资产识别与分类：摸清家底，才能谈安全
做安全分析这么多年，我见过太多团队一上来就搞渗透、上设备，结果连自己到底要保护什么都不知道。说白了，资产识别是安全工作的地基。地基没打牢，后面全是空中楼阁。
这一章，我们就聊聊怎么把家底摸清楚，怎么给资产分门别类，以及怎么评估它们的价值。我个人习惯把这一步叫做「安全盘点」，跟公司年底盘库一个道理。
3.1 什么是系统关键资产？
关键资产不是指所有东西。你想想看，公司前台那台打印机的价值，跟核心数据库能比吗？
我一般把资产分成这么几类：
| 资产类别 | 典型示例 | 为什么关键 |
|---|---|---|
| 数据资产 | 用户数据库、财务记录、源代码 | 泄露即事故，GDPR罚款可达全球营收4% |
| 硬件资产 | 服务器、网络设备、安全网关 | 物理损坏导致业务中断 |
| 软件资产 | 操作系统、中间件、自研应用 | 漏洞入口，供应链风险 |
| 人员资产 | 管理员、开发人员、特权用户 | 社会工程学攻击的主要目标 |
| 服务资产 | DNS、邮件、认证服务 | 单点故障影响全局 |
我的经验： 做资产识别时，别只盯着IT部门要清单。我曾经在一个项目中，运维给的资产清单只有30台服务器，结果我顺着网络流量一抓，发现还有15台「影子IT」设备——业务部门自己买的云主机，IT根本不知道。这些才是真正的风险点。
3.2 数据分类分级标准
数据分类分级，说白了就是给数据贴标签、定等级。为什么要做这件事？因为不同等级的数据，保护力度不一样。你总不能让所有数据都享受银行金库级别的待遇吧？成本扛不住。
3.2.1 常见的分类维度
- 按业务属性：客户数据、员工数据、财务数据、研发数据
- 按法律合规：个人隐私数据（GDPR）、受控非密信息（CUI）、商业秘密
- 按敏感程度：公开、内部、敏感、绝密
3.2.2 GDPR 下的分级要求
如果你处理的是欧盟公民的数据，GDPR 是绕不开的坎。它把个人数据分成了两类：
| 数据类别 | 定义 | 示例 | 保护要求 |
|---|---|---|---|
| 一般个人数据 | 能直接或间接识别自然人的信息 | 姓名、邮箱、IP地址、位置信息 | 需合法基础、告知用途、数据最小化 |
| 特殊类别数据 | 涉及种族、政治观点、宗教、健康、生物识别等 | 指纹、基因数据、医疗记录 | 原则上禁止处理，除非有明确法律例外 |
避坑指南： 我曾经遇到一个客户，把用户的行为追踪数据（比如鼠标点击热力图）当作「非敏感数据」处理，结果被监管认定为间接个人标识符，罚了200万欧元。记住：任何能关联到具体自然人的数据，都算个人数据。
3.3 资产价值评估方法
资产价值不是拍脑袋定的。我一般用三个维度来量化：
- 机密性影响：数据泄露会造成多大损失？
- 完整性影响：数据被篡改会引发什么后果？
- 可用性影响：服务中断多久会达到不可接受的程度？
每个维度打分 1-5，最后加权算出综合价值。举个例子：
| 资产 | 机密性 | 完整性 | 可用性 | 综合评分 | 等级 |
|---|---|---|---|---|---|
| 用户密码数据库 | 5 | 5 | 4 | 4.7 | 高 |
| 公司官网 | 2 | 3 | 5 | 3.3 | 中 |
| 内部培训资料 | 1 | 2 | 1 | 1.3 | 低 |
核心原则： 资产价值评估不是一次性的。业务变了、数据量涨了、法规更新了，评估结果就要跟着调。我建议每半年做一次复盘，至少每年一次全面重评。
3.4 资产识别与分类的完整流程
下面这张图是我自己总结的流程，你可以直接拿去用：
3.5 实操中的常见坑
流程看起来简单，但实操中全是细节。我踩过的坑，列出来给你提个醒：
- 只认物理资产，忽略虚拟资产：容器、虚拟机、Serverless 函数，这些也是资产。我见过有人漏了 200 多个 Docker 镜像，结果里面全是漏洞。
- 分类标准太粗：只分「内部」和「外部」？不够。你得细化到「谁可以看、谁可以改、谁可以删」。
- 忽略数据副本：主库保护得再好，备份磁带丢了一箱，照样出事。数据副本、日志文件、测试环境的数据，都要纳入资产清单。
- 价值评估只看钱：有些数据虽然不值钱，但丢了会影响声誉、引发监管调查。无形资产也要量化。
一个小技巧： 做资产识别时，别光靠工具自动扫描。我每次都会拉上业务部门的人聊一聊，问他们「你每天打开的第一个系统是什么？」「哪个系统挂了你会立刻打电话骂人？」——这些答案往往比扫描结果更准。
3.6 资产清单模板示例
最后，给你一个我常用的资产清单模板。你可以直接复制到 Excel 里用：
| 资产ID | 资产名称 | 类型 | 所属部门 | 数据等级 | 机密性 | 完整性 | 可用性 | 综合评分 | 负责人 | 备注 |
|--------|----------------|--------|----------|----------|--------|--------|--------|----------|----------|--------------|
| AST001 | 用户数据库 | 数据 | 技术部 | 高 | 5 | 5 | 4 | 4.7 | 张三 | 含GDPR数据 |
| AST002 | 官网服务器 | 硬件 | 运维部 | 中 | 2 | 3 | 5 | 3.3 | 李四 | 托管在AWS |
| AST003 | 内部OA系统 | 软件 | 行政部 | 低 | 1 | 2 | 2 | 1.7 | 王五 | 仅内网访问 |
嗯，资产识别这块就聊到这儿。记住一句话：你保护不了你不知道的东西。把家底摸清楚，后面的安全分析才有意义。