建筑工程公司信息安全管理办法.docxVIP

建筑工程公司信息安全管理办法

一、总则

1.目的

为加强本建筑工程公司信息资产的安全管理，保障公司业务的正常运营，保护公司商业秘密、客户信息以及各类重要数据，特制定本办法。

2.适用范围

本办法适用于公司内部所有部门、项目部以及涉及公司信息处理、存储、传输等相关活动的所有人员，包括正式员工、临时工、合作伙伴及外包服务人员等。

3.原则

遵循“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则，确保信息安全管理工作落实到具体责任主体。

二、信息安全管理组织及职责

1.信息安全管理委员会

公司设立信息安全管理委员会，作为信息安全工作的最高决策机构。由公司高层领导担任主任，各相关部门负责人为成员。其主要职责包括：

制定公司信息安全战略和方针政策；

审批信息安全管理制度、流程及重大项目；

协调解决信息安全工作中的重大问题；

监督、检查信息安全工作执行情况并进行考核评估。

2.信息安全管理办公室

在信息安全管理委员会领导下设立信息安全管理办公室，设在公司的信息化管理部门，负责日常信息安全管理工作。其职责涵盖：

拟定信息安全管理制度、规范、流程及应急预案等，并组织实施；

组织开展信息安全风险评估、监测与预警工作；

对公司信息系统、网络、数据等进行安全审计；

组织信息安全培训与宣传教育活动；

协调处理信息安全事件，并及时向信息安全管理委员会汇报情况。

3.各部门及项目部职责

各部门及项目部负责人为本部门信息安全工作的第一责任人，需履行以下职责：

落实公司信息安全管理制度，在本部门、项目部内部传达并监督执行；

识别本部门、项目部涉及的信息资产及安全风险，采取相应的防范措施；

配合信息安全管理办公室开展相关工作，如信息安全检查、培训等；

及时报告本部门、项目部发现的信息安全事件及隐患。

三、信息资产分类与管理

1.信息资产分类

公司信息资产分为以下几类：

硬件资产：包括服务器、计算机终端、网络设备、存储设备、移动终端等用于信息处理和存储的物理设备；

软件资产：涵盖操作系统、办公软件、专业设计软件、项目管理软件等各类应用程序及系统软件；

数据资产：主要包含公司商业机密（如投标报价、核心技术资料）、客户资料（客户基本信息、项目合作细节等）、财务数据、项目文档（施工图纸、项目进度报告等）以及各类业务运营数据；

人员资产：指参与公司信息处理、管理等相关工作的内部员工、合作伙伴及外包人员等；

服务资产：例如网络服务、云计算服务、外包的信息化运维服务等。

2.信息资产登记与清查

各部门及项目部应定期（至少每年一次）对本部门所涉及的信息资产进行全面清查和登记，形成信息资产清单，明确资产责任人、使用状态、存放位置等关键信息，并将清单上报信息安全管理办公室备案。信息安全管理办公室负责汇总、整理公司整体信息资产情况，并根据资产变动情况及时更新清单。

3.信息资产使用与维护

公司员工应按照规定正确使用信息资产，严禁私自拆卸、改装硬件设备，不得擅自安装未经许可的软件。

信息化管理部门负责统筹安排硬件设备的维护、维修和更新工作，确保设备正常运行；对于软件资产，应及时跟踪软件版本更新情况，做好软件的升级、补丁安装等维护工作，保障软件的安全性和稳定性。

对于数据资产，应按照不同的重要性等级和必威体育官网网址级别采取相应的数据备份、加密、访问控制等保护措施。

四、人员信息安全管理

1.人员入职管理

在新员工入职时，人力资源部门应向其传达公司信息安全管理制度，并要求其签署信息安全必威体育官网网址协议，明确其在信息安全方面的责任和义务。

信息化管理部门负责为新员工配置相应的信息系统账号及权限，权限分配应遵循最小化原则，即根据员工的工作职责授予其必要的、最低限度的访问权限。

2.人员培训与教育

公司定期组织信息安全培训活动，培训内容包括但不限于信息安全基础知识、安全操作规程、必威体育官网网址意识培养、信息安全法律法规等。各部门应确保本部门员工按时参加培训，提高员工的信息安全素养和技能水平。

针对不同岗位特点，还应开展有针对性的信息安全专项培训，如针对涉及核心数据处理岗位的加密技术培训、针对网络运维人员的网络安全攻防培训等。

3.人员离职管理

员工离职时，所在部门应及时通知信息化管理部门收回其信息系统账号及权限，人力资源部门应做好离职面谈，再次强调信息必威体育官网网址义务，并要求离职员工交还所持有的公司信息资产（如笔记本电脑、移动存储设备等）。

五、网络与信息系统安全管理

1.网络安全管理

公司应建立完善的网络架构，划分不同的安全区域，通过防火墙、入侵检测/防御系统、网络访问控制等技术手段保障网络的边界安全，防止外部网络攻击和非法访问。

网络管理员负责对公司网络设备（路由器、交换机等）进行日常监控、配置管理和维护工作，定期备份网络设备的配置文件，及时发现并处理网络故障和异常流量等情况。

员工不得私自搭建无线