信息资产分类分级清单模板

信息资产分类分级清单模板一、编制目的为全面摸清企业全域信息资产底数，规范所有信息类、技术类、数据类、系统类、服务类资产的统一分类标准与安全等级定级管理工作，杜绝资产漏统计、分类不统一、定级无依据、管控无差别的粗放式管理问题，夯实网络安全、数据安全、人工智能风险管理、变更管理等各项管控工作的前置基础条件。通过建立标准化、统一化、规范化的信息资产分类分级管理机制，精准区分不同类型信息资产的业务价值、安全影响范围、风险危害程度、合规管控要求，针对不同安全等级的信息资产落实差异化防护策略、运维管控措施、访问权限管控、变更审批管理、应急保障机制及退役销毁规范。切实保障企业办公信息化系统、业务生产系统、人工智能算法模型及智能应用、核心业务数据、软硬件基础设施、网络通信资源等各类信息资产安全稳定运行，防范因资产底数不清、等级划分不明引发的数据泄露、系统宕机、算法异常、网络攻击、合规处罚、业务中断等各类安全风险与运营隐患，实现企业信息资产全生命周期可控、可管、可查、可追溯，适配企业数字化转型及智能化系统常态化运营治理需求。二、适用范围本信息资产分类分级清单模板全域适用于企业总部及所有下属分支机构、全资及控股子公司、各职能管理部门、生产运营车间、技术研发中心、人工智能研发运维团队、信息化管理部门、业务经营部门、供应链合作对接部门等所有内部机构及外协合作关联单位。覆盖企业经营运营、生产管理、技术研发、智能算法训练、数据处理应用、办公协同管理、对外业务服务、供应链信息化对接等所有业务场景下产生、使用、存储、传输、共享、迭代、退役的全部信息资产。涵盖物理硬件资产、网络通信资产、软件应用资产、数据资源资产、人工智能专项资产、业务服务资产、人员账号权限资产、文档资料资产、供应链外协信息资产等全部资产类别。本模板适用于信息资产初次摸排建档、日常新增资产登记、资产变更调整定级、资产降级升级复核、资产下线退役核销、年度资产盘点复核等全场景使用，所有涉及信息资产归口管理、使用运维、安全防护、变更审批、审计核查的岗位及工作人员，均需严格遵照本模板规范开展分类分级登记与清单管理工作，所有信息资产无例外、无豁免，必须全部纳入清单统一管控。三、编制合规依据本信息资产分类分级清单模板严格依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护基本要求》《数据分类分级指南》等国家法律法规及行业标准规范编制，同步衔接企业内部质量管理体系、网络安全管理制度、数据安全管控程序、NIST人工智能风险管理框架、变更管理控制程序等内部管理体系文件。分类分级规则贴合企业生产经营实际、业务运营特点、AI系统运维需求及安全风控管理要求，兼顾合规监管硬性要求与企业实操落地实用性，确保资产分类分级结果合法合规、科学合理、贴合业务、适配风控，为后续资产安全防护、风险评估、变更审批、应急处置、审计检查、合规自查提供统一标准化依据。四、核心术语基础定义信息资产：指企业拥有所有权或实际管控使用权，对企业业务经营、生产运营、技术研发、智能系统运行、合规管理、对外服务具备实际价值，以物理形态、数字形态、服务形态、权限形态存在的各类硬件、软件、数据、系统、服务、文档、账号及外协资源的统称，所有能够产生业务价值、存在安全风险、需要运维防护的信息化相关资源均纳入信息资产范畴。资产分类：指按照信息资产的存在形态、应用用途、部署位置、使用属性、业务关联关系，对全量信息资产进行类别划分，实现同类资产统一管理、同类管控、同类统计，避免资产杂乱无序管理。资产分级：指按照信息资产遭受破坏、泄露、篡改、丢失、异常运行后，对企业国家安全、公共利益、生产经营、业务运转、财产权益、人员隐私、品牌声誉、合规经营造成的危害影响程度，划分为不同安全保护等级，等级越高防护标准越严格、审批管控越规范、运维监测频次越高。资产归口管理部门：指对对应类别信息资产负有日常管理、运维保障、使用统筹、变更提报、盘点复核主体责任的职能部门或专项工作团队。资产使用责任人：指日常实际操作、使用、运维对应信息资产，负责日常巡检、问题上报、权限保管、规范操作的具体在岗工作人员。资产全生命周期管理：涵盖信息资产采购入网、登记建档、投入使用、变更调整、等级复核、运维升级、下线停用、销毁核销全流程闭环管理。