?

從主機安全到程序安全，再到如今的云上安全，一張張大幕正在被緩緩拉開。

作者|斗斗

出品|產業家

2022年3月的第一天，豐田汽車因零部件供應商系統受到網絡攻擊，整個供應鏈出現故障，關閉了所有日本國內工廠，涉及當地累計共28條生產線。

而在此之前的2020年，本田就因內部系統就因感染病毒而關閉了9家工廠。2021年 12 月，豐田旗下最大的零部件制造商電裝（Denso ）遭到一群黑客的攻擊，并泄露了員工的個人信息。

而此次停產，這意味著豐田日本產能全面癱瘓，預計將影響13000輛的生產——這僅僅是停產一天的損失。

在360政企安全集團近日發布的獨家報告中，公開披露了美國國家安全局（NSA）為達到美國政府情報收集目的，針對全球發起大規模網絡攻擊。

NSA利用美國在全球網絡通訊和互聯網體系中所處的核心地位，利用先進技術手段實現對網絡信號的監聽、截獲與自動化利用。

而NSA針對我國的大型攻擊活動，僅Validator（驗證器）后門一項的感染量保守估計達幾萬數量級，隨著持續攻擊演進感染量甚至可能已經達到數十萬、百萬量級。嚴重威脅電力、水利、交通、能源等關鍵基礎設施。

此外，數據安全更在個人隱私方面，如聯合國超 10 萬名員工的個人信息遭到泄露，互聯網電信詐騙屢禁不止、“徐玉玉”案令人痛心不已。凡此種種都切實威脅個人隱私這一基本權利。

就當下而言，數據安全已經被推上了歷史發展的新高度，無論是個人層面、企業層面還是國家層面，促進數據安全產業發展已經成為數字時代的最大命題。

市場需要怎樣的安全服務商？科技為背景的時代進步又需要怎樣的安全能力？在數字化進擊的當下，這些都在成為最核心的命題。

一、數據安全的大藍海

根據IDC發布的《數據時代2025》報告，到2020年，全球數據量達到了60ZB，2025年將達到175ZB，接近2020年數據量的3倍。

同時，IDC預測中國數據量增速最為迅猛，預計2025年將增至48.6ZB，占全球數據圈的27.8％，成為全球最大的數據圈。

隨著數據量的增加，隱藏在數據背后可被挖掘的信息也逐漸豐富，無論是政府還是企業都開始意識到數據泄露可能帶來的嚴重后果，對數據安全的重視程度提升趨勢明顯，并在積極探索在安全可控的情況下最大化發掘數據價值。

另外，根據海外市場研究機構VMR統計，2019年全球數據安全市場規模約為173.8億美元，且預計到2027年全球數據安全市場規模將達到572.9億美元，年復合增長率約為17.35%。

而根據中商產業研究院統計，2019年我國數據安全市場規模僅為38億元，僅占全球數據安全市場規模的3.4%，與我國整體數據量在全球27.8％的占比仍有較大差距。

由此可見，未來中國數據安全市場容量仍有較大增長空間，而考慮到中國數據安全市場整體發展節奏慢于美國，所以長期來看中國數據安全市場存在千億市場空間。

根據中國網絡安全產業聯盟最新公布的網絡安全市場規模數據，預計到2023年我國網絡安全市場規模有望達到809億，同時根據信通院安全所信息安全部主任魏薇表示，我國數據安全市場規模將在2023年預計達到97.5億，屆時數據安全在整體網絡安全市場占比將達到12.1%。

中國網絡安全企業100強

工信部在2021年7月16日發布《網絡安全產業高質量發展三年行動計劃（2021-2023 年）（征求意見稿）》，其中提出未來三年電信等重點行業網絡安全投入占信息化投入比例達10%，而這將會同時帶動數據安全領域的投入。

通過對現有重點行業在網絡安全領域的投入占比情況進行測算，對標工信部對于10%的網絡安全投入占比要求以及國際平均投入水平，可以預測未來政府、金融、醫療衛生以及能源行業在數據安全領域的投入有望進一步打開1至3倍的成長空間，整體數據安全領域仍有近1倍的彈性增長潛力空間。

加之目前我國的數據安全監管體系框架形成了以“數據安全國家戰略”為出發點，《網絡安全法》、《數據安全法》（即將實施）、《個人信息保護法》為核心，其他專項規定、行政法規、行業部門規章、以及地方性法規等為細節補充的體系框架。

通過對中央法律法規、部委出臺的文件要求、以及各行業監管部門針對各行業出臺的與數據安全直接相關的政策文件的梳理與統計，可以看出監管部門對于數據安全的監管和關注程度逐年提升，且主要由中央政府與工信部主導，各行業監管中金融、水利、交通、教育、政府、電信與互聯網行業為數據安全監管較為嚴格的行業。

