法规及合同约定进行处理。
一、厂商及人员安全管理需求
1.供应链厂商和人员要遵守国家网络安全政策法规和税务机关各项网络安全规章制度情况,供应链厂商要与税务机关签订《厂商网络安全承诺书》,向税务机关提交供应链厂商人员的《个人网络安全承诺书》及《无犯罪记录证明》。
2.供应链厂商要配合税务机关对涉及税务机关税务信息化项目(以下简称项目)的人员做好背景审查。
3.供应链厂商要定期对聘用离职税务人员情况进行排查,建立相关资料档案,确保人员安全可信。
4.供应链厂商要建立网络安全负责人制度,并配备一名具备独立决策能力并保持相对稳定的负责人,在项目实施的全过程负责网络安全和数据安全工作,组织落实各项网络安全和数据安全要求。
5.供应链厂商在项目实施前,要对参与人员开展网络和数据安全法律法规、安全技能、保密常识等方面的教育培训并考核合格;在项目开展期间,供应链厂商要定期开展相关培训、考核及警示教育,供应链厂商要通过教育培训不断提高厂商人员的网络和数据安全意识及保密意识。供应链厂商要对在项目开展期间离开涉及税务项目的人员进行离项审计。
6.供应链厂商要及时向税务机关报告可能发生影响网络安全的重大事项,包括负责人及重要工作人员变更、业务转型、合并重组、投资并购等。
7.供应链厂商要在项目启动前向税务机关提供基于项目场景的供应链《安全事件应急响应预案》,明确相关职责和应急处置流程;供应链厂商每年要向税务机关报送《供应链厂商应急演练记录》,确保快速有效处置供应链安全事件。
8.供应链厂商及人员要严格遵守采购合同、协议、承诺书等文件中的安全相关条款。
9.供应链厂商要对关键信息基础设施和重要信息系统进行自查,不利用提供产品和服务的便利条件非法获取数据、非法控制和操纵设备,不中断产品供应或必要的技术支持服务等。
10.供应链厂商要加强人员违规违纪管理,对违规违纪行为按签订合同、协议、承诺书等相关条款进行处理,建立《违规违纪管理档案表》。对涉嫌违法犯罪的人员,要主动依照相应法律法规移交有关部门处理。
11.供应链厂商要严格落实风险控制、审计巡查、应急处置等方面的工作要求,确保系统安全稳定运行。供应链厂商要按着各项要求,撰写《年度供应链安全自查报告》并提交税务机关。
二、进驻税务机关办公安全管理需求
1.供应链厂商要加强驻场办公人员在日常工作中的行为安全管理,严格遵守运维场地管理规定及税务机关基础设施(机房)管理制度。
2.驻场办公人员进驻运维场地期间不得携带个人电脑、个人存储介质(U盘)、未授权软件安装包等工具。
3.驻场办公人员未经授权不允许访问、维护、维修基础设施。
4.驻场办公人员严禁私自使用运维终端打印及刻录输出数据。
5.驻场办公人员不得向第三方提供基础设施、场地设计图、设备部署图等有关信息。
6.驻场办公人员使用的终端必须安装防病毒软件,定期开展终端病毒查杀,并形成病毒查杀文档。
7.驻场办公人员不得将工作数据、工作内容、工作环境等任何与工作有关的信息传播至QQ、微信或任何与工作无关的地方。
三、开发建设安全管理需求
1.供应链厂商的软件研发工作场所需安全可控可信,要搭建专用的开发测试环境,配置安全可信的开发管理工具,设置可靠的权限管理策略,确保项目研发安全可控。
2.供应链厂商在税务机关提供场所开展软件开发测试工作时,网络安全负责人要严格管理本单位人员,严禁供应链厂商人员使用自带电脑和移动存储介质,严禁私自变更办公场所和办公设备,严禁安装非必要的应用程序和组件,严禁擅自复制、使用和修改文档、数据以及其他开发测试资料。
