数据共享传输安全提升项目采购招标文件

1、项目背景
近年来，信息科技革命极大地改变了传统社会经济发展模式，在信息技术支撑下，数字经济驱动着全球各经济体的经济总量不断增长，数据逐渐成为我国各大部门企业的重要资产，数据安全问题也随之被逐渐重视。在国家数字经济日益发展壮大的背景下，数据安全对于保护数据、促进数字经济发展至关重要。当数据量变和质变达到一定水平，其数据价值会随之增大，数据安全将在护航数字产业发展生态发挥关键作用。
2021年3月，国务院发布《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》，其中强调加快推进数据安全等领域基础性立法、强化数据资源全生命周期安全保护、加强数据安全评估，推动数据跨境安全有序流动。
2021年12月,中央网络安全和信息化委员会发布《“十四五”国家信息化规划》，其中强调强化数据安全保障，加强数据收集、汇聚、存储、流通、应用等全生命周期的安全管理，建立健全相关技术保障措施。建立数据分类分级管理制度和个人信息保护认证制度，强化数据安全风险评估、监测预警、检测认证和应急处臵，加强对重要数据和个人信息的保护。建立健全数据出境安全管理制度，开展数据出境安全评估试点。
为深入贯彻《网络安全法》《数据安全法》和《关键信息基础设施安全保护条例》等法律法规和中央有关政策要求，国家网络安全等级保护工作协调小组办公室结合网络安全等级保护 2.0系列国家标准，印发了《关于落实网络安全保护重点措施 深入实施网络安全等级保护制度的指导意见》，明确了网络安全保护的总体要求、工作目标和 34 项重点措施。2022年7月，盐城市网络安全等级保护工作协调小组办公室发布“盐等保办〔2022〕1 号”文，要求结合本行业、本部门工作实际，认真参照执行。
2、建设内容
按照数据安全法和个人信息保护法要求，应确保对个数据安全的保护工作，数据安全保护工作不仅体现于数据本身的防范措施，还体现于数据的传输过程和整改完成后测评工作中，因此重点设计数据管理安全、数据传输安全、安全等保测评三方面的内容。
2.1数据管理安全
2.1.1数据共享留痕
增加数据共享留痕功能，形成数据水印，实现数据共享有据可查、全程可追溯，支持对各个部门单位如银行、公安、工商、民政、法院、检察院、大数据局之间的数据共享操作进行记录。主要记录内容包括详细信息和变动信息，其中详细信息包括共享时间、共享发起单位、共享接受单位、共享数据项名称、共享数据内容等关键因素；变动信息主要包括数据有变动变量、变动前的结果（原值）、变动后结果（现值）、变动时间、修改人。
本项目设计数据共享流程主要为以下几个步骤：
1.共享数据内容确认
选择需要共享的数据和需要共享的部门。
2.数据共享授权确认
确认共享数据操作员拥有共享该部分数据的授权。
3.共享数据接口发送
将共享数据发送至传输接口进行发送。
2.1.2数据防护升级
数据防护升级，包括完善授权机制、新增可信机制和运维安全机制、完善数据加密。
完善授权机制主要针对数据共享过程中的授权流程、授权审批、授权范围等内容全程进行电子化管理，确保数据授权最小可用原则；
新增可信机制主要针对系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，同时针对不可信情况进行预警和统计；
完善数据安全主要针对确保数据安全的手段进行丰富，使用应用密码技术进行认证，确保传输过程中端到端数据安全。
2.1.3升级数据加密
信息系统采用加密技术实现用户身份和鉴权口令、用户资源等关键信息的加密传输或加密存储，防止信息在网络传输或存储中被窃取、破坏及篡改。
本项目所使用的数据加密方法主要为以下几种：
1.链路加密：通常把网络层以下的加密叫链路加密。主要用于保护通信节点间传输的数据，加解密由置于线路上的密码设备实现。
2.节点加密：是对链路加密的改进。在协议传输层上进行加密，主要是对源节点和目标节点之间传输数据进行加密保护。
3.端对端加密：网络层以上的加密称为端对端加密。是面向网络层主体。对应用层的数据信息进行加密，易于用软件实现，且成本低。
2.2数据传输安全
在本系统的使用过程中，有着大量的数据通过网络进行传输，因此，数据传输的安全显得格外重要。数据传输和存储安全技术中，数据传输通道和数据加密是二个重要的技术手段，在数据传输通道上，将以往的基于HTTP传输通道升级为HTTPS安全加密传输，将购买HTTPS三年证书服务，实现系统的安全访问。
HTTPS是以安全为目标的HTTP通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。
为系统增加HTTPS加密的关键在于为域名网站部署SSL证书，SSL证书申请如下所示：
1.生成并提交CSR（证书签署请求）文件
CSR文件一般都可以通过在线生成（或服务器上生成），申请人在制作的同时系统会产生两个秘钥，公钥CSR和密钥KEY。选择了SSL证书申请之后，提交订单并将制作生成的CSR文件一起提交到证书所在的CA颁发机构。
2.CA机构进行验证
CA机构对提交的SSL证书申请验证方式为域名认证，系统自动会发送验证邮件到域名的管理员邮箱（这个邮箱是通过WHOIS信息查询到的域名联系人邮箱）。管理员在收到邮件之后，确认无误后点击我确认完成邮件验证。所有型号的SSL证书都必须进行域名认证。
3.CA机构颁发证书
由于SSL证书申请的型号不同，所验证的材料和方式有些区别，所以颁发时间也是不同的。
3、商务要求
1）工期要求：在合同签订后120个日历日内完成所有设备供货及安装调试工作；
2）交货地点：盐城市住房公积金管理中心指定地点。
3）质保期要求：1年
4）验收：项目验收工作由甲方组织乙方配合，对合同中规定的货物或服务进行验收，并形成验收报告。
5）付款方式：合同签订后支付30%预付款；完成2.2数据传输安全内容并出具相关部署实施文档后，支付40%进度款；完成协议约定所有内容后签订验收报告，验收报告签订后进入质保期，并支付总款项的20%进度款；质保期满后支付剩余10%尾款。
6）该项目中标后的合同金额，包括按照招标方案工作内容产生的所有费用，以及其他过程性费用，包括但不限于：在项目建设过程中产生的专家费、评审费、测评费、调研费、代理费等。
7）其他：供应商所提供的产品和开发的软件必须与中心现有核心业务系统进行无缝对接，如涉及到与核心业务系统原厂商的接口开发费用，由中标供应商负责。