服务类合同预览
服务类项目政府采购合同协议书

                                                                                                                                 政府采购合同编号:CSCG-CS-202005130036-1

采购人(全称):  长沙市交通运输信息中心  (甲方)

中标(成交)供应商(全称):  中国信息安全测评中心华中测评中心(湖南省信息安全测评中心)  (乙方)

  为了保护甲、乙双方合法权益,根据《中华人民共和国合同法》、《中华人民共和国政府采购法》及其他有关法律、法规、规章,双方签订本合同协议书。采购人与中标(成交)供应商应当根据合同的约定依法履行合同义务。政府采购合同的履行、违约责任和解决争议的方法等适用《中华人民共和国合同法》。

1.项目管理信息
(1)采购方式:  竞争性磋商  
(2)项目名称:  长沙市交通综合协调与应急指挥中心(TOCC)第三方软件测评服务项目   
(3)采购计划编号: CSCG-202005130036   

2.合同标的及金额
序号 标的名称 政府采购品目 型号规格 数量单位 数量 总价(元)
1 长沙市交通综合协调与应急指挥中心(TOCC)第三方软件测评服务项目 测试评估认证服务 对TOCC交通运行监测预警系统、交通综合业务辅助与决策系统、应急指挥调度系统、综合服务协调管理系统、大屏可视化系统、移动端按国家相关标准和规范进行第三方软件测评,并根据测评结果出具测试报告。具体负责软件测评服务机构需出具本项目的服务承诺函。 1 125800
 合计金额小写: 125800
 合计金额大写:壹拾贰万伍仟捌佰元整


合同标的及金额明细:

1、测评范围:

依据长沙市交通运输局综合协调与应急指挥中心(TOCC)项目的建设目标和建设任务,进行第三方测评服务,包括软件系统测评、安全测试、软件源代码测评、项目相关文档审查等工作。

1软件系统测评:包括功能测试、可靠性测试、安全性测试、性能测试、易用性测试、可移植性测试、兼容性测试并出具测评报告。

2软件源代码测评:包括源代码的扫描测试,并出具测评报告。

3项目相关文档审查:包括项目相关阶段性成果文档的审查。主要审查技术文档是否齐全和正确,是否符合验收要求,并出具报告。

2、工作内容:

第三方测评机构的主要工作内容包括设计测评方案、开展测评工作、提交测评报告、协助问题修复四部分。

1设计测评方案:根据国家对信息化项目建设、验收的相关标准和行业相关标准,结合长沙市交通运输局综合协调与应急指挥中心(TOCC)项目招标文件、商务合同、总体建设方案及项目建设的过程资料,并根据本次测试需求调研结果,设计完善项目各个系统的测评方案。

2开展测评工作:依据测评方案中规定的指标和评判标准及国家有关软件质量检测标准开展测评工作,对系统实现的功能、性能以及安全性等进行符合性验证。

3提交测评报告:及时准确报告测评期间发现的问题,提交详细的项目测评记录及项目测评报告,客观专业地总结测评结论,帮助建设方判断项目建设的相关的需求是否实现。

4协助修复验证:协助甲方发现系统中存在的问题和漏洞并进行整改,对修复的问题进行再次验证,实现对系统建设质量的提升,规范项目上线流程和验收流程。

3、测评原则:

1)坚持客观公正、科学准确的基本原则,实事求是完成长沙市交通运输局综合协调与应急指挥中心(TOCC)项目测评工作。

2)按照国家、行业相关标准开展测评工作,严守规则,提高质量的测评技术服务。

3)对测评服务过程中所涉及的所有有关长沙市交通运输局综合协调与应急指挥中心(TOCC)项目的技术方案、业务资料以及各种项目相关资料严格保密。

4、测评依据:

本项目测评需要严格按照国家或国际标准、行业标准以及项目合同需求。测评的依据主要包括如下内容:

1GB/T18336 -2015《信息技术、安全技术、信息技术安全性评估准则》

2GB/T 29831.32013《系统与软件功能性:测试方法》

3GB/T 29835.32013《系统与软件效率:测试方法》

(4)GB/T 15532-2008《计算机软件测试规范》

5GB/T 9386-2008《计算机软件测试文档编制规范》

6GB/T34944-2017 Java语言源代码漏洞测试规范

7)经本项目业主方和监理单位确认的用户需求相关资料

(8)项目相关文档

5、测评内容:

1)软件系统测评

软件系统测评包括但不限于以下几方面:

① 功能性测试:是指软件在生产环境下使用时,对产品明确和隐含的功能模块根据测试用例逐项测试,检查产品是否达到用户要求的功能。具体功能测试内容如下:

