2. 资产识别与分类：摸清你的家底

做安全，第一步不是买防火墙，也不是写策略。你得先搞清楚——你到底要保护什么？

我见过太多团队，一上来就搞渗透测试、上WAF，结果连服务器上跑了哪些业务、数据库里存了什么数据都说不清楚。这就像你请了保安，却不知道自家院子里放了什么值钱东西。荒唐吧？但现实中比比皆是。

资产识别，说白了就是给你的IT环境做一次彻底盘点。你得知道哪些东西是“资产”，它们值多少钱，丢了会怎样。

2.1 有形资产 vs 无形资产

资产分两类：看得见摸得着的，和看不见但更值钱的。

资产类型	定义	典型示例	我踩过的坑
有形资产	物理存在的、可触摸的IT资源	服务器、网络设备、防火墙、工作站、移动设备、存储介质	有一次盘点，发现机房角落里还有台五年前的测试服务器，没人记得它跑着什么服务。嗯，它居然连着生产网。
无形资产	非物理形态，但具有业务价值的数字资源	源代码、数据库、客户信息、算法模型、API密钥、配置文件	某客户的核心算法被人从Git仓库拖走了，他们自己都不知道那个仓库是公开的。

你想想看，一台服务器坏了，买新的就行，顶多几万块。但客户数据泄露了，那可不是钱能解决的问题——声誉、法律诉讼、监管罚款，哪个都够你喝一壶的。

2.2 资产价值评估方法

知道了有什么资产，接下来得给它们“定价”。不是为了卖，而是为了决定保护力度。

我个人习惯用三个维度来评估：

1. 机密性（Confidentiality）——信息泄露会造成多大损失？
2. 完整性（Integrity）——数据被篡改会有什么后果？
3. 可用性（Availability）——服务中断多久会出大事？

这就是经典的CIA三元组。每个维度我通常打1-5分，然后算综合得分。

举个例子：

资产	机密性	完整性	可用性	综合评分	保护等级
用户数据库	5	5	4	14	高
官网静态页面	1	2	3	6	低
内部OA系统	3	3	4	10	中

评分标准可以自己定，但一定要让业务部门参与进来。我曾经帮一家金融公司做评估，IT部门觉得某个报表系统“没那么重要”，结果业务负责人当场拍桌子——那个系统每天承载着几千万的交易对账。

2.3 资产清单管理

评估完了，得有个清单。别用Excel，别用Excel，别用Excel。重要的事情说三遍。

我建议用专门的资产管理系统（如CMDB），或者至少用数据库来管理。清单里至少包含以下字段：

• 资产编号——唯一标识
• 资产名称——通俗易懂的名字
• 资产类型——有形/无形，服务器/数据库/应用等
• 所属部门——谁在用、谁负责
• 物理位置/逻辑位置——机房、IP段、云区域
• CIA评分——上面算出来的
• 保护等级——高/中/低
• 责任人——出了事找谁
• 更新时间——上次盘点是什么时候

我曾经遇到过一个客户，他们的资产清单是五年前的。里面三分之一的服务器已经报废了，但清单上还写着“在用”。更离谱的是，有台新上的核心数据库，清单里压根没记录。

2.4 资产识别流程与知识图谱

下面这张图，是我自己总结的资产识别全流程。你照着走一遍，基本不会漏东西。

这个流程看起来简单，但执行起来有很多细节。我特别提醒两点：

• 范围要明确：是只盘生产环境，还是包括测试、开发、预发布？边界不清，后面全是糊涂账。
• 影子IT是毒瘤：员工自己搭的云服务、私自买的设备、未经审批的SaaS工具——这些最容易成为安全盲区。