五、信息资产总体统一分类规则企业所有信息资产按照资产物理属性、应用功能、存在形式划分为九大核心一级资产大类，每个一级大类下细分对应二级资产分类，所有资产必须按照对应层级精准归类，不得随意混类、错类、漏类登记。第一类为物理硬件基础设施资产，主要承载所有信息化系统、智能算法平台、数据存储运行的实体硬件设备，包含服务器设备、存储设备、网络交换设备、安全防护硬件设备、办公计算机终端、工控生产终端、机房配套供电及环境设备、监控摄像设备及其他实体信息化硬件设施。第二类为网络通信链路资产，包含企业内部局域网线路、互联网专线链路、内外网隔离通信通道、跨境及跨区域数据传输链路、VPN通信资源、专线对接通信节点及各类网络通信互联资源。第三类为软件及应用系统资产，包含自研业务管理软件、外购商用办公及业务系统、开源软件组件、操作系统、数据库管理软件、中间件软件、办公协同应用、业务生产管理平台及各类信息化应用软件系统。第四类为核心数据资源资产，包含经营管理数据、生产业务数据、用户个人信息数据、财务资金数据、员工人事数据、算法训练数据集、模型迭代数据、涉密敏感数据及所有数字化存储处理的各类数据资源。第五类为人工智能专项智能资产，包含自研AI算法模型、外购通用大模型授权、智能决策系统、计算机视觉智能应用、算法训练环境、模型迭代优化组件、AI推理服务节点及所有人工智能专项研发运营资产。第六类为业务信息化服务资产，包含第三方云服务资源、信息化外包运维服务、智能算法外包服务、数据处理外包服务、网络安全防护外包服务及各类外协信息化服务资源。第七类为账号权限及身份认证资产，包含管理员账号、运维操作账号、业务使用账号、系统认证密钥、密码证书、权限分配策略及各类系统访问控制身份权限资源。第八类为电子文档及资料载体资产，包含制度文件电子版、业务台账资料、技术方案文档、算法研发文档、涉密工作资料、纸质转电子归档资料及各类数字化文档资料资产。第九类为供应链外协信息关联资产，包含合作单位对接系统接口、外协共享数据资源、第三方合作算法组件、供应链信息化对接资源及外部关联企业管控的相关信息资产。六、信息资产安全等级分级判定核心标准企业所有信息资产统一划分为一级一般资产、二级重要资产、三级核心资产、四级绝密关键资产四个安全防护等级，分级判定以资产遭受破坏、泄露、篡改、丢失、异常运行后的影响范围、危害程度、合规风险、业务损失、声誉影响五大核心维度为唯一判定依据，分级标准统一、判定口径一致，不得人为随意调高或降低资产安全等级。一级一般资产为低风险基础类资产，资产出现安全问题后仅对单一部门基础办公工作造成轻微影响，不会影响企业核心生产经营、核心业务运转、数据安全及合规管理，无经济损失、无舆情风险、无合规处罚风险，仅需落实基础常规运维防护及日常管理即可。二级重要资产为中风险业务类资产，资产出现安全问题后会对单个或少数几个部门业务工作造成局部影响，不会造成企业整体业务中断，存在少量经济损失及一般性工作影响，无重大合规及舆情风险，需落实常规安全防护、定期巡检、基础权限管控及常规变更审批管理。三级核心资产为高风险关键业务类资产，资产出现安全问题后会造成企业核心业务阶段性中断、核心内部数据泄露、较大经济损失、局部合规风险及企业内部管理重大影响，需落实强化安全防护、严格权限管控、定期风险评估、重大变更专项审批、常态化安全监测及专项运维保障。四级绝密关键资产为极高风险战略命脉类资产，资产出现安全问题后会造成企业整体业务全面瘫痪、核心涉密数据及关键算法泄露、重大经济损失、重大合规监管处罚、严重负面舆情及企业经营战略安全隐患，需落实最高等级专项防护、专人专属运维、全流程操作审计、每次变更高层终审、7×24小时实时监测、多级备份保护及专项应急保障机制。七、信息资产分类分级清单统一登记填报规范所有信息资产必须按照一资产一登记、一类别一归类、一等级一定级的原则纳入清单统一建档管理，每项资产单独完善全维度登记信息，确保清单信息真实、准确、完整、有效、可追溯。资产基础标识登记环节，需完整填写资产专属唯一编号，编号按照企业年度、归口部门、资产大类、流水序号统一编制，明确资产标准正式名称、资产简要功能用途、资产物理部署位置或存储存放位置、资产采购入网或投入使用具体日期、资产归口管理部门全称、资产专属使用责任人姓名及岗位联系方式。资产分类归属登记环节，需严格按照九大一级资产大类及对应二级细分分类精准标注资产所属一级分类名称与二级细分分类名称，清晰备注资产关联业务领域、关联业务系统、关联AI模型或智能应用名称，明确资产对内对外使用属性、资产共享使用范围、资产涉密敏感属性标注。