网络空间资产梳理

网络空间资产梳理

网络安全建设的实质是对风险的管理，古人云：知己知彼百战不殆。所谓知己，就是要了解自己的资产以及这些资产的脆弱性，知彼就是了解外部威胁及威胁所使用的手段。要做到知己，首先就要对自身的资产进行梳理。

1、为什么要做资产梳理？（WHY)

安全体系建设的需要

网络安全（数据安全）建设的实质是对风险的管理，风险管理的三个要素是资产、威胁和脆弱性。这三项的基础是资产管理。

随着客户业务的逐渐增多，面向互联网的系统暴露的信息也就越多，如端口、后台管理系统、与外单位互联的网络路径等信息，而这这些信息就越容易被攻击者盯上。

很多单位在进行安全体系建设时，往往对重要业务系统进行较好的防护，对于一些边缘业务甚至废弃业务没有做好及时处理，而这些往往成为攻击者攻击的对象。

通过对大多数被攻击事件的分析，大多数攻击都是因为客户对自身资产不清晰所致，所以需要对单位机构资产进行梳理，通过资产梳理，可以确定主机漏洞、弱口令扫描、web应用漏洞、基线配置的目标，排查无备案、无管理、无防护的信息资产，收集信息资产开发端口服务，作为关闭非必要端口和加强端口访问策略提供依据，整理重点资产，作为有限防护资源分配的参考。

资产梳理是进行安全运维与风险评估的基础，也是进行安全体系建设的依据。如果家底不清、资产不明，很容易会被黑客利用和攻击。

合规性的需要

在《数据安全法》和等保中，也都有明确的规定。

如等保三级管理部分（7.1.10.2)明确规定：应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。