3.供应链厂商要加强对提供的项目所涉软、硬件产品及服务的管理,产品及服务必须满足国家认可的网络安全规范和认证要求,供应链清单内的产品要具备销售许可证,定制开发软件必须开展网络安全“三同步”测评。采用源代码安全审计、开源组件安全检测、软件安全性深度测试等技术手段,对相关产品开展安全检查和技术检测,对存在的问题进行整改,最大限度消除风险隐患,并形成《供应链产品检查清单》,提交至税务机关。
4.供应链厂商对项目使用的重要供应链产品要定期核查,形成《供应链产品清单》。
5.供应链厂商要加强对引入的第三方组件的管理,配合税务机关做好安全风险评估、漏洞扫描,做好漏洞评估、漏洞修复和版本升级工作,形成《第三方组件清单》(可以将第三方组件内容加入《供应链产品清单》)和《安全风险分析报告》,及时更新第三方组件相关信息并报送税务机关,采取有效措施保障第三方组件安全。
6.供应链厂商禁止使用存在高安全风险隐患或已停止维护的第三方组件。
7.供应链厂商在产品中如使用了开源代码,应确保其符合开源许可协议要求。供应链厂商自行开发且多项目共用的基础框架及组件,一并参照管理。
8.供应链厂商在项目开发建设时,要配置独立的、与互联网隔离的内部代码管理平台,并开展安全审查。严禁将源代码上传第三方平台,严禁使用互联网代码托管平台。
9.供应链厂商在项目开发建设时,要搭建具备权限管控功能的统一版本控制系统,将全部源代码纳入管理,并制定安全编码规范,严禁开发人员未经授权或越权访问和违规开发。
10.供应链厂商要开展源代码安全自查工作,设置专用代码审计场所,采用工具与人工核查相结合的方式开展工作,形成《源代码审计报告》提交税务机关。审计过程要确保源代码不外泄,对审计中发现的问题要及时解决。
11.供应链厂商需要税务机关提供用于测试的脱敏数据时,应明确脱敏字段需求,要规范测试数据使用权限,切断数据拷出途径,确保测试数据安全。
12.供应链厂商要按照“三同步”工作要求,在应用系统开发上线前将《供应链产品清单》、《第三方组件使用清单》、《源代码审计报告》等相关内容,汇总至系统安全“三同步”材料一并提交税务机关审核,要从开发设计环节即全面落实安全管理要求。
四、日常运维安全管理需求
1.供应链厂商人员开展工作所需的各类账户,要依据税务系统税费数据查询账号权限管理要求,按照最小化授权的原则,向税务机关提前申请,获得批准后方能使用,供应链厂商不得申请超出工作所需范围的账号权限。账户要采用实名制管理,准确填写厂商、姓名等基本信息,人员与账户一一对应,严禁用他人账户进行数据维护,严禁运维账户存在“一人多户”或“一户多人”情况。
2.供应链厂商要加强数据安全管理,规范供应链厂商人员的日常运维工作,不得擅自访问、修改或删除税费数据,严禁将生产环境的真实税费数据导入测试环境,测试系统中不能留有真实税费数据
3.供应链厂商及人员需要导出数据时要经过审批且符合规定,严禁私自导出数据。
4.供应链厂商及人员不得私自截留涉税相关数据,不得变更用途、用法,不得公开、转让或向第三方提供。
5.供应链厂商要及时发现风险隐患,对发现的网络安全漏洞、缺陷、数据泄露或其他重大网络安全风险,及时向税务机关报告,不得公开或向第三方提供。
6.供应链厂商要定期检查所使用产品及第三方组件,存在高危漏洞的应及时通过限制访问、更新补丁、版本升级、设备防护等措施进行加固处置;对于停止维护的产品及第三方组件,要评估是否存在高危漏洞,如存在无法修复的高危漏洞,要升级版本或更换产品及第三方组件。
8.1.4★信息化服务运维人员要求
本项目涉及信息化服务运维人员的,运维人员应当是运维单位的正式人员,或者是与运维单位签订1年以上劳动合同且实际工作满1年的人员,常驻运维人员应当为技术骨干。
驻场运维人员不得在同一服务期内为两个或以上信息化项目提供驻场运维服务。
8.1.5★税收信息化服务商廉政要求
