40004-98986
第七阶网络安全服务行业研究报告：网络安全行业的制高点
（报告出品方/作者：方正证券，方闻千）1 安全服务：新趋势，新方向1.1 什么是安全服务？什么是安全服务？广义上，网络安全服务指为增强和完善用户网络信 息系统所提供的一系列的服务，通常情况下，安全服务由安全咨询、 安全运营、安全集成三大部分构成。从 Gartner 和 IDC 两大机构的统 计口径来看：IDC 认为安全服务包括安全咨询、安全运营（MSS）、 安全集成、安全教育及培训四个部分，而 Gartner 认为安全服务主要 由安全咨询、安全外包（含 MSS 及驻场服务）、安全集成、硬件维护 与支持四部分构成。虽然两家机构在统计口径上存在一定差异，但无 论是在 Gartner 还是 IDC 的口径下，安全咨询、安全运营、安全集成都是最主要的三个部分，占据了安全服务市场 90%以上的份额。在传统安全服务之外，网络安全即服务（SECaaS，Security as a Service）作为新兴的安全服务模式，正在成为全球网络安全市场的重 要趋势。SECaaS 最突出的特点就是安全的云化和服务化，将安全产 品以云服务的形式交付给用户，是安全产品与安全服务的深度融合， 因此在广义上也属于安全服务的范畴1.2 安全服务产业比较：市场规模与产业结构安全服务是用户安全能力提升的必然选择。从企业安全能力提升的路 径来看，安全工具只是构建安全能力的基础，在采购安全工具之后， 如何用好安全工具，如何发挥安全工具最大的价值，往往需要在安全 团队、安全策略以及安全体系等方面进行持续投入。对于大多数企业用户而言，面临的现实问题是自身安全能力和安全预算的不足，往往 需要借助第三方专业安全厂商，来帮助自己实现安全体系的建设和安 全运营的外包。根据 Cisco 的统计数据，在全球范围内，每年有 90% 以上的企业和政府机构都会采购包括安全咨询、安全监测、事件响应、 威胁情报等各类安全服务，完全不采购安全服务的企业占比仅 6% （2017）。而且对安全越重视，安全能力越强的企业用户，往往安全 服务在其安全预算中的占比也会越高。因此在整个产业不断走向成熟 的过程中，安全服务的占比也将持续提高。从市场规模来看，安全服务占据了全球网络安全市场的半壁江山。根 据 Gartner 的统计数据，2019 年全球安全市场总规模约 1209 亿美金， 其中安全服务市场的规模达到 620 亿美金，占比 51%。而且除了传统 服务之外，Gartner 预计 2019 年基于云模式交付的安全的渗透率达到 12％，因此如果将 SECaaS 考虑在内，全球安全服务的占比将达到 60% 以上。未来随着 SECaaS 渗透率的不断提升，安全服务的占比还将持 续提高。全球安全服务市场近年来保持较高景气度，行业增速高于安全行业的 整体水平。我们认为安全服务的高景气度主要是来自于以下几个因 素：首先是 IT 基础架构的驱动，近年来随着企业的工作负载逐渐向 云上迁移，网络安全形势在混合和多云环境下也变得更加严峻，对于 新型 IT 环境下安全体系的建设正在逐渐成为近年来企业安全支出的 重点；同时，政策合规也是影响企业安全服务支出的重要因素，近年 全球最大的政策合规事件即 2018 年欧盟通用数据保护条例 GDPR 的 出台，全球涉及 GDPR 相关的企业对于评估、审核、整改的需求驱动 了安全咨询行业的快速增长，同时在国内等保 2.0，个人信息保护法、 数据安全法等法规条例的相继出台也明显提升了国内政企用户对安 全服务的需求。从市场结构来看，安全咨询和安全运营占据了全球安全服务市场约三 分之二的份额。根据 IDC 的统计数据，安全咨询、MSS 和安全实施 的占比分别为 21.9%，44.4%和 33.7%；根据 Gartner 的数据，安全咨 询、安全外包服务（包括 MSS）及安全集成占比分别为 36.3%、35.8%， 27.9%。无论是按照 Gartner 还是 IDC 的口径，安全咨询和安全运营的 合计占比均达到了三分之二。国内安全服务市场无论从市场总规模，还是从市场结构来看，跟欧美 市场相比，都存在非常明显的差距。首先在市场规模上，根据 IDC、 赛迪股份等机构的统计数据，目前安全服务市场总规模约在 100 亿元 左右，占安全行业总体比重仅 20%，远低于全球平均水平。同时在国 内安全服务市场，安全咨询和安全运营等附加值较高的安全服务占比 较低，安全实施和系统集成占据了大部分的市场份额，体现出了国内 外安全服务市场在产业成熟度上的差距。我们认为，导致目前国内安全服务市场与欧美市场存在明显差距的主要原因在于：1）缺乏安全意识：国内许多政企客户过去网络安全的预算非常有限， 绝大部分的预算都是用于采购安全工具，以应付合规和审查。除了金 融电信等大型用户对于安全较为重视之外，大部分机构都将安全作为 成本项，没有主动提升安全能力的诉求，因此也缺乏采购安全服务的 动力。2）没有付费意愿：在国内安全咨询、安全运营等专业服务经常被安 全厂商作为安全设备采购的附赠品，企业用户甚至不需要向安全服务 单独付费，而实际上单独的咨询规划和运营服务的价格并不低于设备采购。3）产业生态不成熟：国内安全服务市场从起点上就跟欧美市场存在 天然的差距，欧美的安全服务市场建立在其成熟的 IT 及咨询产业之 上，经过 20 多年的发展，已经形成了成熟的产业生态。而国内缺少 类似 IBM、Dell、德勤、埃森哲等大型厂商对安全服务市场的培育， 缺少好的安全服务提供给用户，而且在定价上也不够市场化，因此国 内政企用户对安全服务的接受度普遍偏低。1.3 安全服务产业比较：竞争格局与主导厂商全球网络安全产业建立在 IT 产业的基石之上。以美国市场为例，美 国网络安全产业的发展包含了 IT 产业创新所必须的全部关键要素， 包括一流的教育科研机构、成熟的风险投资、有机的商业环境，以及 鼓励创新、宽容失败的硅谷文化。美国网络安全产业从诞生开始就带有美国 IT 产业的鲜明烙印，包括 IT 行业巨头、电信运营商、咨询公 司、国防外包承包商都是网络安全市场的重要参与者，产业链分工协 作，界限分明。在全球网络安全市场，包括 IBM、微软、德勤、埃森哲等 IT 业和咨询业巨头正在不断延伸自身的业务布局。在全球安全服务市场，综合型 IT 厂商、咨询公司以及电信运营商占 据主导地位，而大多数的专业安全厂商都是纯粹的安全产品供应商， 并不是安全服务市场的主要参与者，这与国内网络安全市场有着非常 显著的差异。国内安全服务市场在竞争格局上，展现出了与欧美市场截然不同的态 势，绿盟科技、奇安信、启明星辰、安恒信息等专业安全厂商占据了 市场主导地位。而且随着近年来安全厂商对各自安全服务业务投入的 不断加大，其在国内安全服务行业的市场地位还将进一步提升。根据 IDC 的统计数据：1）安全咨询：2020 上半年绿盟科技在国内市场占有率位居第一，份 额达到 8.1%，奇安信以 6.8%的市场份额排名第二，德勤、普华永道 及启明星辰的市占率分别为 6.4%、5.7%及 5.5%；2）托管安全服务：2020 上半年，安恒信息以 9.6%的份额排名第一； 绿盟科技市占率达到 8.6%，排名第二，其他厂商包括启明星辰、安 信天行和 IBM 分别占据 7.9%、4.8%和 4.5%的份额；3）安全集成：以集成商和渠道商为主，主要厂商有太极股份、腾讯、 中国软件、东华软件、东软集团等。1.4 安全服务正在成为安全行业的战略制高点国内安全服务市场目前已经进入快速发展期，受到政策合规和产业升 级两大因素的驱动，安全服务已经成为国内网络安全市场增速最快， 发展空间最大的赛道。1）政策合规：等保 2.0、关键基础设施保护条例、密码法、网络安全审查办法以及在 2021 年即将落地的个人信息保护法、数据安全法等 法规条例的相继出台，政企用户对安全评估、安全测试、安全战略、 安全规划的需求得以迅速提升。同时 HW 行动及重大活动网络安保驱 动了应急常态化和防护实战化，无论是国家网络安全主管机关还是各 相关企事业单位，对于攻防演练、安全评估、安全运营的需求也正在 持续增加。2）产业升级：随着国内网络安全产业成熟度的持续提升，政企用户 的安全重心，将逐渐从采购安全产品以满足合规要求，转移到采购安 全服务以提升安全能力，这是产业发展的必然规律。特别对于国内许 多头部企业而言，在经过多年的安全建设后，继续堆设备所带来的提 升已经相当有限，当前的主要问题在于如何构建一套更为有效的安全 体系，并且如何让这套体系持续高效运作，这也将直接带来对专业安 全服务厂商的安全顶层设计、安全运营服务的需求。中长期来看，政 企用户出于降低人力成本（安全厂商通过体系化管理实现规模效应）， 以及应对复杂威胁和管理复杂架构的需要（专业的人做专业的事）， 都将持续增加对专业安全服务的采购。安全服务正在成为国内网络安全市场的制高点，除了政企用户对安全 服务的需求和采购在持续增加外，更加重要的原因是安全服务对头部 政企用户“战略卡位”的重要性正在逐渐凸显。安全厂商通过为政企 用户提供安全顶层设计，安全运营等服务，能够有效提升用户的“粘 性”，进而带动对自身安全产品和解决方案的持续采购。因此，国内 头部安全厂商目前都在持续加大在安全服务赛道上的布局。 从安全咨询市场来看，一方面，新的安全法规条例近年来的不断出台 直接提升了用户对安全咨询的需求，另一方面网络安全在政府和企业 内部的战略层级正在不断提升，用户对安全咨询的需求正在从过去数 据安全治理、渗透测试、漏洞评估等专项建设向顶层设计升级，因此 安全咨询服务门槛也在不断提升。包括奇安信、安恒信息、深信服、 绿盟科技、启明星辰等头部厂商都将安全咨询能力的建设作为重点发 力的方向，以卡位“十四五”开局头部政企用户安全顶层设计。目前 许多头部安全厂商已经具备较为完善的安全咨询能力，以绿盟科技为 例，绿盟已经具备覆盖政企用户安全建设全生命周期的安全咨询能 力，涵盖安全规划、建设、运营各不同阶段，并且将安全咨询与新技 术、新场景进行了深度结合。安全运营服务是国内安全厂商近年来的重点布局方向，和海外市场更 为流行 MSS（托管安全服务）不同，国内安全龙头厂商正在探索更 加适应于本土市场的安全运营服务，其中最典型的就是城市安全运营 中心。城市安全运营中心的服务主体以政府机关、监管部门以及关键 信息基础设施为主，综合各个厂商的布局情况，预计全国已经有接近 100 个城市已建成或正在建设城市安全运营中心，而且各个厂商的打 法也有一定差异，比较典型的有启明星辰和安恒信息的城市安全运营 中心，360 的城市安全大脑，奇安信的应急响应中心，以及深信服“人 机共智”MSS 服务等。1）启明星辰城市安全运营中心启明星辰于 2017 年 12 月在成都打造了全国首个城市安全运营中心， 并在 2018 年将城市安全运营中心上升至公司的战略级业务。