總體來看，數據備份、數據分級分類、數據安全風險評估和審計是監管最為看重的四個子領域，此外，身份與訪問控制、數據加密、數據防泄露也是監管重點關注的方向。

此外，根據等保2.0體系下《網絡安全等級保護基本要求》中的各項要求標準，參加等保2.0測評的公司需在數據庫漏洞掃描、防火墻、審計、數據加密、脫敏、水印等產品上進行投入。

可見，在宏觀層面上，隨著數據安全相關法案的發布實施，因合規要求，也將帶動該產業的穩定增長。

換言之，在數據安全領域，目前還是一片藍海，增長空間巨大。

二、技術與需求的“安全悖論”

伴隨著數據安全行業的增長，行業發展困局也逐漸浮現。

數據的生命周期分為采集、傳輸、存儲、處理、交換和銷毀六個階段，在各個階段對于數據安全的核心技術能力訴求都有很大不同。

在數據采集階段，用戶訪問Web服務器時會涉及數據分級分類、身份認證、權限控制等；在數據傳輸、交換階段，會涉及加密機、數據庫審計、數據動態脫敏、數據水印、數據防泄漏、訪問控制、傳輸通道加密等；在數據存儲、處理階段，會涉及漏洞掃描、數據備份恢復、運維管理、數據加密、數據防泄漏、隔離儲存、用戶隔離等。

隨著數字經濟的發展，數據處理場景也顯著增多，數據處理量級明顯提高，傳統的網絡安全技術已無法滿足當前數據量巨大、數據更新速度極快的場景。

來源/圖行天下

數據安全技術作為新興技術領域，發展時間尚短，部分技術手段與解決方案正處在研究發展階段，缺乏應用實踐，無法有效保障數據安全。

例如數字血緣追蹤技術、數據字段打標簽技術等目前尚不成熟，對業務運營的影響有待進一步研究，大規模落地應用尚需時日。

加之當前我國數據安全管理體系初步建立，《中華人民共和國網絡安全法》和《電信和互聯網用戶個人信息保護規定》(工業和信息化部令第24號)等法律法規提出數據安全和個人信息保護原則性要求，但尚未明確技術手段建設的具體要求與處罰規則，無法有效推動企業開展數據安全技術手段的研發與應用。

部分企業礙于運營成本和系統性能等因素，數據安全技術手段投入較少，數據安全技術研發與應用相對滯后，分級分類、權限管理等部分管理要求難以真正落地實施，繼而影響企業整體數據安全保障能力。

數據安全三個階段

另外，我國數據安全管理起步較晚，目前大部分企業面臨存量業務系統數據安全改造的難題。

一是數據資產梳理難度較大。前期企業內部各業務系統數據字段名稱不統一，數據類型繁雜、數量龐大，數據資產梳理作為數據安全技術手段建設的基礎工作難以有效開展。

二是影響業務現有系統性能，加大企業投入。數據加解密、脫敏等技術，一定程度占用系統資源，影響系統性能和用戶體驗，進行數據安全技術改造需要升級硬件設備，增加企業成本投入。

三是影響業務系統運行風險較高。數據安全防護技術的改造往往伴隨著核心系統的改造，難度較高，風險較大。

同時，數據安全技術改造屬于新興技術領域，目前企業可參考的成熟技術方案及實踐案例較少，企業顧慮較大。

長此以往，下游客戶采購需求下降導致上游產品研發投入緩于預期，產品研發進度繼而跟不上下游客戶需求，客戶需求又繼而下降......介于研發與需求之間的惡性循環就會無限上演。

其實，類似于上述的問題，不僅僅存于數據安全領域。然而，不同于其他行業，數據安全技術往往有不可預測性，所以往往更加依賴需求驅動。

例如，病毒入侵的方式有很多種，數據安全服務商無法最大程度預測到其攻擊方式，只有經過長期的案例積累，才能不段迭代升級技術。

當下，這些問題已然成為數據安全產業發展亟待解決的問題。

三、安全市場，企業的“二八定則”

比起行業帶來困局，企業之間的競爭格局更為嚴峻。

根據IDC《IDC全球網絡安全支出指南, 2021V1》報告，政府、通信、金融仍將是中國網絡安全市場前三大支出行業，占中國總體網絡安全市場約五成的比例。

例如，奇安信、天融信主要服務政府、公檢法司、軍隊軍工行業，三者占比均達到其年度總營收的50%以上。

另外，安恒信息客戶主要分布在政府、事業單位、金融和教育領域；深信服2020年營收一半以上來自政府及事業單位；綠盟科技相較于其他幾家公司，則具有較高的運營商及金融領域客戶營收占比，2020年其比重分別達到21.48%、20.61%。

值得肯定的是，在數據的采集、傳輸、交換、存儲、處理與銷毀六大基礎網絡安全領域，天融信、深信服、啟明星辰在網絡與基礎架構安全領域深耕多年，核心產品歷經研發升級，在各自市場穩定占據著領導地位。

