3. 库存系统资产盘点：识别库存系统中的硬件、软件、数据资产，建立资产清单与分类分级
做安全审计，第一步不是找漏洞，而是搞清楚——你到底在保护什么？
我见过太多团队，上来就搞渗透测试、搞漏洞扫描，结果连自己系统里跑了哪些服务、存了哪些数据都说不清楚。这就像你要给房子装防盗门，却连家里有几扇窗户都不知道。说白了，资产盘点是一切安全工作的地基。
今天我们就聊聊库存系统的资产盘点。我个人习惯把它分成三块：硬件、软件、数据。咱们一个一个来。
3.1 硬件资产：看得见的“家底”
库存系统的硬件，不只是服务器和电脑。你想想看，仓库里的扫码枪、RFID读写器、电子标签、甚至温湿度传感器，这些都是硬件资产。我在项目中遇到过一家企业，只登记了服务器和交换机，结果仓库里的手持终端被员工带出去私用，数据泄露了都不知道。
- 服务器：应用服务器、数据库服务器、备份服务器
- 网络设备：路由器、交换机、防火墙、负载均衡器
- 终端设备：PC、笔记本、手持PDA、扫码枪
- 物联网设备：RFID读写器、温湿度传感器、电子货架标签
- 辅助设备：UPS、打印机、条码打印机
嗯，这里要注意：硬件资产要记录物理位置。我曾经审计过一个仓库，他们的服务器放在楼梯间，连空调都没有。夏天温度一高，服务器直接宕机，库存数据丢了整整一天。所以，资产清单里必须包含“部署位置”和“环境条件”这两列。
3.2 软件资产：看不见的“骨架”
软件资产比硬件更隐蔽。很多公司只记得买了什么商业软件，却忘了自己开发的那些小工具、脚本、甚至Excel宏。我见过一个仓库管理员，自己写了个VBA脚本用来批量导入库存数据，结果脚本里硬编码了数据库密码。这玩意儿没人知道，也没人管，成了最大的安全隐患。
| 类别 | 示例 | 关键字段 |
|---|---|---|
| 操作系统 | Windows Server 2022, CentOS 7 | 版本、补丁级别、授权状态 |
| 数据库 | MySQL 8.0, SQL Server 2019 | 版本、端口、连接方式 |
| 中间件 | Tomcat, Nginx, RabbitMQ | 版本、配置路径、日志位置 |
| 自研应用 | 库存管理系统、WMS客户端 | 代码仓库地址、构建版本、部署方式 |
| 第三方组件 | Log4j, Jackson, Spring Boot | 版本号、CVE编号（如有） |
我个人的习惯是，软件资产一定要关联“责任人”。谁开发的？谁在维护？如果没人认领，那就默认是“孤儿资产”，优先处理。你想想看，一个没人维护的软件组件，出了漏洞谁来修？
3.3 数据资产：最值钱的“血液”
数据才是库存系统的核心。硬件坏了可以换，软件崩了可以重装，但数据丢了，业务就停了。数据资产的盘点，我建议按“敏感度”来分类。
- L4 - 绝密：数据库连接字符串、API密钥、管理员密码、加密密钥
- L3 - 敏感：客户订单信息、供应商合同、库存成本价、员工账号
- L2 - 内部：库存数量、入库出库记录、操作日志、系统配置
- L1 - 公开：产品名称、产品分类、仓库地址（非敏感部分）
我曾经审计过一家电商公司的库存系统，他们把数据库备份文件直接放在了FTP服务器上，而且权限是“所有人可读”。里面包含了所有客户的收货地址和电话。这就是典型的“数据资产未分级”导致的后果。如果当时做了分级，L4的数据根本不应该出现在FTP上。
3.4 建立资产清单：从“散装”到“体系”
光有清单还不够，你得把它变成一个可维护的体系。我推荐用CMDB（配置管理数据库）的思路来管理。说白了，就是给每个资产建一个“身份证”。
下面这张图是我自己总结的资产盘点核心逻辑，你可以参考一下：
你看，从三个维度出发，最终汇聚成一份完整的资产清单。这份清单不是一次性的，我建议每季度更新一次。特别是软件版本和数据库连接信息，变化最快。
3.5 分类分级：给资产贴上“安全标签”
资产清单有了，接下来就是分类分级。为什么要分级？因为不是所有资产都值得用同样的精力去保护。你想想看，一个公开的产品名称和一个数据库管理员密码，能一样对待吗？
- 按业务重要性分：核心业务系统（如WMS主服务）→ 辅助系统（如报表服务）→ 边缘系统（如测试环境）
- 按数据敏感度分：L1-L4四级，L4必须加密存储和传输
- 按暴露面分：公网可访问 → 内网可访问 → 仅本地可访问
- 按合规要求分：涉及GDPR、等保、PCI-DSS等法规的数据要单独标记
我曾经帮一家制造企业做资产盘点，发现他们的测试环境里居然有真实的生产数据。一问才知道，开发人员为了方便，直接把生产库的备份恢复到测试环境里了。这就是典型的“分级没做好”——测试环境应该用脱敏数据，而不是真实数据。
3.6 避坑指南：我踩过的几个坑
做资产盘点这么多年，我总结了几条血泪教训，分享给你：
- 别信“我记得”：不要靠人工记忆，用自动化工具扫描网络，发现所有在线设备。我用过Nmap、Zabbix，效果不错。
- 别忘了“影子IT”：业务部门自己买的云服务、自己搭的数据库，这些往往不在IT管控范围内。我建议定期和财务对账，看看有没有异常的云服务支出。
- 别漏了“废弃资产”：已经下线的服务器、不再维护的旧系统，它们的IP可能还在用，端口可能还开着。我见过一个废弃了三年的测试服务器，上面跑着一个有漏洞的Tomcat，成了黑客的跳板。
- 别忽视“外包资产”：如果用了第三方SaaS服务，比如云端的WMS，这些资产虽然不在你手里，但数据是你的。合同中必须明确数据归属和安全责任。
嗯，最后说一句。资产盘点不是一次性的“运动”，而是一个持续的过程。我建议你把它嵌入到日常运维流程中——比如每次上线新服务、采购新设备、引入新供应商，都自动触发资产登记。这样，你的资产清单才能保持“鲜活”。
好了，这一章的内容就到这里。记住：没有资产清单，安全审计就是盲人摸象。下一章我们会聊聊如何基于这份清单，做风险分析与评估。
公众号:蓝海资料掘金营，微信deep3321