三甲科技-部落格

資產盤點就像蓋房子的地基，沒有地基，房子就蓋不穩！在資訊安全管理系統（ISMS）裡，道理也是一樣，為資安的缺口幾乎都是因為資產的弱點或風險所造成。

如果我們連「要保護誰、保護什麼」都不清楚，那資安工作就像無頭蒼蠅，找不到重點。透過資產盤點，我們才能清楚掌握公司有哪些重要資產，知道哪些是保護的對象。沒有完整的資產清單，後續的風險評估和防護措施就無從下手，就像地基不穩，整座建築都會有風險。

資產的五大類別

那麼，公司裡到底有哪些「資產」需要盤點呢？其實不只是現金和機器才算資產，在資訊安全的世界裡，凡是對公司有價值的東西都應被好好保護。一般來說，我們可以將資產分成五大類：

也就是各種電子裝置與設備，包括你的電腦、伺服器、筆電、手機，甚至網路交換器等。這些實體硬體都是資產的一部分，要確保它們受到妥善管理（如設備存放安全、定期維護）。

各種軟體系統、應用程式與服務。例如公司使用的作業系統、辦公室應用軟體、雲端服務帳號，甚至自行開發的系統，都算是軟體資產。軟體資產需要管理版權、存取權限，確保沒有未授權的軟體。

別忘了，公司裡「人」也是很重要的資產！員工、承包商、兼職人員等都屬於人員資產。他們擁有專業知識和對系統的存取權，因此需要被妥善管理與培訓，確保大家都瞭解資安的重要性。

各種形式的資料與資訊都屬於這一類。例如電子文件、資料庫中的客戶資料，甚至紙本檔案，都是公司重要的資訊資產，必須保護它們的機密性與完整性。

服務是大家最困惑也最容易遺漏的資產。例如骨幹網路、網路服務、環控、各類供應商等，其實都是重要的資產。若這一類資產出現問題，小則影響部分員工正常工作、重則影響公司整體營運，因此必須確保所有服務穩定。

建立資產清單的實務流程

瞭解了資產類別，接下來就要動手把它們統統盤點出來，建立一份完整的資產清單。我們可以從訪談、盤點、留存佐證、定期檢視四個階段分別進行：

1.訪談：走訪各部門和同事聊聊，瞭解他們使用了哪些資產（包含資訊、硬體、軟體等）。當然，要記得不要全部部門都去，我們僅需要去導入範圍的單位即可。透過訪談，我們可以發現每個單位有哪些重要東西需要保護，避免遺漏任何角落的資產。

2.盤點：將蒐集到的資產資訊進行分類歸檔。例如，把硬體設備歸一類、軟體系統歸一類，甚至可以針對資料類型分群。隨後，補齊必要欄位資訊，例如：

A. 資產類型

B. 資產群組

C. 管理單位與負責人

D. 使用狀態

E. 使用者

F. 機密性、完整性、可用性

完成之後，建立起正式的資產清單（可以是Excel或資產管理系統），並作為後續管理、風險評估與稽核的基礎資料

3.留存佐證：別忘了保存盤點的紀錄作為證明。例如，可以請負責人在盤點結果、報表、截圖上簽名表上簽字。切記紀錄上一定要標明時間日期，這些證明不僅方便日後追蹤，也是在資安稽核時的好幫手，證明我們確實有定期盤點資產。

4.定期檢視：有了清單，就要定期進行檢視啦！將清單上的資產與現況逐一比對，確認每項資產都在該在的地方。有些盤點可以透過系統自動比對（例如序號比對），有些則需要人工實際確認（例如親自看看設備還在不在）。透過盤點，可以發現是否有遺漏未列管的資產，或者發現清單上有不再使用的項目。

資產盤點看起來繁瑣，其實只要按照步驟進行，也可以輕鬆完成！經常做好資產盤點，就能讓公司的資安地基穩固，不怕風吹雨打。

執行挑戰

雖然根據上述的教學，大家可能已經有了基礎的認知。但在實際做資產盤點時，最常遇到的問題不是「不懂流程」，而是「怎麼開始都卡卡的」。表單開著、清單空白、欄位不清楚、哪些類型不知道⋯ 明明知道資產盤點很重要，卻常常「下不了手」。

當然為了幫助大家能更好的開始盤點，三甲科技開發了SAR (Security Accreditation & Regulation) 平台協助大家快速進行盤點、檢視與留存佐證。這裡幫大家整理出 4 個最常見的資產盤點挑戰，以及如何透過 SAR系統化工具來破解

SAR 提供多種「資產群組範例」可套用，例如 IT 常見設備、雲端服務、行銷資料庫、紙本合約等，不用從零開始想。有參考就有方向，幫你更快列出部門資產！

SAR 幫你將資產清單系統化：每個資產都有標準欄位（資產類型、地點、負責人、是否涉敏等），還會針對不同資產類型推薦你要填哪些欄位，避免漏填關鍵資訊

SAR 支援定期盤點提醒與「缺漏檢查」功能，能自動標示出久未盤點的項目或重要欄位空白，讓你每年不是「重做」，而是「更新」有系統的支持，盤點不再像重災重建一樣辛苦。

SAR 支援「多帳號協作」，可以把不同類型資產（如：硬體、軟體、資料、服務、人員）分配給不同負責人，登入後只看到自己該負責的清單不怕錯填，也能培養部門自己管理自己資產的習慣，資安不是一人扛！

盤點最難的是開始，三甲科技有專業的顧問團隊協助您。另外，除了紙本管理外，本公司推出的SAR就是幫你啟動資訊安全管理！有系統、有範例、有分工、有提醒，資產盤點終於變得可管理、可追蹤、可持續！

▲ 資產清單

▲ 資產詳細

▲ 人員詳細

【參考資料】

By Jared

月份: