2025年建筑施工企业数据安全管理制度.docxVIP

2025年建筑施工企业数据安全管理制度

一、总则

（一）为规范建筑施工企业数据处理活动，保障数据安全，促进数据合理利用，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及相关法律法规、技术标准，结合建筑行业特点与公司实际，制定本制度。

（二）本制度适用于公司总部、各分支机构、项目部及全体员工在业务活动中涉及的数据收集、存储、使用、加工、传输、提供、公开、删除等全生命周期安全管理。

（三）数据安全管理遵循合法正当、权责明确、目的明确、确保安全、分类分级、全程可控的原则。任何部门和个人不得利用数据从事危害国家安全、公共利益以及他人合法权益的活动。

（四）本制度所称数据，是指任何以电子或其他方式对信息的记录，包括但不限于项目设计图纸、施工方案、预算报价、成本数据、进度计划、人员信息、设备信息、供应商信息、客户信息、财务信息、商业秘密等。

二、组织与职责

（一）公司成立数据安全管理委员会，由总经理担任主任，分管信息化、安全、法务的副总经理担任副主任，成员包括信息技术部、安全管理部、法务合规部、项目管理部、人力资源部、财务部等相关部门负责人。委员会负责审定数据安全战略、制度、重大方案，协调解决重大数据安全问题。

（二）信息技术部是数据安全管理的归口部门，主要职责包括：

1.负责制定和修订数据安全管理制度、技术规范与操作规程。

2.负责公司核心数据基础设施的安全防护体系建设、运维与监控。

3.组织实施数据分类分级，制定并落实相应安全保护措施。

4.组织开展数据安全风险评估、应急演练与安全审计。

5.负责数据安全事件的监测、预警、报告与处置协调。

6.组织数据安全教育培训与意识提升。

（三）各业务部门是本部门业务数据安全管理的责任主体，部门负责人为第一责任人，主要职责包括：

1.负责本部门业务数据的日常安全管理，确保数据处理活动符合制度要求。

2.明确本部门数据管理岗位及职责，指定数据安全员。

3.依据数据分类分级要求，落实本部门数据的安全保护措施。

4.配合完成数据安全风险评估、审计和事件处置工作。

5.负责对本部门员工进行数据安全操作培训。

（四）安全管理部负责将数据安全纳入公司整体安全管理体系，监督施工现场涉及数据采集、传输设备（如监控摄像头、传感器）的物理安全。

（五）法务合规部负责数据安全相关法律法规的符合性审查，处理数据安全相关的法律纠纷与合规风险。

（六）全体员工均有保护数据安全的义务，应自觉遵守数据安全管理制度，接受相关培训，对工作中知悉的数据信息承担保密责任。

三、数据分类分级管理

（一）公司根据数据遭到篡改、破坏、泄露或者非法获取、非法利用后对国家安全、公共利益、个人合法权益以及企业自身造成的危害程度，将数据分为核心数据、重要数据和一般数据三个级别。

（二）核心数据是指一旦泄露、篡改或滥用可能对国家安全、经济命脉、关键基础设施造成严重危害，或导致企业重大商业利益、核心竞争力遭受毁灭性打击的数据。例如：涉及国家秘密的项目图纸、重大工程的安防布控方案、核心算法源代码、未公开的重大并购重组信息等。核心数据应采取最高级别的保护措施，严格控制知悉范围。

（三）重要数据是指一旦泄露、篡改或滥用可能对公共利益、个人权益造成较大危害，或导致企业遭受重大经济损失、声誉损害的数据。例如：详细的工程造价与成本数据、重要的客户信息与合同条款、员工个人信息、供应商评估资料、质量安全事故报告、关键的施工工艺参数等。重要数据应采取严格的访问控制和加密保护。

（四）一般数据是指核心数据和重要数据之外的其他数据，其泄露、篡改或滥用可能造成的危害程度相对较低。例如：已公开的企业宣传资料、常规的会议纪要、非涉密的通知公告等。一般数据应遵循基本的安全管理要求。

（五）信息技术部应会同各业务部门，制定详细的数据分类分级目录和标识规范，并根据业务变化和数据重要性动态调整。数据处理活动应按照其所属级别采取相应的安全保护措施。

四、数据全生命周期安全管理

（一）数据收集

1.收集数据应遵循合法、正当、必要、诚信的原则，不得收集与业务无关的数据。

2.收集个人信息应取得个人同意，法律、行政法规另有规定的除外。应明确告知个人信息处理的目的、方式、范围，并不得超出告知的范围处理个人信息。

3.通过自动化设备（如传感器、监控摄像头）收集数据，应确保设备安全可控，并在采集区域设置显著提示标识。

4.从外部获取数据时，应评估数据来源的合法性与安全性，并签订数据安全相关协议。

（二）数据存储

1.数据应存储在符合安全要求的服务器或存储设备中。核心数据和重要数据原则上应存储在境内的数据中心。

2.根据数据级别采取相应的加密存储措施。核心数据必须采用高强度加密算法加密存储。

3.建立数据备份与恢复机制。核心数据应实现异地实时备份，重要数据应定