1.页面链接检查:每一个链接是否都有对应的页面,并且页面之间切换正确;

2.相关性检查:功能相关性:删除/增加一项会不会对其他项产生影响;数据相关性:下拉列表默认值检查,下拉列表值检查;

3.按钮功能检查:如新建、编辑、删除、关闭、返回、保存、导入,上一页,下一页,页面跳转,重置等功能是否正确;

4.搜索检查:有搜索查询功能的地方输入系统存在和不存在的内容,看搜索查询结果是否正确;

5.上传下载文件检查:上传下载文件的功能是否实现,上传文件是否能打开。

② 可靠性测试:可靠性测试也称软件的可靠性评估,指根据软件系统可靠性结构(单元与系统间可靠性关系)、寿命类型和各单元的可靠性试验信息,利用概率统计方法,评估出系统的可靠性特征量。软件可靠性是软件系统在规定的时间内以及规定的环境条件下,完成规定功能的能力。可靠性测试包括以下四个方面:

?成熟性

?可用性

?容错性

?易恢复性

③ 安全性测试:应用安全性测试主要以渗透性测试及程序安全性功能核查的方试,通过自动化安全扫描工具及人工检测的方法,最大化发现WEB应用层存在的漏洞问题,最大可能减小应用程序的安全隐患。应用系统安全性测试主要包括中间件安全配置核查和应用系统渗透性测试。

中间件安全配置核查:中间件安全配置核查主要对IISTomcatApacheweblogic等相关基础信息及与安全相关的策略进行检查,以便了解中间件应用服务器的安全情况。

应用系统渗透性测试:渗透性测试是指安全工程师尽可能完整地模拟黑客使用的漏洞发现技术和攻击手段,从攻击者的角度对目标网络/系统/主机/应用的安全性作深入的非破坏性的探测,发现系统最脆弱的环节的过程。渗透性测试通常能以非常明显、直观的结果来反映出系统的安全现状。其目的是能够让管理人员直观地知道自己网络所面临的问题。基于此次系统渗透测试的性质和目的,为了不对测试对象造成破坏、损害和篡改,对于某些可能会对测试对象造成负面影响的攻击方法和手段,在本次渗透测试中没有使用,其中包括:社会工程学、(分布式)拒绝攻击、散布病毒(包括木马、恶意代码等)、网络钓鱼等。

具体测试内容包含但不限于如下:

1.WEB应用安全扫描

通过专用的WEB应用安全扫描工具对应用系统进行全面的安全扫描,可以即时发掘应用系统目录结构、收集相关应用信息、获取初步通用安全漏洞情况,有利于进一步进行验证测试及手动渗透性测试。通过自动化扫描一般可获取如下信息:

l绝大部分Web应用程序的URL和输入、输出参数;

l目标系统所使用的Web应用程序开发技术和语言;

l隐含的目录结构信息;

l过期的、临时文件信息;

l管理程序的入口地址;

l支撑应用系统中间件版本;

l初步的通用安全漏洞情况等。

2.信息收集

尽可能地收集应用系统信息是渗透测试的关键步骤。实现信息收集有很多种方法,使用搜索引擎、扫描器或发送特殊构造的HTTP请求等,都可以使服务器端的应用程序返回一些错误信息或系统运行环境的信息,通过分析获得的这些的信息,可以为后续的渗透测试工作提供如下帮助:

l测试范围进一步明确,针对性加强;

l避免了做无关测试;

l提高了测试的效率。

信息收集工作包括Web服务器和应用程序指纹探测、后台应用程序发掘、爬网和Googling、自动化扫描等。

3.中间件安全漏洞

支撑应用系统的中间件对应用系统安全至关重要,如果中间件本身版本存在漏洞,将直接威胁应用系统安全;同时如果中间件存在安全配置问题,将导致部分安全漏洞,如目录浏览、管理后台漏洞等。

4.目录文件漏洞

目录文件漏洞主要涉及程序路径遍历、文件上传、文件下载、文件包含等漏洞。

程序路径遍历漏洞主要是由于程序参数校验及文件权限设置存在缺陷,导致恶意攻击者可以在非授权情况下越权访问文件夹及文件信息,导致敏感信息泄露,进而影响应用系统安全性。

