ISO27001資產和資產風險等級劃分準則
一、??? 資產的分類
| 分類 | 一般描述 |
| 信息資產 | 包括各種業(yè)務相關的電子類的文件資料，可按照部門現有文件明細列舉，或者根據部門業(yè)務流程從頭至尾列舉，列舉時盡量按照確定的緯度來分類，比如按照職能，或者按照業(yè)務流程的不同環(huán)節(jié)。要求識別的是分組或類別，不要具體到特定的單個文件。數據資料的列舉和分組應該以業(yè)務功能和保密性要求為主要考慮，也就是說，識別出的數據資料應該具有某種業(yè)務功能，此外，還應該重點考慮其保密性要求。本部門產生的以及其他部門按正常流程交付過來供本部門使用的，都在列舉范疇內。本部門盡量清晰，來自外部門的可以按照比較寬泛的類別來界定。 |
| 軟件資產 | 各種本部門安裝使用的軟件，包括系統軟件、應用軟件（有后臺數據庫并存儲應用數據的軟件系統）、工具軟件（支持特定工作的軟件工具）、桌面軟件（日常辦公所需的桌面軟件包）等。所列舉的軟件應該與產生、支持和操作已識別的數據資產有直接關系。 |
| 書面文檔 | 合同，公司文件，企業(yè)成果，人事文檔，培訓文檔，采購文件，發(fā)票，政府下達的文件，也包括各類電子數據的歸檔件、打印件、復印件、書面管理文件等。 |
| 實體資產 | 與業(yè)務相關的IT物理設備。如產生數據類服務器、筆記本計算機、PC機、打印機、復印機、等）、通訊傳輸設備（路由器、防火墻等）、記錄存儲媒體（U盤、光盤、移動硬盤等） |
| 支持設施 | 監(jiān)控設備，門禁，暖氣，供水，空調，報警，發(fā)電機 |
| 人員 | 承擔某項與業(yè)務活動相關責任的角色和職位。例如總經理、部門經理、網絡管理員、固定資產管理員、業(yè)務主管、系統管理員、軟件開發(fā)人員、清潔員、普通員工等，這些人員與各類數據、軟件和實物資產的操作直接相關。 |
| 公司形象和名譽 | 影響公司形象及名譽的各種事件或信息。 |
資產的分級標準
資產的等級通過資產的機密性（C）、完整性（I）和可用性(A)三個因素表現。計算公式為：機密性價值（C）＋完整性價值（I）＋可用性價值（A）
每個因素的判定標準如下：
| 等級 | 取值 | 取值標準描述 | ||||||
| 保密性Confidentiality | 完整性Integrity | 可用性Availability | ||||||
| 一般資產 | 人員 | 一般資產 | 人員 | 一般資產 | 人員 | |||
| Very High | 4 | Top Secret 絕密 |
最高敏感性的數據文件、信息處理設施和系統資源，僅能被極少數人知道。一旦泄漏會給公司帶來特別嚴重的損害后果 | 可以接觸/存取各個級別的信息 | 未經授權的破壞或更改將會對信息系統有非常重大的影響，可能導致嚴重的業(yè)務中斷 | 如果該人員未正確執(zhí)行其職務內容，將造成公司級業(yè)務運作效率大大降低或停頓 | 合法使用者對信息系統及信息的存取可用度達到年度每天99.9%以上（7*24） | 突然缺席，會造成公司日常運營的停頓或造成重大影響 |
| High | 3 | Secret 機密 |
重要的信息、信息處理設施和系統資源，只能給少數必須知道者（特定的任務群體）。一旦泄漏會對公司造成嚴重的損害 | 可以接觸/存取最高到機密級的信息 | 未經授權的破壞或更改對信息系統有重大影響，而且（或者）對業(yè)務造成嚴重沖擊 | 如果該人員未正確執(zhí)行其職務內容，將造成單位/部門之業(yè)務運作效率降低或停頓 | 合法使用者對信息系統及信息的存取可用度達到每天95%以上（7*24） | 突然缺席，會造成公司某項業(yè)務的停頓或造成重大影響 |
| Middle | 2 | Confidential 秘密 |
一般性的公司秘密，泄漏后會給公司造成一定的損害 | 可以接觸/存取公司一般性的秘密信息和內部公開信息 | 未經授權的破壞或更改會對信息系統造成一定的影響，而且（或者）給業(yè)務帶來明顯沖擊 | 如果該人員未正確執(zhí)行其職務內容，將造成相關工作任務效率降低或停頓 | 合法使用者對信息系統及信息的存取可用度在正常上班時間達到100%（5*8） | 突然缺席，會造成公司某個項目或某項工作的停頓或造成負面影響 |
| Low | 1 | Internal Use Only 內部公開 |
并非敏感信息，主要限于公司內部使用。一旦泄漏，并不會對公司造成顯著的影響 | 可以接觸/存取內部公開的信息 | 未經授權的破壞或更改不會對信息系統有重大影響，也不會對業(yè)務有明顯沖擊 | 如果該人員未正確執(zhí)行其職務內容，不會對業(yè)務運作造成影響 | 合法使用者對信息系統及信息的存取可用度在正常上班時間至少達到50%以上（5*8） | 突然缺席，對某項任務造成負面影響 |
二、