目前启 明在全国范围内已经建设了成都、济南、宜昌、郑州、西宁、昆明、 杭州等近 40 多个城市安全运营中心。其中许多区域的中心除了向用 户提供安全运营服务之外，还需要承担安全培训、安全研究等职能。 比如郑州安全运营中心就包含了运营中心和培训中心两个部分，其中 运营中心还包含了安全检测中心、安全应急中心、安全研究中心、咨 询服务中心、终端防护中心和云端防护中心六个子中心。 启明星辰城市安全运营中心的用户主要分为三类，核心用户主要是城 市政务云、大数据中心等，用户方是当地的政府相关委办局等，第二 层是当地的关键基础设施、重要信息系统所属的企事业单位，最后是 中小企业。城市安全运营中心采取三级联动的方式，包含了总部、省 中心、地市中心三个层级，中心总部设在北京，同时在各个省会级城 市形成二级区域运营中心，一个二级城市约需 10-20 人支撑，向政企 用户提供包括 7x 24 安全运行监测和应急响应处置在内的信息系统规 划、设计、建设和运行的安全托管运营和安全监管服务。2）安恒信息城市安全运营中心安恒信息近年来将城市安全运营中心作为安全服务业务发展的重点， 目前已经在厦门、金华、衢州等十多个城市开展城市安全运营服务。 主要内容包括：1）对全市关键信息基础设施、工业互联网、城市监 控等物联网系统、党政机关和企事业单位重要信息系统进行全天候全 方位的安全监测；2）提供网络安全协同防御和应急响应服务，会同 相关主管部门建立协调机制，建立统一的联动协同的应急响应组织； 3）提供集约化安全防护和处置服务，解决各单位自行建设导致的投 入大、人员专业化能力不足、实际安全防御效果参差不齐等问题。3）360 安全大脑360安全大脑是 360 公司基于网络安全方面的多年实战积累，凭借安 全大数据、安全专家、攻防知识库等核心优势，面向政企用户打造出 一套以“安全大脑”为核心的网络安全能力体系。360 智慧城市安全运营中心涵盖了安全服务、安全攻防靶场、城市安全运营中心、安全 人才培养、安全技术研发、初创企业扶持、安全检测等多个安全功能。 目前 360 已建成和确定建设了智慧城市安全运营中心的城市包括重 庆、天津、青岛、鹤壁、上海、苏州、郑州、贵州等。4）奇安信应急响应中心奇安信作为国内网络安全行业龙头厂商，在实战攻击、漏洞挖掘、威 胁情报等领域已经构建了强大的安全实战能力。2016 年奇安信开始 建设全国应急响应团队，目前已经建立了国内最大安全应急响应体 系，按国家级、省级和地市级三个等级，主要的内容包括应急响应、 重大活动保障、攻防演练和其他技术支持工作。目前奇安信应急响应 体系已经覆盖全国 31 省市，拥有 2500 人以上的安全技术人员。在 2019年奇安信共参与处置了2000余起全国范围内的网络安全应急响 应事件，共支持 80 余个重要客户的实网攻防演练工作，涉及 27 个部 委、30 家央企以及 22 个省市客户的实网攻防演练工作。目前奇安信 在全国 10 余个城市构建了智慧城市安全运营中心。5）深信服“人机共智”安全运营服务深信服在 2018 年发布了基于“人机共智”的安全运营服务，在长沙 建设了全国安全运营中心，构建了 T1、T2、T3 三级专家团队共 100 余人，分为 T1 安全工程师组、T2 安全运营专家组、T3 首席安全专 家组，面向不同的客户提供 7*24 小时的服务。相较于国外的托管安 全服务更加侧重漏洞、威胁、事件的检测和分析，公司的安全运营服 务则更加切合国内用户的实际情况，会根据企业用户安全能力强弱， 联合合作伙伴配合客户做深浅程度不同的处置工作，帮助客户有效解 决各种安全问题。由于深信服的安全运营服务主要通过远程安全运营 中心来开展，因此能够规避堆人头的方式。2019 年下半年深信服的 安全运营中心就已服务超 500 家客户，覆盖政府、央企、教育、医疗 等多个行业。随着国内安全行业向“体系化”和“实战驱动”演变，政府、央企及 关键行业对于安全厂商从整体框架、技术整合到运营服务的需求正在 快速增加，行业门槛也正在逐渐提升。由于头部安全厂商在品牌和整 体解决方案能力上具备显著的优势，而且考虑到一些合规性的因素， 其竞争力要明显强于中小型安全厂商。1）安全服务能力的构建需要大量的初始资源投入：首先在人员方面， 安全服务厂商需要大量的高级安全专家和一线安全运维工程师的配 置，以及完善的人才培养机制，并且还要针对人员进行流程化管理， 以及 KPI 的制定、运营指标的确立、组织文化的建设等；其次厂商需 要设施齐备的 SOC 中心，强大的软件开发能力、网络带宽保障、7 ×24 的工作时间保障等等；最后在安全服务机制和流程上，厂商需要 将人和工具等不同的要素进行有效组合，并且围绕系统框架、规划方 法、模型架构和项目管理等方面来构建流程化标准化的安全服务能 力。目前头部安全厂商正在围绕人员、技术、流程三个维度来构建在 安全服务市场的竞争力。2）安全咨询和安全运营对厂商的背景和品牌影响力有较高的要求：无论是政府还是企业用户，在选择安全咨询及安全运营服务时，首先 面临的就是信任问题，因为安全服务商将掌握企业用户自身信息系统 的运作流程和风险弱点，而大型厂商在面临信任问题时具备天然的优 势，这也是为什么在全球安全服务市场占据头部位置的基本上都是 IBM、德勤、埃森哲，ATT 这类具备很高品牌知名度的厂商。而国内 安全市场，头部安全厂商将成为安全服务市场的“关键先生”。1.5 SECaaS 是引领全球网络安全行业的新趋势 在传统安全服务之外，安全 SaaS 作为新兴安全服务，正在成为全球 网络安全市场的重要产业趋势。虽然早期欧美企业用户对安全 SaaS的安全性、可靠性也存在诸多顾虑，但随着 IT 基础架构逐渐向云上迁移，安全 SaaS 的渗透率也随之迅速提升。网络安全虽然是 ICT 产业 转云最晚的赛道之一，但其转云的速度却超出了市场预期。在终端安 全、身份与访问管理、网络边界安全、SIEM 等网络安全行业的主要 赛道上，SECaaS 渗透率正在迅速提升。全球范围内，安全 SaaS 整 体渗透率已经达到 10%以上（Gartner 预计 2019 年安全 SaaS 的渗 透率为 12%）。根据 IDC 的数据，过去几年安全 SaaS 的复合增速在 20%以上，远超安全行业整体增速 7%，而且以 Crowdstrike 为代表 的头部安全 SaaS 厂商的收入增长持续超出业绩指引。Okta、Crowdstrike、Zscaler 等云原生的安全厂商正在快速替代传 统厂商的市场份额，近年收入增速基本保持在 40%以上，目前已经成 为了身份与访问管理、终端安全、网络边界安全三个赛道上的领导厂 商。除了成长性高之外，安全 SaaS 厂商在增长的持续性和用户粘性 等方面都要明显优于传统安全厂商。同时以 Palo Alto Networks、 Fortinet 等代表的传统安全厂商也正在积极转云，包括 Palo alto networks 的订阅及服务占比目前也已经超过了 70%。目前国内安全 SaaS 尚处在萌芽期，虽然许多头部安全厂商也推出了 包括云抗 D、云漏扫、云 WAF、云网站监测等远程安全服务，包括 奇安信、安恒信息、深信服、绿盟、启明等头部安全厂商都在安全 SaaS 领域做出了不同程度的探索，但目前在国内市场，安全 SaaS 在边界安全、终端安全以及身份安全等主要赛道上的渗透率还不到 1%，绝大多数政企用户仍倾向于本地部署。我们预计，在未来 3-5 年，随着 IT 基础架构的不断演变，国内安全产业的云化进程有望加速， 安全 SaaS 将从萌芽期逐渐走向成长期。2 安全咨询2.1 什么是安全咨询什么是安全咨询？Gartner 将安全咨询分为三大类别，分别为治理、 策 略 和评估 （ Governance， Strategy， Assessment ）、 业务操 作 （Operations）、事件与法律响应（Incident and Legal Response）服 务。1）治理、策略和评估（Governance，Strategy，Assessment）主要包括 安全框架设计、安全策略及安全风险评估，并提供相应的解决方案；2）业务操作（Operations）针对企业用户配置安全、设备安全、应用 安全，以及在应对安全事故时提供技术支持，主要包括了威胁检测、 渗透测试、漏洞扫描、代码检测等相关技术服务；3）事件与法律响应（Incident and Legal Response）服务主要协助用户 搜集与网络安全事故相关的法律证据，对事件的原因进行调查和分 析，并提供业务恢复和法律诉讼相关的服务。全球安全咨询市场总规模在 2019 年达到了 230 亿美元，约占网络安 全整体规模的 20%，是网络安全行业最大的赛道之一。安全咨询作为 一个较为成熟的行业，近年来一直保持着平稳的增长，驱动安全咨询 行业的主要因素来自于安全事件和安全政策。在 2017 及 2018 年，安 全咨询行业增速高达 9.2%及 13.7%，相较之前几年增速有明显的提 升，主要原因是欧盟《通用数据保护条例》（GDPR）的出台。GDPR 规定，任何存储或者处置欧盟有关公民个人信息的公司，即使在欧盟 境内没有业务，都必须遵守 GDPR。而许多跨国企业都因触犯 GDPR 而面临巨额罚单，比如英国航空公司因 2019 年的数据泄露而面临近 2 亿欧元的罚款，万豪集团同样因为客户数据泄露被开出 1.2 亿美元的 罚单。GDPR 作为有史以来处罚力度最大、覆盖范围最广的条例，直 接带动了从 2017 到 2018 年全球安全咨询业务需求的快速增长。因此 也能看出，即使在全球范围内，网络安全依然是一个强合规的市场。北美和欧洲两大成熟市场占据全球安全咨询行业绝大部分的份额，包 括中国大陆在内的新兴市场则展现出强劲的增长态势。根据 Gartner 的统计数据，目前北美是全球规模最大的安全咨询市场，2018 年占比 达 44.8％，其次是西欧，占比为 31.3％。而大中华市场（包括中国大 陆、香港、澳门、台湾等）占比仅 4%。虽然除了北美和欧洲之外全 球其他区域安全咨询行业市场规模仍然偏低，但目前许多新兴市场也 正保持着快速增长的趋势，2018 年大中华区安全咨询行业增速达到 20.7%，领跑全球其他国家和地区。2.2 安全咨询的竞争格局及发展趋势安全咨询行业的头部效应非常明显，安全咨询行业的“Top6”，包括 四大咨询公司德勤、安永，普华永道和毕马威，以及两大 IT 服务商 IBM 和埃森哲合计占据安全咨询行业一半以上的市场份额。德勤、安 永，普华永道和毕马威一直以来都稳定占据安全咨询行业前四的位 置。