(1)税务信息化服务商廉政相关要求
为进一步落实全面从严治党要求,构建亲清新型政商关系,加强税务信息化项目建设过程中的党风廉政建设和反腐败工作,确保项目建设规范、廉洁推进,中标人在参与税务部门信息化项目工作过程中,需严格遵守法律法规、规范履行合同,积极协助税务部门开展廉政风险防控工作。请严格遵守并落实如下要求:
一、积极发挥廉政风险防控正向作用。中标人有义务配合税务部门在信息化项目工作中加强廉政风险防控,执行有关措施。
二、健全廉政风险防控机制。中标人有责任在项目管理机制中健全内部廉政防控措施,包括但不限于:对参与本项目的员工提出廉洁行为规范;指定专人对项目实施各环节进行廉政监督;在项目验收过程中提交本项目廉政情况报告等。
三、杜绝违纪违法行为。中标人及相关项目人员必须严格遵守党纪国法,坚守职业道德,杜绝任何形式的利益输送、权力寻租等违纪违法行为,对甲方工作人员不得实施以下行为:
(一)以各种形式和名义提供礼品、礼金、电子红包、支付凭证、商业预付卡、名贵特产、有价证券、股权、其他金融产品等财物。
(二)以各种形式和名义提供宴请、旅游、健身、娱乐、私人会所等活动安排;代付加班餐费、打车费等。
(三)以讲课费、咨询费等名义,提供或变相提供报酬。
(四)借款、借房、借车,报销应由个人负担的费用。
(五)以无偿、象征性地收取费用等方式提供家政、司机等服务劳务。
(六)其他通过任何形式行贿或输送利益的行为。
四、信守承诺。中标人应承诺在项目实施过程中,严格遵守国家法律法规合法、诚信经营,杜绝商业贿赂、规范经营活动、公开透明合作、严格内部管理,并签订《税务信息化项目服务商廉洁承诺书》提交甲方负责项目实施的单位。
五、自觉接受监管。中标人有义务配合税务机关的正常业务监管以及纪检监察、外部审计、督察内审等监督机构对税务信息化项目全过程的监督检查工作,如实提供相关资料和信息,不得隐瞒、篡改或销毁与项目建设有关的文件、数据等资料。
六、举报和反馈意见。项目执行过程中,中标人有权举报、反馈甲方索贿受贿、吃拿卡要、违反中央八项规定精神等违纪违法行为。项目验收前,应填写《税务信息化项目服务商廉政反馈书》,提交甲方税务机关网络安全和信息化领导小组办公室。
(2)税务信息化服务商廉洁承诺书
为深入贯彻落实党中央关于全面从严治党的决策部署,进一步加强税务信息化项目合作中的廉政建设,防范廉政风险发生,确保项目公开、公平、公正推进,我司郑重承诺如下:
一、合法合规经营。严格遵守国家法律法规及税务部门的相关规定,坚持廉洁从业、诚信经营的原则。在合作过程中不以任何形式进行利益输送,维护良好的政商关系。
二、杜绝商业贿赂。加强内部管理,我司及我司员工均不对甲方工作人员实施以下行为:
(一)以各种形式和名义提供礼品、礼金、电子红包、支付凭证、商业预付卡、名贵特产、有价证券、股权、其他金融产品等财物。
(二)以各种形式和名义提供宴请、旅游、健身、娱乐、私人会所等活动安排;代付加班餐费、打车费等。
(三)以讲课费、咨询费等名义,提供或变相提供报酬。
(四)借款、借房、借车,报销应由个人负担的费用。
(五)以无偿、象征性地收取费用等方式提供家政、司机等服务劳务。
(六)其他通过任何形式行贿或输送利益的行为。
三、规范经营活动。严格按照合同约定履行义务,保证项目质量,按时完成建设任务;在合作过程中不以任何借口拖延工期、虚报成本或谋取私利。
四、公开透明合作。我司承诺在项目实施过程中保持公开透明,主动接受税务部门及纪检监察机构的全程监督,并积极配合任何有关廉洁从业的调查工作。
五、严格内部管理。加强企业内部廉洁教育,确保员工知晓并遵守相关法律法规及廉洁要求;加强项目实施全过程廉洁监督;对于违反廉洁承诺的员工,将严肃处理,并承担相应责任。
