资产中心识别与流程中心识别：两种识别起点的适用条件（起点选择、覆盖差异、联合使用）

资产中心识别与流程中心识别：两种识别起点的适用条件（起点选择、覆盖差异、联合使用）本文档提供：表2起点选择判定表；表3资产中心覆盖清单；表4流程中心覆盖清单；表5覆盖差异对照表；表6联合使用顺序表；表7停摆排查表；式(1)覆盖缺口指数；式(2)联合覆盖增量；四段式矛盾规则；表8三套场景序列表；完整案例一个。2026-11-03表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、打开资产清单之前，先用五个问题选定起点表2起点选择判定表在建模开始前确定用哪种起点二、资产中心识别：从“不能丢什么”往下走，三圈扫完表3资产中心覆盖清单和式(1)执行资产中心识别的扫描动作三、流程中心识别：从“钱和审批怎么走”往下走，逐步找衔接点表4流程中心覆盖清单执行流程中心识别的扫描动作四、两种起点的覆盖差异：各自先看见什么、各自漏掉什么表5覆盖差异对照表判断当前起点是否够用五、联合使用时先走哪个：顺序规则和式(2)表6联合使用顺序表和式(2)把两种识别串成一轮流程六、识别做了一轮就停，先查这五处表7停摆排查表定位识别中断的具体环节七、什么时候换起点、什么时候加第二遍：四条规则和一处矛盾四条决策规则和矛盾权衡规则处理覆盖不足下的判断分叉八、完整版、精简版、极简版按交付对象选表8三套场景序列表按场景选择识别范围按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。安全评审要求交威胁模型，团队手里有一份资产清单和一份采购到付款的流程图，不知道先动哪一份，也不知道只做一份够不够。一、打开资产清单之前，先用五个问题选定起点威胁建模的起点决定先看见什么、先漏掉什么。Shostack把起点分为资产、攻击者和软件三类，并指出工程团队通常适合从软件结构开始；但在受监管行业和项目级评估中，资产类别本身就是监管或预算论证的基础，资产中心是更自然的入口。流程中心识别不从“东西值多少钱”开始，而从“事情按什么顺序办、每一步交接时谁把什么东西交给了谁”开始，用业务流程模型作为威胁枚举的骨架。表2起点选择判定表判定问题答“是”时倾向的起点答“否”时倾向的起点判定示例监管或合同是否按资产类别提出保护要求（如持卡人数据、个人数据）资产中心流程中心支付业务受卡数据保护要求约束，选资产中心本次交付是否需要向管理层或审计方说明“保护了什么”资产中心流程中心季度安全报告需列关键资产，选资产中心系统的核心风险是否来自步骤之间的交接、审批或手工传递流程中心资产中心采购付款的审批链是主要暴露面，选流程中心是否有现成的流程图或审批流可以直接打开流程中心资产中心已有采购到付款流程图，选流程中心资产清单是否长期无人维护、大量条目缺失负责人流程中心资产中心资产清单中三分之二无负责人，改从流程切入五个问题答完，统计“资产中心”和“流程中心”各命中几个。命中多的一方作为第一遍起点；两方持平时，先走流程中心，因为流程走完后资产清单的缺失项会在交接点上暴露出来。二、资产中心识别：从“不能丢什么”往下走，三圈扫完资产中心识别的动作是列清单、分组、逐组问三个问题：谁想要它、会对它做什么、有什么路径能到达它。三圈扫完，资产清单才能用于威胁枚举。表3资产中心覆盖清单圈层扫什么典型资产示例容易漏掉的条目漏掉后哪里会出问题第一圈：直接资产数据、账号、资金、接口凭据客户身份证号、管理员账号、支付密钥密钥的轮换记录本身也是资产密钥轮换记录缺失时，泄露后无法判断影响范围第二圈：支撑资产构建流水线、依赖镜像、配置库、日志存储CI/CD流水线、制品仓库、密钥管理库流水线被入侵可向所有下游交付植入恶意内容只盯数据不盯构建链，供应链攻击路径不在模型内第三圈：间接资产品牌声誉、监管资质、供应商关系支付业务许可、核心供应商接入关系监管资质被暂停会直接终止业务只列数据资产时，资质类风险不进入登记册第二圈是资产中心识别最常见的盲区。