3. 资产识别与分类分级
资产识别是风险评估的基石。在复杂的组织环境中，如何系统性地发现并记录所有关键资产，需要遵循科学的方法论。本节将介绍三种最核心的资产识别视角：基于流程、基于位置 和 基于角色。这三种方法互为补充，共同构建完整的资产清单。
3.1 基于流程的识别
以组织的核心业务流、数据流为线索，沿着“输入→处理→输出”的链条，识别每个环节所依赖的资产。这种方法能有效发现与关键业务直接相关的资产，避免遗漏支撑性系统。
| 流程阶段 | 典型资产示例 | 识别要点 |
|---|---|---|
| 客户下单 | Web服务器、订单数据库、API网关 | 关注入口流量与数据交互 |
| 订单处理 | ERP系统、消息队列、中间件 | 注意内部集成与依赖关系 |
| 支付结算 | 支付网关、加密机、财务数据库 | 强调敏感数据与合规要求 |
3.2 基于位置的识别
按照物理位置（机房、办公区、分支机构）或逻辑位置（网络段、云区域、容器集群）进行地毯式扫描。这种方法特别适合发现“被遗忘”的资产，如测试服务器、临时设备等。
- 物理位置：数据中心A、灾备中心B、各楼层弱电间、远程办事处
- 逻辑位置：生产网段(10.1.x.x)、办公网段(10.2.x.x)、DMZ区、公有云VPC
- 移动资产：笔记本电脑、移动硬盘、测试手机（常被忽略）
3.3 基于角色的识别
从“人”的视角出发，识别不同岗位（角色）在日常工作中接触、使用、管理的资产。这种方法能有效发现与人员权限、职责相关的软资产（如账号、文档、知识库）。
👤 系统管理员
- 服务器/虚拟机
- 管理账号/密钥
- 监控系统
- 备份系统
👤 财务人员
- 财务系统/数据库
- 电子发票/合同
- U盾/加密设备
- 报表文件
👤 开发人员
- 代码仓库/CI/CD
- 开发/测试环境
- API Token
- 技术文档
3.4 方法论对比与选择建议
| 方法论 | 优势 | 适用场景 | 典型遗漏资产 |
|---|---|---|---|
| 基于流程 | 与业务强关联，高价值资产清晰 | 核心业务系统、关键数据流 | 辅助性/非核心流程资产 |
| 基于位置 | 全面覆盖，不易遗漏物理/逻辑资产 | 基础设施盘点、新环境接入 | 移动/临时/虚拟资产 |
| 基于角色 | 发现软资产（账号、文档、权限） | 人员变动、权限审计、合规检查 | 共享/公共资产 |
💡 实战建议： 在风险评估项目中，建议采用“流程为主、位置为辅、角色兜底”的组合策略。先通过业务流程梳理出核心资产，再按位置清单补充基础设施，最后通过角色访谈确认遗漏的软资产。三种方法交叉验证，可达到95%以上的资产覆盖率。
专注课程资料整理