六、积极参与监督。在税务信息化项目实施过程中,如发现任何违纪违法行为,将如实反馈问题和意见。
承诺单位(盖章):________________________
法定代表人或授权代表签字:_______________
日期:XX年XX月XX日
备注:本承诺书一式两份,一份由承诺单位留存,另一份交税务部门备案。
项目终验前提交《税务信息化项目服务商廉政反馈书》
(3)税务信息化廉政情况反馈书
项目基本情况 | |
项目名称(编号) | XXX税务信息化项目 项目编号 |
服务商名称 | XXX公司 |
联系人及电话 | 联系人: 职务: 电话:123-4567890 |
项目情况概述 | |
廉洁承诺履行情况 | |
反馈项 | 反馈内容 |
杜绝商业贿赂 | 向税务工作人员及其家属赠送礼品、礼金或提供任何形式的宴请、娱乐活动情况。 |
规范经营活动 | 按照合同要求,按时完成各阶段任务,确保项目质量和进度情况。 |
公开透明合作 | 在项目实施过程中保持信息公开透明,主动接受相关部门的监督和检查情况。 |
税务人员履职期间廉政情况 | |
税务人员履职过程存在违纪违规行为 | 否 |
是(说明具体情况) | |
提交单位(盖章):XXX公司
法定代表人或授权代表签字:________________________
日期:XX年XX月XX日
8.2付款安排建议
付款名称 | 付款要求 | 付款比例(%) |
第1次付款 | 项目经验收合格后,设备稳定运行,采购人10个工作日内由中标供应商出具合法等额发票后,支付合同款。 | 100.0 |
8.3其他要求
8.3.1保密要求
投标人及参与项目的所有人员应严格遵守招标人的保密要求,签订保密协议,参与人员由投标人担保;招标人提供的资料,投标人不得以任何形式向第三方传播。保密期限不受本项目期限的限制,在本项目履行完毕后,保密信息接受方仍应按照国家有关规定承担保密义务。
1.双方应对在合同签订或履行过程中所接触的对方信息,包括但不限于知识产权、技术资料、技术诀窍、内部管理及其他相关信息,负有保密义务。
2.投标人在使用用户方为其提供的数据、程序、用户名、口令、资料及甲方相关的业务和技术文档,包括方案设计细节、程序文件、数据结构,以及相关业务系统的硬软件、文档、测试和测试产生的数据时,应遵循以下约定:
(1)应以审慎态度避免泄露、公开或传播用户方的信息;
(2)未经用户方书面许可,不得对有关信息进行修改、补充、复制;
(3)未经用户方书面许可,不得将信息以任何方式(如 E-mail)携带出甲方场所;
(4)未经用户方书面许可,不得将信息透露给任何其他人;
(5) 用户方以书面形式提出的其他保密措施。
3.保密期限不受合同有效期的限制,在合同有效期结束后,信息接受方仍应承担保密义务,直至该等信息成为公开信息。
4.双方如出现泄密行为,泄密方应承担相关的法律责任并承担由此给对方造成的经济损失。投标人及参与项目的所有人员应严格遵守招标人的保密要求,签订保密协议,参与人员由投标人担保;招标人提供的资料,投标人不得以任何形式向第三方传播。保密期限不受本项目期限的限制,在本项目履行完毕后,保密信息接受方仍应按照国家有关规定承担保密义务。
8.3.2知识产权要求
采购人对项目实施过程中所产生的所有成果(包括二次开发、发明、发现、可运行系统、源代码及相关技术资料、文档等)享有所有权(永久使用权、复制权和修改权等)。除本项目工作所须外,未经采购人书面同意,中标供应商不得擅自使用、复制采购人的商标、标志、数据信息、文档及其他资料。