文件上传漏洞包括文件上传路径控制不正确、上传可执行的文件、WEB中间件导致的文件解析漏洞等,一旦文件上传成功并且可以执行,将导致直接的安全威胁。

文件下载漏洞可能导致服务器任意文件可以下载,包括应用系统源代码、敏感文件、系统密钥、数据库配置等,可能导致严重的安全威胁。

文件包含漏洞是指通过注入一段用户能控制的脚本或代码,并让服务器执行,将导致直接的安全威胁。文件包含可能会出现在JSPPHPASP等语言中,文件包含一般包括本地文件包含和远程文件包含。

5.注入攻击测试

注入攻击是一种常见的对WEB应用程序的攻击和威胁,根据注入问题产生的原因和背景环境,注入可分为很多种类型:命令注入、XPath注入、LDAP注入、SQL注入、XML注入等。常用的注入攻击为命令注入和SQL注入。

命令注入是指通过相应接口执行操作系统命令的一种技术漏洞,此漏洞可能导致攻击者在操作系统执行一些预料之外的危险命令,同时可能导致攻击者控制一些不能直接访问的系统和资源。

SQL注入是指恶意攻击者可以通过发送恶意SQL语句触发解释器执行无意识的命令或者修改数据,通过SQL注入漏洞可能导致严重的危害,如探知数据库具体结构和数据、敏感数据泄露如账户信息、密码、信用卡等、严重情况下可能导致数据被篡改、服务器被控制、应用系统挂马等。

6.跨站脚本漏洞测试

跨站脚本攻击(Cross Site Scripting,简称XSS)是指攻击者利用网站程序对用户输入过滤不足,输入可以显示在页面上对其他用户造成影响的HTML代码,从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。

XSS主要分为3类:反射型XSS、存储型XSS和基于DOMXSS

反射型XSS也称为非永久性XSS,是目前最流行的一种XSS攻击,出现于服务器直接使用客户端提供的数据且没有对数据进行无害化处理。

存储型XSS是指用户输入的跨站脚本攻击存储于服务器端,一时用户访问即可触发,具有很强的稳定性。

DOM XSS从效果上也是反射型XSS,由于形成的原因较为特别,通过修改页面的DOM节点形成XSS

7.访问控制测试

访问控制漏洞主要分水平权限访问与垂直权限访问漏洞。水平权限访问漏洞即指同一角色用户之间存在越权访问漏洞,导致用户可以越权访问其他用户敏感信息,从而导致信息泄露等。垂直权限访问漏洞是低权限账户可以越权访问高权限账户操作权限,从而导致严重安全威胁。

8.敏感信息泄露

Web服务器做出的响应方式是Web应用渗透测试的基本分析依据,通过构建各种各样的畸形请求,让Web服务器返回出错信息,出错信息中通常会包含错误代码,它含带了极为丰富的,而且极为重要的信息,例如:应用程序的版本、打了什么补丁、存在哪些组件等等。

同时部分临时文件、备份文件等均可能导致相应敏感信息泄露

9.缺省的或可猜测的(字典攻击)用户账户测试

此类测试主要针对的是密码设置或密码强度相对较弱而产生的漏洞。采用缺省密码,或使用比较简单的密码,都可以通过密码字典来进行尝试破解,而且成功率相对较高。其中,空口令的威胁更加严重,也是测试的重点。字典攻击主要针对基于HTML表单提交的验证方式进行的。

10.身份认证和会话管理

此项主要是针对应用系统的身份认证和会话管理机制进行测试,以发现可能存在的安全漏洞,如会话注销漏洞、重放攻击等。

11.跨站请求伪造测试

跨站请求伪造(CSRF)是指攻击者面对一个已经被网页服务器验证的用户,通过一定的技术手段,例如网上钓鱼等,令此用户不知情的情况下执行一些恶意的代码,而致使用户当前会话中验证信息被偷,由于受害用户仍处于一次完整的会话当中,所以攻击者就可以成功的进行的身份伪造冒充当前用户进行交易。跨站请求伪造测试便是专门针对此项漏洞的测试。

④ 性能测试:性能测试是指软件系统在规定的条件下,相对于所用资源的数量,软件/信息应用系统可提供适当性能的能力。包括以下三个方面:

?负载测试

测试系统的负荷和响应时间等相关数据,用于验证应用系统的处理能力,并帮助作出调整优化策略。

?强度测试

模拟高并发状态下,应用系统可能出现的性能瓶颈,同时验证应用系统的稳定性、可靠性,了解应用系统能够满足的最高并发访问场景。

?数据库容量测试

数据库容量在不断增大的情况下,应用系统对数据增删改查的处理情况,验证数据库是否存在异常或瓶颈,测试结果有利于调整优化数据库架构设计和进行有效的库表分离。

⑤ 可维护性测试:可维护性测试是指软件/信息应用系统可被修改的能力。包括以下四个方面:

