四川政府采购西充县财政局投诉处理决定书-西财采〔2020〕1号424

　 西财采〔 2018 〕1 1 号

　西 充 县 财 政 局

　投 诉 处 理 决 定 书

　投诉人：

　成都天意井源科技有限公司

　地址：

　成都市武侯区锦绣路棕北秀苑 5 15 栋 栋 4 4 单元 6 6 号

　法定代表人：

　井源明

　电话：

　13888838225

　被投诉人 ：

　西充县政府采购中心

　地址：

　西充县晋城镇纪信广场

　联系人：

　何先生

　电话：

　0817 -- 4569019

　 投诉人成都天意井源科技有限公司因不满意被投诉人西充县政府采购中心 8 2018 年 年 2 2 月 月 2 2 日对《西充县信息产业办公室西充县人民政府中心机房信息系统安全等级（二级）保护建设项目》（招标编号：

　511325201 8000019 ）作出的质疑答复，于 8 2018 年2 2 月 月 6 26 日向本局提出投诉。经审查，该投诉符合受理要求，本局依法予以受理。

　投诉一：

　投诉十四：上网行为管理出口网关第 2 2 条：为适应网络环境的快速变化，产品应具有网络环境高适应性，需支持部署在 6 IPv6 环境中，所有核心功能（认证、应用控制、内容审计、报表等）都需支持 IPv6 ；（需提供截图证明并加盖厂商公章）。

　经查：用 鉴于目前国内还没有正式启用 IPV6 ，各生产厂家尚处于内部试验阶段，各种设备是否支持 6 IPV6 环境下的正常运行无法真实体现，要求提供的截图也只能是生产厂家自己证明 自己，提供截图的必要性欠缺。

　投诉成立。

　投诉二：

　上网行为管理出口网关第 1 1 条：最大用户数≥ 1200人

　：

　经查：

　采购人应给出适当余量前提下的合理的用户数。否则，投诉成立。

　投诉三：第 光纤交换机第 5 5 条：交换机端口≥4 24 个10/100/1000Base- -T T ；≥4 4 个 个 100/1000Base- -X X 千兆 o Combo 口

　经查：

　将“光纤交换机”理解为处理以太网协议的纯光口交

　 。

　换机具有局限性，参考采购人的质疑回复，为采购人的合理需求。

　投诉不成立。

　投诉四：S UPS 机头第 2 12 条：电池与主机同一品牌

　经查：

　蓄电池是负责存储电量，在断电的情 况下提供电力供应，其技术指标对于 S UPS 主机是否为同一品牌没有直接关系。

　投诉成立。

　投诉五：

　评分方法产品信誉第 1 1 条：所投主备存储及双活软备 件产品，具备 CNAS( 中国合格评定国家认可委员会) ) 资质的第三方权威评测机构测试报告得 3 3 分，没有不得分。

　经查：

　中国合格评定国家认可委员会（英文名称为：

　China National Accreditation Service for Conformity Assessment 英文缩写为：

　CNAS ）是根据《 中华人民共和国认证认可条例 》的规定，由国家认证认可监督管理委员会批准设立并授权的国家认可机构，统一 负责对认证机构、实验室和 检查机构 等相关机构的认可工作。S CNAS 通过评价、监督合格评定机构（如认证机构、实验室、检查机构）的管理和活动，确认其是否有能力开展相应的合格评定活动（如认证、检测和校准、检查等）、确认其合格评定活动的权威性，发挥认可约束作用。但具备 CMA （中国计量认证）资质、工信部、公安部等所属评测机 构、检测机构均具有权威性。

　投诉部分成立。

　建议将该条修改为：

　所投主备存储及双活软件产品，具备由

　 A CMA 标志、或 S CNAS 标志、或国家工信部或公安部等所属的的第三方机构出具的测试报告得 3 3 分，没有不得分。

　投诉六：

　评分方法产品信誉第 2 2 条：所投防火墙（政务外网边界防火墙、互联网边界防火墙及服务器出口防火墙）厂商具有网络安全应急服务支撑单位证书（省级或更高）得 2 2 分，其余不得分

　经查：

　为强化公共互联网网络安全应急技术体系建设，促进我国网络安全应急服务的规范化和本地化，结合互联网网络安全应急工作以及国内网络安全服务行业的 发展需要，国家互联网应急中心于 4 2004 年发起组建“网络安全应急服务支撑单位”，（包括国家级和省级），国内任何单位经审核合格后均可获得由国家互联网应急中心颁发“网络安全应急服务支撑单位证书”。

