建筑工程公司信息安全管理办法

建筑工程公司信息安全管理办法
第一章总则
第一条为加强建筑工程公司（以下简称“公司”）信息安全管理，确保公司信息系统的稳定运行和信息资产的安全，根据国家相关法律法规和行业标准，结合公司实际情况，制定本办法。

第二条本办法适用于公司及所属各部门、项目部的信息安全管理工作。

第三条信息安全管理的目标是保护公司信息资产的机密性、完整性和可用性，防止信息泄露、篡改、破坏和滥用，确保公司业务的持续稳定运行。

第二章组织与职责
第四条公司成立信息安全领导小组，负责公司信息安全工作的领导和决策。

领导小组由公司领导、相关部门负责人组成。

第五条信息安全领导小组的职责：
（一）制定公司信息安全方针、策略和目标；
（二）审批公司信息安全管理办法和规章制度；
（三）决策公司信息安全重大事项；
（四）组织开展信息安全检查和评估。

第六条公司设立信息安全管理部门，负责公司信息安全管理的日常工作。

信息安全管理部门的职责：
（一）制定和完善公司信息安全管理制度和技术规范；
（二）组织开展信息安全培训和宣传；
（三）负责信息系统的安全防护和监控；
（四）处理信息安全事件和事故；
（五）定期进行信息安全检查和评估，提出整改建议。

第七条各部门、项目部负责人是本部门、项目部信息安全管理的第一责任人，负责落实公司信息安全管理制度和要求，组织开展本部门、项目部的信息安全管理工作。

第八条公司全体员工应遵守公司信息安全管理制度，保护公司信息资产的安全。

第三章信息安全管理要求
第九条信息分类与分级
（一）公司对信息进行分类和分级，确定信息的重要程度和敏感程度。

（二）信息分为机密信息、秘密信息、内部信息和公开信息四个级别。

机密信息是指涉及公司核心商业秘密和重大利益的信息；秘密信息是指涉及公司重要商业秘密和利益的信息；内部信息是指涉及公司内部管理和业务的信息；公开信息是指可以向社会公开的信息。

（三）根据信息的级别，采取不同的安全防护措施。

第十条信息系统安全管理
（一）公司信息系统的建设和运行应符合国家相关法律法规和行业标准的要求。

（二）信息系统应采取身份认证、访问控制、数据加密、安全审计等安全防护措施，确保系统的安全稳定运行。

（三）信息系统的开发、测试和维护应遵循公司的信息安全管理制度和技术规范，防止信息泄露和篡改。

（四）定期对信息系统进行安全检查和评估，及时发现和消除安全隐患。

第十一条网络安全管理
（一）公司网络的建设和运行应符合国家相关法律法规和行业标准的要求。

（二）网络应采取防火墙、入侵检测、VPN 等安全防护措施，确保网络的安全稳定运行。

（三）加强网络访问控制，严格限制外部网络对公司内部网络的访问。

（四）定期对网络进行安全检查和评估，及时发现和消除安全隐患。

第十二条数据安全管理
（一）公司应建立数据备份和恢复机制，定期对重要数据进行备份，确保数据的安全性和可用性。

（二）加强数据存储和传输的安全管理，采取数据加密、
访问控制等安全防护措施，防止数据泄露和篡改。

（三）严格控制数据的访问权限，只有经过授权的人员才能访问相应的数据。

（四）定期对数据进行安全检查和评估，及时发现和消除安全隐患。

第十三条移动设备安全管理
（一）公司员工使用的移动设备应安装杀毒软件和安全防护软件，定期进行安全检查和更新。

（二）严格控制移动设备对公司信息系统的访问，只有经过授权的移动设备才能访问公司信息系统。

（三）加强移动设备的数据安全管理，采取数据加密、备份等安全防护措施，防止数据泄露和丢失。

第十四条第三方人员安全管理
（一）公司与第三方合作时，应签订信息安全保密协议，明确双方的信息安全责任和义务。

（二）对第三方人员进行信息安全培训，使其了解公司的信息安全管理制度和要求。

（三）严格控制第三方人员对公司信息系统的访问，只有经过授权的第三方人员才能访问相应的信息系统。

第四章信息安全事件管理
第十五条信息安全事件的分类
信息安全事件分为安全漏洞事件、病毒感染事件、网络
攻击事件、数据泄露事件等。

第十六条信息安全事件的报告
（一）公司员工发现信息安全事件后，应立即向信息安全管理部门报告。

（二）信息安全管理部门接到报告后，应及时进行调查和处理，并向上级领导报告。

第十七条信息安全事件的处理
（一）信息安全管理部门应根据信息安全事件的性质和影响程度，采取相应的处理措施，如切断网络连接、恢复数据、查杀病毒等。

（二）对信息安全事件进行调查和分析，查明事件的原因和责任人，并采取相应的整改措施。

（三）对信息安全事件的处理结果进行评估和总结，不断完善公司的信息安全管理体系。

第五章信息安全培训与宣传
第十八条公司应定期组织信息安全培训，提高员工的信息安全意识和技能。

第十九条信息安全培训的内容包括信息安全法律法规、公司信息安全管理制度、信息安全技术等。

第二十条公司应通过多种形式开展信息安全宣传活动，如张贴宣传海报、发放宣传资料、举办信息安全知识竞赛等，营造良好的信息安全氛围。

第六章附则
第二十一条本办法由公司信息安全管理部门负责解释。

第二十二条本办法自发布之日起施行。