一、项目概况

本项目采购内容为：本项目是对中央社会主义学院网络社院（全国统一战线网络学习平台）升级改造项目（一期）所建设的软件系统（以下简称网络社院系统）提供基于第三方软件测评和上线前数据安全检查，确保项目所建设的软件系统能够满足建设要求，系统顺利上线、安全稳定、流畅运行。

二、项目具体采购需求

本次测评工作依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，以及国家发布的最新版本的软件产品质量测试标准、源代码安全审计标准、信息安全风险评估标准、数据安全风险评估标准、移动 APP 安全测试标准、软件可移植性测试等国家标准，同时依据被测软件需求、设计文档、需求规格说明书、被测系统设计文档、接口文档、业务需求文档、软件相关招投标文件和本项目采购文件及合同约定双方确认的测评实施方案等均作为本项目的测试依据，开展下述测试：

（一）软件功能测试

针对中央社会主义学院网络社院（全国统一战线网络学习平台），围绕业务使用、运行性能、多环境适配开展全量验收测试，验证系统是否满足需求规格说明书、设计方案及实际业务运行要求，确保系统符合上线验收标准。具体如下：

1. 功能测试

覆盖系统全部业务模块、功能菜单、操作流程及交互逻辑，依据项目需求文档、设计文档开展全方位测试，核心测试内容包括但不限于业务流程测试（主流程、分支流程、异常流程等）、功能点测试（需求完全覆盖，无漏做错做）、数据准确性测试（输入合法性、数据增删改查、数据一致性）、权限与角色测试、异常场景测试（错误输入、非法操作报错、系统崩溃等）、界面测试（页面展示、按钮、提示、弹窗、表单校验等），功能模块清单附后。

2. 接口测试

验证系统与外部系统、内部模块之间的接口功能正确性、数据一致性、安全性和性能，核心测试内容包括但不限于短信、直播、电子书、中国知网等第三方平台的接口；与中央社院一卡通系统、智慧社院业务平台、研究生管理系统等接口。

3. 性能测试

结合系统实际业务并发量、使用场景、数据量级开展压力、负载、稳定性等性能测试，评估系统承载能力、响应效率及长期运行稳定性，核心测试内容包括但不限于并发性能测试（多用户同时访问响应时间）、负载测试（逐步加压压力承载上限等）、压力测试（极限压力，系统承载上限值等）、稳定性测试（不同时间段持续运行，内存泄漏观察，服务宕机测试）、大数据量测试（查询读写性能值），性能要求附后。

4. 兼容性测试

验证系统在不同运行环境、终端设备、浏览器下的适配性和可用性，保障多场景正常使用。核心测试内容包括但不限于浏览器兼容性、系统环境兼容性、分辨率兼容性。其中，浏览器及移动端包括但不限于以下内容：

（1）浏览器：支持如统信UOS浏览器等国内主流信创操作系统内置各版本浏览器。对谷歌Chrome、火狐Firefox、微软Edge等拥有广泛用户基础的浏览器提供全面支持。良好兼容360浏览器、搜狗浏览器、QQ浏览器等基于多种内核的国产浏览器。

（2）移动端：APP支持Android10以上，支持鸿蒙系统HarmonyOS NEXT（5.0）等多个主流操作系统版本。

5. 易用性测试

围绕学员端、管理端不同用户群体的使用场景开展易用性验证，验证系统是否符合目标用户使用习惯，降低操作门槛，提升使用体验。

软件功能测试可依据GB/T 25000.51-2016、GB/T 15532-2008或同等效力标准开展。采用人工执行结合自动化辅助测试方式，检测机构具备CNAS或CMA实验室认可，认可附表包含上述标准。出具带CNAS或CMA标识的软件功能测试报告，包含测试范围、需求覆盖情况、业务流程测试、功能点、数据准确性、权限角色、异常场景、界面测试结果；缺陷清单；并发、负载、压力、长时间稳定性、大数据量读写测试；测试场景、压力模型、性能指标、内存泄漏观测、系统承压上限、性能瓶颈分析及优化建议。兼容性测试、易用性测试交互优化建议等内容。