　由此可见，该证书体现的是设备厂商的应急服务能力，而在设备后期使用过程中，该项目采购人与制造商无直接的法律关系，售后服务应由成交的供应商负责，售后服务与制造商无直接联系。根据《政府采购法实施条例》第二十条第 2 2 款：“设定的资格、技术、商务条件与采购项目的具体特点和实际需要不相适应或者与合同履行无关”、以及《四川省财政厅关于 进一步规范政府采购监管和执行的若干意见》【川财采（ 2013 ）6 66 号】第三条第（四）款：“除政府采购法律制度规定的以外，在招标采购中，确定评分因素和评分标准应当与政府采购项目有直接联系，不得以与采购项目实施无直接联系的事项作为评分因素和评分

　 标准”之规定，该条不应设定为评分因素和评分标准。

　投诉成立。

　投诉七：

　评分方法产品信誉第 5 5 条：准入控制系统厂家具有I CMMI 证书、信息安全等级保护安全建设服务机构能力评估证书得 得 2 2 分，每少一项扣 1 1 分

　经查：

　《信息安全等级保护安全建设服务机构能力评估证书》能体现产品生产厂商的“等 保”建设能力，但该项目采购人与制造商无直接的法律关系，规划、服务应由成交的供应商负责，与制造商无直接联系。根据《政府采购法实施条例》第二十条第 2 2款：“设定的资格、技术、商务条件与采购项目的具体特点和实际需要不相适应或者与合同履行无关”、以及《四川省财政厅关于进一步规范政府采购监管和执行的若干意见》【川财采（ 2013 ）6 66 号】第三条第（四）款：“除政府采购法律制度规定的以外，在招标采购中，确定评分因素和评分标准应当与政府采购项目有直接联系，不得以与采购项目实施无直接联系的事项作为评分因素和评分标准”之规定，该。

　条不应设定为评分因素和评分标准。

　投诉成立。建议取消信息安全等级保护安全建设服务机构能力评估证书的评分因素。

　投诉八：

　评分方法履约能力第 1 1 条：所投标主备存储及双活软件通过自身硬件功能能够演进为双存储双活架构，不需要增加任何硬件，并且提供 0 10 份或以上存储阵列自身双活（非虚拟化网关方式）用户使用报告得 3 3 分，没有不得分

　 经查：

　只要求提供 0 10 份或以上存储阵列自身双活（非虚拟化网关方式）用户使用报告，不考虑用户使用的结果，不能充分体现技术方案及产品的成熟度、应用广泛性、可靠性、稳定性、履约交付等情况。根据《政府采购法第 实施条例》第二十条第 2 2款：“设定的资格、技术、商务条件与采购项目的具体特点和实际需要不相适应或者与合同履行无关”、以及《四川省财政厅关于进一步规范政府采购监管和执行的若干意见》【川财采（ 2013 ）6 66 号】第三条第（四）款：“除政府采购法律制度规定的以外，在招标采购中，确定评分因素和评分标准应当与政府采购项目有直接联系，不得以与采购项目实施无直接联系的事项作为评分因。

　素和评分标准”之规定，该条不应设定为评分因素和评分标准。

　投诉成立。

　投诉九：

　政务外网边界防火墙第 5 5 条：具备针对主流网站内容管理系统 S CMS 的安全防 护能力，如 dedecms， ， phpcms， ， phpwind等；支持的 S CMS 类型数量不少 0 10 种

　经查：

　该单位内网中存在对外发布的内容网站，具备针对主统 流网站内容管理系统 S CMS 的安全防护能力功能是该单位日常运营过程中的合理需求。

　投诉不成立。

　投诉十：

　政务外网边界防火墙第 6 6 条：▲6 6 、具有漏洞扫描功能模块，可扫描 B WEB 网站是否存在 L SQL 注入、 XSS 、跨站脚本、目录遍历、文件包含、命令执行等脚本漏洞

　 经查：

　该单位内网中存在对外发布的内容网站，具备针对主统 流网站内容管理系统 S CMS 的安全防护能力功能是该单位日常运营过程中的合理 需求。市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉十一：

　政务外网边界防火墙第 7 7 条：7 7 、支持对被防护）

　网站是否被挂黑链进行检测； （需提供截图证明并加盖厂商公章）

　经查：

　该单位内网中存在对外发布的内容网站，具备网站防护功能是该单位日常运营过程中的合理需求，至于漏洞扫描的功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，此项功能能更好的满足该单位对于安全的需求。

　投诉不成立。

　投诉十二：

　政务外网边界防 火墙第 8 8 条：▲8 8 、支持网页防篡改功能

　经查：

　黑链检测的功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉十三：

　政务外网边界防火墙第 9 9 条：▲9 9 、可提供最新的威胁情报信息，能够对新爆发的流行高危漏洞进行预警和自动检测，发现问题后支持一键生成防护规则

　 ：

　经查：

　网页防篡改功能，主要针对内网中的网站服务器防护，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满 足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉十四：

