ISO 27001-2022 信息资产清单 + 分类分级评估表 全套模板 中文版

ISO27001:2022信息资产清单+分类分级评估表全套模板中文版文档版本：V1.0受控正式版合规依据：ISO/IEC27001:2022条款8.1资产管控、附录A5.12信息分类分级、A8.1.1资产盘点、GB/T22080-2022、GB/T20984-2022风险评估规范适用场景：ISO27001初次认证、2013转2022新版审核、年度监督/再认证审核、资产常态化盘点、风险评估基础建档、数据安全合规整改、供应链资产管控行业核心价值：完全适配2022新版标准资产全生命周期管控要求，补齐旧版缺失的云资产、数字化资产、外协服务资产分类，采用保密性、完整性、可用性（CIA三维评级）行业通用模型，统一资产分类、分级、赋值、管控标准，解决外审高频问题：资产遗漏、分级混乱、无责任归属、无管控依据、与风险评估不联动。第一部分：ISO27001:2022信息资产分类分级管理制度（程序文件）1.目的为规范公司信息资产识别、盘点、分类、分级、赋值、管控全流程管理，依据ISO/IEC27001:2022新版资产管控强制要求，建立统一的信息资产分类分级标准。明确各类资产安全等级、归属权责、防护标准，实现资产可识别、可溯源、可分级、可管控、可迭代，为信息安全风险评估、策略配置、权限管控、应急防护、合规审核提供核心基础依据，保障信息资产全生命周期安全可控。2.适用范围本制度适用于公司ISO27001体系覆盖范围内所有信息资产，包含数据资产、应用系统资产、网络基础设施资产、物理设备资产、文档介质资产、服务类资产、人员关联资产、云平台资产、外协供应链资产等全部资产类型，覆盖资产采购、上线、使用、迁移、报废、销毁全生命周期。3.核心术语定义信息资产：所有对公司业务运营、信息安全、合规经营具有价值的数据、系统、设备、服务、文档、介质、人员权限等相关资源，是信息安全风险管控的核心对象。CIA三维评估：行业通用资产价值评估模型，包含保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）三个维度，取最高值作为资产最终安全等级。资产责任人：负责资产日常管理、权限审批、分级确认、风险管控、报废审核的部门负责人或指定专人，为资产安全第一责任人。资产使用人：日常操作、使用资产的工作人员，负责规范操作、及时上报资产异常与安全隐患。4.资产大类分类标准（2022新版全覆盖）结合新版标准新增场景，将公司信息资产统一划分为七大核心类别，无遗漏、无重叠，适配全行业场景：数据资产：客户信息、业务数据、敏感隐私数据、财务数据、员工信息、日志数据、涉密文档、核心算法数据、脱敏中间数据等。应用资产：自研业务系统、OA系统、财务系统、CRM、项目管理平台、测试系统、第三方商用软件、云应用服务等。基础设施资产：服务器、防火墙、交换机、路由器、存储设备、机房UPS、网络链路、安全防护设备等。物理介质资产：电脑、笔记本、U盘、硬盘、打印机、纸质涉密档案、存储介质等实体载体。文档制度资产：体系文件、应急预案、审核报告、合规证书、流程规范、会议纪要、技术方案等电子/纸质文档。服务类资产：云托管服务、网络宽带、安全运维外包、第三方测评、数据托管、短信邮件服务、外协技术支撑服务。人员权限资产：核心岗位账号权限、管理员权限、涉密操作权限、外协人员访问权限等。5.资产分级赋值标准（CIA三维1-4级评分）统一采用1-4级评分机制，4级最高、1级最低，根据资产泄露、篡改、中断后的业务、合规、品牌影响赋值，最终资产等级取三维度最高值。5.1保密性（C）分级标准4级（极高密）：泄露将引发重大合规处罚、大规模用户隐私泄露、核心商业机密流失、业务重大瘫痪。3级（高密）：泄露将造成局部业务损失、内部敏感信息外泄、小范围用户数据泄露。2级（内部公开）：仅限公司内部使用，对外泄露无重大风险，但违反内部管控规范。1级（公开资产）：可对外公开披露的宣传、公示、公开制度等信息。5.2完整性（I）分级标准4级（极高）：数据/系统篡改将导致业务全盘失效、财务重大损失、合规造假风险。3级（高）：篡改将导致局部业务错乱、数据失真、工作流程异常。2级（中）：轻微篡改可快速修复，无核心业务影响。1级（低）：数据无业务核心价值，篡改无任何影响。5.3可用性（A）分级标准4级（极高）：资产中断将导致公司核心业务全面停滞、无法运营。3级（高）：资产中断导致局部业务暂停、工作效率大幅下降。2级（中）：短时中断可快速恢复，对业务影响轻微。1级（低）：资产停用不影响任何业务正常开展。6.资产最终等级划分与管控要求一级资产（极高风险资产）：C/I/A任意一项为4级，需专项防护、专人值守、定期专项审计、备份加密、严格权限管控，禁止私自对外传输。二级资产（高风险资产）：C/I/A最高3级，需标准化防护、权限最小化、定期盘点、常规备份、操作日志留存。三级资产（中风险资产）：C/I/A最高2级，落实基础安全管控、定期核查、规范使用。四级资产（低风险资产）：C/I/A最高1级，常规台账管理，基础合规管控即可。7.职责分工信息安全部：制定资产分类分级标准、统筹全公司资产盘点、维护资产清单、复核资产分级结果、联动风险评估、更新台账、对接内外审核。各业务部门：梳理本部门资产、指定资产责任人、提交资产信息、落实资产日常管控、及时上报资产变更、报废、新增信息。管理者代表：审批资产分级标准、重大资产等级调整、统筹资产安全资源配置。内审小组：定期核查资产台账完整性、分级准确性、管控落地有效性。