（二）安全测试

1. 源代码安全审计

对本项目软件系统代码开展静态安全测试、漏洞检测与合规核查，从代码底层挖掘安全风险、逻辑漏洞、合规缺陷，保障系统代码安全、稳定、合规，核心测试内容包括但不限于通用漏洞检测、代码质量检测、安全配置检测、合规性检测、漏洞复测验证，以及源码安全缺陷、后门、不安全编码等方面。对系统业务源代码开展安全审计，核查是否存在硬编码账号密钥、密码明文存储、敏感信息日志明文输出、危险函数调用、不安全加密算法、未过滤用户输入等代码层面缺陷；出具代码风险清单及修复指引。报告应包含：源码静态扫描结果，硬编码密钥、明文存储、危险函数、不安全加密、输入未过滤、后门等代码缺陷；风险清单、漏洞详细描述、修复指引、复测结果。

源代码审计不得仅采用自动化静态扫描工具完成测试，须采用 “工具静态扫描+安全审计工程师人工审计复核”相结合的方式开展，可依据GB/T 39412-2020或同等效力标准开展。自动化工具仅用于初步告警收集，所有告警结果须由源码审计工程师人工复核，剔除误报；针对核心业务代码模块进行人工代码逻辑审查，重点挖掘业务逻辑缺陷、权限控制漏洞、隐蔽后门、不安全设计等自动化工具难以发现的安全风险。 供应商需提供代码审计范围清单、代码抽取记录、人工审计过程记录、代码定位截图、问题代码片段等原始证据。针对发现的安全缺陷提供详细代码位置、风险原理及整改建议，并在被测系统完成修复后开展复测。不接受仅使用静态扫描工具输出的结果作为审计结论。验收时核查人工审阅记录、核心业务代码人工审查痕迹、告警人工复核记录；无人工审计复核资料的，视为源代码审计工作未完成，不予验收。检测机构应具备CNAS或CMA实验室认可，认可附表包含上述标准，出具带CNAS或CMA标识的基线检查报告。

2. 基线检查

依据国家信息安全相关标准及行业最佳实践，对服务器操作系统、数据库、中间件、Web服务等核心组件的安全配置基线进行专项核查。核心测试内容包括但不限于账号管理、密码策略、日志审计、端口服务、访问控制、文件权限等配置项，排查弱口令、非必要服务开启、权限过高等不安全配置问题，并提出针对性整改建议。对操作系统进行基线核查：对服务器操作系统进行基线配置检查，核查多余无效账号、共享账号、弱口令风险；核查登录策略、密码策略、日志策略、SSH、远程访问配置；关闭无用端口、闲置服务；核查系统高危补丁安装情况，排查木马、Webshell、后门痕迹。对中间件基线检查，包含Nginx、Tomcat、Weblogic等中间件配置核查；删除默认页面、示例工程、默认账号；禁用危险HTTP方法，加固中间件安全配置，排查中间件已知高危漏洞。数据库安全基线检查：核查数据库默认账号是否清理、账号权限、弱口令情况；禁用危险存储过程；检查审计日志开启状态；检查敏感字段存储方式；清理数据库非必要外部访问权限。云平台配置核查：核查云服务器安全组、访问策略、存储桶权限、对象存储匿名访问风险，核查云账号权限、密钥管理配置，检查分区隔离策略，核查数据违规出区风险。安全基线检查采用自动化工具扫描+人工复核方式，可依据GB/T 22239-2019、GB/T 28448-2019或同等效力标准开展，覆盖操作系统、数据库、中间件、网络设备等组件安全配置核查；检测机构应具备CNAS或CMA实验室认可，认可附表包含上述标准，出具带CNAS或CMA标识的基线检查报告。报告应包含：服务器操作系统、数据库、中间件（Nginx/Tomcat/Weblogic）、云平台配置基线核查；账号策略、密码、日志、端口、权限、补丁、木马/Webshell 排查结果，基线不合规项整改建议。