?可重用性

?易分析性

?易修改性

?易测试性

⑥ 可移植性测试:软件/信息应用系统的可移植性是指软件/信息应用系统从一种环境迁移到另外一种环境的能力。包括以下三个方面:

?适应性

?易安装性

?易替换性

⑦ 兼容性测试核实测试对象在不同的软件和硬件配置中的运行情况。在任何时候,都可能运行许多不同的软件组合,从而占用不同的资源。包括以下三个方面:

?浏览器兼容性

?操作系统兼容性

?硬件兼容性

(2)软件源代码测评

通过对应用程序进行源代码测评,以检测信息系统所存在的安全隐患,主要测试内容如下所示:

?系统所用开源框架

包含但不限于java反序列化漏洞,导致远程代码执行。SpringStruts2的相关安全。

?应用代码关注要素

日志伪造漏洞,密码明文存储,资源管理,调试程序残留,二次注入,反序列化。

?API滥用

1.不安全的数据库调用、随机数创建、内存管理调用、字符串操作,危险的系统方法调用。

?源代码设计

不安全的域、方法、类修饰符未使用的外部引用、代码。

?错误处理不当

程序异常处理、返回值用法、空指针、日志记录。

?直接对象引用

直接引用数据库中的数据、文件系统、内存空间。

?资源滥用

不安全的文件创建/修改/删除,竞争冲突,内存泄露。

?业务逻辑错误

欺骗密码找回功能,规避交易限制,越权缺陷Cookiessession的问题。

?规范性权限配置

数据库配置规范,Web服务的权限配置SQL语句编写规范。

3项目相关文档审查

依据招投标文件与双方签订的合同内容对项目相关阶段性成果文档进行审查。

3.履行期限及地点和方式
3.1 履行期限:
2020-06-17 —— 2020-07-31

3.2 履行地点:甲方指定地点
3.3 履行方式:(合同的履行方式主要包括运输方式、交货方式等):

现场测评。


4.结算方式
4.1 资金支付方式:
第1次分期支付金额为125800元,所占总合同金额百分之100.00,说明:项目测评完毕、出具测评报告、验收合格后凭用户的验收证明单,乙方提供的相关票据,采购人支付乙方合同金额的100%。本项目采用费用包干方式,项目实施中出现的所有费用,均由乙方免费提供,甲方不再支付任何费用。,该期为履约验收期

4.2 收款账户: 光大银行华泰支行(中国信息安全测评中心华中测评中心(湖南省信息安全测评中心):78760188000079639)

5.合同履约验收方式及要求:甲方在收到乙方交付的货物(服务)后按如下方式进行验收
5.1 验收程序
采用 简易程序验收
5.2 质量要求

1、项目实施要求:

依据国家各项相关标准法规和长沙市交通运输局现有的规范、制度,同时结合项目实际需要,对软件测评项目工作中的测评(包括测评范围、测评方法等)、整改(包括整改方法、范围等)过程中,所需的产品、技术、制度、流程、建设要求和实施规范等方面,提供咨询、测评、整改建议以及整个建设过程的监督和管理等服务。提供的整改方案,包括整体流程、技术方法和服务方案等,发现系统不足,明确安全风险隐患和差距,提出整改意见,协助甲方相关管理人员进行整改。

乙方负责提供的服务内容至少应包括,但不限于以下各项:

1)乙方在软件测评前制定详细的技术方案,包括测评实施方案以及人员安全培训计划等,并提交甲方审核。

2)软件测评包括但不限于以下对象:功能测试、可靠性测试、性能测试、安全性测试功能测试、可靠性测试、安全性测试、性能测试、易用性测试、可移植性测试、兼容性测试、项目相关文档审查等。

3)乙方应描述测评服务的技术方案,包括准备工作、技术措施、人员安排、时间进度、可能对系统造成的影响等。

4)软件测评工作应尽量选择在非业务繁忙时段进行,将对被测系统可能带来的影响减至最小。

5)乙方应书面承诺能够积极与甲方协作,共同完成本项目的测评工作,项目实施过程中出现问题不得互相推诿,双方应主动进行沟通,并及时解决问题,确保项目顺利实施。

2、实施要求:

(1)开展测评活动的必须为本机构测评师或者取得等级测评师证书与上岗证的测评人员。

(2)本项目完成后,乙方应将项目有关的全部资料,包括产品资料、技术文档、施工图纸等,移交甲方。

3、服务保障与承诺:

