2. 资产分类与分级：硬件资产、软件资产、数据资产、人员资产，以及资产分级标准
好，咱们接着聊资产识别。上一章我们把资产摸了个底，现在得给它们分分类、排排座次了。
为什么要分类分级？说白了，就是资源有限，你得把好钢用在刀刃上。你想想看，一台核心数据库服务器和一台测试用的打印机，能同等对待吗？显然不能。分类分级，就是为了让我们知道：什么东西最值钱，什么东西最需要保护。
核心观点：资产分类是安全工作的基础，资产分级是资源投入的依据。没有分类，你连管什么都搞不清；没有分级，你连重点都抓不住。
2.1 资产分类：四大类，一个都不能少
我个人习惯把资产分成四大类：硬件、软件、数据、人员。这四类基本覆盖了企业信息资产的方方面面。咱们一个一个来看。
2.1.1 硬件资产
硬件资产，就是那些看得见摸得着的物理设备。包括但不限于：
- 服务器：机架式、塔式、刀片式，物理机还是虚拟机？
- 网络设备：路由器、交换机、防火墙、负载均衡器
- 终端设备：员工笔记本、台式机、手机、平板
- 存储设备：磁盘阵列、磁带库、NAS、SAN
- 安全设备：IDS/IPS、WAF、VPN网关、堡垒机
- 其他：打印机、扫描仪、门禁控制器、摄像头
我的经验：我在项目中遇到过一家公司，资产台账上只登记了服务器和网络设备，结果打印机被黑了，成了内网跳板。所以，别小看任何硬件，尤其是那些带网络接口的。
2.1.2 软件资产
软件资产，就是运行在硬件上的代码和数据。包括：
- 操作系统：Windows Server、Linux发行版、macOS
- 中间件：Tomcat、Nginx、WebLogic、IIS
- 数据库：Oracle、MySQL、SQL Server、MongoDB
- 应用软件：ERP、CRM、OA、自研业务系统
- 安全软件：杀毒软件、EDR、DLP、SIEM
- 开发工具：IDE、版本控制（Git）、CI/CD工具
这里要注意，软件资产不仅仅是安装包，还包括配置文件、许可证、版本信息。我曾经见过一个团队，升级系统时忘了更新配置文件，结果服务挂了半天。
2.1.3 数据资产
数据资产，这是最核心、也是最容易被忽视的一类。数据是企业的血液，丢了数据，企业可能就活不下去。
数据资产包括：
- 结构化数据：数据库里的客户信息、订单记录、财务数据
- 非结构化数据：文档、PDF、图片、视频、邮件
- 半结构化数据：XML、JSON、日志文件
- 源代码：自研系统的代码库，这是企业的核心知识产权
- 备份数据：所有数据的副本，包括离线备份和云备份
避坑指南：我曾经遇到一个客户，他们把所有数据都放在一个共享文件夹里，权限是“所有人可读写”。结果一个实习生误删了财务目录，还好有备份，不然就麻烦了。记住：数据资产必须明确所有者、存储位置和访问权限。
2.1.4 人员资产
人员资产，这个很多人会忽略。但你想，系统是人建的，数据是人用的，安全策略是人执行的。人，才是安全链条中最关键的一环。
人员资产包括：
- 内部员工：正式员工、实习生、临时工
- 外部人员：外包人员、供应商、合作伙伴、顾问
- 关键岗位：DBA、系统管理员、安全运维、开发核心
- 管理层：CIO、CISO、CTO，他们的决策直接影响安全投入
嗯，这里要注意，人员资产的管理重点不是“管人”，而是管理人的权限和行为。比如，离职员工的账号是否及时回收？外包人员的访问范围是否受限？这些都是常见风险点。
2.2 资产分级标准：给资产排排座次
分类搞定了，接下来是分级。分级的标准有很多，但核心就三个维度：机密性、完整性、可用性，也就是我们常说的CIA三元组。
我个人习惯用五级制，从L1到L5，级别越高，保护要求越严。下面这个表格可以帮你快速理解：
| 级别 | 名称 | 描述 | 示例 |
|---|---|---|---|
| L1 | 公开 | 泄露或损坏无影响 | 公司官网新闻、产品宣传册 |
| L2 | 内部 | 泄露或损坏有轻微影响 | 内部培训资料、非敏感流程文档 |
| L3 | 敏感 | 泄露或损坏有中等影响 | 员工通讯录、部分业务数据 |
| L4 | 机密 | 泄露或损坏有严重影响 | 客户个人信息、财务数据、源代码 |
| L5 | 绝密 | 泄露或损坏有灾难性影响 | 核心算法、战略规划、国家秘密 |
我的建议：分级不是拍脑袋定的。我一般会拉上业务部门、法务、IT一起开会，用“如果这个数据泄露了，公司会损失多少钱？”这种问题来倒推级别。这样定出来的分级，大家才认。
2.3 分类分级实战：一个完整的例子
光说不练假把式。咱们拿一个典型的电商系统来走一遍流程。
假设系统里有这些资产：
- 硬件：Web服务器、数据库服务器、负载均衡器
- 软件：Linux操作系统、MySQL数据库、Nginx、自研订单系统
- 数据：用户注册信息（姓名、手机号、地址）、订单记录、商品信息
- 人员：DBA、运维工程师、开发人员、客服
我们按上面的五级标准来分：
| 资产 | 分类 | 分级 | 理由 |
|---|---|---|---|
| 用户注册信息 | 数据 | L4 机密 | 包含个人敏感信息，泄露会引发法律风险 |
| 订单记录 | 数据 | L3 敏感 | 业务核心数据，但脱敏后可降低级别 |
| 商品信息 | 数据 | L2 内部 | 公开可查，但内部版本有成本信息 |
| 数据库服务器 | 硬件 | L4 机密 | 承载L4数据，物理安全要求高 |
| Web服务器 | 硬件 | L3 敏感 | 对外服务，但无直接敏感数据 |
| 自研订单系统 | 软件 | L4 机密 | 核心业务逻辑，泄露会被竞对利用 |
| DBA | 人员 | L4 机密 | 拥有数据库最高权限，需重点管控 |
你看，这么一分，哪些资产需要重点保护，一目了然。数据库服务器和DBA都是L4，那就要上双因素认证、操作审计、权限分离。商品信息是L2，那普通访问控制就够了。
2.4 分类分级的核心逻辑：一张图看懂
下面这张SVG图，把整个分类分级的逻辑串起来了。你可以把它当作一个思维导图来用。
2.5 避坑指南：分类分级常见误区
最后，我总结几个我在项目中踩过的坑，你遇到了可以绕开走。
- 分类太粗：只分“硬件”和“软件”，没有细分。结果一台服务器坏了，都不知道上面跑了什么业务。
- 分级一刀切：所有数据都标成“机密”。结果真正重要的数据反而淹没在大量低价值数据里，没人关注。
- 忽略人员资产：只盯着系统和数据，忘了管人。结果内部人员泄露数据，查都查不到。
- 分级后不更新：资产是动态的，今天L3的数据，明天可能就变成L4了。我建议每季度至少Review一次。
我曾经踩过的坑：有一次，我给一个客户做资产盘点，他们把所有服务器都标成L3。结果一台测试服务器被黑了，上面恰好有生产环境的备份数据。因为测试服务器防护等级低，数据直接泄露了。从那以后，我坚持“数据跟着资产走”——服务器分级，要看它上面存了什么数据。