投标人需保证在本项目中所有预装和为本项目安装的软件为在中国境内具有合法版权或使用权的正版软件且无质量瑕疵。
投标人需保证所提供的服务不侵犯第三方的知识产权(专利权、商标权、版权等),因侵害第三方知识产权而产生的法律责任,全部由投标人承担。
8.4满足指标要求情况
“满足指标要求情况”内容(概括版)
序号 | 指标种类 | 指标名称 | 指标内容 | 重要性 | 证明材料要求 |
1 | 规格 | 硬件规格 | 标准2U机架式硬件设备,1+1冗余电源; | # | 提供承诺书并加盖公章 |
2 | 规格 | 处理能力 | 应用层处理能力≥10Gbps; | # | 提供源代码承诺书并加盖公章 |
3 | 规格 | 硬件规格 | 提供≥2颗22核CPU;≥256G内存;≥4T SATA*3;≥2 个 10/100/1000M 自适应千兆电口;≥2个万兆 SPF+接口(满配光模块);设备须提供用于单独管理维护升级的管理接口,不能占用业务口; | ★ | 提供功能配置截图并加盖公章 |
4 | 规格 | 硬件规格 | 支持IPv4和IPv6环境的部署。 | # | 提供功能配置截图并加盖公章 |
5 | 部署 | 部署方式 | 支持硬件旁路监听流量的方式;同时支持agent软节点探针的部署,能够采集云化部署方式应用系统访的问流量,Agent需现场在云内主机内编译生成,不得使用私有动态库,不得从外部带入任何私有的二进制文件或其他可执行程序。 | ★ | 提供功能截图并加盖公章 |
6 | 资产梳理 | 接口解析 | 支持并提供识别流量中的接口,在web界面能够查询和查看接口信息,接口信息包括接口地址、所属域名或应用、被访问量、接口包含的敏感信息标签等信息。 | # | 提供功能截图并加盖公章 |
7 | 资产梳理 | 接口功能 | 支持并提供内置识别接口类型,根据接口功能分类包括但不限于登录接口、包含敏感数据的接口、上传接口、下载接口等。 | # | 提供功能的配置截图并加盖公章 |
8 | 资产梳理 | 账号资产识别与管理 | 支持并提供账号资产识别与管理,支持从流量中解析还原应用系统登录账号,支持账号解析的位置至少包含:请求头、请求体、响应头、响应体,可编辑其他属性,如账号所属终端IP、所属部门等。 | # | 提供功能的配置截图并加盖公章 |
9 | 资产梳理 | 接口清单 | 支持并提供以表格形式导出API接口清单,导出的文件包括接口地址、所属域名或应用、接口包含的敏感信息标签等信息。 | # | 提供功能的配置截图并加盖公章 |
10 | 资产梳理 | 接口管理 | 支持并提供手动添加单个API接口;设备支持并提供通过web页面对自动识别和手动添加的接口进行管理,能够查看接口的URI、目的IP、端口、请求方法、返回数据标签、最新活跃时间、活跃状态等信息;能够编辑接口名称、接口标签等信息。 | # | 提供功能的配置截图并加盖公章 |
11 | 风险监测 | 弱点识别 | 支持并提供内置弱点发现规则包括但不限于参数可遍历、basic认证、明文密码认证、数据接口无认证、跨域访问、cookie保存密码、登录错误提示不合理、SQL查询接口、SQL执行接口等。 | # | 提供功能的配置截图并加盖公章 |
12 | 风险监测 | 自定义弱点检测项 | 支持自定义配置弱点检测参数,根据需要修改弱点发现规则,如调整各类参数阈值、增加删除弱口令字典等。 | # | 提供功能的配置截图并加盖公章 |
13 | 风险监测 | 业务风险模型规则 | 能结合业务系统的业务流和业务逻辑实现数据流通安全监测模型设计和创建,包含规则不少于20条,提供规则清单。 | # | 提供功能的配置截图并加盖公章 |