(1)乙方应严格按照测评人员执业守则,按照国家相关法规、规范、标准及制定的测评方案、项目计划书、实施细则进行测评,在保证质量、安全的前提下,确保在项目规定的期限内按期完成。

(2)乙方在测评过程中和测评完成后,协助、配合甲方进行相关的软件系统整改。

(3)乙方应在项目期内向甲方提供7*24小时电话咨询服务,必要时上门服务。

(4)乙方应在项目开始前,与甲方签订保密协议,严格遵守法律法规,对甲方商业秘密、系统风险信息、项目实施内容及成果信息进行严格保密,未经甲方同意,严禁将上述内容与任何第三方透露或用于其他商业用途,并承担由此产生的一切损失。

5.3 验收要求和验收标准

1、项目验收国家有强制性规定的,按国家规定执行,验收报告作为申请付款的凭证之一。

2、验收过程中产生纠纷的,由质量技术监督部门认定的检测机构检测,如为乙方原因造成的,由乙方承担检测费用;否则,由甲方承担。

3、甲方验收前要求乙方提供测评报告。按照政府采购程序验收。

4、验收时由验收小组对所提交的测评报告检验,并出具最终的验收报告。

5、凡验收不合格,由乙方返工直至合格,有关返工、再行验收。连续两次项目验收不合格的,甲方可终止合同,由此带来的一切损失由乙方承担。

6.甲乙双方的权利与义务

甲方的权利和义务

1)权利:

1)测试过程中甲方有权利对乙方的测试过程进行监督与参与。

2)测试过程中甲方有权利拒绝乙方提出的可能造成该系统业务持续性、机密性、完整性、可用性受到重大损失的测试要求。

2)义务:

1)在测试过程中,甲方应协助并向乙方提供系统测试所需的文档。

2)在测试过程中,甲方应依据被测系统测试计划时间安排,按时配合乙方的测试工作。

3)在测试过程中,甲方协助乙方进行测试计划内的一切测试活动。

乙方的权利和义务

1)权利

1)测试过程中乙方有权利要求甲方提交测试范围内的有效证据,以证明测试结果的有效性。

2)测试过程中乙方有权拒绝甲方提出的可能造成该系统业务持续性、机密性、完整性、可用性受到重大损失的测试要求。

2)义务

1)测试过程中乙方应严格依据《GB/T20274-2006信息安全技术 信息系统安全保障框架》、《GB/T 18336-2015信息技术 安全技术 信息技术安全性评估准则》等有关国家标准及相关需求进行测试。

2)测试过程中乙方应严格做好记录,以确保测试过程的有效性和可靠性。

3)乙方有义务对系统测试的所有资料采取保密措施。

7.违约责任

1)因甲方配合原因造成乙方测试周期延长,甲方应增加延长期间的相关费用。

2)因甲方未按合同规定时间付款,甲方应赔偿相关滞纳金。

3)因乙方原因造成测试周期延长,延长期间所增加的费用应由乙方承担。

4)因乙方原因造成甲方资料泄密,乙方应承担相应责任。

8.解决争议的方法
首先通过双方协商解决,协商解决不成,则通过以下途径之一解决纠纷:
向人民法院提起诉讼

9.组成合同的文件
合同由以下文件构成,如下述文件之间有任何抵触、矛盾或歧义,应按以下顺序解释:
(1)在采购或合同履行过程中乙方作出的承诺以及双方协商达成的变更或补充协议
(2)中标或成交通知书
(3) 响应文件
(4)政府采购合同格式条款及其附件
(5)专用合同条款(如果有)
(6)通用合同条款(如果有)
(7)标准、规范及有关技术文件,图纸,已标价工程量清单或预算书(如果有)
(8)其他合同文件。

10.合同生效
本合同自 合同签订之日起 生效

11.其他条款



注:政府采购合同的双方当事人不得擅自变更、中止或者终止合同。
  政府采购合同继续履行将损害国家利益和社会公共利益的,双方当事人应当变更、中止或者终止合同。有过错的一方应当承担赔偿责任,双方都有过错的,各自承担相应的责任。
甲方(公章): 中国长沙市政府招标采购人(甲方)盖章处 乙方(公章): 中国长沙市政府招标供应商(乙方)盖章处
地址: 长沙市雨花区万家丽路中段269号长沙市交通运输局813 地址: 湖南省长沙市芙蓉区和光路102号
法定代理人: 胡娟 法定代理人: 许纯亮
委托代理人: 黄锦 委托代理人: 谭芳
电话: 0731-88151721 电话: 0731-84733354
传真: 0731-88151275 传真: 0731-84783398