3. 数据安全测试

围绕数据全生命周期安全开展专项验证，数据分类分级核查（评估核查系统处理的业务数据、个人信息，识别一般数据、敏感个人信息、重要业务数据分级分类）；数据传输安全测试（接口数据传输加密验证，检查是否存在明文传输、抓包泄露风险，核查全站HTTPS部署情况，禁止敏感数据HTTP明文传输；检查证书配置有效性，排查弱加密套件、过期证书风险）；数据存储安全测试（核查明文存储情况，检查是否开启数据备份、留存周期是否合规等，核查密钥管理机制）；数据访问权限精细化测试（核查角色，检查数据访问边界，验证数据最小权限）；数据脱敏与展示安全测试；数据导出与销毁安全测试（检查页面展示、数据导出场景敏感信息脱敏效果，核查数据导出权限控制）；个人信息保护专项测试（检查收集、使用、存储合规性，排查过度留存风险）；测试环境数据核查（确认测试、开发环境不存在生产真实敏感业务数据，禁止未脱敏的生产数据流入非生产环境）；数据访问审计（核查敏感数据访问日志留存情况，确保日志可追溯访问主体、访问时间、访问行为等信息）；身份认证与会话安全测试（核查账号密码复杂度策略、账号锁定防暴力破解机制、验证码安全、会话Cookie属性、会话超时、会话劫持、单点登录安全配置，检查是否存在越权登录、会话固定漏洞）；权限安全测试（开展水平越权、垂直越权测试，验证不同角色用户的数据访问、功能访问权限；核查角色权限分配是否遵循最小权限原则，检查接口是否存在未授权访问，排查普通用户越权查看/修改其他用户业务数据问题）；API接口专项安全检测（对全部对外、对内开放接口进行检测，检查接口鉴权、签名校验、入参校验、敏感字段返回、接口访问频率限制情况，排查未授权调用、参数泄露等风险）；业务逻辑安全检测（针对业务流程开展逻辑漏洞测试，包括表单重复提交、业务参数篡改、业务绕过、接口重放攻击、防刷校验、业务边界异常处理等业务逻辑类安全风险）。

数据安全检测依据GB/T 41479-2022、GB/T 35273-2020、GB/T 45577-2025、GB/T 43697-2024或同等效力标准开展，对系统的数据分类分级、数据收集、存储、传输、使用、销毁全生命周期安全控制措施进行核查，识别数据泄露、越权访问、个人信息违规收集等风险；采用工具检测结合人工核验的方式。检测报告需加盖机构公章并由评估负责人签字。数据安全检测可由以下任一机构实施：（1）承担本项目评估工作的检测机构持有经国家认监委备案的 GB/T45389 数据安全风险评估服务认证，投标人须提供证书，证书信息可在全国认证认可信息公共服务平台核验真实有效；（2）在等保办备案的等级保护测评机构；（3）中国信息安全测评中心。由上述机构出具包含数据安全内容的独立专项评估报告。

（三）人员要求

1.需组建专属测试项目组，配备项目负责人、功能测试工程师、性能测试工程师、安全测试工程师，人员配置齐全、分工明确。

2.项目人员须具有软件测评师、CISP、CCRC等相关领域证书。项目实施周期内，人员需稳定，未经采购人书面同意，不得擅自更换；承诺持证人员全程参与本项目方案编制、现场测试、问题复核、报告评审等核心工作。若存在证书挂靠、投标人员与实际进场人员不一致、仅拿证书用于投标但不参与项目实施等情况，视为虚假响应、违约，采购人有权取消中标资格或终止合同，并追究相应违约责任。

（四）交付物

投标方须按要求交付测试方案和测试成果，正式报告须加盖供应商公章及对应资质章。其中，测试方案和测试设计须在测试执行前交付并经招标方书面确认。投标人须最终交付完整成套检测资料，服务成果交付要求包括但不限于下述报告：

1.《软件测试报告》

2.《源代码安全审计报告》

3.《基线测试报告》

4.《数据安全专项测试报告》

5.其他配套交付

（1） 缺陷汇总清单（Excel 版）

（2）测试原始资料（归档材料）

检测机构需完成全部测试工作后，提交上述全套报告文档；被测单位完成缺陷整改后，检测机构应开展复测并出具复测报告，所有报告须加盖检测章，纸质版 + 电子版一并交付。纸质报告根据具体需要可单独成册或合并成册。

