伴随数字化技术在各行各业中的普及与发展，服务器、网络设备、安全设备、数据库等网络资产数量不断增加，同时在“非常规化”、“移动化”与“多样化”的趋势下，互联网资产暴露面也随之越来越多，让政企机构在数字化转型过程中所面临的网络安全风险不断加剧。

近日，华泰证券信息安全专家孙罡在360网络空间测绘新品发布会中，带来了真实业务场景下关于资产管理的实践思考。

华泰证券信息安全专家孙罡

资产管理的难点在哪里？

网络资产是政企机构在互联网环境中发展的必要因素，一旦缺乏应有的保护，那么安全运营就无从保障。因此，只有全面掌握自身各类资产状况，政企机构才能根据不同的类型进行防护。

但在数字化潮流下，过多的资产类型和数量，与未知资产归属不清等风险，导致资产系统的分类过于复杂与模糊，定位资产需要寻找散落在各个平台中的碎片化资产去定位关联，让互联网的暴露面不断扩围。

另一方面，网络空间测绘大多会遇到行业专有协议、应用等难以识别，以及对各行业业务划分、业务重要性、供应商等不够了解，导致测绘数据分析难度加大等问题。因此，不同行业的资产管理，需要了解行业专有应用的具体用途和重要性，比如在金融行业中，业务会根据是否涉及资金交易进行分类。然而，目前业内基本以通用型的资产管理解决方案为主，难以满足不同行业差异化的资产管理需求。

提效安全运营，资产管理需要做到什么？

为了能够优化资产结构，及时发现定位和处理问题，以便于应对不断加剧的安全风险，资产管理需要做到四点：

第一是要全面掌控资产图谱。在安全视角下审视资产图谱，对资产进行完整测绘，统一管理；

第二是要对资产的变更进行控制，做到自动化实时更新。在资产变更的时候，需要自动的关联到相关所有内容，这样才能做到闭环的管理。

第三是应用系统需要做风险画像。把所有的资产通过应用的视角归到一起，通过应用全生命周期的管理对风险做画像，通过应用的画像快速定位应用里所有资产的风险和漏洞，快速评估风险；

第四，问题出现风险时，快速发现并响应整改、快速修复。

360信息资产统一管理平台体系化赋能资产管理

基于以上思考，华泰证券信息安全专家孙罡表示，政企机构需要构建起全资产、全风险、全生命周期的资产管理体系，才能准确、全面的掌握资产与风险情况。结合自身资产和风险运营相关实战经验，他对360信息资产安全统一管理平台的多项核心优势给出高度评价。

多来源数据获取插件化：不同的数据源的格式都是不一样的，做结构性处理可能很难。而面对分布在不同类型系统和平台中的资产和漏洞数据，360信息资产统一管理平台可以插件化快速、灵活的采集如CMDB、负载均衡、防火墙、管理类平台、云平台、终端等系统类型。

明确资产关联：资产频繁变更导致资产准确性偏差，当风险发生时会消耗大量的时间成本。而360信息资产统一管理平台可以对多来源资产数据进行分析，获取资产与资产、资产与业务、资产与人的关联关系，以便出现风险时快速定位，支持应急和运营工作。

资产属性灵活扩展：大型政企机构的应用复杂度很高，各种想象不到的资产在运行过程中会不断的出现，这时候需要通过对系统的扩展性进行要求，以便于快速的接入新的需求。360信息资产统一管理平台则可以依据不同的数据来源和管理需求，自定义资产属性，建立更加全面的资产数据库。

风险全生命周期管理：在各种的系统里面，不同政企机构会收集到很多的资产风险，如何去找出需要修复的风险，做到准确及时地评估也是比较重要的。360信息资产统一管理平台则可以从风险的发现阶段、验证阶段、处置阶段、复测阶段的全流程进行跟踪，并将风险关联到资产，明确风险的负责人，进一步完善风险管理体系。