资产识别与分类：先搞清楚你到底要保护什么
做安全，我最怕听到一句话：「我们资产很多，全要保护。」你想想看，连自己家里有什么东西都不知道，怎么装防盗门？做安全评估，第一步就是摸清家底。说白了，你得先知道 IT 资产有哪些、数据怎么分级、哪些是关键中的关键。
这一章我们就把这事儿聊透。我个人习惯把资产识别分成三步走：发现、分类、标记。每一层都有坑，我来给你慢慢讲。
IT 资产盘点 —— 先把所有“东西”找出来
资产盘点听起来很基础，对吧？但我见过太多团队栽在这上面。一个常见的误区是：只盘服务器，不盘终端；只盘硬件，不盘软件；只盘已知资产，不盘影子 IT。
盘点的范围至少包括以下这些：
| 资产类别 | 典型例子 | 盘点要点 |
|---|---|---|
| 硬件资产 | 服务器、工作站、网络设备、移动设备 | 型号、序列号、物理位置、责任人 |
| 软件资产 | 操作系统、中间件、自研应用、SaaS 服务 | 版本号、许可证、供应商、合规要求 |
| 数据资产 | 数据库、文件共享、备份磁带、云存储 | 数据量、敏感度、存储位置、访问方式 |
| 网络资产 | 子网段、IP 地址池、域名、SSL 证书 | CIDR、开放端口、TLS 版本、证书有效期 |
| 身份与权限 | AD 用户、服务账号、、RSA | 所属部门、权限模型、MFA 启用状态 |
怎么盘？我不建议你手动对着 Excel 敲。效率太低，而且容易漏。我建议用自动发现工具配合人工核对，比如：
- 网络扫描： Nmap、Masscan 扫段，发现存活主机和开放端口
- CMDB 拉取： 有的话直接导出，但注意 CMDB 不一定准
- 云 API 抓取： AWS/Azure/GCP 的 Resource Explorer
- DHCP/DNS 日志： 看谁在网络上活跃
- 最终人工认领： 跟业务部门确认“这个设备谁的？在跑什么？”
数据分级 —— 给你的数据贴个“价签”
资产盘点完了，接下来就是分工。不是所有资产都需要 24 小时盯防。你得按数据的重要程度分出个三六九等。为什么？因为资源是有限的。你把同样级别的安全措施用在员工生日祝福短信和客户信用卡号上，不是傻就是浪费。
数据分级没有统一标准，但行业内有个通用的参考模型：
| 等级 | 标签 | 典型数据 | 合规要求 |
|---|---|---|---|
| L1 | 公开 | 官网新闻、产品白皮书 | 无特殊要求 |
| L2 | 内部 | 内部通讯录、员工手册 | 防止外泄 |
| L3 | 敏感 | 用户手机号、邮件地址、业务日志 | 等保二级、加密存储 |
| L4 | 机密 | 身份证号、银行卡号、病历 | 等保三级、数据脱敏、访问审计 |
| L5 | 绝密 | 交易密码密钥、核心算法源码 | 最高等级物理隔离 + 二人操作 |
分级做完了，怎么落地呢？不能只挂在墙上当标语。我建议你对接两个东西：
- 标签引擎： 在数据存储层（数据库、对象存储）自动打标签。比如「包含身份证号 → L4」
- 访问控制策略： 不同等级数据对应不同的权限模型。L5 数据只有特定安全域才能读
关键资产标记 —— 找出你不能丢的那些
数据分级完了，还有一步：标记关键资产。关键资产不一定都是 L5 数据。比如，公司官网虽然是公开数据，但被挂马了，品牌声誉直接崩塌。再比如，GitLab 的 CI/CD runner 只跑内部代码，但它被攻破就意味着供应链污染。
所以，识别关键资产靠的不是自动化工具，而是业务影响分析。我的做法是问三个问题：
- 这个资产被攻破，对业务的直接影响是什么？（钱？声誉？合规罚款？）
- 如果它离线 1 小时，公司能忍吗？（能忍说明不关键）
- 有没有替代品？（没有替代品的，必须重点保护）
举个例子。我曾经服务过一家电商公司。他们觉得最需要保护的是用户数据库。但分析之后发现，真正致命的是订单调度系统。因为用户数据泄露，法律团队可以处理；但订单调度崩了，整个仓库就停摆，每小时损失几十万。
标记完关键资产后，我建议你做一个东西：资产红名单。所有红名单上的资产享受最高优先级的安全监控、最短周期的漏洞扫描、最严格的变更管理。
本章知识体系图
下面这张图帮你串一下整个流程。建议把它截下来贴工位上，做审计时当 checklist 用。
避坑指南：关于资产识别的三个常见错误
我在多个项目里都见过类似的问题，写出来给你提个醒：
- 错误一：只盘正向资产，不盘反向资产。 很多人只关注对外服务的资产，忘了内部开发环境、测试数据库、废弃的 VPN 入口。这些东西恰恰是攻击者的最爱。
- 错误二：分级之后不更新。 数据会变。今天的公开信息，明天可能因为业务调整变成敏感数据。我建议分级标签至少每半年重新审核一次。
- 错误三：忽略第三方资产。 你用了 SaaS 服务、外包开发的 API、自家员工在个人 GitHub 上维护的代码。这些资产你也得想办法纳入清单。