资产识别与分类：关键资产识别方法、资产价值评估、资产分类标准
做安全架构，第一步不是画防火墙，也不是写安全策略。
第一步是搞清楚——你到底要保护什么？
我见过太多团队，上来就堆安全产品。WAF、IDS、堡垒机，买了一大堆。结果问他们核心数据在哪，没人说得清。这就像你装了一屋子防盗门，却不知道保险箱放哪。所以，资产识别与分类，是所有安全工作的地基。地基没打牢，上面盖什么都白搭。
3.1 关键资产识别方法
资产识别，说白了就是给你的系统做一次全面体检。你得知道家里有什么值钱的东西，它们放在哪，谁在看管。
我个人习惯把识别方法分成三类：自上而下、自下而上、数据流驱动。三种方法各有侧重，我建议你组合使用。
3.1.1 自上而下：从业务出发
先看业务目标，再看支撑业务的核心系统。这种方法适合做宏观把控。
- 业务梳理：列出所有业务流程，比如用户注册、订单支付、数据导出。
- 系统映射：每个业务流程背后，有哪些系统在支撑？比如支付流程依赖支付网关、账户系统、风控引擎。
- 关键节点标注：哪些系统一旦出问题，业务就停了？这些就是关键资产。
3.1.2 自下而上：从基础设施出发
从服务器、数据库、网络设备开始，逐层向上梳理。这种方法适合做精细化管理。
- 资产盘点：用CMDB或扫描工具，列出所有IP、域名、中间件、数据库实例。
- 归属确认：每个资产是谁的？哪个团队在维护？有没有责任人？
- 依赖关系：这个数据库被哪些应用调用？那个API又依赖哪些服务？
3.1.3 数据流驱动：跟着数据走
这个方法最实用。你想想看，攻击者最终目标是什么？是数据。所以，跟着数据流走，就能找到最关键的资产。
- 画出数据从产生、传输、存储、处理到销毁的完整链路。
- 在每个环节标注：数据是什么类型？存在哪里？谁有权访问？
- 找出数据汇聚点——比如数据仓库、日志中心、备份系统。这些地方一旦失守，所有数据都会暴露。
嗯，这里要注意。数据流图一定要画到足够细。别只画个“用户→应用→数据库”就完事了。中间经过了哪些网关？有没有缓存层？日志有没有外发？这些细节才是关键。
3.2 资产价值评估
识别出资产之后，你得给它们排个优先级。不是所有资产都值得用同样的保护力度。成本有限，好钢要用在刀刃上。
我常用的评估维度有三个：机密性、完整性、可用性，也就是CIA三元组。每个维度打分，1到5分，最后加权算出总价值。
| 维度 | 评分标准 | 示例（高价值） |
|---|---|---|
| 机密性 | 数据泄露会造成多大损失？ | 用户密码、支付卡号、商业机密 |
| 完整性 | 数据被篡改会有什么后果？ | 财务报表、交易记录、配置信息 |
| 可用性 | 服务中断会造成多大影响？ | 核心交易系统、认证服务、DNS |
举个例子：
一个用户数据库，机密性5分（泄露就是灾难），完整性4分（数据错了用户投诉），可用性3分（短暂离线还能接受）。加权后总分12分，属于高价值资产。
一个静态资源服务器，机密性1分（都是公开图片），完整性2分（被篡改影响不大），可用性4分（挂了影响用户体验）。总分7分，中等价值。
评估结果出来后，我建议你画一个资产价值矩阵。横轴是资产数量，纵轴是价值分数。高价值、少数量的资产，就是你的核心保护对象。
3.3 资产分类标准
分类是为了管理。没有分类，你面对的就是一堆杂乱无章的资产清单。有了分类，你才能制定差异化的安全策略。
我常用的分类标准，参考了ISO 27001和NIST框架，结合实战经验做了调整。分为四个大类：
3.3.1 数据资产
- 结构化数据：数据库表、配置文件、日志记录。
- 非结构化数据：文档、图片、视频、代码仓库。
- 元数据：数据字典、数据血缘关系、访问权限表。
3.3.2 系统资产
- 应用系统：Web应用、移动App、微服务、中间件。
- 基础设施：服务器、容器、虚拟机、网络设备。
- 安全设备：防火墙、WAF、堡垒机、HIDS。
3.3.3 人员资产
- 内部人员：开发、运维、DBA、安全团队。
- 外部人员：第三方供应商、外包团队、合作伙伴。
- 特权账号：管理员账号、服务账号、API Key。
3.3.4 无形资产
- 知识产权：源代码、算法、专利、商业计划。
- 品牌声誉：用户信任、市场口碑、合规资质。
- 业务流程：核心交易流程、风控规则、运营SOP。
3.4 知识体系总览
下面这张图，把资产识别、价值评估、分类标准串在了一起。你可以把它当作一个检查清单，每次做安全架构时对照着走一遍。
好了，资产识别与分类这部分就讲到这里。记住一个原则：没有识别就没有保护，没有分类就没有策略。下次做安全架构时，先花一周时间把资产摸清楚。你会发现，后面的工作会顺畅很多。