新做资产清单的人列“客户数据”和“服务器”，漏掉CI/CD流水线和构建密钥库；这两类资产一旦被入侵，攻击者可以到达每一个下游客户，但它们在“价值”视角下看起来不像资产。资产清单的粒度也要做判定。“我们的数据”太粗，无法对单条资产问出有区分度的威胁；“客户身份证号”“客户登录凭据（哈希后）”“客户登录凭据（传输中明文）”分开列，每一条的威胁画面才不同。式(1)覆盖缺口指数G=U÷A×100%变量定义：G为覆盖缺口指数，以百分比表示；U为资产清单中“无负责人”或“无控制文件”的条目数；A为资产清单总条目数。U和A均从资产清单文件直接计数。两个常见错误：把“有负责人姓名但负责人已离职”的条目算作有负责人；A只算第一圈资产，漏掉第二圈和第三圈。校验方法：手里有资产清单文件；逐行看“负责人”和“控制文件”两列；算出的G与上一次识别时的G对照，G上升超过10个百分点时，在识别记录第一行写“资产清单维护缺口扩大”。示例：A=86，U=31（其中19条无负责人、12条无控制文件），G=31÷86×100%=36.0%。上一轮G=18.6%，本轮上升17.4个百分点，识别记录写“资产清单新增条目未分配负责人”。三、流程中心识别：从“钱和审批怎么走”往下走，逐步找衔接点流程中心识别的动作是打开一张现有的流程图或审批流，逐步骤看三件事：这一步谁在操作、这一步的输出交给谁、交接时有没有可被截取或伪造的凭据。BPMN等业务流程模型可以直接用于威胁枚举，不需要额外标注就能从流程结构中识别出步骤之间的风险。表4流程中心覆盖清单扫描对象看什么记录什么示例行手工交接点一个人把文件、口令或审批结果交给另一个人的位置交接双方岗位和交接物采购申请从申请人交到部门负责人，交接物为电子表单审批链长度一笔业务经过几个审批节点节点数和每个节点的审批人角色付款审批经过4个节点：部门、财务、合规、分管跨系统传递流程中数据从一个系统进入另一个系统的位置源系统、目标系统和传递方式审批结果从OA系统导出为表格，手工导入财务系统例外路径流程图上标“加急”“特批”“线下处理”的分支例外触发条件和绕过节点加急采购可跳过合规节点，由分管口头同意外部依赖流程中等待外部方回应的步骤外部方名称和等待内容供应商确认交期，通过邮件回复流程中心识别最先看见的是“路径”，不是“目的地”。资产中心能清楚说出“什么最值钱”，但攻击者很少直接从资产开始；他们从边界进入，沿着路径向内移动，经过一连串不起眼的跳板才到达资产。流程图的交接点和例外路径，正是这些跳板在纸面上的对应位置。四、两种起点的覆盖差异：各自先看见什么、各自漏掉什么两种起点不是“谁更全”的关系，是“先照亮哪一片”的关系。资产中心把光照在目的地，流程中心把光照在通道上。表5覆盖差异对照表比较项资产中心先看见资产中心容易漏流程中心先看见流程中心容易漏核心问题什么不能丢、丢了后果多重攻击者从哪条路径到达它事情按什么顺序走、交接时暴露什么被保护对象本身的价值分级典型发现客户数据、支付密钥、CI/CD流水线、监管资质审批链上的跳板、手工导入导出的衔接点、加急分支手工交接、跨系统传递、例外路径、外部等待同一流程所服务的多个资产之间的价值差异业务影响表述可以直接说“该资产丢失造成X类影响”影响表述停留在资产层面，没有路径说明可以直接说“该步骤中断导致该流程停X天”流程正常运转时，资产分级不突出适用交付监管报送、管理层报告、资产保护范围说明—流程优化、内部控制评审、操作风险梳理—与另一方的接口资产清单中“控制文件”缺失的条目，指向需要走流程的环节—流程中交接物对应的资产，回填到资产清单—覆盖差异的判定规则：资产中心识别的输出中，如果“控制文件”列有超过30%的条目打不开或不存在，说明这些资产依赖的控制手段在流程中才看得见，需要补一轮流程中心识别；流程中心识别的输出中，如果同一流程服务的多个资产被合并成一行记录，说明资产分级不足，需要补一轮资产中心识别。五、联合使用时先走哪个：顺序规则和式(2)联合使用的基本顺序是：第一遍选一个起点走完，第二遍从第一遍的输出中找“缺口”走另一个起点。