ISO 27001信息资产识别与分类分级要点

ISO 27001信息资产识别与分类分级要点

信息资产识别与分类分级是ISO 27001第8.1条"操作策划与控制"的核心落地环节，直接决定安全控制措施的有效性。实践表明：一个组织若信息资产清单覆盖率低于80%，其信息安全事件发生率通常高出覆盖率达标组织3倍以上。资产分类应达到至少3个级别，分级判定标准需经至少1次管理评审确认并保留记录。

信息资产的范畴与识别范围

ISO 27001并未对"信息资产"给出独立定义，但结合条款上下文，信息资产涵盖所有对组织有价值的信息及相关支撑资源。识别范围应至少覆盖七类资产：客户数据、员工信息、财务记录、知识产权、系统配置、安全凭证以及合同与法律文件。这七类资产合计应占组织全部信息资产的90%以上，遗漏任何一类均构成体系审核中的严重不符合项。

识别方法上，应通过业务流程访谈与系统资产清单交叉核对的方式完成，访谈样本量应不少于涉及信息处理岗位的80%，确保覆盖关键业务链路。识别过程应在体系建立后的首30个工作日内完成初版清单，后续每年至少进行1次全面复核。

识别结果必须以书面清单形式固化，清单条目应包含资产名称、所属部门、责任人、存储位置、处理方式和保密等级六个字段，缺一不可。任何缺少完整字段信息的资产条目均不得纳入正式受控清单。

信息资产的分类框架

信息资产的分类应基于资产属性而非业务部门进行划分，这是实践中最高效的维度选择方式。建议采用四维分类法：按内容属性分为业务数据、技术数据、管理数据和人员数据；按存在形态分为电子数据、纸质文件和实物载体；按来源分为内部生成、外部获取和合作方共享三类；按生命周期分为创建、存储、使用、传输和销毁五个阶段。

分类粒度应满足以下要求：同一类别内的资产具有相似的安全保护需求，不同类别间的安全要求差异应可明确表述。例如，业务数据与技术数据在加密强度要求上不应低于不同的保护等级标准，二者之间的区分点应能在分类标准文件中找到明确界定条款。

分类完成后，应输出"信息资产分类矩阵表"，横轴为四维分类维度，纵轴为具体资产条目，交叉点标注该资产对应的类别组合。矩阵表中每个交叉单元应有唯一标识符，标识符编码规则应由组织统一制定并在体系文件中固化。

信息资产分级标准与判定方法

ISO 27001:2013第A.8.2.1条要求组织应识别资产的重要价值及其对保密性、完整性和可用性的要求，分级是落实这一要求的直接手段。分级标准应至少设定三个级别：高敏感、中敏感和低敏感，某些场景下可扩展至四个级别以容纳极低价值资产。

高敏感级资产应同时满足以下两项及以上条件：泄露可能导致组织直接经济损失超过10万元；泄露后影响客户信任度或品牌声誉；涉及国家法律法规强制保护的内容；系统中断会导致核心业务停摆超过4小时。上述条件中每一条均有明确的可量化判定依据，不可仅凭主观判断定级。

中敏感级资产的特征是：泄露可能造成一定经济损失，在5万元至10万元区间；影响范围限于特定部门或项目；恢复时间窗口在24小时以内。低敏感级资产则为公开信息、内部通告类文件和无需特殊保护的操作记录，其分级判定应以"泄露后是否造成可量化损失"为核心标准。

分级判定应在资产识别完成后15个工作日内完成，判定过程须形成书面记录并由资产责任人签字确认。任何分级调整需经至少2人联合评审，调整原因应在变更记录中说明。

资产识别与分类分级的实施流程

信息资产识别与分类分级应遵循"自上而下梳理、自下而上核对"的双向流程。第一步由信息安全负责人牵头，依据组织战略目标和核心业务流程，列出信息资产的高层级清单，这一清单应覆盖组织全部30个以上的主要业务单元。第二步由各部门资产责任人根据实际使用情况，对本部门信息资产进行逐条核实与补充，核实覆盖率应达到本部门全部信息资产的100%。

第三步是交叉比对，由信息安全小组将部门级清单与组织级高层级清单进行比对，查找遗漏项和重复项。比对过程中发现的差异应形成"差异分析表"，差异项应在7个工作日内完成核实并得出结论。第四步是分级判定，依据既定的分级标准对各资产条目进行定级，此步骤应在15个工作日内完成。

第五步是评审确认，分类分级结果应提交至少1次管理评审会议审议，评审会议应形成书面决议记录，决议内容包括对分级结果的认可或修改意见。评审通过后，分类分级结果应作为受控文件发布，发布日期应记录在文件修订历史中。

整个流程从启动到评审通过，标准周期应控制在60个工作日内。如遇组织重大变更（如并购、业务转型、信息系统重构），应在变更完成后30个工作日内启动专项识别与分级工作。

信息资产识别与分级中的常见误区

误区一：将"信息技术资产"等同于"信息资产"。许多组织在识别过程中仅统计服务器、数据库和网络设备等IT基础设施，遗漏了纸质文件、人员知识、业务流程和数据标准等非IT类资产。ISO 27001的资产范围明确包含所有类型，非IT资产遗漏率不得超过全部资产条目的5%。

误区二：分级标准与实际保护需求脱节。部分组织在分级时采用"一刀切"策略，将所有客户数据统一标定为高敏感级，不考虑数据本身的敏感性差异。正确的做法是进一步细分客户数据类型，例如将普通客户联系信息与医疗记录、金融账户信息区分定级，细分子类应不少于3类。

