4. 资产梳理与定级：资产识别、资产分类、安全等级划分

关键信息基础设施的资产梳理是安全防护的基石。本模块将系统讲解如何通过资产识别发现所有软硬件资产，通过资产分类建立清晰的资产目录，并通过安全等级划分确定不同资产的保护优先级。只有“摸清家底”，才能实现精准防护。

4.1 资产识别

资产识别是梳理工作的第一步，目标是全面发现组织内所有与关键信息基础设施相关的资产。识别范围应覆盖以下六大类：

资产类别	典型示例	识别方法
硬件资产	服务器、网络交换机、防火墙、存储设备	网络扫描、CMDB核对、现场盘点
软件资产	操作系统、数据库、中间件、业务系统	软件清单、许可证管理、进程扫描
数据资产	用户数据、业务数据、日志、配置文件	数据流分析、数据库审计、文件扫描
人员资产	管理员、运维人员、第三方供应商	组织架构梳理、权限清单
服务资产	DNS服务、邮件服务、认证服务	端口扫描、服务依赖分析
文档资产	拓扑图、应急预案、配置手册	文档管理系统、知识库检索

💡 专家提示： 资产识别应遵循“全面覆盖、动态更新”原则。建议每季度进行一次全面盘点，每月进行一次增量更新。对于云环境中的资产，需特别注意弹性伸缩带来的资产变化。

4.2 资产分类

完成资产识别后，需对资产进行系统化分类。建议采用“三级分类法”，确保分类清晰、易于管理：

一级分类（大类）： 按资产形态分为硬件、软件、数据、人员、服务、文档六大类。
二级分类（中类）： 在一级分类下进一步细分，例如硬件分为网络设备、计算设备、存储设备、安全设备等。
三级分类（小类）： 按具体型号、版本、用途进行细分，例如“华为S5720交换机-核心区-主备模式”。

以下是一个典型的资产分类表示例：

资产编号	一级分类	二级分类	三级分类	资产名称	所属系统
HW-NET-001	硬件	网络设备	核心交换机	华为CE12800	核心网络
SW-DB-002	软件	数据库	关系型数据库	Oracle 19c RAC	业务数据库
DT-USER-003	数据	用户数据	个人身份信息	用户注册信息表	用户中心
PE-ADM-004	人员	管理员	数据库管理员	张三 (DBA)	运维部

4.3 安全等级划分

安全等级划分是资产梳理的核心环节，决定了不同资产应投入的安全防护资源。建议采用“四等级划分法”，结合资产的重要性、敏感性和受攻击后的影响程度进行评定：

安全等级	等级标识	定义	典型资产	防护要求
L1 核心	🔴 红色	一旦受损将导致业务中断、数据泄露等重大安全事件	核心数据库、认证系统、主干网络	最高等级防护，需冗余、加密、实时监控
L2 重要	🟠 橙色	受损后对业务产生较大影响，但可通过应急措施缓解	业务服务器、中间件、重要配置文件	高等级防护，需定期备份、访问控制
L3 一般	🟡 黄色	受损后影响有限，可快速恢复	测试环境、非核心应用、普通终端	标准防护，需基线安全配置
L4 内部	🟢 绿色	仅限内部使用，受损后影响极小	内部文档、培训资料、临时资产	基础防护，需访问权限管理

⚖️ 定级原则： 遵循“就高不就低”原则。当资产同时满足多个等级特征时，按最高等级定级。例如，一台同时承载核心业务和测试业务的服务器，应定为L1核心级。

4.4 资产定级实践要点

在实际工作中，资产定级需要结合业务场景进行综合判断。以下是几个关键实践要点：

业务影响分析： 评估资产受损后对业务连续性、数据完整性、客户隐私的影响程度。
合规性要求： 对于涉及个人信息、重要数据、关键业务的资产，需满足《网络安全法》《数据安全法》等法规要求，适当提高等级。
动态调整机制： 资产等级不是一成不变的。当业务变更、系统升级、威胁环境变化时，应及时重新评估和调整等级。
标签化管理： 在CMDB或资产管理系统中为每个资产打上等级标签，便于后续的差异化安全策略配置。

4.5 资产清单模板与代码示例

以下是一个标准的资产清单CSV格式模板，可用于导入CMDB或资产管理工具：

资产编号,资产名称,一级分类,二级分类,三级分类,安全等级,所属系统,责任人,备注
HW-NET-001,华为CE12800,硬件,网络设备,核心交换机,L1,核心网络,李四,主备模式
SW-DB-002,Oracle 19c RAC,软件,数据库,关系型数据库,L1,业务数据库,王五,RAC集群
DT-USER-003,用户注册信息表,数据,用户数据,个人身份信息,L2,用户中心,赵六,含PII数据
PE-ADM-004,张三 (DBA),人员,管理员,数据库管理员,L2,运维部,张三,核心系统DBA
SV-DNS-005,DNS解析服务,服务,基础服务,域名解析,L2,基础架构,钱七,主备DNS
DOC-TOP-006,网络拓扑图,文档,技术文档,网络架构,L3,文档管理,孙八,版本v3.2

📌 课程小结： 资产梳理与定级是CII保护的基础性工作。通过系统化的资产识别、科学的资产分类、精准的安全等级划分，可以为后续的脆弱性评估、威胁分析、安全防护策略制定提供坚实的数据支撑。记住：“没有清晰的资产清单，就没有有效的安全防护”。

📚 课程目录