沈陽市重點橋隧安全運行監(jiān)測預警項目（二次公告）采購項目的潛在供應商應在線上獲取采購文件，并于****年**月**日 **時**分（北京時間）前提交響應文件。
**2包（第三方測試）服務需求
一、總體要求★
為確保沈陽市重點橋隧安全運行監(jiān)測預警系統(tǒng)的各項功能是否完善，各項性能指標是否達到預期要求，保證其上線穩(wěn)定安全運行。對本項目周期內(nèi)要求的系統(tǒng)進行全量第三方測試，最終出具符合CNAS（中國合格評定國家認可委員會）標準的軟件測試報告。測評依據(jù)為以上系統(tǒng)的采購人確認的軟件需求規(guī)格說明書，測試類型具體包括系統(tǒng)功能測試、性能測試、驗收測試、可靠性測試、安全性測試、易用性測試、可擴展性測試、源代碼審查等。測試執(zhí)行的結(jié)果應對采購人負責。
二、第三方測試服務內(nèi)容★
（一）測試原則
1、投標方應依據(jù)相關國家標準、行業(yè)標準開展評測工作。
2、投標方應確保測試報告符合本項目委托要求。
3、投標方對服務過程中接觸到的各種信息，不得泄漏給任何單位和個人，未經(jīng)允許不得利用這些信息從事與本項目服務無關的活動。
（二）測試范圍
應用軟件測試主要是對沈陽市重點橋隧安全運行監(jiān)測預警系統(tǒng)的應用軟件進行測試。軟件測試范圍應覆蓋本項目應用軟件的所有功能和非功能性要求，具體測試范圍由委托方與投標方溝通確認。測試內(nèi)容包含功能性測試、性能效率測試、信息安全性測試。
（三）測試過程
軟件測試工作應在軟件部署完成后，按照合同約定開展測試。軟件測試的測試項以委托方確認的測試需求為準，發(fā)現(xiàn)問題之后的回歸測試所需的時間視情況另行約定。
測試執(zhí)行過程中，至少包括如下關鍵過程：
1）測試計劃制訂；
2）測試設計；
3）測試環(huán)境準備；
4）測試執(zhí)行；
5）測試結(jié)果分析總結(jié)。
（四）測試實施要求
1、在實施項目之前，應提交實施方案及可能出現(xiàn)的破壞性結(jié)果。
2、應確保軟件測評人員嚴格按照測試流程的要求實施操作，以避免在測試過程中對系統(tǒng)造成損害。
3、應提交詳細的工作計劃，并隨時匯報項目情況，并根據(jù)要求及本項目建設進度情況，調(diào)整下一步工作計劃和要求。
4、應保證提供服務的團隊人員的數(shù)量和素質(zhì)滿足履行該項目合同的要求。保證團隊的穩(wěn)定性，未經(jīng)同意不得隨意更換團隊成員。
5、需在測試過程中對測試相關的文檔進行有效管理，包括各種文檔提交、評審、版本控制等，并將測試文檔及時向委托方提供。
6、需對整個測試過程進行標準化、流程化管理，逐步完成軟件驗收測試的各個步驟，最終形成并上交測試報告。
7、測試項目過程中提供咨詢服務，對被測軟件產(chǎn)品在測試過程中提供各個階段的咨詢服務和建議。
（五）其他要求
為保證測試的公正和準確，測試所采用的測試工具均為第三方測試工具，并且在投標文件中需寫出具體的工具介紹和使用計劃，投標方應對測試過程中使用的各種軟件的版權負責。如果因此引起版權糾紛，由投標方承擔相應責任。
本項目測試分為兩輪，初測和回歸測試。
1、初測：測試合同簽訂，被測試項目軟件部署完成后**日內(nèi)完成軟件測試的第一輪測試；
2、回歸測試：被測試項目軟件開發(fā)單位問題修改完成后，進行回歸測試，回歸測試一輪，經(jīng)測試通過，出具測試報告。
提供符合相關標準要求的測試報告。
**3包（密碼應用安全性評估）服務需求
一、總體要求★
依據(jù)GB/T ****6-****《信息安全技術信息系統(tǒng)密碼應用基本要求》、《商用密碼應用安全性評估管理辦法》（國家密碼管理局第3號）、GM/T ****-****《信息系統(tǒng)密碼應用測評要求》、GM/T ****-****《信息系統(tǒng)密碼應用測評過程指南》、《商用密碼應用安全性評估測評作業(yè)指導書（試行）》、GBT ****7-**** 《信息安全技術 信息系統(tǒng)密碼應用設計指南》等標準規(guī)范、指導性文件及管理要求，對沈陽市重點橋隧安全運行監(jiān)測預警系統(tǒng)進行評估，并出具商用密碼應用安全性評估報告。如未能一次通過測評，供應商應提供整改建議，并指導甲方進行整改，直至通過評估。
二、詳細要求★
（一）商用密碼總體要求測評
1、密碼算法合規(guī)性測評：信息系統(tǒng)中使用的密碼算法是否符合法律、法規(guī)的規(guī)定和密碼相關國家標準、行業(yè)標準的有關要求。
2、密碼技術合規(guī)性測評：信息系統(tǒng)中使用的密碼技術是否遵循密碼相關國家標準和行業(yè)標準。
