4. 威胁识别与分析
在信息安全风险评估的实战中，资产识别是第一步，而资产分类与分级则是将无序的资产清单转化为可量化、可管理风险模型的关键环节。本节将深入剖析六大核心资产类别，并建立一套基于CIA三元组（机密性、完整性、可用性）的分级标准。
4.1 资产分类详解
根据ISO 27001及国内等保2.0标准，我们将组织资产划分为以下六大类。每一类资产都有其独特的风险特征和保护要点。
| 资产类别 | 典型示例 | 核心风险 | 保护优先级 |
|---|---|---|---|
| 硬件 | 服务器、交换机、防火墙、终端PC | 物理损坏、被盗、电磁泄露 | 高（基础设施） |
| 软件 | 操作系统、数据库、中间件、自研APP | 漏洞利用、后门、盗版授权 | 高（业务支撑） |
| 数据 | 客户信息、财务账目、源代码、日志 | 泄露、篡改、丢失 | 极高（核心资产） |
| 人员 | 管理员、开发者、业务用户、外包人员 | 社会工程、权限滥用、离职泄密 | 高（人为因素） |
| 服务 | 云服务、DNS、邮件服务、API接口 | DDoS、服务中断、SLA违约 | 中高（连续性） |
| 无形资产 | 专利、商标、商誉、业务流程 | 侵权、品牌受损、合规罚款 | 中（法律/品牌） |
4.2 资产分级标准（CIA三维度）
分级不是简单的“高/中/低”，而是基于机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）三个维度分别赋值，最终取综合等级。以下为实战中常用的五级制标准：
- 5级（极高）：核心商业机密、关键业务数据库。一旦受损将导致组织破产或重大法律诉讼。
- 4级（高）：重要客户数据、财务系统。受损将导致严重经济损失或声誉危机。
- 3级（中）：内部办公文档、普通业务系统。受损将导致运营效率下降。
- 2级（低）：公开宣传资料、非敏感培训材料。受损影响有限。
- 1级（可忽略）：已公开的行业报告、无版权信息。
4.3 实战：资产清单模板与分级示例
在风险评估项目中，我们通常使用Excel或GRC工具维护资产清单。以下是一个标准化的资产登记表示例：
| 资产编号 | 资产名称 | 类别 | 所属部门 | 机密性 | 完整性 | 可用性 | 综合等级 | 责任人 |
|----------|----------------|--------|----------|--------|--------|--------|----------|----------|
| HW-001 | 核心DB服务器 | 硬件 | IT部 | 5 | 5 | 5 | 5 | 张工 |
| SW-023 | 财务系统 | 软件 | 财务部 | 5 | 4 | 4 | 5 | 李会计 |
| DT-045 | 客户个人信息库 | 数据 | 市场部 | 5 | 5 | 3 | 5 | 王经理 |
| PS-001 | 核心网管 | 人员 | IT部 | 4 | 4 | 5 | 4 | 赵主管 |
| SV-012 | 企业邮箱服务 | 服务 | 行政部 | 3 | 3 | 5 | 4 | 外包商 |
| IP-003 | 公司Logo商标 | 无形资产| 法务部 | 2 | 4 | 2 | 3 | 陈律师 |
分级计算规则：综合等级 = MAX(机密性, 完整性, 可用性) 的向上取整。例如：客户个人信息库的C=5, I=5, A=3，综合等级取最高值5。
4.4 资产分类与分级的常见误区
- 只分硬件不分类：忽略数据、人员等软资产，导致风险盲区。
- 分级一刀切：所有服务器都标为“高”，导致安全资源无法聚焦在真正核心资产上。
- 忽视无形资产：商誉、品牌价值难以量化，但一旦受损（如数据泄露导致股价暴跌），损失远超硬件。
- 静态管理：资产等级应随业务变化（如系统升级、数据脱敏）定期复审，至少每年一次。
4.5 小结与实战建议
资产分类与分级是风险评估的地基工程。在CISSP课程中，我们强调“如果你不能衡量它，你就无法管理它”。建议学员在实战中：
- 使用自动化扫描工具（如Nmap、CMDB）辅助硬件/软件发现。
- 对数据资产进行内容感知分类（如DLP标签）。
- 人员资产要关注关键岗位依赖度（如BIA分析中的单点故障）。
- 服务资产需明确SLA与RTO/RPO指标。
- 无形资产建议联合法务与品牌部门共同评估。
—— 记住：资产清单不是静态表格，而是动态的风险管理仪表盘。