其中，安恒信息專精于應用安全、安全管理及數據安全市場；奇安信領銜終端安全與安全管理市場；綠盟科技的IDS/IPS、WAF、ADS產品處于市場領先地位。

毋庸置疑，對于金融、通信、政府等安全要求更高的大型客戶而言，往往會選擇成立時間較久，發展穩定的頭部企業。這也側面對中小企業形成了較高的發展壁壘。

然而，除傳統圍繞數據的生命周期，沿著數據的采集、傳輸、交換、存儲、處理與銷毀流程直接與數據或者數據庫相關的產品外，還有一些產業與數據安全息息相關。

例如數據安全治理、身份與訪問管理（“零信任”體系）、隱私計算等，他們為數據安全發展提供方法論和體系框架、引入新興技術和應用場景，已經成為未來數據安全產業的重要組成部分。

比如星云Clustar就是通過金融場景打造隱私計算全棧技術解決方案。2018年，星云Clustar獲得紅杉資本中國數千萬人民幣的天使輪融資，之后又經歷三輪融資。

除此之外，還有成立于2017年的全知科技，其專注數據流動安全治理體系，其專注方向為數據安全方法論，研發出支持相關方法論的數據安全產品和工具，從而確保數據在安全可控的環境中流動。2021年，全知科技完成數億人民幣B輪融資，該輪融資由紅杉資本中國、GGV紀源資本領投。

再加上最近大火的DevsecOps廠商懸鏡安全，其基于安全產品的布設使得其正在最近完成了數億元人民幣的投資。

從成立時間以及融資輪次不難看出，這些數據安全領域細分賽道的企業，都已經構建出了不同方向的產品，以金融、制造等行業客戶為切入點，進行不同解決方案的驗證。

數據安全領域正在迎來新一輪的追捧。

四、下一個十年：云上數據安全

除上述所提到的細分領域，一個不容忽視的領域是——云上數據安全。

在云時代的一個背景下，無論是頭部玩家還是中小玩家，想要在數據安全賽道立于不敗之地，做好云上數據安全是大勢所趨。

據《2021中國企業上云指數洞察報告》顯示，隨著市場的發展，企業不斷尋找新方法新技術來提高自身管理效率，降低企業成本。現階段，56.8%的中國實體經濟企業選擇優先進行管理系統上云。

在企業上云的大趨勢下，同時也倒逼企業云上數據安全需求的增加。

一方面，傳統環境下的安全問題在云環境下仍然存在，比如SQL注入、內部越權、數據泄露、數據篡改、網頁篡改、漏洞攻擊等，另一方面，云環境下又不斷涌現一堆新的安全問題。

在其中，冒頭的是各大云計算廠商。

首先是阿里云，阿里云幾乎可以提供云上所需的所有安全產品種類，所以阿里云也是業內“保姆式”云安全的代表，字面意思就是可以為客戶提供近乎保姆式的安全服務，全面覆蓋“衣食住行”。

阿里云的產品DDoS防御，宣稱90%的攻擊可通過AI引擎自動防御。產品WAF拿下Gartner、Forrester、Frost&Sullivan、IDC等四家國際知名咨詢機構的報告。作為云上攻防對抗的核心，一直是阿里云的拳頭產品。

其次是騰訊云，騰訊云則發布了中國首個互聯網安全實驗室矩陣——騰訊安全聯合實驗室。涵蓋云鼎實驗室、反病毒實驗室、反詐騙實驗室等。致力于安全技術研究安全攻防體系的搭建，其中更是涵蓋零信任、云鏡等針對具體場景的安全產品。

另外，百度的云計算業務也在幾經整合之后，和AI綁定在了一起。AI是百度的戰略核心，所以在百度云安全領域，AI安全占據了大部分，同時也是百度安全所有攻防技術的核心。百度安全推出的BASS下一代人工智能安全技術棧，基本涵蓋了云計算安全的各個方面。

除了BAT外，華為也早早布局云上數據安全。在產品布局上，華為2019年公布了其三大安全體系，即防攻擊體系、數據安全體系、可信云平臺和云服務體系。

需要關注的是，華為云在私有云安全方面有著自己非常明確的打發，那就是拉著生態伙伴一起打天下，旗下生態伙伴包括瑞星、天融信、奇安信等數據安全公司。

除此之外，京東云、金山云、青云、UCloud等各大云廠商在數據安全領域均有其布局和長處。

但值得注意的是，市場上云服務廠商眾多，用戶往往將業務部署在多個平臺上，通常涉及兩種不同云計算提供商的基礎設施，多云和混合云的場景在國內市場上將會長期存在，因此多云安全和混合云安全正在成為云安全解決方案需要解決的安全痛點。

從主機安全到程序安全，再到如今的云上安全，一張張大幕正在被緩緩拉開。