4. 评估范围界定：如何确定评估边界、资产清单梳理、业务系统重要性分级

评估范围的精准界定是安全评估工作的基石。本模块将系统讲解如何科学划定评估边界、全面梳理资产清单，并对业务系统进行重要性分级，确保评估工作有的放矢、资源高效配置。

4.1 评估边界确定

评估边界决定了安全评估的物理范围、逻辑范围与组织范围。边界界定不当可能导致评估遗漏关键资产或浪费评估资源。

边界类型与定义方法

边界类型	定义方法	典型示例
物理边界	机房、办公区域、分支机构的地理位置与网络接入点	总部数据中心、分公司网络节点
逻辑边界	IP地址段、域名、VLAN划分、云租户环境	10.0.0.0/8 内网段、*.company.com 域名
组织边界	部门职责、外包服务商、第三方系统接口	财务系统、HR系统、供应商API
时间边界	评估起止时间、系统运行时段、数据保留周期	2025年Q1评估窗口、7×24小时业务

边界确定步骤

访谈调研：与IT运维、业务部门负责人沟通，了解系统部署架构与网络拓扑。
文档审查：查阅网络拓扑图、系统架构文档、机房平面图、合同协议等。
工具探测：使用Nmap、Masscan等工具进行网络扫描，确认存活IP与开放端口。
边界确认：形成《评估边界确认书》，由双方签字确认。

4.2 资产清单梳理

资产清单是安全评估的核心数据基础。完整的资产清单应覆盖硬件、软件、数据、人员、服务等各类资产。

资产分类与属性

资产类别	资产子类	关键属性
硬件资产	服务器、网络设备、终端、移动设备	型号、序列号、位置、IP地址、操作系统版本
软件资产	操作系统、数据库、中间件、应用系统	版本号、补丁级别、许可证、部署方式
数据资产	数据库、文件服务器、备份介质、日志	数据分类、存储位置、加密状态、保留期限
人员资产	管理员、开发人员、业务用户、第三方运维	角色、权限级别、联系方式、安全培训记录
服务资产	Web服务、邮件服务、DNS、云服务	服务端口、协议、SLA、供应商

资产梳理工具与方法

自动化扫描：Nmap、Nessus、OpenVAS 进行网络资产发现。
CMDB 导出：从配置管理数据库获取已登记资产信息。
人工核查：现场巡检、设备标签核对、系统登录验证。
资产登记表：统一格式的 Excel/CSV 模板，包含必填字段。

# 资产清单示例（CSV格式）
资产编号,资产名称,资产类别,IP地址,操作系统,责任人,重要性等级
AST-001,核心数据库服务器,硬件,10.0.1.10,CentOS 7.9,张三,高
AST-002,Web应用服务器,硬件,10.0.1.11,Ubuntu 20.04,李四,高
AST-003,办公交换机,硬件,10.0.0.1,Cisco IOS,王五,中
AST-004,财务管理系统,软件,10.0.2.5,Windows Server 2019,赵六,高
AST-005,员工信息数据库,数据,10.0.3.10,MySQL 8.0,钱七,高

4.3 业务系统重要性分级

业务系统重要性分级用于确定安全评估的优先级与资源投入。分级应综合考虑业务影响、数据敏感度、合规要求等因素。

分级标准与维度

等级	定义	评估标准	示例系统
高	核心业务系统，中断将导致重大经济损失或声誉损害	影响营收、客户数据、合规监管	交易系统、核心数据库、支付网关
中	重要支撑系统，中断将影响部分业务运作	影响内部效率、部门协作、中等数据敏感	OA系统、邮件系统、HR系统
低	辅助系统，中断对业务影响有限	影响较小、可容忍较长时间恢复	内部Wiki、测试环境、非核心应用

分级实施步骤

业务影响分析（BIA）：与业务部门访谈，评估系统中断对营收、客户、合规的影响。
数据敏感度评估：识别系统处理的数据类型（个人隐私、财务数据、商业秘密等）。
合规要求映射：对照等保2.0、GDPR、PCI-DSS等标准，确定系统合规等级。
综合定级：采用加权评分法，综合业务影响、数据敏感度、合规要求三项得分。
分级确认：形成《业务系统重要性分级表》，经安全负责人与业务负责人共同确认。

# 业务系统重要性分级评分示例
系统名称: 在线交易系统
评分维度:
  业务影响: 9/10 (直接影响营收)
  数据敏感度: 8/10 (含客户支付信息)
  合规要求: 9/10 (PCI-DSS合规)
综合评分: (9+8+9)/3 = 8.67 → 等级: 高

系统名称: 内部知识库
评分维度:
  业务影响: 3/10 (内部使用)
  数据敏感度: 2/10 (公开文档)
  合规要求: 1/10 (无特殊合规)
综合评分: (3+2+1)/3 = 2.0 → 等级: 低

4.4 评估范围文档化

评估范围界定完成后，需形成正式的《安全评估范围说明书》，作为评估工作的依据与约束。

范围说明书模板要素

评估目标：明确本次评估要达成的安全目标。
边界定义：物理、逻辑、组织、时间边界的详细描述。
资产清单：纳入评估的所有资产列表（可附附件）。
系统分级：各业务系统的重要性等级及评估优先级。
排除项：明确不纳入评估的范围与原因。
约束条件：评估时间窗口、禁止操作、特殊要求等。

提示：评估范围说明书需经双方签字确认，作为评估启动的正式依据。范围变更时需执行变更控制流程，更新说明书并重新确认。

📚 课程目录