根据 Gartner 统计数据，在 2018 年德勤安全咨询业务收入达 29 亿美金，持续多年排名行业第一，而安永，普华永道和毕马威则分别 保持第二，第三和第四的位置，安全咨询收入分别为 22 亿、21 亿及 15 亿美金。紧随“四大”之后的是两大 IT 服务巨头 IBM 及埃森哲， 其中埃森哲在 2018 年首次超越了 IBM，成为了全球第五大安全咨询 厂商。除“Top6”外，其他头部厂商还有 IT 咨询公司凯捷、DXC， IT 分销商 Optiv、托管安全服务提供商 Secureworks，国防外包供应 商 Booz Allen 等。此外，全球安全咨询行业还存在数千家中小型和区 域型的安全服务厂商，包括咨询公司/外包商/集成商/分销商/MSSP 都 是全球安全咨询行业的参与者，但总体而言，其他厂商无论在规模和 竞争力上要明显逊色于 “Top6”。德勤、安永，普华永道和毕马威四大咨询公司持续多年占据安全咨询 行业前四的位置，一方面得益于四大在全球范围内的品牌影响力和全 球化的业务布局，另一方面作为顶级咨询公司，四大拥有强大的咨询 服务能力和垂直行业经验，能够将安全咨询作为整体方案的一部分提 供给用户。紧随四大之后的是两大 IT 服务厂商埃森哲和 IBM，相较于四大，埃 森哲和IBM在ICT产业有着更深入的行业布局和更强大的技术实力， 更能够向客户提供包括安全咨询、安全运营、系统集成、安全外包在 内的端到端的网络安全及 IT 服务。近年来头部安全咨询厂商在网络安全领域的并购步伐开始显著加快， 背后的原因是客户对端到端的安全服务的需求在不断增加。对安全咨 询的“TOP6”而言，一方面相较于原有的审计、IT 服务等业务，安 全服务市场具备更高景气度，通过并购一些新兴的安全厂商能够加强 自身的安全技术能力，以持续拓展具备更高价值的安全咨询业务，比 如运营技术/物联网（OT / IoT）的安全测试，云安全评估或 OT 环境 的事件响应，而不仅仅是合规审计，配置评估等传统的安全咨询业务； 另一方面通过并购能够完善对安全服务全产品线的布局，包括“四大” 目前的业务也早已不局限在安全咨询领域，其在安全运营服务等领域 都已经进行了深度布局。安全咨询行业的集中度正在稳步提升。在安全咨询行业，头部厂商因 为其品牌影响力，跨业务的协同能力，领先的技术实力等因素，往往 成为大中型客户的首选。而且近年来随着头部厂商不断加大了对于这 一赛道的投入，包括对中小型安全厂商的收购，填补了业务范围和地 域覆盖上的短板，因此带来了份额的持续提升。根据 Gartner 的数据，安全咨询行业的 CR5 从 2016 年的 42.7%提升到了 2018 年的 44.7%， CR10 从 2016 年的 52.6%提升到了 2018 年的 58.6%。与此同时，因为 安全咨询对于安全服务人员的本地和现场服务有较高的要求，实现真 正的全球化布局即使对于头部厂商而言也存在很大的挑战。而且头部 厂商虽然在综合能力上有所领先，但也难以在所有的客户和项目上都 能保持足够的资源投入，因此未来在安全咨询市场中小规模的安全服 务商依然有其生存空间。2.3 德勤：全球安全咨询行业龙头德勤咨询是全球咨询行业龙头，持续多年收入体量保持在全球第一的 位置。相较于管理咨询领域的 MBB（麦肯锡、波士顿、贝恩），IT 咨询领域的埃森哲及 IBM，德勤的咨询服务以综合性和全面性著称。德勤的业务线共分为 5 大部分，分别为咨询(Consulting)、审计(Audit)、 税务及法律(Tax&Legal)、风险咨询 (Risk Advisory)和财务咨询 (Financial Advisory)，网络安全咨询(Cyber Risk Advisory)是德勤风 险咨询业务最重要的组成部分。从德勤近年的发展情况来看，德勤的 传统的审计业务目前已经非常成熟且稳定，根据德勤 2019 年财报， 公司审计业务在 2019 年仅增长了 3%，而咨询业务近年来的增速基本 保持在 10%以上，是德勤的重要增长引擎。其中德勤的风险咨询业务 2019 财年的收入达 53 亿美元，其中网络安全咨询占风险咨询业务的 比重在 60%左右，是风险咨询业务中最重要的组成部分。德勤的网络 安全咨询与其风险咨询的其他四大板块，包括战略和声誉风险、监管 风险、财务风险及运营风险咨询彼此相互关联，融合为完整的风险管 理框架。德勤在网络安全行业的布局早已不局限于安全咨询业务，目前德勤已 经具备从安全咨询到安全实施及安全运营的端到端的安全服务能力。 德勤的网络安全服务业务可分为安全战略（Cyber Strategy）、安全 防护（Secure）、安全预警（Vigilant）、安全响应及恢复（Resiliant） 四大模块。德勤近年来通过不断收购新兴安全厂商以强化自身在网络安全领域 的技术能力及业务布局。2013 年，德勤收购了独立 MSSP 及安全监控 和网络威胁情报厂商 Vigilant , 作为 IT 咨询厂商正式进入了 MSS（托 管安全服务）市场；在 2016 年，德勤收购了加拿大托管安全服务市 场的主要厂商之一 Integrity-Paahi Solutions，同年德勤还收购了知名数 字鉴识和电子取证服务公司 I-Analysis Pte。在 2017 年德勤针对网络 安全领域的并购活动较前几年有所放缓，但其业务增速仍然高达 20%，内生增长的能力得以充分体现。2019 年，德勤收购了网络安全 公司 Converging Data，将其直接纳入到风险咨询框架下，并强化了在 亚太地区市场的布局；2020 年，德勤收购了安全厂商 Zimbani，进一 步加强了在澳洲和亚太地区的覆盖。德勤强大的安全服务能力背后是其覆盖全球的网络情报中心（Cyber Intelligence Centers,CIC）。德勤目前在全球范围内拥有超过 31 个网 络情报中心（CIC），其情报中心网络通过不断汇集关键威胁信息，对 于了解潜在的安全威胁发挥了关键作用，同时德勤也会和其他第三方 威胁情报方共享情报来提升风险识别的能力。基于网络情报中心 （CIC），德勤能够向客户提供 24x7x365 的托管安全服务、安全事件 管理服务和威胁情报服务等。德勤作为安全服务厂商，本身并不直接生产安全产品，但通过与全球 多家领先的安全产品及技术提供商的深度合作，建立了强大的外部生 态系统，联合生态合作伙伴向客户提供完整的网络安全解决方案。在 安全领域，德勤的主要的合作伙伴中包括 Palo Alto Network、Symantec 等安全产品供应商，HP、Oracle、SAP 等 IT 基础设施提供商，以及 AWS 等公有云厂商。3 托管安全服务（MSS）3.1 什么是 MSS MSS（托管安全服务，Managed Security Service）指安全厂商通过统 一的安全运营平台为客户提供一系列安全服务，以满足企业对安全人 员、技术和流程外包的需要。托管安全服务（MSS）的主要职能在于支撑企业安全运营中心（SOC） 有效运行。安全运营中心（SOC）并非简单由安全产品或工具组成， 而是人员、工具、技术、场地、流程的有机结合。SOC 通过集中统一 管理安全工具，并且搜集所有 IT 资产的安全信息，不断监视和改善 组织的安全状况，以及预防，检测，分析和响应企业所面临的网络安 全事件。目前大部分中大型企业已经具备了基础的安全防护措施，包 括防火墙，IDS / IPS，防病毒，VPN 等工具已经成为标配，因此搭建 SOC，将安全工具进行统一管理的必要性也在逐渐提升。SOC 的底层 平台称为 SIEM (安全信息和事件管理) ，SIEM 的主要功能在于搜集 来自企业内部所有 IT 资源的异构数据源的信息（包括日志，事件， 流量、行为等），使用户对整个网络的运行状态进行实时监控和管理， 并及时发布预警，提供快速响应能力。在国内安全行业习惯直接称 SIEM 为 SOC 或安全管理平台，实际上更加突出了 SIEM 作为安全运 营中心底层支撑平台的功能。一般情况下只有一些超大型企业会选择自建安全运营中心，并且能够 持续有效运营，因为这类企业能够保证足够的 IT 安全预算和资源的 投入，且对安全性和数据保护的要求非常严苛，因此对安全外包的选 择上也会比较谨慎。对于大多数企业和政府机构而言，自建，实施， 运行和维护 24/7 SOC 的成本都会过高，而且在专业性和实际效果上 会明显逊色于外部托管服务提供商（MSSP）。首先从成本角度来看，构建 SOC 首先需要满足三个最核心的要素： 人员，流程和技术，三者缺一不可。目前 SOC 功能也在不断扩展， 现在一个全功能的 SOC 至少需要配置 8 至 12 名全职员工，包含了各 级安全分析师，事件处置/调查人员，安全专家及经理，这还不包括人 员流动及休假等特殊情况。除了人员之外，构建 SOC 还包括了流程的建设，比如人员如何实现有效协同，如何分配权限等等，而且对 SIEM 的实施和管理都需要 IT 资源的持续投入。构建一个完善的 SOC 至少需要耗费上百万美金，而且短期还不一定能见到明显成效。对于 一个专业的 MSSP 而言，因为能够同时服务多个客户，具有一定的规 模效应，因此能够降低向客户提供安全服务的成本。其次从专业性上来看，大多数企业实施、管理和应用安全管理平台（安 全信息和事件管理（SIEM））的门槛都非常高。目前主流的安全管理 平台，比如 LogRhythm 的 NextGen SIEM，IBM 的 Qradar SIEM， Splunk 的 Analytics-Driven SIEM，都会有合作的托管服务提供商 （MSSP）来提供相应的运营服务，能够降低企业的实施和使用的门槛，而且 MSSP 能够帮助企业用户以相对较低的成本来利用一些新兴 的安全技术。托管安全服务的另一个好处在于，企业自身的 IT 团队 是很难实现 24/7 的安全检测，而对于像 IBM 这类大型 MSSP，他们 的 SOC 都是分布在全球各个地区，能够横跨多个时区，轮流传递工 作任务，真正实现 24/7 的全时间段覆盖。因此全球范围内大多数企业通过与外部托管服务提供商（MSSP）合 作，将自身的安全运营流程、人员、技术外包，已经成为了非常主流 的选择。在采购 MSS 服务后，企业仅需要搭建一些基础的功能如 LM （日志管理），即可通过采购 MSS+MDR 服务来构建 SOC，或者企业 在本地部署 SIEM，但采购第三方的 SIEM 管理服务（Co-managed SIEM）模式，让第三方来构建和运行 SOC。托管安全服务供应商作 为企业安全团队的延伸，能够帮助企业搭建更加成熟的网络安全体 系，减轻安全运营团队的工作压力，使其更加专注于自身的核心业务。MSS 作为百亿美金级的大赛道，近年来基本维持在 10%以上的快速增 长。