资产安全定级登记环节，需明确标注资产最终判定的一级至四级安全防护等级，详细填写资产等级定级判定依据、定级评审参与人员姓名、定级审核审批管理人员姓名及定级完成日期，同步备注资产等级复核周期、下次等级复核计划时间。资产安全管控配套登记环节，需如实填写资产日常安全防护措施落实情况、访问权限管控规则、运维巡检频次要求、变更管理适配等级、数据备份保护方式、应急处置配套保障措施，明确资产安全风险防控薄弱点及专项加固整改要求。资产生命周期动态登记环节，需填写资产新增登记时间、历次变更调整记录、等级升降复核记录、运维整改记录、停用闲置记录、下线退役核销记录，全程留痕归档，确保资产从入网到销毁全生命周期动态更新管控。八、信息资产清单动态更新与复核管控要求信息资产分类分级清单不实行静态一次性登记管理，必须建立常态化动态更新与定期复核长效管理机制，确保清单资产信息与企业实际资产现状完全一致。日常动态更新方面，企业新增采购、自研开发、外协接入各类信息资产后，归口管理部门必须在三个工作日内完成资产分类定级判定及清单新增登记工作；资产发生变更调整、用途改动、位置迁移、权限变动、等级调整等情况时，同步结合企业变更管理控制程序完成变更审批手续，审批通过后两个工作日内同步更新清单对应资产登记信息；资产停用、闲置、下线、退役、销毁时，及时在清单内标注资产状态变更，完成核销登记及资料归档留存。定期复核盘点方面，企业信息化管理部门联合合规风控部门每半年开展一次全量信息资产分类分级清单专项盘点复核工作，每年年底开展年度全面资产盘点定级复核工作，核对资产分类是否准确、定级是否匹配当前风险现状、责任人是否在岗匹配、防护措施是否落实到位，对分类错误、定级不当、信息滞后、责任人变动的资产及时修正调整，重新完成定级审核确认。监督追责管理方面，严禁瞒报漏报信息资产、随意错分资产类别、人为降低资产安全等级、清单更新滞后不及时等违规行为，风控部门常态化开展抽查核查，对违规管理部门及责任人依规纳入绩效考核及合规追责，确保信息资产分类分级清单真实有效、管控落地。九、信息资产分类分级清单纯文本段落式登记模板信息资产唯一基础编号登记内容：填写本项信息资产按照企业统一编码规则编制的专属唯一识别编号，编码包含年度标识、归口管理部门简称、资产一级分类代码、资产流水顺序号，作为本项资产全生命周期唯一档案标识，全程沿用不得随意变更。资产标准全称及简要功能说明登记内容：填写本项信息资产规范正式完整名称，不得使用简称、俗称或模糊名称，同步详细写明本项资产核心功能作用、主要应用业务场景、服务支撑的工作内容、对企业经营及智能运维工作的核心价值，清晰描述资产日常使用用途及核心业务支撑作用，完整说明资产运行承载的相关系统、数据或AI模型应用情况。资产归口管理部门及使用责任人登记内容：填写本项资产归属的具体归口管理职能部门全称，明确部门资产分管负责人姓名及职务，填写资产日常实际运维操作、使用管理、问题上报的专属使用责任人姓名、具体岗位职务及办公联系电话，明确资产日常管理第一责任人和直接使用管理人。资产部署存放位置及投入使用时间登记内容：填写本项物理资产具体机房位置、办公点位、部署区域，数字化及软件数据资产填写系统部署服务器位置、存储路径、云端存储区域，同步填写资产采购入网、自研上线、接入启用的具体年月日时间，准确记录资产正式投入运营使用的起始节点。资产精准分类归属登记内容：明确标注本项信息资产所属九大一级资产大类具体名称，同步填写对应细分二级资产分类具体名称，详细备注资产关联核心业务板块、关联信息化系统名称、关联人工智能模型或智能应用名称，标注资产仅内部使用、对内共享或对外共享使用属性，明确资产是否属于敏感涉密专项资产范畴。资产安全等级定级及定级依据登记内容：明确填写本项资产最终审定的一级一般资产、二级重要资产、三级核心资产、四级绝密关键资产对应安全等级，详细写明本次资产定级参照的核心判定标准、资产风险影响评估情况、定级核心理由，清晰说明资产一旦发生安全问题对应的危害程度、业务影响范围及合规风险等级，填写定级初审人员、复核人员、终审批准人员姓名及定级审批完成年月日。资产安全防护及运维管控措施登记内容：如实填写本等级资产对应的专属安全防护落实措施、账号权限分配管控规则、日常运维巡检工作频次、数据及系统备份保护方式、安全监测预警配置情况、变更管理审批适配等级要求，写明资产安全风险薄弱环节及