8.资产动态管理要求资产清单实行季度更新、年度全量盘点机制，发生资产新增、报废、迁移、权限变更、业务迭代、系统升级、云服务变更时，7个工作日内完成台账更新与等级复核，确保资产数据与实际100%一致，同步联动风险评估报告与SoA适用性声明更新。编制人：__________审核人：__________批准人：__________日期：__________第二部分：ISO27001:2022完整版信息资产清单（可直接填报）台账编号：ISMS-ZC-202X-XX盘点周期：202X年度全量资产盘点编制部门：信息安全部更新日期：202X年XX月XX日序号资产编号资产大类资产细分名称资产详细描述/用途部署/存储位置资产责任人资产使用人资产状态（在用/闲置/报废）归属部门备注1ZC-001数据资产客户核心信息数据库存储客户手机号、身份信息、业务办理记录，支撑核心业务运营本地机房核心服务器+云端备份XXX业务部管理员在用业务部核心涉密资产2ZC-002应用资产自研业务管理系统公司核心业务审批、流程流转、数据统计管理平台云服务器部署XXX全体业务人员在用研发部核心业务系统3ZC-003基础设施资产核心防火墙设备全网边界安全防护、访问控制、攻击拦截、流量监控机房边界出口XXX运维人员在用技术部安全核心设备4ZC-004服务类资产阿里云云托管服务提供云服务器、存储、备份、网络支撑服务阿里云公共云平台XXX运维人员在用技术部新版重点管控资产5ZC-005文档资产ISO27001体系全套受控文件体系制度、流程、预案、审核资料、整改台账等合规文档本地加密存储+云端备份XXX信息安全部人员在用信息安全部合规核心资产第三部分：ISO27001:2022信息资产分类分级评估表（CIA三维专业版）评估批次：202X年度资产分级评估评估依据：本公司资产分类分级管理制度、ISO27001:2022A5.12、GB/T20984-2022评估人员：信息安全部+各部门资产责任人评估日期：202X年XX月XX日序号资产编号资产名称资产大类保密性C（1-4级）完整性I（1-4级）可用性A（1-4级）单项最高等级资产最终安全等级风险影响说明核心管控措施责任人复核结果1ZC-001客户核心信息数据库数据资产4434级一级极高风险资产数据泄露将引发用户隐私投诉、监管处罚、品牌受损；数据篡改导致业务数据失真、财务对账异常；服务中断影响核心业务办理数据加密存储、权限最小化、操作日志审计、定期全量备份、脱敏处理、禁止外网直接访问、专人专项管控XXX复核通过2ZC-002自研业务管理系统应用资产3444级一级极高风险资产系统瘫痪将导致全公司业务停滞，页面篡改引发业务风险，后台数据泄露造成内部信息外泄定期漏洞扫描、版本迭代审核、访问白名单、双机热备、运维权限分级、异常访问告警XXX复核通过3ZC-003核心防火墙设备基础设施资产3344级一级极高风险资产设备故障、策略异常将导致全网中断、边界防护失效，引发网络攻击、病毒入侵风险策略定期审计、设备定期巡检、配置备份、权限严格管控、日志留存、应急备用方案XXX复核通过4ZC-004阿里云云托管服务服务类资产3333级二级高风险资产云服务异常将导致云上业务局部中断，配置泄露存在越权访问风险云账号权限审计、密钥定期更换、云资源监控、供应商安全复评、云上数据备份XXX复核通过5ZC-005ISO27001体系全套受控文件文档资产3223级二级高风险资产受控文件外泄将导致体系合规信息泄露，影响审核合规性文档加密存储、权限分级查看、禁止随意外传、版本管控、归档管理XXX复核通过整体评估结论：本次全量资产分级评估严格遵循新版标准CIA三维模型，资产分类清晰、分级精准、权责明确，所有高价值资产均已匹配对应防护措施，资产管控体系合规有效，可作为年度风险评估、安全策略优化、内外审核核心依据。评估人签字：__________复核人签字：__________审批人签字：__________第四部分：资产分级对应安全管控矩阵表（落地依据）用途：明确不同等级资产的标准化防护规则，解决分级后无落地依据的审核痛点，全程匹配ISO27001:2022控制措施。资产等级保密管理要求完整性管理要求可用性管理要求盘点/审计频次报废销毁要求一级极高风险全程加密、最小权限、专人管理、禁止外网传输、脱敏使用、操作全审计数据校验、防篡改机制、版本回溯、修改审批、日志永久留存双备份、冗余部署、7*24监控、应急预案、故障快速恢复月度专项审计、季度盘点物理销毁/专业粉碎、全程录像、双人复核、销毁记录归档二级高风险权限分级管控、内部涉密使用、外发审批、加密存储定期数据校验、修改留痕、版本管控定期备份、故障快速响应、常态化监控季度审计、半年盘点格式化清除+记录留存、专人审核三级中风险内部规范使用、禁止私自外传、基础权限管控定期核查数据完整性、异常上报常规备份、日常运维保障年度盘点、抽样审计常规删除、台账记录备案四级低风险公开规范使用，无特殊加密要求无需专项校验，日常维护即可基础运维保障，按需恢复年度统一盘点常规报废、台账更新第五部分：新版外审避坑指南（资产管控专项）1.2022新版审核核心红线禁止资产遗漏，必须全覆盖云资产、外协服务资产、数字化数据资产三大新版重点场景，是转版审核必查项；资产分级必须采用CIA三维评估模型，禁止单一维度主观定级，否则外审判定无效；所有资产必须绑定唯一责任人、管控措施、风险等级，杜绝无归属、无防护、无评级的空白资产；资产台账必须动态更新，与风险评估报告、权限清单、备份记录完全联动，逻辑一致。2.