IDC、Gartner 两大机构对 MSS 的口径存在一定差异，其中 Gartner 对 MSS 有非常严格的定义，即 MSSP 必须通过统一的平台进行远程交 付，且具备明显的多租户特征，对于一对一的定制化的模式，比如利 用客户自己的 SIEM 解决方案交付的托管的 SIEM 服务则不包含在内， 可以看做狭义的 MSS。相较而言，IDC 所定义的 MSS 的范围更加宽泛。 根据 IDC 的口径，MSS 2018 年的市场规模达到 211 亿美金（Gartner 的口径下 2018 年 MSS 市场规模为 107 亿美元）。在欧美 MSS 市场已经形成了非常成熟的定价和交付模式，安全服务 商通过服务等级协议（SLA，service-level agreements），能够量化所 交付的 MSS 的等级和质量。标准且清晰的行业规范和定价模式是支撑MSS 持续发展的重要基础。托管安全服务提供商根据不同等级的 SLA 提供不同级别的服务，定价基准包括安全设备数量和规模、数据 量、端点数量、员工数量、事件数量等，并且根据平均检测时间、平 均响应时间、平均报告时间等要求制定服务等级。企业客户也会评估 SLA 的报价，对自身的可承受风险和成本进行权衡取舍，确定是否可 以接受较低等级的服务，因此一般更昂贵的服务具有更短的响应时间 和更高的服务质量。而在违反了约定的 SLA 时，服务提供商也将按照 合同要求提供相应的额外服务或罚款。除了供需双方量化服务等级的 要求之外，合规要求也是驱动 SLA 不断完善的重要因素，比如通用数 据保护法规（GDPR）和支付卡（PCI）行业标准中都包含了 SLA 相 应的规范要求。从定价情况看，以全球知名的安全服务商 Alert Logic 为例，Alert Logic 针对客户提供基于 SIEM 的远程安全运营服务，包含了 Essentials，Professional 和 Enterprise 三条业务线，覆盖从中型企业到 大型全球化跨国企业的一系列客户，公司针对这三类业务的定价参考 （实际价格会根据 SLA 有所调整）为：Essential 主要包括漏洞管理和 资产可视化等一些基础服务，价格在 550 美元/月；Professional 在 Essential 的基础上增加了安全威胁监测和事件管理等服务，价格在 2400美元/月；Enterprise在Professional基础上增加了托管WAF或SOC 等服务，价格为 4500 美元/月。3.2 MSS 的竞争格局及发展趋势 MSS市场整体竞争格局较为分散，全球前十的 MSSP 市场份额合计为 32.6%，前二十的 MSSP 市场份额为 47.2%，跟安全咨询相比，MSS 的 集中度偏低。在 MSS 市场头部的厂商中，前二十大厂商仅 Symantec， Trustwave 是独立安全厂商，占主导的一类是 IT 服务商，包括 IT 咨询 厂商、IT 外包服务商，主要有 IBM、埃森哲、Atos、DXC Technology、 Wipro、HCL、凯捷等，另一类是电信运营商，包括 ATT、NTT、BT、 Verison、DT 等。无论是 IT 服务商还是电信运营商，均将 MSS 业务 作为其 IT 整体解决方案的一部分向用户提供。 MSS 行业集中度偏低的原因一方面在于，MSS 的业务模式已经非常成 熟，且随着安全编排和自动化等技术的不断发展，MSS 中包括安全事 件监控等基础业务变得逐渐标准化和同质化，门槛也有所下降，导致 行业参与方在不断增加。全球来看绝大多数的大型电信公司，IT 外包 商（ITO）和系统集成商（SI）都有涉及 MSS 的一些基础业务，而且 许多企业因为各种原因，更愿意向综合型 IT 服务厂商采购一揽子服 务，而非向专业 MSSP 进行采购；另一方面在许多国家和地区，受限 于一些数据本地化相关的法律合规要求，用户只能向本地服务商进行 采购。因此相较于安全咨询，MSS 厂商在全球化布局上会遇到更多的 限制。早期头部 MSSP 通过不断并购整合来完善产品线和区域覆盖能力，目 前全球 MSS 市场竞争格局逐渐趋于稳定。从 MSS 行业的发展历程来 看，MSS 在上世纪 90 年代末开始萌芽，并在 2001 年前后行业开始整 合，大型的 IT 服务商和电信运营商包括 IBM、Verizon、BT、HP、 NTT 开始收购垂直领域的安全厂商。到 2010 年，MSS 市场逐渐从北 美向全球其他区域拓展，Secureworks，Verizon，Symantec 开始确立 自己的领导地位，而随后 IBM 和 AT＆T 凭借综合型 IT 服务厂商的优 势逐渐赶超并且成为了行业份额排名前二的厂商，独立的 MSS 厂商随着市场不断的整合数量越来越少。目前来看 MSS 的竞争格局已经 非常稳固，在最近几年内，大部分场的市场份额也一直相对停滞，大 多在 0.1％和 0.2％之间波动。随着安全技术的发展和安全形势的变化，MSS 在近年来也正在向更 高层次不断演进。早期 MSS 主要是针对一线安全人员的基础安全运 营工作，包括防火墙、入侵检测等安全工具的管理和配置等，主要处 置设备管理和合规问题。随着安全技术的不断进步，MSS 也开始向安 全信息与事件管理系统（SIEM）的管理，7 x 24 小时的持续监控和告 警等服务演进，以提供安全分析、情报、响应、编排的闭环服务为主。 目前 MSS 正在向高级行为分析、大数据分析、托管检测与响应 （MDR）、威胁情报、威胁狩猎等新兴领域不断发展。随着传统的 MSS 市场整体增长趋缓，以托管检测及响应 (MDR) 为 代表的新兴 MSS 业务正在快速兴起。根据 Gartner 的统计，新兴 MSS 服务（包括 MDR，IaaS、SaaS、Iot、OT 等新型 IT 环境下的安全监 测，以及托管的网络流量分析及威胁情报等服务）在整体 MSS 市场 的占比达到了 11%，其中占主导的是托管检测及响应 (MDR)服务， 年均增长在 20％以上，目前渗透率还不到 5%。相较于传统的 MSS 服务，MDR 能够为用户提供更深入更全面的安全服务，并和 EDR（端 点检测与响应）等新兴技术相互融合，进一步增强了安全威胁检测和 响应的能力。随着用户对 MDR 需求的不断增加，专业安全厂商在安 全服务市场相较于综合型厂商的竞争力也有所增强，目前 MDR 服务 的大部分提供者都是专业安全厂商。为什么 MDR 能够成为全球托管安全服务行业的重要趋势，主要原因 在于 MDR 能够有效应对传统 MSS 在威胁检测和响应能力上存在的 不足。MSS 业务重点在日志管理和设备管理上，而 MDR 的侧重点在 威胁检测和响应上，会采取更主动的方法来检测安全事件。MDR 充 分利用客户部署在端点及网络层的工具，通过行为分析，网络流量分 析，威胁情报以及与安全专家的组合，为客户提供更加深度和全面的 威胁监视，检测和响应的服务，而不像 MSS 主要依靠客户现有安全 工具生成的日志来监视和检测威胁。因此 MDR 非常适用于许多安全 框架不完善以及内部 IT 安全资源投入不足的企业。3.3 IBM：网络安全行业的蓝色巨人IBM 作为全球知名的信息技术产业巨头，以“蓝色巨人”之名享誉全 球。在网络安全产业，IBM 同样有着非常独特的地位。在 2019 年底 Symantec 的企业安全业务被博通收购之后，从收入规模来看，IBM 正式成为了全球规模最大的网络安全厂商，而且能够同时在安全产品 市场和安全服务市场均占据头部位置。在网络安全行业，IBM 借助自身强大的品牌影响力，全球化的布局和 完整的安全产品线，能够向客户提供完整的 IT 及网络安全解决方案， 同时 IBM 分布在全球的运营中心和情报网络也是其网络安全业务的重要支撑。IBM 在全球拥有 5 个全天候运行的 X-Force 指挥中心，以 及 4 个非 24/7 的 SOC，分布在美国的乔治亚州和科罗拉多州，欧洲 的波兰和比利时，印度班加罗尔、哥斯达黎加爱雷迪雅、巴西霍托兰 达、以及日本东京等地。这些 SOC 能够向客户提供多种语言的支持， 例如英语、西班牙语、葡萄牙语和日语，向分布在全球 133 个国家和 地区的客户提供本土化语言支持。根据 IBM 与许多客户的协议，SOC 会将客户在运营中遇到的安全事件共享到 X-Force 平台，这形成了 IBM 安全大数据的来源，同时再通过 IBM 的 9 大安全运营中心共 1400 多名网络安全专家，每天对 200 亿以上的安全事件进行梳理。IBM 遍 步全球的 9 个 SOC，12 个安全研究中心及 14 个安全开发实验室构建 了全球顶尖的网络安全服务交付平台和情报网络。以 IBM 位于波兰弗罗茨瓦夫 X-Force 中心为例。IBM 的波兰弗罗茨瓦 夫中心在 2017 年 6 月正式启动，雇用了超过 160 名网络安全专家， 与亚特兰大和哥斯达黎加的 SOC 并列为 IBM 的前三大的 X-Force 中 心。弗罗茨瓦夫中心完全遵从欧盟的相关法规交付安全服务，客户数 据驻留不会超出欧盟所要求的范围，主要任务是支持客户应对网络安 全事件，以应对 GDPR 法规并提供专业服务，并充当 IBM 全球网络 中心的枢纽。弗罗茨瓦夫的中心与其他八个 IBM X-Force 指挥中心通 过全球网络相连，每个月平均处理一万亿次网络事件，覆盖来自 133 个国家/地区的客户，构建了 IBM 的全球网络安全情报网络和交付平 台。除了情报及服务交付之外，IBM 的 X-Force 中心还承担了安全培 训、安全研究等相关的职能。IBM 的安全服务业务基于 IBM 的“安全大脑”QRadar SIEM 平台， 能够为用户提供全生命周期的安全管理服务。无论客户是需要共享多 租户服务，本地服务，还是混合服务，都可以通过 QRadar 对整个客 户群进行统一管理。除了 IBM 自己的 QRadar 平台服务之外，IBM 还 能够支持多种其他 SIEM 平台，包括 Splunk 和 ArcSight 的 SIEM 平台。 IBM 主要 MSS 业务还包括漏洞评估和管理服务，事件响应和情报服 务(IRIS)，以及综合威胁管理服务(XFTM)，而且 IBM 的认知计算系统 Watson 也会服务于网络安全业务，以增强 IBM 的 MSS 能力。此外， IBM 的 X-Force 的平台整合了強大的合作伙伴生态体系，包含了 Carbon Black、Crowdstrike、Cisco、Palo Alto Networks、Fortinet、 Checkpoint 等顶级安全厂商，为用户提供全生命周期的安全服务。4 安全即服务（SECaaS）4.1 什么是 SECaaS随着企业的 IT基础架构及安全架构逐渐向云上迁移，安全即服务 （SECaaS，Security as a Service）正在成为全球网络安全行业近年来 最重要的产业趋势，引领了行业商业模式的变革。