14 | 风险监测 | 自定义业务风险模型 | 自定义业务风险模型 支持自定义业务风险模型,可灵活设定模型监测对象和判断逻辑,包括风险对象:指定账号,指定应用系统,指定接口,数据流通条目及条数,指定IP,指定XFF 设定多种风险指标。 | # | 供功能的配置截图并加盖公章 |
15 | 风险监测 | 旁路阻断 | 设备支持并提供对自定义恶意IP进行旁路封堵(非联动方式);支持自定义封堵 IP 时长。 | # | 提供功能的配置截图并加盖公章 |
16 | 数据审计 | 协议审计 | 支持多种数据传输协议解析和审计,支持协议包括但不限于HTTP、POP3、IMAP、SMTP、SMB、FTP、TFTP等,可以对上述协议传输的文件进行还原,并提供还原的文件下载功能。 | # | 提供功能的配置截图并加盖公章 |
17 | 数据审计 | 取证溯源 | 支持并提供针对监测发现的安全事件提供取证溯源能力,对事件相关的原始数据进行完整证据固定,支持对取证相关数据进行脱敏展示,支持基于角色控制对审计敏感内容的脱敏显示。 | # | 提供功能截图并加盖公章 |
18 | 数据审计 | 取证溯源 | 设备支持并提供对已记录API数据包的来源和目标地址、端口信息、完整X-Forwarded-For地址信息进行关键字检索。 | # | 提供功能的配置截图并加盖公章 |
19 | 数据审计 | 全量分析 | 支持并提供对收集的网络流量进行全量审计和分析,可基于主体用户账号/用户访问IP等进行检索,可通过选中一次访问事件进行账号/用户的访问信息查看。 | # | 提供功能的配置截图并加盖公章 |
20 | 数据展示 | 应用画像 | 支持以应用为主体创建应用画像,可自定义选择时间范围,绘制期间应用访问关系图谱,展示应用的接口信息、访问终端数以及对应的终端访问接口数等数据。 | # | 提供功能的配置截图并加盖公章 |
21 | 数据展示 | 大屏展示 | 支持以大屏形式展示业务风险排名、弱点种类、敏感数据流动等实时告警信息。 | # | 提供功能的配置截图并加盖公章 |
22 | 数据展示 | 报表输出 | 设备支持以docx、pdf等文件格式导出报表,提供指定时间范围内系统运行分析报告,报告包含资产统计、API弱点统计、行为风险统计、系统状态等内容。 | # | 提供功能的配置截图并加盖公章 |
23 | 管理功能 | SNMP | 支持SNMP等方式读取系统性能指标实时监控功能和告警信息外发,支持SNMP V1、V2c、V3等版本。 | # | 提供功能的配置截图并加盖公章 |
24 | 管理功能 | 三权分立 | 支持账号三权分立模式,支持角色的产品页面权限控制,控制粒度可以精确到每个页面内的查看、新增、编辑和删除等功能。 | # | 提供功能的配置截图并加盖公章 |
25 | 管理功能 | Syslog | 支持Syslog方式外发安全风险信息;支持TCP、UDP两种传输协议,支持同时外发多个Syslog服务器。 | # | 提供功能的配置截图并加盖公章 |
26 | 产品资质 | 软件著作权 | 产品具备国家版权局颁发的软件著作权登记证。 | ★ | 提供证书扫描件并加盖公章 |
27 | 产品资质 | 网络安全专用证书 | 产品具备由国家认证认可监督管理委员会、工业和信息化部、公安部、国家互联网信息办公室发布的《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录》中的机构颁发的《网络关键设备和网络安全专用产品安全认证证书》或《网络安全专用产品安全检测证书》 | ★ | 提供证书扫描件并加盖公章 |
| 打印本页 正文下载 |