零信任建设先要摸清人员、设备、应用、数据四类资产。资产梳理不求一次完整，围绕关键业务做到“够用、可更新”，并持续维护。
零信任的每一次判断，都在回答“谁、用什么、访问什么”。如果连有哪些人、哪些设备、哪些应用都说不清，策略就只能凭猜测去写。这就是为什么几乎所有零信任项目，都从资产梳理开始。
为什么必须先摸清资产？
资产是策略的原材料。没有清晰的资产底账，会出现三类问题：策略覆盖不到“没登记的系统”，误拦“没登记的合法设备”，出了事无法判断影响了谁。
要梳理哪几类资产
零信任关注的资产可以归为四类，它们合起来形成访问判断的底账。
四类资产各需要哪些信息？
| 资产 | 最小需要记录的信息 |
|---|---|
| 人员 | 身份、所属部门与岗位、账号来源、是否外部人员 |
| 设备 | 类型、归属人、是否受管、是否能安装客户端 |
| 应用 | 名称、负责人、访问方式、重要程度、使用者范围 |
| 数据 | 类型、敏感程度、存放位置、访问者范围 |
“最小需要”很重要：字段多了没人维护，字段少了又不够用。
做到什么程度才算够用？
可以用一条标准：能支撑当前阶段的访问策略，并且能持续更新。
- 范围上： 第一阶段只覆盖关键业务及其访问者，不追求全量；
- 深度上： 能回答“谁在访问这个业务、用什么设备、权限是什么”；
- 质量上： 有明确负责人，发生变化有触发更新的机制；
- 时效上： 重要信息按月或按季度复核，而不是一次性登记。
怎么高效摸清？
- 利用现有数据： 从账号系统、网络设备、业务台账里导出，而不是从零手工登记。
- 从访问记录反推： 看日志里实际出现了哪些用户、设备和业务，往往能发现台账外的资产。
- 请业务方确认： 让业务负责人确认系统的重要程度和访问范围。
- 标注“不确定”： 对不清楚的资产标明状态，后续重点跟进，而不是假装清楚。
如何让资产清单持续保持准确？
资产会不断变化：新系统上线、设备更换、人员调动。靠一次性盘点很快就会过期。更可行的是建立闭环：发现新资产、确认归属、纳入管理、定期复核、下线清理。智能安全运营中的资产闭环管理，正是围绕这个思路，让资产从“有一张清单”走向“掌握资产的安全状态”。
小结
- 资产是零信任策略的原材料，先摸清再配策略。
- 梳理四类资产：人员、设备、应用、数据，记录“最小需要”的信息。
- 标准是“够用、可更新”，围绕关键业务做起，并建立持续维护的闭环。