4. 资产识别与分类：什么是安全资产、资产识别的方法、资产分类与分级标准
好，咱们进入第四章。说实话，资产识别这事儿，看着基础，但我在不少项目里发现，很多团队恰恰是栽在这一步。
你想想看，连自己要保护的东西都说不清楚，后面的安全需求导出、风险分析，那不就成了空中楼阁？所以这一章，咱们把“资产”这事儿掰开揉碎了讲清楚。
4.1 到底什么是“安全资产”？
先别急着背定义。我个人的理解很简单：任何对业务有价值、一旦受损就会造成损失的东西，都是安全资产。
它不光是服务器、数据库这些硬件。你写的代码、客户的隐私数据、甚至一个关键的API接口，都算。我见过一个团队，只把物理服务器当资产，结果被攻击者搞垮了他们的云函数，业务停了半天。嗯，这就是资产识别没做到位。
核心定义：安全资产 = 业务价值 + 安全属性（机密性、完整性、可用性）。
说白了，一个东西如果丢了、坏了、被改了，会影响业务，那它就是资产。
4.2 资产识别的方法：别靠拍脑袋
很多新手会问：“我该从哪儿开始找资产？” 我建议，别自己闷头想，用下面这几种方法，效率高得多。
4.2.1 基于业务流程的识别法
这是我最推荐的方法。跟着业务走，资产自然就浮现出来了。
- 步骤一：画出核心业务流程图（比如“用户下单 -> 支付 -> 发货”）。
- 步骤二：在每个环节里，问自己：“这个环节依赖什么？处理什么？产出什么？”
- 步骤三：把这些“什么”列出来，就是初步的资产清单。
我曾经帮一个电商平台做评估，他们一开始只列出了数据库和服务器。跟着流程走了一遍才发现，他们的“商品推荐算法模型”和“用户行为日志”才是核心资产。你看，不跟着业务走，很容易漏掉关键东西。
4.2.2 基于架构视角的识别法
这个方法适合技术底子比较厚的同学。从架构分层去看：
| 架构层 | 典型资产示例 |
|---|---|
| 应用层 | Web应用、移动App、微服务、API网关 |
| 数据层 | 数据库、缓存、文件存储、备份数据 |
| 平台层 | 容器编排平台、中间件、消息队列 |
| 基础设施层 | 物理服务器、虚拟机、网络设备、DNS |
这个方法的好处是结构清晰，不容易漏掉技术组件。但缺点也很明显——它容易忽略“人”和“文档”这类非技术资产。
4.2.3 工具辅助识别
别全靠人工。用工具能帮你发现很多“影子资产”。
- 网络扫描：Nmap、Masscan 扫一遍，看看网段里到底跑了哪些设备。
- 云资产探查：AWS Config、Azure Resource Graph，把云上资源全拉出来。
- 代码仓库扫描：GitLeaks、TruffleHog，看看代码里有没有硬编码的密钥或API地址。
我的小技巧：把人工识别和工具扫描的结果交叉比对。人工漏掉的，工具能补上；工具扫出来的“僵尸资产”，人工可以判断要不要清理。双管齐下，效果最好。
4.3 资产分类与分级标准
资产识别出来之后，不能就这么堆在那儿。你得分类、分级，不然没法做差异化保护。
4.3.1 资产分类：分门别类才好管
分类的标准很多，我习惯按“资产形态”来分，简单直接：
- 数据资产：用户信息、交易记录、日志、配置文件、密钥。
- 软件资产：源代码、可执行程序、容器镜像、第三方库。
- 硬件资产：服务器、工作站、网络交换机、安全设备（防火墙、WAF）。
- 人员资产：核心开发人员、运维人员、管理员（他们的权限和知识也是资产）。
- 服务资产：DNS服务、邮件服务、认证服务、支付网关。
你可能会问：“人员也算资产？” 当然算。一个掌握核心算法的工程师被挖走，或者一个管理员账号被盗，损失可能比丢几台服务器还大。
4.3.2 资产分级：把好钢用在刀刃上
分级的核心是看“影响程度”。我一般用三级制，够用且不复杂：
| 等级 | 定义 | 典型示例 | 保护要求 |
|---|---|---|---|
| S1（核心） | 一旦受损，业务直接瘫痪或造成重大经济损失/法律风险 | 用户支付数据、核心交易数据库、私钥 | 最高级别保护，必须加密、多副本、严格审计 |
| S2（重要） | 受损后业务受影响，但可短时间恢复 | 业务日志、应用配置文件、内部Wiki | 标准保护，定期备份、访问控制 |
| S3（普通） | 受损后影响较小，可接受 | 公开文档、测试环境数据、非关键代码 | 基本保护，防止误删或篡改 |
避坑指南：我曾经见过一个团队，把所有资产都标为“核心”。结果呢？安全团队疲于奔命，真正重要的东西反而没得到足够关注。分级一定要拉开差距，别搞“大锅饭”。
4.4 知识结构图：资产识别与分类全景
下面这张图，把咱们刚才讲的内容串起来了。你可以把它当成一个检查清单，做项目时对照着看。
4.5 实战中的几个提醒
最后，分享几个我在项目里踩过的坑，希望能帮你省点时间。
- 别忽略“影子IT”：业务部门自己搭的Excel服务器、私自买的云服务，这些不在IT管控内的资产，往往是最大的风险点。我曾经在一个客户那里，发现财务部自己买了个公有云盘来传报表，没有任何加密和审计。嗯，这要是出了事，安全部门得背锅。
- 资产清单要动态维护：别指望做一次就一劳永逸。业务在变，架构在变，资产也在变。我建议至少每季度Review一次，或者在每次大版本发布后更新。
- 分级标准要跟业务对齐：别自己关起门来定标准。拉着业务负责人一起过一遍，问他们：“这个数据丢了，你们能接受多久的 downtime？” 他们给出的答案，才是分级最真实的依据。
好了，资产识别与分类这块，核心就是这些。记住：识别不全，后面全是白干；分级不准，保护就是浪费。把这个基础打牢，咱们后面讲安全需求导出的时候，你会觉得顺很多。