附件1

广西全民健身工作云平台的商用密码升级改造项目采购需求

序号	服务名称	服务内容及要求
1	总体要求	1.完成网络通信、设备计算、应用数据三大领域国密软件适配，全面移除非国密/低安全强度算法，全流程启用SM2/SM3/SM4国密算法套件，确保软件层面国密技术合规应用。

2.解决身份鉴别不合规、数据传输/存储加密不达标、密钥管理不规范等核心安全问题，通过软件运维服务消除8项高风险项。

3.建立完善的密码应用管理制度、人员管理体系及应急处置机制，形成全生命周期合规管理体系，提供制度编制、培训等配套软件运维服务。

4.改造后协助甲方通过第三方商用密码应用安全性评估，满足三级信息系统安全要求，确保系统正式投入运行合规。
2	密码升级

改造服务

要求	（一）网络和通信安全国密合规改造软件运维服务

现状问题：互联网浏览器与平台/管理后台、移动端与桂体云小程序的通信信道采用SHA256RSA、AES_256_GCM等不合规算法，密钥非合规密码产品生成；综合安全网关密码模块为安全一级，不满足三级系统要求。

服务要求：1.针对甲方或政务云提供的密码模块安全二级及以上的SSL VPN/IPSec VPN/安全认证网关，提供软件适配及配置服务，确保网关内置的SM2算法、国密SSL协议、SM4加密模块、HMAC-SM3模块正常启用，替换原有SHA256RSA、AES_256_GCM等不合规算法，保障通信信道身份鉴别合规、数据传输机密性及完整性。

2.对甲方网络边界访问控制设备（国密合规产品或搭配合规密码机）提供软件层面的完整性保护配置服务，通过合规密码机相关软件接口对访问控制信息进行加密处理，确保符合GB/T 39786-2021第8.2条要求。

3.完成通信信道国密算法适配调试，确保浏览器、移动端与平台/小程序的通信全流程采用国密算法套件，密钥由甲方或政务云提供的合规密码产品统一生成管理。

（二）设备和计算安全国密合规改造软件运维服务

现状问题：堡垒机、通用服务器（Kylin V10）、人大金仓数据库采用“用户名+口令”单一身份鉴别方式，未采用国密技术；SSH服务支持AES-CTR、HMAC-SHA1等不合规算法，日志记录及程序完整性未通过国密技术保护。

服务要求：

1.针对甲方或政务云提供的SM2算法智能密码钥匙/身份认证网关，提供软件集成服务，实现“用户名+口令+SM2数字签名”多因素认证功能，确保私钥仅存储于甲方合规密码产品中，完成与堡垒机、服务器、数据库的身份鉴别系统对接调试。

2.提供远程管理通道软件改造服务，禁用所有非国密算法，配置TLCP协议及ECC_SM4_CBC_SM3算法套件，搭建基于国密算法的集中运维管理软件环境，替代原有SSH服务及不合规算法，实现合规运维。

3.对甲方或政务云提供的合规密码机、日志审计系统进行软件配置与集成，通过SM3杂凑算法或SM2数字签名机制对日志记录进行完整性保护配置，实现日志定期自动校验与告警功能；通过密码机SM4/MAC机制对系统资源访问控制信息进行完整性保护配置；通过SM2算法对重要可执行程序进行签名验签软件适配，保障程序完整性及来源真实性。

（三）应用和数据安全国密合规改造软件运维服务

现状问题：平台、管理后台、小程序未采用国密身份鉴别技术；鉴别数据采用DES、SHA1WithMD5等低安全算法存储，SM4密钥前端存储；重要数据传输/存储完整性未通过国密技术保护。

服务要求：

1.提供应用身份鉴别软件改造服务，实现普通用户“手机号+短信验证码”动态鉴别功能；完成与平台、管理后台、小程序的软件集成，实现管理用户基于SM2算法的强身份鉴别，符合GB/T 39786-2021第8.4a条要求。

2.提供数据加密软件改造服务，调用甲方合规密码机SM4算法接口，对重要数据存储进行加密适配，移除所有软代码实现的加密方式；开发密钥后端统一管理软件模块，实现密钥定期轮换功能，禁用前端密钥存储功能，确保密钥仅由甲方后端合规密码产品管理。

3.提供访问控制及数据完整性保护软件服务，通过SM3杂凑算法+SM2数字签名机制对访问控制信息进行软件层面的完整性保障配置，实现配置变更后自动更新签名并校验；利用甲方SSL VPN/IPSec VPN网关内置的HMAC-SM3模块，在应用层补充重要数据传输完整性保护适配，弥补TLS协议依赖缺陷。

（四）安全管理体系建设配套软件运维服务

管理制度编制服务：

1.编制《密码应用安全管理制度》电子版文本，涵盖密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等内容。

2.制定密钥全生命周期管理规则电子版文本，明确密钥生成、分发、存储、更新、归档、撤销、备份、恢复和销毁流程，设计管理记录表单模板。

3.制定密码操作操作规程电子版文本，明确年度论证修订流程，设计修订记录表单模板。

人员管理配套服务：

1.设计密钥管理员、密码安全审计员、密码操作员等关键岗位岗位职责说明书电子版文本，建立多人共管机制说明文件。

2.制定密码应用培训计划及培训材料电子版文本，包含密码法律法规、管理制度、操作规范等内容，设计培训记录、考核记录表单模板。

3.编制关键岗位人员保密制度及调离制度电子版文本，设计保密协议模板。

应急处置建设服务：

1.根据密码应用安全事件等级，制定应急策略及应急处置流程电子版文本，明确管理措施及应急资源配置要求。

2.编制事件处置制度及上报制度电子版文本，明确报告流程、内容及相关主管部门对接要求。