资产安全，在我看来，是一个纲，概要阐述了，要保护什么、谁来保护和如何保护的问题。一定程度上，从ISO27001的框架上看，属于是第二层管理制度层面的，是从highlevel阐述了对资产的保护。本章内容概要如下：
1.什么是资产：
什么是资产：对组织有价值的东西都可以成为资产，包含信息资产和非信息资产及其载体
保护什么：不是所有的资产都保护，要分级分类保护，避免过度保护和撒胡椒面式管理；
2.资产分类分级：
分级分类标准：数据价值或者一旦丢失给组织带来的影响
分类等级：
商业公司常用：公开、敏感、隐私、机密；
军事机构：未分类、敏感但未分类，机密，秘密，绝密
3.谁来保护：
- 高层管理者：持续对组织负有最终责任
- 数据Owner：
通常是管理者，负责特定业务部门
对数据有Due Care 职责，将负责任何疏忽行为，导致数据的损坏或泄露
负责决定数据分类，定安全要求、控制措施并监督措施落地、批准访问申请
- 数据管理员：
通常是IT人员，负责执行和实施等操作
- 安全管理员：
实施和维护特定的控制措施，如安全网络设备和软件
确保安全措施的落地。但注意补丁类都是数据管理员操作
- 安全审计员：
4.如何保护：
①沿着生命周期保护资产：
获取：隐私
使用：本章节重点关注的是责任，而不是措施。
存档：数据保留策略
处置：清除与擦除
②防泄露