资产识别与分类：摸清家底，才能谈风险
做风险分析，第一步不是画流程图，也不是找漏洞。我个人的习惯是——先搞清楚我们到底要保护什么。
说白了，你连自己家里有什么值钱东西都不知道，怎么装防盗门？资产识别就是干这个的。很多企业上来就买防火墙、上EDR，结果核心数据裸奔在共享文件夹里，连个访问密码都没有。嗯，我在项目中遇到过不止一次。
什么是核心资产？
核心资产不是“贵”的东西，而是“没了它企业就转不动”的东西。你想想看，一台服务器可能只值5万块，但上面跑着ERP系统，宕机一天损失500万——那这台服务器就是核心资产。
核心资产的三个特征：
- 不可替代性：丢了或坏了，短期内找不到替代方案
- 高影响性：一旦出问题，直接导致业务中断或重大损失
- 高敏感性：泄露后会造成法律、声誉或竞争层面的严重后果
我见过一家制造企业，把产品设计图纸存在一个老旧的NAS里，连RAID都没做。我问他们为什么不用云存储？回答是“习惯了”。结果硬盘一坏，三个月的研发成果全没了。这就是典型的“核心资产非核心管理”。
信息资产与物理资产的分类方法
资产分类这件事，别搞得太复杂。我一般分成两大类：信息资产和物理资产。下面这张图可以帮你快速建立整体认知。
信息资产识别：别漏了“看不见”的东西
信息资产是风险管理的重头戏。为什么？因为物理资产丢了还能买，信息资产泄露了，可能永远都收不回来。
我建议你按这个顺序来梳理：
- 数据库：客户信息、订单数据、财务账目——这是命根子
- 文件服务器：设计图纸、合同文档、源代码
- 邮件系统：商务沟通记录、内部决策信息
- 业务系统：ERP、CRM、OA、HR系统
- 认证数据：账号密码、数字证书、API密钥
我的一个小技巧：让每个部门自己列一份“没了它我就没法干活”的清单。你会发现，IT部门认为重要的东西，业务部门可能根本不在乎。反过来也一样。两边一交叉，核心资产就浮出水面了。
物理资产识别：看得见的东西反而容易被忽略
物理资产识别听起来简单，但我在项目中踩过坑。有一次客户说“我们所有服务器都在机房”，结果一排查，发现财务部桌子底下有一台跑着ERP数据库的旧PC，连UPS都没接。嗯，这就是典型的“影子IT”。
物理资产至少包括这几类：
| 类别 | 典型示例 | 常见风险 |
|---|---|---|
| 计算设备 | 服务器、工作站、PC | 硬盘故障、散热不足、非法外联 |
| 网络设备 | 交换机、路由器、防火墙 | 配置丢失、端口滥用、固件漏洞 |
| 存储设备 | 磁盘阵列、NAS、SAN | 单点故障、RAID失效、容量不足 |
| 基础设施 | 机柜、UPS、空调、布线 | 电力中断、过热、线缆老化 |
| 移动介质 | U盘、移动硬盘、光盘 | 丢失、未加密、数据泄露 |
资产分类的实操步骤
光知道分类还不够，你得有一套能落地的流程。我一般分四步走：
- 第一步：全面盘点——用扫描工具+人工核查，把所有联网设备、存储位置、业务系统列出来
- 第二步：分级打标——按“机密/内部/公开”三级打标签，核心资产必须单独标记
- 第三步：责任到人——每个资产指定一个“资产负责人”，出了问题找得到人
- 第四步：动态更新——资产是活的，每季度至少复核一次，新系统上线必须同步登记
我曾经犯过一个错误：只做了静态盘点，没考虑资产的生命周期。结果一台退役的服务器被扔在仓库里，硬盘没销毁，里面还有三年前的客户数据。后来被审计抓了个正着。所以记住——资产识别必须覆盖“从生到死”的全过程。
资产识别的常见误区
做了这么多年，我发现大家容易掉进这几个坑：
- 只认硬件不认数据——服务器值钱，但上面的数据更值钱。别搞反了。
- 忽略云上资产——SaaS应用、云存储、容器镜像，这些也是资产，而且边界更模糊。
- 资产清单变成“僵尸文档”——做完就扔一边，半年后没人记得更新。资产清单必须活起来。
- 分类太细或太粗——分到几百个类别没人看得懂，分三五个又不够用。我一般控制在10-15个二级分类。
资产识别这件事，说白了就是“摸清家底”。家底摸不清，后面的风险评估全是空中楼阁。你想想看，连自己要保护什么都不知道，怎么算风险？怎么定措施？
我个人习惯是，每次做新项目，第一周什么都不干，就拉着业务和IT一起过资产清单。这步走扎实了，后面的事就顺了。