　政务外网边界防火墙第 1 11 条：

　11 、安全监测

　支持对终端种植了远控木马或者病毒等恶意软件进行检测，并且能够对检测到的恶意软件行为进行深入的分析，展示和外部命令控制服务器的交互行为和其他可疑行为

　经查：

　综合性防火墙是目前防火墙的发展趋势，市面上各主流厂商的新一代防火墙设备都集成此项功能，其功能的完善性能更好的满足该单位对于网络安全建设的需求，另外，现如今静态的防火墙已经难以应对日新月异的网络攻击形势，拥有网络威胁情报支撑的防火墙具有更好的防护功能，市面上主流的下一代防火墙都具有安全威胁库的支撑。

　投诉不成立。

　投诉十五：

　政务外网边界防火墙第 2 12 条：

　12 、提供安全报表，报表内容体现被保护对象的整体安全等级，发现漏洞情况以及遭受到攻击的漏洞统计，可以查看到有效攻击行为次数和攻击趋势

　经查：

　病毒监测功能，市面上 各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完

　 善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉十六：

　互联网边界防火墙第 5 5 条：具备针对主流网站内容管理系统 S CMS 的安全防护能力，如 dedecms， ， phpcms， ， phpwind等；支持的 S CMS 类型数量不少 0 10 种

　经查：

　安全报表功能能极高的提升安全管理人员的工作效率，辅助决策，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投 诉不成立。

　投诉十七：

　互联网边界防火墙第 6 6 条：▲6 6 、具有漏洞扫描功能模块，可扫描 B WEB 网站是否存在 L SQL 注入、 XSS 、跨站脚本、目录遍历、文件包含、命令执行等脚本漏洞

　经查：

　该单位内网中存在对外发布的内容网站，具备针对主统 流网站内容管理系统 S CMS 的安全防护能力功能是该单位日常运营过程中的合理需求。市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉十八：

　互联网边界防火墙第 7 7 条：7 7 、支持对被防护网站是否被挂黑链 进行检测；（需提供截图证明并加盖厂商公章）

　经查：

　该单位内网中存在对外发布的内容网站，具备网站防

　 护功能是该单位日常运营过程中的合理需求，至于漏洞扫描的功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，此项功能能更好的满足该单位对于安全的需求。

　投诉不成立。

　投诉十九：

　互联网边界防火墙第 8 8 条：▲8 8 、支持网页防篡改功能

　经查：

　黑链检测的功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉二十：

　互联网 边界防火墙第 9 9 条：▲9 9 、可提供最新的威胁情报信息，能够对新爆发的流行高危漏洞进行预警和自动检测，发现问题后支持一键生成防护规则

　：

　经查：

　网页防篡改功能，主要针对内网中的网站服务器防护，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉二十一：

　互联网边界防火墙第 1 11 条：

　11 、安全监测

　支持对终端种植了远控木马或者病毒等恶意软件进行检测，并且能够对检测到的恶意软件行为进行深入的分析，展示和外部命令控制服务器的交 互行为和其他可疑行为

　 经查：

　综合性防火墙是目前防火墙的发展趋势，市面上各主流厂商的新一代防火墙设备都集成此项功能，其功能的完善性能更好的满足该单位对于网络安全建设的需求，另外，现如今静态的防火墙已经难以应对日新月异的网络攻击形势，拥有网络威胁情报支撑的防火墙具有更好的防护功能，市面上主流的下一代防火墙都具有安全威胁库的支撑。

　投诉不成立。

　投诉二十二：

　互联网边界防火墙第 2 12 条：

　12 、提供安全报表，报表内容体现被保护对象的整体安全等级，发现漏洞情况以及遭受到攻击的漏洞统计，可以查看到有效攻击行为次数和攻击趋势

　经查：

　病毒监测功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉二十三：

　服务器出口防火墙第 5 5 条：具备针对主流网站内容管理系统 CMS 的安全防护能力，如 dedecms， ， phpcms， ， phpwind等；支持的 S CMS 类型数量不少 0 10 种

　经查：

　安全报表功能 极高的提升安全管理人员的工作效率，辅助决策，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位 对于网络安全建设的需求。

　 投诉不成立。

　投诉二十四：

　服务器出口防火墙第 6 6 条：▲6 6 、具有漏洞扫描功能模块，可扫描 B WEB 网站是否存在 L SQL 注入、 XSS 、跨站脚本、目录遍历、文件包含、命令执行等脚本漏洞

　经查：

　该单位内网中存在对外发布的内容网站，具备针对主统 流网站内容管理系统 S CMS 的安全防护能力功能是我方日常运营过程中的合理需求。市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉二十五：

　服务器出口防火墙第 7 7 条：7 7 、支持对被防护）

　网站是否被挂黑链进行检测； （需提供截图证明并加盖厂商公章）

　经查：

　该单位内网中存在对外发布的内容网站，具备网站防护功能是我方日常运营过程中的合理需求，至于漏洞扫描的功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，此项功能能更好的满足该单位对于安全的需求。