（五）项目验收

本项目属于第三方软件测评技术服务项目，采购人组织项目验收，测评报告仅为交付成果之一，报告出具不代表项目验收合格。供应商完成全部测评、复测工作后，提交书面验收申请及全套交付成果。验收小组对照采购文件、合同、测评方案，从服务范围、测评环境、机构及人员资质、全套交付文档、测评工作质量等维度逐项核查。验收不合格的，供应商须按采购人要求限期整改，整改完成后重新申请验收。验收合格后签署验收意见书。禁止仅使用自动化扫描工具直接生成报告；验收时核查人工原始操作记录、漏洞复现证据，核验业务逻辑、越权等人工挖掘类漏洞分析内容；若无人工验证记录，视为测试工作未完成，不予验收通过。不得使用有关规定明确禁止使用的相关工具。

（六）售后服务与质保要求

1.提供技术咨询服务，针对招标方提出的测试相关疑问、技术问题，需及时响应、精准解答。其中，严重问题2小时内响应，4小时内提供解决方案。

2.配合招标方完成项目验收、审计、资料归档等相关工作，按需提供测试成果解读、技术支撑服务。

3.严格遵守保密协议，对项目源代码、业务数据、测试资料、项目信息严格保密，不得泄露、外传、用于其他项目，承担永久保密责任。

（七）其他要求

1.投标方需充分理解本项目业务需求及测试要求，所有测试服务工作需全程接受招标方监督、管理，严格配合招标方项目进度安排，服从招标方合理工作调度。

2.测试过程中产生的测试用例、脚本、报告等成果知识产权归招标方所有，投标方不得用于其他项目。测试结束后，投标方须出具数据销毁承诺书。

3.若测试过程中因投标方工作疏漏、测试不全面导致上线后出现重大功能故障、安全漏洞、性能问题，投标方需无偿整改、补充测试，并承担相应责任。

（八）系统测试清单：见附件。

（九）合同履行期限：采购完成之日起30个工作日。

（十）采购控制金额：181900元。此价格为含税固定总价，包含设备费、材料费、人工费、运输费、安装调试费、验收费、质保费及所有税费等一切费用。供应商的报价不得超过此金额，否则视为无效。

三、申请人的资格要求：

（一）满足《中华人民共和国政府采购法》第二十二条相关规定。

（二）具有独立承担民事责任的能力证明。包括法人或者其他组织的营业执照等证明文件，自然人的身份证明。

（三）本项目的特定资格要求

1. 信誉要求：投标人不得在“信用中国”网站（www.creditchina.gov.cn）被列为失信被执行人、重大税收违法失信主体、安全生产严重失信主体名单；投标人不得在“国家企业信用信息公示系统”（www.gsxt.gov.cn）中被列入严重违法失信企业名单；投标人不得在“中国政府采购网”（www.ccgp.gov.cn）中被列入政府采购严重违法失信行为记录名单；投标人无围标串标、弄虚作假的不良行为记录，且未受投标限制的；投标人不得与采购人有涉诉或关联涉诉情形（提供网站截图）。

2. 通过ISO 9001质量管理体系认证、ISO 27001信息安全管理体系认证。

3. 投标人须具备软件产品测评、源代码安全审计、信息系统安全测评、数据安全检测等本项目检测内容检测资质且在有效期内，投标文件提供证书及能力附表复印件并加盖公章，具体参考评分表。

四、投标方式

时间：2026年10月23日 至2026年10月29日，每天9:00至11:30，14:00至17:30。（北京时间，法定节假日除外）

方式：凡有意参加投标者，请在规定的时间内，将投标文件以一正二副的形式加盖公章密封后，送至中央社会主义学院南门保安岗亭（地址：北京市海淀区万寿寺甲4号）。

联系电话：（010）68706918。

五、中标方式

本项目采用比选形式，递交材料符合本项目要求的，综合得分最高的供应商中标。

评分标准如下：

六、公告期限

自本公告发布之日起5个工作日。

中央社会主义学院行政事务管理部

2026年10月23日