常见的联合方式有两种：先把资产列全，再沿资产之间的路径走流程；或者先把流程打开，再把流程每一步涉及的对象回填到资产清单。资产识别过程也可以嵌入以系统为中心的建模流程中，作为威胁枚举之前的补充步骤。表6联合使用顺序表第一遍起点第一遍输出中看什么触发第二遍的条件第二遍怎么做示例资产中心资产清单“控制文件”列超过30%条目控制文件缺失或打不开按缺失条目涉及的流程开流程图，补交接点和例外路径支付密钥控制文件缺失，开密钥轮换流程，发现轮换审批由单人完成流程中心流程图每一步的交接物同一流程服务多个资产但未分级把交接物逐项回填资产清单，补价值分级和控制文件付款流程服务供应商数据和内部审批数据，回填后分成两条资产记录式(2)联合覆盖增量J=(N联合−N单起点)÷N单起点×100%变量定义：J为联合覆盖增量，以百分比表示；N联合为两种起点都走完后威胁清单中的条目数；N单起点为只走第一遍起点时的威胁清单条目数。两个数都从威胁清单文件直接计数，去重后统计。两个常见错误：把第二遍产生的条目直接相加，没有与第一遍去重；N单起点用了上一轮的旧数据，不是本轮第一遍走完时的实际条目数。校验方法：手里有本轮第一遍走完的威胁清单和第二遍走完的合并清单；逐条比对去重；算出的J低于20%时，在识别记录中写“第二遍增量有限，检查第二遍是否只重复了第一遍的内容”。示例：只走资产中心时威胁清单34条；补走流程中心后去重合并为47条；J=(47−34)÷34×100%=38.2%。新增13条中，9条来自手工交接点和例外路径。六、识别做了一轮就停，先查这五处威胁清单交上去之后没有人再动，按表7顺序查。第一检查点不打开威胁清单，先打开资产清单。表7停摆排查表检查点打开什么看什么什么算正常不正常时怎么改一资产清单式(1)的G值G不高于25%逐条补负责人和控制文件二威胁清单条目是否带“所在流程步骤”或“所在资产”定位每条有至少一个定位字段回对应起点补定位三流程中心输出例外路径是否有对应威胁条目每条例外路径至少1条补扫例外路径四联合使用的第二遍J是否低于20%J不低于20%检查第二遍是否只做了表面重复五识别记录本轮是否写明了“下一轮补哪个缺口”有具体缺口名称在记录末尾补一行示例：检查点一发现G=36.0%，超过25%。先补负责人，19条无负责人中14条当场指定，剩余5条标记“下轮识别第一项”；重跑检查点一，G降到22.1%，通过。七、什么时候换起点、什么时候加第二遍：四条规则和一处矛盾决策规则：规则一：如果资产清单中“控制文件缺失”的条目集中在同一类流程（如审批、交接、外部确认），则第一遍起点从资产中心换为流程中心，先走该类流程；如果换起点后该类流程的威胁条目少于5条，则换回资产中心并注明“该类流程威胁密度低”。规则二：如果流程中心识别的输出中，同一流程步骤对应三个及以上未分级的资产，则该步骤暂停威胁枚举，先把资产拆到可分级粒度；如果拆分后资产条目超过原数量的三倍，则保留原合并粒度，在备注栏写“合并记录，待资产清单细化后重访”。规则三：如果只走一个起点的威胁清单中，超过40%的条目无法归入“资产损失”或“流程中断”中的任何一类，则该起点不适用于当前范围，换另一个起点重走第一遍。规则四：如果联合使用的J低于20%且第二遍没有产生新的交接点或新的资产分级，则本轮识别终止，把资源转到已有条目的控制措施验证上；如果J不低于20%，则把第二遍产生的新条目按表2判定是否需要第三遍。矛盾陈述：资产中心能把价值说清楚但说不清路径；流程中心能把路径说清楚但说不清价值。先走哪一遍，哪一遍的盲区就会留在第一版威胁清单里。实质分析：第一版威胁清单的用途决定了盲区的可接受程度。如果第一版用于监管报送或管理层审批，资产分级缺失是不可接受的，必须先走资产中心；如果第一版用于流程控制评审或操作风险梳理，路径缺失是不可接受的，必须先走流程中心。两种起点都需要第二遍来补盲区，但第二遍的启动条件不同。权衡规则：第一遍起点按表2的五个问题选定，不按个人偏好。