4. 资产价值评估：CIA三元组在资产估值中的应用
资产识别完了，下一步就是给资产“定价”。
很多人觉得定价就是看硬件多少钱、软件多少钱。其实不是。安全领域的资产价值，核心看的是——如果它出问题，公司会损失多少。
怎么量化这个损失？业内最通用的框架就是 CIA 三元组：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。
我个人习惯，每次做估值前都会先问自己三个问题：
- 这个数据泄露了，会怎样？
- 这个数据被改了，会怎样？
- 这个系统用不了了，会怎样？
这三个问题，就是 CIA 的灵魂。
4.1 三元组拆解：每个维度到底在评估什么？
先别急着套公式。咱们把每个维度掰开揉碎，看看实际项目中是怎么用的。
4.1.1 机密性（Confidentiality）
说白了，就是“谁可以看”。机密性越高，能看的人越少，泄露后的后果越严重。
典型场景：
- 客户身份证号、银行卡号——泄露就是合规罚款+公关灾难
- 公司源代码——泄露等于核心技术拱手送人
- 高管邮件——泄露可能引发股价波动
我在项目中遇到过一家金融公司，把客户征信数据存在一个没加密的共享文件夹里。我问他们为什么不加密？回答是“内部用，没事”。结果三个月后，一个离职员工拷走了2万条记录。嗯，那家公司后来被罚了800万。
4.1.2 完整性（Integrity）
完整性关注的是“数据有没有被改过”。注意，这里说的“改”不一定是恶意篡改，也可能是传输过程中的比特翻转、存储介质的静默错误。
典型场景：
- 银行转账金额——改一位数字就是几十万
- 医疗诊断记录——改一个指标可能误诊
- 系统日志——改了日志，攻击溯源就断了
你想想看，如果攻击者改了你的财务报表，审计发现数据对不上，那可不是“重启一下”能解决的。
4.1.3 可用性（Availability）
可用性最简单，也最容易被忽视。它问的是“系统能不能正常用”。
典型场景：
- 电商网站大促期间宕机——每分钟损失几十万
- 医院HIS系统瘫痪——病人无法挂号、取药
- 工业控制系统断网——生产线停摆
我记得有一次帮一家物流公司做评估，他们觉得服务器宕机“最多损失几万块”。结果我算了一笔账：每宕机1小时，分拣线停摆、快递积压、客户投诉、合同违约……综合下来每小时损失超过40万。他们听完脸色都变了。
4.2 如何用CIA给资产打分？
理论说完了，来点实操。我常用的方法是 五级评分法，每个维度打1-5分，最后综合出资产价值。
| 等级 | 机密性 | 完整性 | 可用性 |
|---|---|---|---|
| 1（很低） | 公开信息，泄露无影响 | 数据错误可容忍，无合规要求 | 中断24小时以上无影响 |
| 2（低） | 内部公开，泄露影响轻微 | 数据错误可手动修复 | 中断4小时内可接受 |
| 3（中） | 部门级敏感，泄露有内部影响 | 数据错误需系统恢复 | 中断1小时内需恢复 |
| 4（高） | 公司级敏感，泄露有法律风险 | 数据错误导致业务中断 | 中断15分钟内需恢复 |
| 5（很高） | 核心机密，泄露危及生存 | 数据错误导致生命/重大财产损失 | 中断即灾难，需秒级恢复 |
打分的时候，我建议不要只靠一个人拍脑袋。拉上业务部门、法务、运维一起评。为什么？因为你觉得“机密性5”的数据，业务可能觉得“也就那样”。反过来，业务觉得“可用性必须5”的系统，运维可能觉得“扛不住”。
4.3 综合价值计算：不只是简单平均
三个维度都打完了，怎么合成一个资产价值？
很多人直接取平均。但我告诉你，这不对。不同业务场景下，三个维度的权重完全不同。
举个例子：
- 一个加密数据库：机密性5，完整性4，可用性2。平均3.67。
- 一个生产调度系统：机密性1，完整性5，可用性5。平均3.67。
两个资产平均分一样，但保护策略天差地别。前者要防泄露，后者要防中断和篡改。
所以我推荐用 加权求和，权重根据业务场景定：
资产价值 = C × Wc + I × Wi + A × Wa
其中 Wc + Wi + Wa = 1
示例（金融核心交易系统）：
C=5, I=5, A=5
Wc=0.3, Wi=0.3, Wa=0.4
资产价值 = 5×0.3 + 5×0.3 + 5×0.4 = 5.0
示例（内部知识库）：
C=2, I=3, A=2
Wc=0.2, Wi=0.5, Wa=0.3
资产价值 = 2×0.2 + 3×0.5 + 2×0.3 = 2.54.4 CIA三元组估值流程全景图
下面这张图，是我每次做资产估值时都会参考的流程。它把从识别到赋值的完整路径画出来了。
4.5 实战中的常见误区
做了这么多年评估，我总结几个最容易踩的坑：
- 只评技术资产，忽略数据资产——很多人只给服务器、网络设备打分，但真正值钱的是里面的数据。一台空服务器值多少钱？几千块。但里面存了客户数据库，价值可能是几千万。
- 三个维度平均用力——不是所有资产都需要三个维度都高。一个备份磁带，可用性可以很低（反正离线存着），但完整性和机密性必须高。
- 打分脱离业务场景——同一个系统，在平时和战时（比如双十一、灾备演练）的价值完全不同。我建议做场景化估值，至少区分正常态和应急态。
- 忽略合规要求——有些资产从技术角度看价值不高，但法律要求必须保护（比如GDPR下的个人数据）。合规罚款本身就是一种价值。
4.6 小结：估值不是终点，是起点
资产价值评估做完，你会得到一张清单：哪些资产是“皇冠上的明珠”，哪些是“鸡肋”。
但记住，估值本身不是目的。它的真正价值在于：
- 帮你在有限预算下，把保护资源投到最关键的地方
- 让业务部门理解“为什么这个系统要花这么多钱保护”
- 为后续的风险评估、安全控制选型提供量化依据
嗯，说白了，估值就是给安全决策装上一个“价格标签”。有了这个标签，你才能跟老板说清楚：不投这笔钱，到底会亏多少。