3. 资产识别方法论

资产识别是风险评估的基石。在复杂的组织环境中，如何系统性地发现并记录所有关键资产，需要遵循科学的方法论。本节将介绍三种最核心的资产识别视角：基于流程、基于位置 和 基于角色。这三种方法互为补充，共同构建完整的资产清单。

3.1 基于流程的识别

以组织的核心业务流、数据流为线索，沿着“输入→处理→输出”的链条，识别每个环节所依赖的资产。这种方法能有效发现与关键业务直接相关的资产，避免遗漏支撑性系统。

流程阶段	典型资产示例	识别要点
客户下单	Web服务器、订单数据库、API网关	关注入口流量与数据交互
订单处理	ERP系统、消息队列、中间件	注意内部集成与依赖关系
支付结算	支付网关、加密机、财务数据库	强调敏感数据与合规要求

3.2 基于位置的识别

按照物理位置（机房、办公区、分支机构）或逻辑位置（网络段、云区域、容器集群）进行地毯式扫描。这种方法特别适合发现“被遗忘”的资产，如测试服务器、临时设备等。

• 物理位置：数据中心A、灾备中心B、各楼层弱电间、远程办事处
• 逻辑位置：生产网段(10.1.x.x)、办公网段(10.2.x.x)、DMZ区、公有云VPC
• 移动资产：笔记本电脑、移动硬盘、测试手机（常被忽略）

3.3 基于角色的识别

从“人”的视角出发，识别不同岗位（角色）在日常工作中接触、使用、管理的资产。这种方法能有效发现与人员权限、职责相关的软资产（如账号、文档、知识库）。

3.4 方法论对比与选择建议

方法论	优势	适用场景	典型遗漏资产
基于流程	与业务强关联，高价值资产清晰	核心业务系统、关键数据流	辅助性/非核心流程资产
基于位置	全面覆盖，不易遗漏物理/逻辑资产	基础设施盘点、新环境接入	移动/临时/虚拟资产
基于角色	发现软资产（账号、文档、权限）	人员变动、权限审计、合规检查	共享/公共资产