4、资产识别与分类：资产类型（硬件、软件、数据、人员）、资产价值评估方法、资产清单建立
资产识别与分类是风险评估的起点，也是安全控制措施落地的基础。在信息安全领域，资产不仅指服务器和网络设备，还包括软件系统、业务数据、人员角色以及无形资产。如果资产边界不清、价值评估不准，后续的威胁分析、脆弱性识别和控制选择都会失去靶心。本章将围绕资产类型划分、价值评估方法以及资产清单建立三个核心模块展开，帮助学员建立一套可落地的资产盘点与分级体系。
4.1 资产类型划分：从物理世界到数字世界的映射
资产识别不能停留在“有什么设备”的层面，而应建立一套覆盖物理、逻辑、信息和人力四个维度的分类体系。硬件资产包括服务器、网络设备、安全设备、终端、存储介质、移动设备等；软件资产涵盖操作系统、数据库、中间件、业务应用、开发工具及许可证；数据资产是核心中的核心，包括业务数据、配置数据、日志数据、备份数据、源代码和文档；人员资产则包括内部员工、外包人员、第三方运维人员和临时访客。每一类资产都有其独特的生命周期和安全属性，需要采用不同的识别方法。
| 资产类型 | 典型示例 | 识别方法 | 安全属性侧重 |
|---|---|---|---|
| 硬件资产 | 机架服务器、核心交换机、防火墙、NAS存储 | 网络扫描、CMDB核对、物理巡检 | 可用性、完整性（固件） |
| 软件资产 | Linux OS、Oracle DB、Nginx、自研CRM | 软件清单审计、端口扫描、许可证核查 | 完整性、可用性 |
| 数据资产 | 客户信息表、交易流水、配置文件、备份磁带 | 数据流分析、存储扫描、业务访谈 | 机密性、完整性 |
| 人员资产 | DBA、网络管理员、客服人员、外包开发 | 组织架构梳理、岗位职责分析、权限矩阵 | 机密性、可用性（关键岗位） |
在实际操作中，硬件和软件资产可以通过自动化工具（如Nmap、OpenVAS）结合CMDB（配置管理数据库）进行发现，但数据资产和人员资产往往需要人工介入。数据资产的识别尤其困难，因为数据会流动、复制、归档，一份敏感数据可能同时存在于生产库、测试库、数据仓库和员工个人电脑中。建议采用“数据流图+存储位置盘点”的双轨方式，先画出业务数据流转路径，再对每个存储节点进行内容识别。
4.2 资产价值评估方法：CIA三维评分与业务影响分析
资产价值不是简单的采购价格，而是该资产在机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）三个维度上受损后对业务造成的影响程度。常用的评估方法是CIA三维评分法，每个维度按1-5分打分，综合得分决定资产的安全等级。评分标准需要结合企业业务特点定制，例如对一家互联网支付公司，交易数据的完整性得分应为5分；而对一家设计院，设计图纸的机密性得分应为5分。
- 机密性评分：评估数据泄露或未授权访问造成的损失。参考因素包括法律法规要求（如GDPR、等保）、商业竞争力影响、客户信任损失。
- 完整性评分：评估数据被篡改或破坏造成的影响。重点关注财务数据、审计日志、配置文件的完整性要求。
- 可用性评分：评估资产不可用时的业务中断成本。参考RTO（恢复时间目标）和RPO（恢复点目标）指标。
综合得分的计算可以采用加权平均法或最大值法。加权平均法适合需要精细区分的场景，例如：综合得分 = 0.4×C + 0.3×I + 0.3×A；最大值法则适用于“木桶效应”明显的场景，即只要任一维度得分极高，整体价值就应定为高。建议根据企业风险偏好选择，并在制度中明确说明。
背景：该平台日订单量50万笔，涉及用户个人信息、支付信息、商品库存数据。初始目标是对订单系统核心数据库进行价值定级。
评估过程：
- 机密性：订单数据包含用户手机号、地址、支付账号，若泄露将违反《个人信息保护法》，面临高额罚款，评分为5分。
- 完整性：订单金额、库存数量被篡改将直接导致财务损失和发货错误，评分为5分。
- 可用性：系统中断1小时预计损失交易额约300万元，且影响用户信任，评分为4分。
综合得分（加权法）：0.4×5 + 0.3×5 + 0.3×4 = 4.7分，定为“高价值资产”。
结果：该数据库被纳入最高保护等级，要求实施双因素认证、数据库审计、实时备份和异地容灾。后续在一次勒索软件攻击中，由于该数据库被优先保护，攻击未能影响核心交易链路，恢复时间控制在2小时内。
4.3 资产清单建立：从零散记录到结构化台账
资产清单是风险评估和安全管理的基础台账，需要包含资产编号、资产名称、类型、所属部门、责任人、物理位置/逻辑位置、关联业务系统、CIA评分、保护等级、备份策略等字段。建立过程应遵循“先粗后细、持续更新”的原则，避免一次性追求完美而陷入瘫痪。
推荐采用“三阶段法”建立资产清单：第一阶段，通过自动扫描工具生成初步清单，覆盖网络层可见的硬件和软件资产；第二阶段，通过业务访谈和部门调研补充数据资产和人员资产，并核对资产责任人；第三阶段，对清单进行去重、补全和分级审核，形成正式发布版本。清单格式建议采用Excel或专用CMDB工具，但无论使用何种工具，都必须明确更新频率和责任人。
资产清单核心字段示例（CSV格式）：
资产编号,资产名称,类型,所属部门,责任人,位置,关联业务,CIA评分,保护等级,备份策略
AST-001,核心数据库服务器,硬件,技术部,张工,机房A-03,订单系统,4.7,高,每日全备+实时日志
AST-002,客户信息表,数据,市场部,李经理,数据库实例DB2,CRM系统,5.0,高,每日增量+每周全备
AST-003,办公OA系统,软件,行政部,王工,服务器集群,内部办公,3.2,中,每周全备
AST-004,网络管理员,人员,技术部,赵工,总部办公区,设备,4.0,高,岗位AB角备份4.4 常见误区与总结复盘
在资产识别与分类的实际工作中，企业常陷入以下误区：一是重硬件轻数据，认为服务器和网络设备才是资产，忽略了数据这一核心资产；二是资产粒度不统一，有的资产细化到一台虚拟机，有的资产粗放到整个机房，导致评估结果无法比较；三是价值评估主观化，没有建立统一的评分标准，不同部门对同一资产的评分差异巨大；四是清单与业务脱节，资产清单只记录了技术属性，没有关联业务影响，导致安全控制优先级无法与业务战略对齐。
总结复盘时，建议从以下四个维度审视资产识别工作的质量：完整性——是否覆盖所有类型的资产，是否有遗漏的“影子资产”；准确性——资产属性（责任人、位置、版本）是否真实有效；一致性——同类资产的分类和评分标准是否统一；可用性——清单是否便于查询、更新和导入风险评估工具。只有这四者兼备，资产识别才能真正为后续的威胁分析、脆弱性评估和安全控制选择提供可靠输入。