误区三：资产清单更新不及时。不少组织在体系认证通过后即停止资产清单的动态维护，导致清单内容与实际情况严重偏离。标准要求资产清单应保持持续有效，实际审计中常发现滞后更新超过12个月的清单，这类清单在监督审核中会被开具不符合项。

误区四：分级结果未与安全控制措施联动。资产分级完成后，若未在访问控制、加密传输、备份策略等具体控制措施中体现分级差异，则分级工作流于形式。分级结果应至少映射到10项以上安全控制措施，每一项高敏感级资产应有对应的强化保护措施。

标准条款依据与合规要求

ISO 27001:2013第8.2.1条"信息资产清单"明确规定："组织应编制信息资产清单，资产清单应包括与信息资产相关的责任人和所属部门。"该条款要求清单内容至少覆盖资产的归属关系，未标注责任人和所属部门的资产条目不符合本条要求。

ISO 27001:2013第A.8.2.2条"信息资产的处理要求"进一步明确："信息资产应根据组织的信息安全政策和分类方案赋予适当的处理要求。"此处明确了分类方案的强制性——组织必须建立书面的分类方案，分类方案内容应包括分类维度、分级标准和判定方法三项核心要素。

此外，ISO 27001第7.5条"成文信息"要求组织应保留适当程度的书面信息作为符合标准要求以及信息安全管理体系有效运行的证据。信息资产清单和分类分级记录属于本条要求的成文信息范畴，其保存期限应不少于3年，超出保存期限的资产记录须经信息安全负责人审批后方可处置。

国际标准化组织（ISO）成立于1947年，其前身为1926年成立的国际标准化协会（ISA）（来源：政府数据）。ISO制定的标准在全球范围内通用，信息资产识别与分类分级作为ISO 27001的核心要求之一，已被纳入各国信息安全监管框架。中国《网络安全法》第二十一条要求网络运营者采取技术措施和其他必要措施，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改，其中"网络数据"的保护前提正是对信息资产的准确识别与分级。

资产清单的持续维护机制

信息资产清单不是静态文档，而是需要持续维护的动态受控文件。维护机制应包含日常更新、定期复核和专项变更三个层面。

日常更新由资产责任人负责，当资产的状态发生变化（如归属部门调整、存储位置变更、保密等级升级）时，责任人应在5个工作日内通知信息安全小组完成清单更新，更新记录应保留至少12个月。信息安全小组每月应对变更情况进行汇总，形成月度变更报告。

定期复核由信息安全小组主导，每年至少开展1次全面复核，复核重点是检查资产清单与实际资产状况的一致性。复核覆盖率应达到100%，复核中发现的偏差应在10个工作日内完成整改，整改完成后方可关闭复核发现的问题项。

专项变更在组织发生重大变化时触发，包括但不限于：新增业务线或产品线、信息系统上线或下线、并购重组、办公场所搬迁、外包关系变更等。此类变更应在触发事件发生后30个工作日内完成资产清单的专项更新，更新范围应覆盖受影响的完整业务链路。

清单维护的所有记录应作为体系运行证据妥善保存，保存期限不少于3年。信息安全小组每季度应向管理层提交资产清单维护情况报告，报告内容包括清单总条目数、本月变更数量、复核发现的问题及整改进度等关键指标。

分类分级结果的应用与对接

信息资产的分类分级结果不是孤立的产出，其最终价值体现在与安全控制措施的对接中。分类分级结果应与以下领域建立明确的映射关系：访问控制策略、加密保护要求、备份与恢复策略、传输安全措施、销毁处置标准和人员安全意识培训内容。

访问控制方面，高敏感级资产应至少实施基于角色的访问控制（RBAC），访问审批流程应设置不少于2级审批，中敏感级资产至少设置1级审批。加密保护方面，高敏感级资产在传输和静态存储时均应启用加密，加密算法强度应符合国家密码管理部门的相关规定。

备份与恢复策略方面，高敏感级资产的备份频率应不低于每日1次，恢复时间目标（RTO）应不超过4小时，恢复点目标（RPO）应不超过1小时。中敏感级资产备份频率应不低于每周1次，RTO不超过24小时。低敏感级资产按组织统一备份策略执行。

分类分级结果还应纳入人员安全意识培训计划。针对不同级别资产的从业人员，培训内容和频次应有所区分：涉及高敏感级资产的人员每年培训不少于2次，每次不少于4学时；涉及中敏感级资产的人员每年培训不少于1次，每次不少于2学时。

独立结论

如果信息资产清单覆盖率低于80%，则组织信息安全事件发生率通常显著高于覆盖率达标组织，体系审核中可能被开具不符合项。如果分类分级结果未在安全控制措施中建立映射关系，则分级工作流于形式，无法有效支撑ISO 27001第A.8.2.2条的合规要求。如果资产清单超过12个月未进行复核更新，则清单与实际状况的偏离度可能累积到影响安全决策准确性的程度，监督审核中将面临审核员的重点质疑。

适用范围

本文所述信息资产识别与分类分级要点适用于所有寻求建立或运行ISO 27001信息安全管理体系的组织，包括但不限于制造业企业、信息技术服务公司、金融机构、医疗机构和政府机构。对于小型组织（员工不足50人），可简化分类维度和流程步骤，但资产清单的完整性和分级判定的依据性不应降低。当组织涉及跨境数据传输或受行业特定监管要求（如金融、医疗、能源）约束时，分类分级还应额外考虑行业法规对敏感数据的具体定义和保护要求。