在 SECaaS 模式下，安全能力集中托管在云上，基于多租户架构，以 云服务的方式向用户动态分配安全资源。相比本地部署的安全架构， SECaaS 在节约成本、弹性部署、释放资源和提升能力等多个方面具 备明显的优势。1）节约成本：SECaaS 无需内部硬件或庞大预算即可集成安全服务， 仅在需要时才支付所需的费用，而且基于云的安全产品和服务还可以 避免用户对昂贵的安全专家的需求；2）弹性部署：SECaaS 的另一大优势就是能够大幅减少产品部署的时 间和成本，用户可以按需购买所需的安全资源，且能够动态扩展到平 台所提供的其他安全功能模块；3）释放资源：SECaaS 简化了企业内部 IT 与安全团队之间的工作， 将安全解决方案的部署、配置、维护、更新和管理纳入到云安全厂商 的业务范畴，让内部团队可以专注于更具战略意义的业务；4）提升能力：SECaaS 厂商能够将其所覆盖的每台服务器、PC 及其 他设备纳入自身的情报网络，在云端安全实时动态更新病毒库和特征 库，向用户提供更强大的威胁情报和安全专家服务。全球范围来看，SECaaS 已经度过了萌芽期，目前正处于快速成长期。 根据 IDC 的数据，2019 年全球 SECaaS 的市场规模已经达到了 93 亿 美金，同比增长 18%，增速明显高于全球网络安全行业的平均水平。从各个细分赛道的规模来看，AIRO(分析、情报、响应、编排，主要 包含 SIEM 和威胁情报等产品)是目前 SECaaS 领域最大的细分市场， 规模达到 27 亿美金，一定程度上得益于 SIEM 及威胁情报相关服务天 然适合于通过云的方式进行交付，其次为身份与访问管理（IAM）及 终端安全市场（Endpoint Security），规模分别为 21 亿及 18 亿美金。 从成长性来看，终端安全 SaaS 的增速排名第一，是各个细分赛道上 云速度最快的一个，其次为 Web 安全及 AIRO。与此同时，网络边界 安全（Network Security）作为网络安全行业规模最大的细分赛道，目 前 SECaaS 的应用要滞后于终端安全和身份安全市场。虽然安全 Web 网关及 WAF 的云化程度已经较高，但是网络边界安全市场最大的赛 道防火墙，受限于大流量高并发场景及内部隔离等场景对本地部署的 刚性需求，其云化的难度要显著高于其他的赛道。SECaaS 与托管安全服务（MSS）及云安全（Cloud Security）存在 非常显著的区别：1）SECaaS 与 MSS 的区别在于：MSS 更多是针对企业本地部署的安 全工具，比如针对防火墙、入侵防御系统、SIEM 等提供安全监控、 安全管理等服务，在某些情况下，托管安全服务提供商（MSSP）可 能成为 SECaaS 厂商的下游客户，即 MSSP 可以将 SECaaS 作为整体 解决方案的一部分提供给最终企业客户。而在 SECaaS 模式下，安全 资源和数据都是集中托管在云上的；2）SECaaS 与云安全的区别在于：云安全指针对云上 IT 资源进行保 护的安全解决方案，云上资源包括了公有云、私有云、混合云及 SaaS应用，而云安全解决方案可以部署在本地，也可以通过 SECaaS 的方 式进行交付，而 SECaaS 则必须基于云和订阅的方式进行交付，可用 于保护云上 IT 资源，也可用于保护本地的 IT 系统。4.2 SECaaS 的竞争格局及发展趋势SECaaS 正在驱动全球网络安全行业竞争格局的变化，以 Okta、 Crowdstrike、Zscaler 为代表的新兴 SECaaS 厂商正持续替代老牌安 全厂商的市场份额，并且分别成了 IAM、终端安全、网络边界安全 三个主要赛道上的主流玩家。Okta、Crowdstrike、Zscaler 在 IAM、终 端安全、网络边界安全市场的份额均在迅速提升，特别是 Crowdstrike 近三年的复合增速达到 100%以上，是网络安全行业历史上增速最快 的厂商之一。在快速成长的同时，三家公司目前分别进入了 Gartner 的 AM（访问管理）、EPP（端点保护平台）、SWG（Web 安全网关） 魔力象限的“领导者”的象限，且基本上处于魔力象限的右上角位置， 这也预示着它们在主流的安全市场也已经成为了行业的领导者。Okta 是身份与访问管理（IAM）领域的云原生安全 SaaS 厂商，公司 市值为 368 亿美金（2021 年 2 月 18 日），是全球市值第三大的独立安 全公司。Okta 于 2009 年创立于美国旧金山，两位创始人均来自于全 球 SaaS 鼻祖 Salesforce。从创立初始，Okta 便围绕企业在上云过程中， 传统的身份与访问管理逐渐失效这一问题，进而打造了身份云—— Okta Identity Cloud，来解决混合环境下的企业的身份与访问管理问 题。在 2014 年，Gartner 首次发布了身份与访问管理即服务（IDaaS） 魔力象限，Okta 作为一家成立仅 5 年的新兴安全厂商，即进入了 IDaaS 领导者（leaders）象限。随后 Okta 在 2017 年首次进入了 Gartner 访问 管理（AM）魔力象限，且在 2017-2019 连续三年保持在“领导者 （leaders）”位置，且从前瞻性以及执行力两大维度来看，Okta 优势 还在不断扩大。2020 财年 Okta 收入达到 5.9 亿美金，同比增长 47%。Okta 的身份云实际上针对的是随着企业 SaaS 应用不断增加，而传统 的 IAM工具难以有效应对新型 IT环境下的身份与访问管理所产生的问题。Okta 最核心的模块是单点登录系统（SSO，Single Sign On）， 能够让用户通过 Okta 的 Web 门户仅进行一次身份认证，即可获得系 统中其他云上 SaaS 应用及本地应用程序的访问权限，这一方面解决 了过去企业员工需要创建多个密码，来访问不同的应用，进而带来的 账号密码管理相关的安全风险；另一方面企业安全管理人员也能够通 过 Okta 的身份云平台对所有内部和外部的应用及访问人员统一进行 身份与访问管理。Okta 的身份云将数千个 SaaS 应用预集成在云端， IT 管理员仅需做简单的设置即可完成部署，而不必针对每个应用程序 的 API 及协议再进行定制化开发。因此，Okta 提供给用户的实际上是 已经将所有技术细节封装好的身份云服务，能够有效降低企业对于身 份与访问管理相关的 IT 资源投入。CrowdStrike 是全球知名的终端安全 SaaS 厂商。在成为全球市值最 大的独立安全公司（528 亿美金，2021 年 2 月 18 日）的同时， CrowdStrike 也是美股增长最强劲（FY2017-2020 复合增速 100%以 上）和估值最高（PS-FY2020 为 110 倍）的网络安全公司。CrowdStrike 凭借威胁情报和 EDR（端点检测与响应）产品起家，EDR 作为新兴 的端点安全工具，是传统终端防病毒产品的有效补充，能够有效监视 终端的异常行为，捕获可疑数据进行分析、取证、调查及修复。 CrowdStrike 在通过 EDR 实现快速发展的同时，凭借云原生的端点安 全平台，以及轻量级的端点安全方案，近年来不断替代老牌终端安全 厂商迈克菲、赛门铁克的市场份额。目前 CrowdStrike 已经成为了终 端安全行业的领导厂商，在 2019 年进入了 Gartner 魔力象限的领导者 象限（Leaders），并且产品线正在从端点安全向身份安全、CWPP 等 领域不断横向拓展。网络边界安全市场最具代表性的安全 SaaS 厂商是 Zscaler，Zscaler 基于直接到云（direct-to-cloud）的架构，构建了位于流量出发地和 目的地之间的中间层，正在逐渐颠覆本地部署的边界安全架构。早期 的企业网络架构以本地数据中心为访问的中心，随着企业对于云上应 用和 IT 资源访问的不断增加，企业的网络环境也正在发生巨大变化： 1）相比企业内网，员工更依赖开放的 Internet 来完成工作；2）相比 本地应用，企业更多的使用 Office365、Salesforce、Workday 等 SaaS 应用；3）相比本地数据中心，企业的工作负载和应用程序更多的托 管在 AWS、Azure 等 IaaS 平台之上，而本地数据中心已经不再是用 户访问的中心。与此同时，企业员工对于移动办公和远程办公的需求 激增，办公地点不再局限于公司，家庭、机场、咖啡厅都成为了潜在 的办公场景，而在这类混合环境下传统的网络边界安全防护机制正在 逐渐失效。Zscaler 直接到云的架构（Direct-to-cloud）不仅改变了安全架构，也 改变了企业的内部网络架构和对外部应用的访问方式。在部署了 Zscaler 的云之后，企业分支机构流量无需再流入总部统一执行安全策 略，因此也无需依赖特定网络，包括 MPLS 专线租用以及 VPN 设备。 通过 Zscaler 直接到云的架构，用户可以通过 Internet 连接到最近的 Zscaler 数据中心，以最短的路径到达云上应用程序或企业内部应用， 实现了用户体验的大幅提升，并降低所需相关硬件设施及专线租用的 投入。在 Zscaler 的方案部署完成后，为 1 个有 100 名员工的企业和 100 个均仅有 1 名员工的企业提供服务，在机制上完全无差异的，是 真正的动态、弹性和多租户的云原生解决方案。除了云原生的安全厂商之外，Palo Alto Networks、Fortinet 传统安全 厂商也正在积极转云，并取得到了明显的成效。以 Palo Alto Networks （PANW）为例，PANW 作为下一代防火墙的缔造者和行业龙头，目 前正从过去的产品销售的模式向订阅服务和云服务全面转型，目前订 阅及服务收入占比已经接近 70%。PANW 在 2019 年将自身的产品线 重新划分成了三大方向，分别为 Strata（企业安全）, Prisma（云安全） 和 Cortex（未来安全），其中 Prisma（云安全）和 Cortex（未来安全） 被 PANW 定义为 Next-Gen（下一代）的业务线。如果将 PANW 的 Next-Gen 业务作一家独立的公司，那么它的体量和成长性完全可以与 Okta、CrowdStrike 和 Zscaler 三家 SECaaS 厂商媲美。PANW 也对 Next-Gen 业务设定了很高的增长目标，公司预计，到 2022 财年，PANW 的 Next-Gen 业务线的 Billings（考虑递延收入的口径）将达到 17.5 亿 美元，占公司 Billings 的 30%。这意味着未来两年 Next-Gen 业务线的 平均增长率将达到 45%以上。