3、密碼產(chǎn)品合規(guī)性測評：信息系統(tǒng)中使用的密碼產(chǎn)品與密碼模塊是否通過國家密碼管理部門核準。
4、密碼服務合規(guī)性測評：信息系統(tǒng)中使用的密碼服務是否通過國家密碼管理部門許可。
（二) 密碼技術應用測評
從物理和環(huán)境、網(wǎng)絡和通信、設備和計算、應用和數(shù)據(jù)4個層面對信息系統(tǒng)中應用的密碼技術進行分析與評估。
物理和環(huán)境層面測評:分析評估信息系統(tǒng)是否合理、合規(guī)的利用商用密碼完整性、真實性功能,對影響信息系統(tǒng)安全防護效能的物理和環(huán)境層面因素進行保護。包括但不限于下列典型因素：重要場所的物理訪問控制,監(jiān)控設備的物理訪問控制,以及物理訪問記錄、監(jiān)控信息等敏感信息數(shù)據(jù)完整性。
網(wǎng)絡和通信層面測評:分析評估信息系統(tǒng)是否合理、合規(guī)的利用商用密碼機密性、完整性、真實性功能,對影響信息系統(tǒng)安全防護效能的網(wǎng)絡和通信層面因素進行保護。包括但不限于下列典型因素：安全認證連接到內(nèi)部網(wǎng)絡的設備,通信雙方的身份認證過程,通信數(shù)據(jù)完整性,敏感信息數(shù)據(jù)字段機密性,網(wǎng)絡邊界訪問控制信息完整性,系統(tǒng)資源訪問控制信息完整性,安全設備、安全組件的集中管理方式和信息傳輸通道。
設備和計算層面測評:分析評估信息系統(tǒng)是否合理、合規(guī)的利用商用密碼機密性、完整性、真實性功能,對影響信息系統(tǒng)安全防護效能的設備和計算層面因素進行保護。包括但不限于下列典型因素：登錄信息系統(tǒng)設備和計算環(huán)境的用戶身份鑒別過程,系統(tǒng)設備和計算環(huán)境資源訪問控制信息完整性,重要信息資源敏感標記完整性,重要程序或文件完整性,信息系統(tǒng)設備和計算環(huán)境的日志記錄完整性。
應用和數(shù)據(jù)層面測評:分析評估信息系統(tǒng)是否合理、合規(guī)的利用商用密碼機密性、完整性、真實性以及不可否認性功能,對影響信息系統(tǒng)安全防護效能的應用和數(shù)據(jù)層面因素進行保護。包括但不限于下列典型因素：登錄信息系統(tǒng)應用和數(shù)據(jù)操作環(huán)境的用戶身份鑒別過程,系統(tǒng)應用和數(shù)據(jù)操作環(huán)境資源訪問控制信息完整性,重要信息資源敏感標記完整性,重要數(shù)據(jù)傳輸過程的機密性、完整性,重要信息存儲過程的機密性、完整性,重要程序的加載和卸載過程,信息系統(tǒng)應用相關實體行為不不可否認性,信息系統(tǒng)應用和數(shù)據(jù)操作環(huán)境的日志記錄完整性。
（三）密鑰管理測評
對影響商用密碼防護效能的密鑰生命周期相關環(huán)節(jié),以及相關環(huán)節(jié)管理和策略制定的全過程進行分析與評估。密鑰生命周期相關環(huán)節(jié)包括但不限于下列典型環(huán)節(jié)：密鑰生成,密鑰存儲,密鑰分發(fā),密鑰導入,密鑰導出,密鑰使用,密鑰備份,密鑰恢復,密鑰歸檔,密鑰銷毀。
（四）安全管理測評
對影響商用密碼防護效能的管理制度與措施進行分析與評估。管理制度與措施包括但不限于下列典型維度：安全管理制度,人員管控,信息系統(tǒng)實施,應急預案。
1、安全管理制度維度,包括但不限于下列內(nèi)容與措施：密碼建設、運維、人員、設備、密鑰管理內(nèi)容,密碼相關操作規(guī)范、安全操作規(guī)范,安全管理制度的合理性和適用性論證與審定,安全管理制度的改進和修訂,安全管理制度的發(fā)布,安全管理制度的執(zhí)行。
2、人員管控維度,包括但不限于下列內(nèi)容與措施：了解并遵守密碼相關法律法規(guī)密碼產(chǎn)品使用,關鍵崗位劃分,相關人員職責與權限劃分,崗位責任制與人員制約、監(jiān)督機制,管理和使用賬號,人員培訓、人員選拔,人員考核、獎懲與調(diào)離,人員保密措施。
3、信息系統(tǒng)實施維度,包括但不限于下列內(nèi)容與措施：信息系統(tǒng)規(guī)劃,信息系統(tǒng)建設方案,信息系統(tǒng)密碼產(chǎn)品、服務選用,信息系統(tǒng)運行前與定期評估,信息系統(tǒng)整改。
4、應急預案維度,包括但不限于下列內(nèi)容與措施：應急預案,應急資源準備,應急情況與處置,上級主管部門應急報告,同級密碼主管部門應急報告。
