电子招标投标全流程的主要节点分为招标、投标、开标、评标、定标五个主要阶段，其中招标公告信息中招标内容和资格条件的确认、确保投标单位信息的保密、评标专家的抽取和名单的保密、投标文件内容的防窃取与防篡改、开标环节的防解密失败、评标过程中的防泄密和评标结果防篡改是电子招标投标工作中的重点安全问题，总结五大环节中需要解决的风险点，主要可以归为六类问题，即：电子招标投标用户的身份确认问题、投标报名阶段投标人的名单泄露风险、专家抽取环节专家名单的泄露风险、投标文件的防窃取和防篡改问题、开标环节的防解密失败风险以及评委评标过程的防泄密和评标结果的防篡改问题。 一、信息技术安全 （一）信息操作者（主体）的身份合法性 1.身份标识与鉴别 要求应对招标人、投标人等登录用户进行身份标识与鉴别，并提供身份标识唯一性检查功能。应采用以下措施，确保用户身份不易被冒用： （1）提供鉴别信息复杂度检查功能。比如系统登录用户的密码复杂度检测，要有密码强度提示。 （2）对身份标识与鉴别异常提供保护措施。比如在系统登录失败多次后，应自动锁定账户，再通过其他认证手段进行解锁。 （3）使用CA数字证书对交易主体的身份进行标识与鉴别。需要进行身份标识与鉴别的电子招标投标交易行为包括：递交资格预审申请文件、递交投标文件、递交投标保证金、撤回投标文件、确认开标记录、递交回执、发出中标通知书、签订合同（协议书）等需要招标投标主体承担相应法律责任的电子招标投标行为。 （4）采用两种或两种以上上述措施进行组合鉴别技术。 2.电子签名 通过电子签名来确保电子招标投标文件的完整性和不可抵赖性。电子签名使用的数字证书应采用合法的CA机构颁发的证书，提供按照国家授时中心的标准时间源对需要电子签名的文件生成时间戳的功能。 应使用电子签名的文件包括：招标公告（资格预审公告）、投标邀请书、资格预审文件（澄清和修改）、资格预审申请文件（澄清和修改）、资格审查报告、招标文件（澄清和修改）、投标文件（补充、修改、撤回、澄清）、开标记录、评标报告、中标通知书、合同（协议书）及相关文件的签收回执等具有法律约束力的文件。 （二）信息传输过程的安全性 对于招标投标的信息传输，一是使用SSL协议进行通道加密传输，同时使用公开密钥体质和数字证书技术保护信息传输的机密性；二是对于投标单位名单、评委名单、评标结果等敏感数据采用自定义的加密技术。 数据接口访问应进行双方身份安全认证，确保接口访问的安全性。比如在和国家公共服务平台数据接口进行传输时，首先采用双方白名单互认机制，指定IP才能访问和调用接口，传输前先进行身份验证确认，再进行数据传输，从交易平台到国家公共平台的传输通道采用SSL协议加密。 （三）信息存储环节的安全性 采用加密或其他保护措施确保重要数据存储的保密性。对于投标人的名单、评标专家名单、评标结果等数据，要进行加密存储，避免能够接触到后台数据库的运维人员在数据库上直接拷贝或修改数据。 由于服务器系统是24小时不间断运行，单个部件发生故障的概率很高，特别是存储系统中的磁盘，存储冗余一般至少构建RAID5系统，也可以考虑将服务器资源及存储资源进行云托管，进一步保障服务的稳定性。现在很多地方的公共资源交易平台就是依托第三方提供的政务云建设的。 （四）数据的备份 根据制定的备份策略，定期备份数据库和系统重要的数据文件，以便在故障或灾难的情况下恢复信息。 （五）日志记录体系的全面性 在业务流程中要记录电子招标投标全过程关于事项办理、审批流转、数据修改所产生的记录以及记录的时间点，都需要完整地保存在系统里。 （六）安全审计管理 安全审计管理应满足以下要求： （1）应提供安全审计功能。安全审计范围应覆盖系统中的每个用户及系统中的所有重要安全事件，如登录事件、关键数据变更等。 （2）审计记录的内容应包括事件的日期、时间、发起者信息、类型、描述和结果等。 （3）应提供审计记录数据的查询、统计、分析功能。 （4）安全审计人员不能同时兼任系统管理员。 （5）安全审计系统设备宜独立部署，以确保数据不被篡改。 （七）系统安全风险测评 要对系统的源代码做安全审查。由于开发人员的水平和经验问题，源代码当中通常会存在一些安全漏洞和安全风险，在互联网上容易被攻击者利用，源代码审查要从源头上发现这些漏洞并进行安全整改。 系统的安全检测，包括系统漏洞扫描、用户身份鉴别、抗抵赖、访问控制、数据的完整性、保密性检查，数据备份与恢复检查等检测内容。 还可以做本地、远程、网络三个不同层级的渗透测试，模拟演练发生攻击的情况，通过渗透测试对网站进行深度检测，发现和挖掘系统中存在的漏洞。 |
|
|
来自： 昵称11935121 > 《未命名》