第一遍走完后，用表5中“容易漏”列逐项检查，命中两项及以上即启动第二遍；只命中一项时，在识别记录中写“已知缺口，下轮补”，不立即启动。退路：如果第二遍启动后威胁清单条目膨胀超过第一遍的两倍，暂停第二遍，先按“资产损失”和“流程中断”两类给条目做归类，删掉无法归类的条目后再继续。如果归类后条目仍然超过第一遍的两倍，只保留与第一遍条目有直接路径关联的新增条目，其余移入“待下轮复核”清单。八、完整版、精简版、极简版按交付对象选监管报送或管理层审批交完整版，内部流程评审交精简版，个人梳理或小范围排查交极简版。三套版本的差异写在表8。表8三套场景序列表场景跑什么用哪个公式不能妥协的底线修复后重跑什么完整版表2五问、表3三圈、表4五类扫描、表5差异对照、表6联合两遍、表7五项排查式(1)、式(2)G≤25%，J≥20%，每条威胁有定位全量重跑：资产清单负责人、流程例外路径、联合去重精简版表2五问、选定起点的覆盖清单、表6第一遍、表7前三项式(1)G≤30%或流程例外路径有对应条目只重跑表7前三项和本遍新增条目极简版表2前两问、选定起点的核心扫描、表7第一项式(1)每条威胁有至少一个资产或流程定位只重跑表7第一项：资产负责人或流程步骤定位完整版先跑表7五项定位失败项，修复后全量重跑。精简版先跑表7前三项，修复后只重跑失败项和新增条目。极简版只跑表7第一项，不符则按表2重新选定起点后重走核心扫描。完整案例：某安全工程师的识别起点选择示例案例，细节为合理设定。起点：安全评审要求两周内交威胁模型。手里有一份86条资产清单和一张采购到付款流程图，资产清单中31条无负责人或无控制文件。第一轮试错。按资产中心逐条列威胁，86条资产产生52条威胁。信号：其中22条威胁的“攻击路径”写不出来，只能写“可能被泄露”或“可能被篡改”。当时以为威胁描述不够具体，试了把描述改细，改成“通过接口泄露”“通过导出篡改”，路径仍然不成立。新信息：资产中心能说清“丢什么”，但说不出“怎么到达”。推翻“描述不够细”的假设，换路：打开采购到付款流程图，沿交接点走一遍。第二轮试错。沿流程图逐步走，发现手工交接点6个、跨系统传递4个、例外路径2条。信号：例外路径中的“加急采购跳过合规节点”在资产中心的52条威胁中完全没有对应条目。当时以为例外路径不需要单独列，试了把它归入“审批流程风险”一条，归入后该条无法定位到具体步骤。新信息：流程中心的覆盖盲区在资产视角下不可见。推翻“例外路径可归并”的假设，换路：在表4中为例外路径单独记录，每条例外路径至少产生一条威胁。第三轮试错。联合两遍后去重，威胁清单从52条增至71条，J=(71−52)÷52×100%=36.5%。信号：新增19条中有7条指向同一个资产——CI/CD流水线，但资产清单中该条目的“控制文件”列为空。当时以为补一个控制文件名就行，试了填“访问控制清单”，打开后发现清单只覆盖生产环境账号，不覆盖流水线服务账号。新信息：资产中心识别的第二圈盲区在联合后才暴露。推翻“补文件名即完成”的假设，换路：在资产清单中把CI/CD流水线拆为“流水线服务账号”和“制品仓库”两条，分别指定负责人和控制文件。第四轮试错。补完第二圈资产后重算式(1)，G从36.0%降到22.1%。信号：G已低于25%，但表5差异对照中“流程中心容易漏”一栏命中“资产价值分级缺失”——付款流程服务的供应商数据和内部审批数据仍合并在一条流程记录中。当时以为G达标即可收尾，试了直接交稿，评审时被问“供应商数据和内部审批数据哪个更不能丢”，答不出。新信息：联合覆盖增量J达标不代表单条记录的分级达标。推翻“G达标即完成”的假设，换路：把付款流程中的交接物逐项回填资产清单，拆出两条分级记录，补价值说明后交稿。终点：资产清单86条增至89条（拆出两条、新增一条），G=22.1%；流程中心覆盖手工交接点6个、跨系统传递4个、例外路径2条；威胁清单71条，每条有资产定位或流程步骤定位；联合覆盖增量J=36.5%；识别记录写“下一轮补资产清单中