4.3 Crowdstrike：下一代端点安全平台CrowdStrike 作为全球知名的下一代端点安全厂商，其产品形态和交 付模式跟赛门铁克、Macfee 等传统终端安全厂商有非常显著的差异。CrowdStrike 的端点安全方案由本地部署的轻量级代理与云端的 Falcon 安全平台两部分构成，CrowdStrike 本地代理大小仅为 10MB 左右（赛门铁克在本地部署的终端安全方案约 700MB，McAfee 约 1GB），并且集成了安全检测功能（在断网情况仍能执行基础安全功能） 以及数据过滤器（回传有效数据以减少带宽资源占用）两大模块，通 过将端点数据回传到云端后执行安全策略，能够有效减少本地 IT 资 源的占用。相较于传统的端点安全方案，CrowdStrike 轻量级的端点安 全方案具备三个方面的优势：1）和其他 SaaS 产品类似，在敏捷性、易用性、可扩展性、定价灵活 性等方面要明显优于本地部署的安全产品，特别是本地部署轻量级代 理具备更强的伸缩性，能够显著缩短交付和部署的周期；2）基于云原生架构能够实现安全功能的快速迭代，特别在网络安全 这类技术变化非常快速的行业，安全能力的动态迭代是安全厂商真正 的竞争壁垒；3）云上的威胁情报网络具备很强的网络效应，只要在单个端点检测 到了某个未知威胁，云端的威胁库将实时更新，进而 CrowdStrike所覆盖的所有用户的所有端点能够实时提升应对未知威胁的能力。目前CrowdStrike的主要竞争对手包括赛门铁克等也正逐渐将传统的 基于本地部署的安全产品向云端迁移，但相比 CrowdStrike 云原生的 方案，在功能模块的耦合性还有可扩展性等方面存在明显差距。 轻量级代理展现出了强大的快速部署能力，CrowdStrike 仅需要数周 就能够完成超过 10 万级终端的大型企业的部署，并且能大幅降低企 业后续管理和运维的成本。CrowdStrike 的 Falcon 平台目前已经为 AWS、汇丰银行、凯越酒店集团、ADP 有限公司、口袋妖怪国际等全 球多家大型跨国集团提供了终端安全解决方案。CrowdStrike 轻量级的 代理能够快速部署及实施，在服务这类超大型客户时，能够在短时间 内实现对十万级终端的快速覆盖。比如公司在数天内就部署了凯越酒 店的超过 4 万个终端，12 周内部署完成了汇丰银行的超过 32 万个终 端，三个月时间在 ADP 公司 8.5 万台服务器上完成实施，且在快速部署的同时对客户现有的业务流程不造成太大影响。CrowdStrike 的订阅用户数和销售收入保持高速增长，而且通过“低 接触式”销售，能够加速对新用户的覆盖。公司早期客户群体主要以 大中型企业为主，包括 40%以上的全球财富 100 强、前 20 家银行中 的 9 家均是公司客户。近年公司通过免费试用、网络营销等低接触式 销售加大了中小型公司的拓展力度。公司于 2017 年 12 月开始采用试 用付费模式，为潜在客户提供 15 天免费试用 Falcon Prevent，2018 年 5 月，公司在 AWS 上提供 Falcon Prevent 的试用和购买。截至 2019 年 1 月 31 日，公司约三分之二的订阅客户是员工数少于 1000 人的企 业。2020 年在疫情的驱动下，公司的订阅用户数和营业收入均实现了 快速增长，截止 2021 年第三财季，公司的订阅用户数达到了 8416 个， 同比增长了 85%。CrowdStrike 的 Falcon 平台具备很强的可拓展性，用户仅需在本地部 署一个代理，在订阅多个安全功能模块时无需额外的部署和实施的成 本，因此 CrowdStrike 能够针对老客户不断增加终端数量和额外功能 模块的交叉销售。大部分客户在刚接触到 CrowdStrike 的产品时，往 往从 EDR 或者反病毒等单一安全模块的采购开始，在一段时间后即 转化为公司的“重度用户”，开始订阅威胁情报、威胁狩猎等其他安全模块。在 FY18Q1 仅有 9%的用户订阅了 4 个及以上的云模块，而 到了 FY21Q3，这一占比提升到了 61%，而且公司的净留存率持续保 持在 120%以上。CrowdStrike 的威胁情报网络具备强大的网络效应。CrowdStrike 部 署在每个端点上的轻量级代理都是数据搜集器，只要在单点检测到未 知威胁，云端的威胁库会实时更新，进而 CrowdStrike 所覆盖的所有 用户的所有端点能够实时提升应对未知威胁的能力。而且覆盖的终端 数量越多，所汇聚的威胁情报数据量越丰富，其终端用户所具备的安 全防护能力也就越强大。公司目前每周通过分布在全球数百万的端点 的数据搜集，处理、关联和分析超 4 万亿的安全事件。同时公司还会 建立安全威胁和事件的索引，作为云端能力的一部分。本地轻量级代 理通过机器学习和 AI 等算法收集和分析未经过滤的数据，对数据进 行智能过滤以确保数据的高保真度，即只将威胁检测、预防和调查所 需的数据传输云上，将端点的 IT 资源消耗降到最低，并显著降低网 络带宽的占用。此外 CrowdStrike 的威胁情报服务平台 Falcon X 还汇集了威胁情报 收集、分析、搜索、输出及溯源的完整产品线。Falcon X 包括：1） 端点情报搜集：在 Falcon 平台发现并隔离的所有文件都将由 Falcon X 自动调查；2）恶意程序分析：所有针对可疑文件的分析都将在 Falcon 沙箱中完成；3）恶意软件搜索：自动发现恶意程序相关联的威胁及 运动轨迹，以防御在未来发生类似的攻击；4）定制威胁情报： Falcon X 与其他安全工具共享，以保护无法安装 Falcon 端点保护的系统的用 户；5）威胁情报溯源及防御：了解威胁的幕后发起者，以及背后的 商业背景和攻击方式，部署先发制人的安全策略。威胁情报显著增强 了 Falcon 系列产品在端点的安全能力。虽然公司的终端安全产品在离 线状态下也能够使用，且每个端点都具备基础的安全功能。但在接入 到云端的威胁情报库后，根据 Gartner 等第三方的测评结果，其安全 检测效果得到了大幅提升，凸显出公司威胁情报网络和安全大数据的 有效性。基于云原生架构，CrowdStrike 能够实现安全功能的快速迭代，Falcon 平台功能模块的不断增加带来了公司业务边界的持续扩张。CrowdStrike 在 2013 年前后的产品线仅有威胁情报和 EDR，在 2017 年前后，公司开始基于单一的 EDR 产品向多 SKU 多产品模块的体系 发展，到 2019 年底已经推出了 IT 资产管理、漏洞管理、下一代防病 毒等十个彼此高度协同的云模块。目前 Crowdstrike 的 Falcon 平台上 已经包含了 17 个模块，跨越 IT 运营，端点安全，托管安全服务，威 胁情报和身份安全（通过收购 Preempt Security）等领域，远远超出了 单纯的端点安全的范畴，TAM 已经达到了 324 亿美金（端点安全市场 TAM 为 84 亿美金）。详见报告原文。（本文仅供参考，不代表我们的任何投资建议。如需使用相关信息，请参阅报告原文。）精选报告来源：【未来智库官网】。
灵异日图解｜速读《2019年中国互联网网络安全报告》（上）
8月11日，国家互联网应急中心（CNCERT/CC）正式发布《2019年中国互联网网络安全报告》，内容涵盖我国互联网网络安全态势分析、网络安全监测数据分析、网络安全事件案例详解、网络安全政策和技术动态等多个方面。今日，我们带您一图速览2019年我国互联网网络安全状况。相关链接◆国家互联网应急中心（CNCERT）发布《2019年中国互联网网络安全报告》来源：“网信中国”微信公众号编辑：韩震霞审核：武海燕
第一博网络安全行业深度报告：拐点之时，格局之变
（报告出品方/作者：华西证券，刘泽晶）一、格局一：变迁 —— 从过去到现在，全能型厂商优势凸显新兴高景气行业，中游软硬件厂商/集成商主导近年来国内外网络安全事件频发，造成巨大损失：随着信息技术的快速演进，全球数据泄露等网络安 全事件频繁发生，造成重大损失。根据CCID发布《2019年网络安全发展白皮书》， 以2018年为例，全球安全漏洞数量和严重性创下历 史新高；国内重大网安事件也几乎每月必现。据 Cybersecurity Ventures 预测，到 2021 年全球 因网络安全事件导致的损失将高达 6 万亿美元/年。网络安全态势变得愈发复杂，行业正在迎来“大安 全”景气新时代。个人层面来看 ，网络安全事件会带来私人信息泄 露，进而带来财产等损失。政企层面来看，针对关键性基础设施的网络攻击会 导致重大安全事故 ，直接威胁国家安全。在此背景下，网络安全正式步入“大安全”时代，本 篇报告中我们聚焦网安的过去、现在、未来格局， 深度挖掘行业投资机会。全球视角来看，网络安全行业以 “硬件-软件-服务” 构建产品体系，下游客户覆盖各行各业。上游：网络安全产业链上游为基础硬件提供商，为中 游设备厂商提供芯片、内存等基础元器件，上游的代 表性公司包括英特尔、三星等。中游：产业链中游主要分为三类厂商，即安全硬件设 备厂商、安全软件厂商和安全集成厂商，其中安全硬 件设备厂商和安全软件厂商一部分产品直接供应给下游最终用户，另一部分产品则提供给安全集成厂商， 中游代表性公司有赛门铁克、启明星辰、深信服等安 全集成厂商。下游：产业链下游主要为各类用户主要为政企客户， 包括政府、军工、电信、教育、金融、能源等。目前国内的网络安全上市公司主要以中游的安全硬件 设备厂商、安全软件厂商和安全集成厂商为主。格局变迁：过去到现在经历四阶段发展，当前正值加速发展期我国网络安全发展可分四个阶段，当前正值加速发展期，聚焦网络空间安全概念。根据安全牛披露，我国网安发展历程可分为起源期、萌芽期、成长期和加速期四个时期，分别对应通信加密时代、计算机安全时代、信息 安全时代和网络空间安全时代。随着通信技术演进及移动互联网普及，企业信息化程度持续提升，自动化和远程办公的需求激增，网安关注点逐渐延伸至网络空间本身， 网安行业也进入加速发展期，即“大安全”时代。关注网络空间安全的两个核心领域：1）网络边界安全，例如防火墙、VPN等；2）信息系统本身及其承载内容的安全。聚焦加速期起点，2015以前市场格局分散，厂商各自为战网安行业从2015/2016年步入加速期以来，行业竞争格局持续变迁。回溯过去，2015年及以前国内网络安全市场集中度相对较低，国内龙头较全球龙头差距较大。根据Gartner数据，2015年全球前三大厂商合计份额（CR3）高达34%，而国内CR3不足20%，远低于全球的市场集中度。龙头实力差距尤其巨大：国内龙头启明星辰市占率仅8%，远低于全球龙头赛门铁克的19%（约等于国内前三大厂商市占率之和）。将分散格局对应至安全牛网络安全企业年度榜单（业务规模/技术影响力二维评定）来看则更为清晰。