　投诉不成立。

　投诉二十六：

　服务器出口防火墙第 8 8 条：▲8 8 、支持网页防篡改功能

　经查：

　黑链检测的功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　 投诉不成立。

　投诉二十七：

　服务器出口防火墙第 9 9 条：▲9 9 、可提供最新的威胁情报信息，能够对新爆发的流行高危漏洞进行预警和自动检测，发现问题后支持一键生成防护规则

　：

　经查：

　网页防篡改功能，主要针对内网中的网站服务器防护，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉二十八：

　服务器出口防火墙第 1 11 条：

　11 、安全监测

　支持对终端种植了远控木马或者病毒等恶意软件进行检测，并且能够对检测到的恶意软件行为进行深入的分 析，展示和外部命令控制服务器的交互行为和其他可疑行为

　经查：

　综合性防火墙是目前防火墙的发展趋势，市面上各主流厂商的新一代防火墙设备都集成此项功能，其功能的完善性能更好的满足该单位对于网络安全建设的需求，另外，现如今静态的防火墙已经难以应对日新月异的网络攻击形势，拥有网络威胁情报支撑的防火墙具有更好的防护功能，市面上主流的下一代防火墙都具有安全威胁库的支撑。

　投诉不成立。

　投诉二十九：

　服务器出口防火墙第 2 12 条：

　12 、提供安全报表，报表内容体现被保护对象的整体安全等级，发现漏洞情况以

　 及遭受到攻击的漏洞统计，可以 查看到有效攻击行为次数和攻击趋势。

　经查：

　病毒监测功能，市面上各主流厂商的新一代防火墙设备都集成此项功能，是目前防火墙发展的主流趋势，其功能的完善性能更好的满足该单位对于网络安全建设的需求。

　投诉不成立。

　投诉三十：

　极速数据传输平台第 1 11 条：采用内嵌式三杀毒引擎。

　经查：

　招标文件要求具有“极速数据传输平台第 1 11 条：采用内嵌式三杀毒引擎。”的意思不明确，是三套？三代？三个？三种？这种不明确的要求可能导致投标人因不明确招标文件的准确含义而被废标，产生不必要的分歧。

　投诉成立。

　投诉三十一：

　堡垒机第 4 4 条：支持动态 口令牌认证采用 SM3国密算法且内置于堡垒机系统中。

　经查 ：

　目前支持身份认证模式包括：动态口令、静态密码、硬件 key 、生物特征等多种认证模式。为此，采购人在“堡垒机”的参数设定中，应选择多种认证模式和国密算法，而非限定在只有“支持动态口令牌认证”且“采用 3 SM3 国密算法”这一种带有限定性的要求。本条设定存在不合理条件限制或者排斥潜在供应商的情况。

　投诉成立

　 投诉三十二：

　潜伏威胁探针第 7 7 条：支持针对 S B/S 架构应用抵御 L SQL 注入、 XSS 、系统命令等注入型攻击；支持跨站请求伪造 造 F CSRF 攻击检测；支持对 ASP,PHPP ,JSP 等主流脚本语言编写的l webshell 后门脚本上传的检测；支持其他类型的 b Web 攻击，如文件包含，目录遍历，信息泄露攻击等的检测

　：

　经查：

　“潜伏威胁探针”实际是网络安全设备中常见“探针”的一种，部署方式是采用“旁路”监听方式实现，要求能“抵御L SQL 注入、 XSS 、系统命令等注入型攻击”不合理。

　投诉成立。

　投诉三十三：

　补丁分发系统第 7 7 条：能与主机监控与审计系统整合、节约服务器端和客户端资源，便于管理

　经查：1 1 、根据《中华人民共和国财政部令第 4 94 号》第十八条“投诉人投诉时, , 应当提交投诉书和必要的证明材料，…… 。投诉书应当包括下列内容：（四）事实依据；”之规定，投诉人应提供“补丁分发系统”有“目前主流厂家都是采用的跟杀毒软件联动”的“必要的证明材料”。否则，投诉不成立。

　2 2 、技术从参数设定中，建议取消该条的“★”号要求。

　综上所述，根据《政府采购供应商投诉处理办法》（财政部令第 0 20 号）第十八条第一项之规定，我局决定，认定西充县信息产业办公室西充县人民政府中心机房信息系统安全等级（二级）保护建设项目（招标编号：

　5113252018000019 ）采购文件部分违法，责令修改采购文件，并按修改后的采购文件开展采购

　 活动。

　投诉人对本投诉处理决定不服的，可以依法申请行政复议或者向人民法院提起行政诉讼。

　西充县财政局

　2018 8 年 年 3 3 月 月 0 20 日

　西充县财政局办公室

　8 2018 年 年 3 3 月 月 0 20 日

　印