可遵循的资产保护 我们要保护什么? 我们有什么? 我们用他来做什么? 我们需要保护他们吗? 在安全事件降临时,我们优先保护什么? 我们所保护的资产是组织的核心资产吗? 在一个合理的成本情况下,我们需要放弃什么?