2015年：仅启明星辰、天融信在榜单中展现相对领先的综合实力，构成头部厂商，身后卫士通、深信服、绿盟则仍在快速追赶。而其他各类厂商基本囤居中游、各自为战，同时以360为代表的新兴厂商持续入局，市场竞争极其激烈。分散格局成因一：产品线众多，政企分散招标网安产品线众多 是市场分散的关键原因：目前来看，软硬件网络安全产品可分为 7大类、40小类，而信息安全服务也可 分为 5大类、21小类，细分程度非常高。产品线过于分散直接导致网安厂商稳守 各自细分赛道，赛道壁垒阻碍“胜者全 得”趋势。此外政企作为下游核心客户，以往多采 用分散招标，导致入围的安全厂商无法 提供有效的整体服务：仍是由于网安产品线众多，各集团、公 司、部门均可能针对特定产品进行单独 招标。下游关键客户政企尤其如此，同时为了 防止一家独大，政企往往出现刻意分散 招标。最终导致彼时网安行业小公司林立、市 场分散的格局。分散格局成因二：厂商定位狭隘，同质化竞争严重市场分散的另一个原因是彼时网安厂商仍以销售硬件产品为主，产品同质化程度较高。2015年正值加速发展期的起点，仍未完全摆脱此前“硬件为王“的经营思路，经营定位略显狭隘。当时网安厂商的普遍自我定位为产品提供商，主要关注产品（尤其是硬件）的功能性，对于整体解决方案、一站式服务、售后服务的关注 有限，导致大型厂商未在产品类型上充分延伸。聚焦加速期中点，头部厂商不断扩展，优势正在凸显近几年来看，头部厂商凭借综合实力的优势不断外延扩张，行业集中度提升明显。聚焦CR3，安全硬件和软件多个细分领域CR3已经突破40%，较2016年整体不足20%的水平提升明显。举例而言，虚拟专用网络领域 CR3 高达48.4%、统一威胁管理CR3高达43.6%、安全内容管理CR3高达44.6% 综合来看，启明星辰、深信服在近年来已经逐步由头部厂商蜕变为龙头厂商。行业竞争格局由分散向集中变迁一方面受到技术演进、企业招标模式变化等外围因素的影响，另一方面也是头部厂商加码研发推进产品化 并加速产业并购的结果。外部环境促成头部崛起：网络攻击急剧复杂化，全面防御需求激增近几年移动互联网、工互联网的快速发展极大拓展了网络攻击的渠道，攻击模式急剧多元/复杂化，客户对网安厂商全面防御的要求提升。随着互联网的高速发展及物联网、工业互联网、云计算、大数据等新兴技术的兴起，网络攻击形态日益复杂，单一领域的单一产品无法再 满足网络安全防护需求，下游各类客户转而向头部厂商寻求一体化网安解决方案。根据IDC统计，2019年我国已经成为网络攻击中位列世界第二的国家，下游各领域客户网安需求随之激增。外部环境促成头部崛起：摆脱分散招标模式，卡位厂商发力安全服务政企正在逐步摆脱分散招标，入围网安厂商的订单规模持续扩张。对政企而言，网安需求正在从单一的产品向整体的安全防护发展，对于整体安全解决方案相关的招标数量也开始上升，拥有完整软硬件方案及系统集成能力的厂商将具备更强的竞争优势。我国安全服务市场还处于萌芽发展阶段，随着下游分散招标模式的放开，基于一体化解决方案的安全服务有望成为头部厂商新增长点。目前，部分细分领域已经具备较高的行业集中度，看好同时在多个细分领域具备卡位优势的头部厂商进一步扩张。安全服务是厂商一体化服务重要组成部分，也是当前头部厂商的重点发力领域，正逐步成为新的增长引擎外部环境促成头部崛起：各市加速布局安全产业园，集聚效应利好头部厂商全国一线、强一线城市都纷纷布局安全产业园，头部厂商利用产业园的集聚效应，通过外延并购新兴安全领域的企业进行外延扩张。网络安全产业已经成为国家重点支持的产业，预计相关投入也会持续加大，当地头部企业优先受益。目前我国一线、强一线城市都在加快网络安全产业布局。以北京地区为例，2019年6月30日《国家网络安全产业发展规划》正式发布，工业和信息化部与北京市人民政府决定建设国家网络安全产 业园区，提出“到2020年，依托产业园带动北京市网络安全产业规模超过1000亿元，拉动GDP增长超过3300亿元，打造不少于3家年收入超 过100亿元的骨干企业”等目标。内生成长加速头部崛起：研发加码聚焦产品化研发为王，持续投入奠定产品化优势。面对愈加复杂化的网络攻击，近五年来看核心技术持续升级，从传统的围墙式防护发展至主动对安全威胁进行检测/响应。网络安全已经由过去的 “90%防护+10%检测与响应”变成了“60%防护+40%检测与响应”，新型传感器、不同的数据源、分析工具以及操作需求 推动着整体安全技术向更全面的事件驱动软件架构变革。在此背景下，产品化能力无疑成为竞争的关键所在。2015-2019年来看，深信服、奇安信等巨头在研发投入方面遥遥领先，打造了领先业内的产品化能力。两家公司的研发投入CAGR分别为41.9%、39.1%显示产品化战略在这一时期的展业中体现极大价值（天融信则是由于原业务的低研发特性导致）。深信服属于这一时期的后起之秀，凭借极致的产品化投入（约为第三名两倍）一举成为头部厂商；奇安信则与360分家后快速崛起。过去五年来看，在政策合规及内生需求的双重驱动下，下游行 业客户群变化趋势呈现出两大特点：1）由中央直属部委向省、市地方政府逐级延伸的态势；2）由金融、能源行业的总部机构向其下属分支机构逐步推广的 态势。面对下游细分市场，渠道体系和营销网络一定程度决定了企业 的市场竞争力。细分网络安全市场呈现区域分布广、 销售区域和用户分散的需 求特征，企业借助渠道合作伙伴、采取渠道代理销售的模式可 覆盖更广泛的用户群，渠道代理销售模式是业内较普遍的销售 模式。政府、金融、电信等行业对网络安全产品的需求量较大、技术 和服务要 求较高，行业内企业对行业重点客户采取直销模式。渠道建设成为安全厂商在增量市场中跑马圈地的主要方式 。以华为、新华三、深信服为代表的安全厂商已经建立了相对完 善的渠道体系 。以深信服为例，公司推行全面渠道化战略，近三年公司代销收 入均在97%以上。内生成长加速头部崛起：频繁投资并购加速扩张投融资和并购已经成为头部企业加快外延扩张的主要方式，新兴领域成为投融资和并购重点领域。近年来全球网安领域融资并购众多，可得数据显示2018年并购整体规模达到300亿美元，热门领域包括区块链安全、云安全、IOT安全和数据安全等 。国内的龙头厂商也将通过并购创新厂商不断地抢占市场，与其他的安全厂商拉开距离。二、格局二：变化 —— 由现在看未来，专精/审查型厂商并进加速期开启下半场，龙头厂商恒强，专精/审查厂商齐飞“大安全“时代，基于产业视角的网安厂商分类： 1）全能型厂商：具备较为齐全的安全产品线的厂商，至少在两到三 个领域跻身市占率第一梯队，包括奇安信、深信服、启明星辰等； 2）专精型厂商：其他细分市场龙头，多为深耕单一领域多年的单项 冠军，包括安恒信息、卫士通等；3）审查型厂商：特定赛道厂商，产品和服务主要用于协助维护网络 空间的秩序，属于更广义的网络安全定义，包括美亚柏科、中新赛 克等；值得注意的是，新华三（紫光股份）作为网关型厂商独树一帜（与 深信服相似），但考虑到核心业务贡献并非来自网安，暂不予讨论。全能型厂商占据头部，强势领跑全能型厂商：高壁垒 + 产业地位强势。从产业分析的角度来看，目前全能型厂商共五家：启明星辰、 深信服、绿盟科技、天融信、奇安信。全能型厂商的特点是具备较为全面的安全防护能力，能够以自身产品对客户进行解决方案层面的构建，满足客户的整体安全需求。高技术壁垒是核心：多元化的核心能力包括网关能力、全面攻防能力、态势感知能力，需要围绕用户具体需求进行长期高投入。高技术能力的背后则是高研发的支撑，财务数据来看2019年五家上市的全能型厂商的研发投入基本位列行业前五，其中奇安信高举高打战 略下研发亦是其重要投入，利润端尚未兑现。当前产业竞争格局来看，在未来的数年内其他的公司暂时没有成为全能型厂商的可能性。专精型厂商偏安一隅，深耕优势凸显专精型厂商：在细分领域呈现特色竞争优势。目前A股专精型厂商主要包括北信源、卫士通、数字认证、格尔软件、中孚信息、以及科创板上市的安恒信息、山石网科和安博通。 专精型厂商的特点在于，在特定细分领域往往有明确的优势，但是其在通用安全产品层面(如防火墙、入侵检测、SOC、数据安全)竞争实 力较弱，且没有明确的向此方向扩张的预期。但在技术含量和技术壁垒相较于全能型厂商仍有差距。业务的拓展受到较大限制，未来发展很大程度上取决于该细分领域的景气度，目前看云大物工移等新兴安全领域机遇较大。审查型厂商弯道超车，后来居上审查型厂商：受益网络空间治理，政策驱动特点鲜明。网络空间治理近年受到高度关注。该产业下游往往为政法系统单位，在关键技术、产品、标准和渠道方面具有相对明确的进入门槛，产业竞争格局稳定，新进入者少。此外，网络空间治理涉及到一些大数据的能力和实施经验，这也构成了产业的壁垒。该细分领域内主要参与者有五家，分别是任子行、美亚柏科、中新赛克、迪普科技和恒为科技，近年来业绩普遍维持高增速。增长受政策驱动特征明显，其下游客户在需求逻辑层面和其他三类厂商有明显不同，该细分领域下游具有鲜明的网络执法属性，业绩会受 到相应政策、落地节奏、更新换代的显著影响。 值得注意的是，利润端来看任子行呈现较大波动，迪普科技受益低基数展现较高复合增长率。三、空间 & 拐点：等保2.0打开千亿空间，关注后疫情拐点政策强力推动，等保2.0驱动产业升级新需求随着网络安全上升到国家战略高度，近年来体系列支持网络安全发展的政策，其中等保2.0更是重磅来袭，将驱动行业变革。等保2.0正式发布网安政策支持再升级。信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的政策安排是我国网络空间安全保障体系的重要支撑。2019年5月13日《信息安全技术网络信息安全等级保护基本要求》国家标准正式发布将于2019年12月1日正式实施标志着我国网络安全等级 保护工作正式进入“2.0时代。等保2.0关注点一：明确新增云计算等新安全拓展要求。从内容的结构上来看，新标准为安全通用要求+四大安全 拓展要求（云计算、移动互联、物联网、工控），由此 利好云计算、移动互联、物联网、工控四大信息安全新 兴蓝海市场；。从下游需求侧产业逻辑判断，我们重点看好云安全以及 工控安全新兴市场。等保2.0关注点二：SOC迎来相应机遇。SOC（安全管理中心，或安全管理平台）内容被重点提 及，二级至四级系统明确提及了SOC要求（五级安全要 求公开的标准中略过，因其主要针对国家重点部门的系 统）；具体包括系统管理、审计管理、安全管理（三级&四 级）、集中管控（三级&四级），后两者突出了汇总分 析的功能，明确的提及了对于网络中的链路、安全设备、 服务器等的运行情况进行集中监测、对于审计数据进行 集中分析。空间：场空间缺口巨大，行业千亿机遇正在开启近年来，我国的网络安全行业市场持续较快增长。根据CCID数据，我国近三年网络安全行业市场复合增速维持在20%左右；其中2018 年市场规模达495.2 亿元，同比增长20.9% 。CCID同时预测，2019-2021 年我国网络信息安全市场规模将由608.1 亿元增加至926.8 亿元，CAGR为23.45%。目前我国ICT市场整体规模投入完全可以支撑起千亿规模信息安全市场体量。据Gartner，2019年全球ICT支出为3.79万亿美元，全球信息安全投入为1240亿美元，占比约为3.3% 。CCID数据显示，我国目前ICT产业投资规模大概在2.6-2.8万亿之间，由此测算：我国整体ICT投入水平的信息安全市场规模至少应有千亿元。另一个维度来看，工信部《关于促进网络安全产业发展的指导意见（征求意见稿）》：2025 年我国网络安全产业规模将超2000 亿元。拐点：政府侧预算或逐步放松，关注网安行业拐点2020年Q3以来网络安全公司加快复工复产，下游政府侧预算呈边际放松迹象，业绩拐点正在来临。 受新冠疫情影响，2020年3月以来网络安全行业复工延迟，各公司在实施、交付、验收等方面均有延迟，Q1承压严重，Q2开始逐步好转。 但考虑到疫情带来的系统性冲击，疫情趋缓的同时行业下游的政府侧客户预算投入并未全面转好，因此网安公司Q2订单及营收的增长依旧 受到较大压制（也是2020年板块估值持续低迷的根本压制因素）。报告节选：（本文仅供参考，不代表我们的任何投资建议。如需使用相关信息，请参阅报告原文。）精选报告来源：【未来智库官网】。
不亦外乎网络安全行业专题报告：行业空间持续拓展，网安行业成长可期
（报告出品方/作者：渤海证券，徐中华）1.网络安全行业持续增长，安全威胁犹存1.1 网络安全细分行业多，市场规模不断扩大根据中国信通院的定义，网络安全市场按照主要功能及形态可分为安全产品市场 和安全服务市场。其中安全产品领域又可细分为安全防护、安全管理、安全合规、 其他安全产品四个类别。安全服务领域则主要包括安全集成、安全运维、安全评 估和安全咨询四大类。随着信息技术的快速发展，新技术与新产品层出不穷，网络安全行业也越来越呈 现碎片化、复杂多样化的特征。根据安全牛发布了最新的中国网络安全行业全景 图，从安全防护技术的不同应用领域的角度对当前我国网络安全行业进行了划分， 物联网安全、云安全和安全智能领域逐步成为安全厂商重点关注的新兴领域，区 块链应用等安全新技术产品、密码产品和设备等信息安全产品纳入考量范围，同 时云服务企业、电信运营商、车联网企业等主体的网络安全业务也被纳入新的安 全范围。近年来，随着以大数据、云计算、人工智能为代表的新一代信息技术的兴起，网 络安全事故也随着网络空间的延伸和复杂化变得愈发多样化，并由此带动了网络 安全行业的飞速发展。根据咨询机构 IDC 的统计数据，2020 年全球网络安全产 业规模达到 1252 亿美元，较 2019 年增长 5.95%，预计到 2024 年全球网络安全 市场规模可增长至 1747 亿美元，其中美国网络安全规模预计达到 743 亿美元。根据 IDC 数据，从全球来看，2019 年网络安全支出中，服务占最大比重，达到 了 47%，而软件和硬件的占比分别为 36%和 17%。与全球网络安全市场相比，中国的网络安全行业起步较晚，市场规模较小，但发 展速度较快。根据赛迪顾问的测算，2019 年中国网络安全市场规模同比增长 22.8%，达到 608.1 亿元，远高于全球市场的平均增速。同时，随着 2019 年国 内网络安全政策法规持续完善优化，“等级保护 2.0”出台并开始实施，网络安 全市场规范性逐步提升，政企客户在网络安全产品和服务上的投入稳步增长，云 安全、威胁情报等新兴安全产品和服务逐步落地，自适应安全、情境化智能安全 等新的安全防护理念接连出现，为我国网络安全技术发展不断注入创新活力。随着近年来的发展，我国安全市场的结构逐渐发生变化，安全硬件占比逐步降低， 而安全服务的占比稳步提升。据 CCIA 统计，2020 年上半年我国共有 3000 多家公司开展网络安全业务，相 比上一年增长了 17.3%。其中，生产销售网络安全产品的企业有 1185 家，同比 减少了 12%；提供网络安全服务的企业有 2671 家，同比增加了 39.4%；提供 网络安全产品和服务的综合型网络安全公司有 267 家，同比增加了 36.2%。网络安全行业面临着从产品到综合服务的变革中。尽管 2020 年，由于新冠疫情的影响，对下游的需求造成了一定的影响，随着疫 情得到控制，叠加下游行业景气度复苏，预计未来几年网络安全行业整体有望将 维持较高的增速。1.2 威胁和机遇并存，网络安全行业持续发展近几年，随着新一代信息技术的快速发展，围绕网络和数据的服务与应用呈爆发 式增长，但与之相关的各种网络风险和问题也迅速增多，从传统网络病毒到各种 新型攻击模式，各种恶意攻击层出不穷。根据 CNCERT 数据，截至 2019 年 12 月，CNCERT 监测发现我国境内被篡改网站 185573 个，较 2018 年底有较大增 长，其中被篡改的政府网站有 515 个。在 2019 年，CNCERT/CC 共处理网络安 全事件共 10.78 万余起，较 2018 年增长 1.0%，网络安全整体形势依旧严峻。2019 年 CRCERT 通过自主捕获和厂商交换获得互联网恶意程序 279 万余个，同 比下降 1.4%，尽管如此，互联网恶意程序仍保持在高位。移动网络依然面临严 峻的安全威胁。根据 CNCERT 数据，2019 年国家信息安全漏洞共享平台（CNVD）收录安全漏 洞数量同比增长了 14.0%，共计 16193 个，2013 年以来每年平均增长率为 12.7%。根据 CNCERT 数据，我国 DDoS 攻击依然呈现高发频发态势，仍有大量物联网 设备被入侵控制后用于发动 DDoS 攻击。在 2019 年，我国发生攻击流量峰值超 过 10Gbit/s 的大流量攻击事件日均约 220 起，同比增加 40.0%。在 2020年第2 季度 CNCERT 监测发现，利用肉鸡发起 DDoS 攻击的活跃控制端有 1248 个， 其中境外控制端占比 96.4%、云平台控制端占比 79.8%。境外控制端排名前三位 的分别为美国（36.5%）、荷兰（18.3%）和德国（10.1%）。根据 2020 年第 2 季度 CNCERT 数据，参与真实地址攻击的肉鸡共有 484550 个， 其中境内肉鸡占比 87.9%、云平台肉鸡占比 3.7%，位于境内的肉鸡按省份统计，排名前三位的分别为江苏省(11.5%)、广东省(10.4%)和浙江省(9.0%)。而且，各种勒索病毒、DDOS 攻击等事故频发，我国网络安全依然面临复杂严峻 的形势，仍需加强各种安全措施予以应对。1.3 相关政策法规密集出台支持行业发展2013 年棱镜门事件后，我国对网络安全的重视程度迅速提升。2016 年，我国颁 布《网络安全法》，将其作为网络安全领域基础性、全局性的法律。它的实施正 式将网络安全上升到国家安全的战略高度，使网络安全成为国家安全观的重要组 成部分。而伴随着《网络安全法》的实施，我国新一代的等级保护制度也正在逐 步完善，2016 年 10 月公安部网络安全保卫局组织对原有的信息安全等级保护制 度进行了修订，等保 2.0 体系开始建立；2019 年，等保 2.0 体系的正式实施，为 我国在云时代下的网络安全指明了发展方向《网络安全法》作为我国网络安全领域地位最高、最重要的基础性法律，对我国 网络安全行业的健康有序发展具有重要促进作用。随着 2017 年《网络安全法》 的正式实施，相关的网络安全配套政策和安全标准也开始陆续发布，其中最重要 的便是《关键信息基础设施安全保护条例(征求意见稿)》和《网络安全等级保护 条例(征求意见稿)》。2019 年，等保 2.0 开始正式实施。在等保对象上，随着网络环境更加复杂，等保 1.0 标准中提出的以基础信息网络 和传统信息网络作为保护对象已经不能涵盖所有的重要网络系统。基于此，等保 2.0 中的等保对象范围得到全方位提升，除了传统的信息系统，还包括了大数据 中心、云计算平台、物联网系统、移动互联网、工业控制系统、公众服务平台等 内容。从产业链来看，网络安全行业的上游主要为工控机、服务器、存储器、芯片及操 作系统、数据库等软硬件厂商，上游产业竞争较为充分。中游为提供安全产品、 安全服务、安全集成的网络安全厂商，下游则是政府、金融、电信、能源、教育 等各行业用户，用户的分布广泛。随着等保 2.0 的实施和政策的发力，以及网络 安全威胁持续增加，下游客户对网络安全的重视程度及需求在持续增长，推动着 网络安全行业持续稳健发展。2.细分行业快速发展，安全需求持续增长2.1 云计算蓬勃发展，云安全方兴未艾云计算是支撑数字经济发展的重要信息基础设施。中国信通院测算，2019 年我 国云计算整体市场规模 1335 亿元，同比增速为 38.6%。其中，公有云市场规模 达到 689 亿元，较 2018 年增长 65.2%；私有云市场规模达 645 亿元，较 2018 年增长 22.8%，预计未来几年，云计算市场将保持稳定增长。随着云计算的普及，越来越多的企业组织选择将业务上云，云端上的数据资产的 价值越来越大，云上数据泄露事件造成的成本损失也更加严重。因此，云安全问题已成为云计算行业发展急需解决的问题。云安全行业具体来看包括了三大部分，即云计算软件安全、云计算基础架构安全 和云计算服务平台安全，涉及数据、应用、系统、网络和传输等云计算平台各个 方面。云安全市场的服务提供者主要是两类，第一类是云服务厂商，在为企业提 供公有云服务的过程中同时提供云安全服务，另一类则为安全厂商，在私有云和 混合云领域提供一揽子安全解决方案。在云计算产业的带动下，云安全市场飞速发展。根据中国信息通信研究院 2020 年的云计算发展调查报告显示，42.4%的企业在选择公有云服务商时会考虑服务 安全性，是影响企业选择的重要因素；43%的企业在私有云安全上的投入占 IT 总投入的 10%以上，较上一年度提升了 4.8%。我国云安全市场成长迅速，据赛 迪顾问发布的数据，2019 年我国云安全市场规模约为 55.1 亿元，相比 2017 年 增长 45.8%，预计到 2021 年我国云安全市场规模达到 115.7 亿元。我国云服务巨头，阿里、华为、腾讯等均建立了比较完备的云安全能力体系，比 如在主机安全方面，阿里云推出“安骑士”产品，华为云推出“HSS”，腾讯云 推出“云镜”，基本都包含安全配置核查、漏洞管理、入侵防护、基线检查等功 能。专业型安全厂商主要面向私有云和混合云，围绕云安全监测、防护、管理等需求， 提供一揽子安全解决方案。随着等保 2.0 将云安全平台作为重点等保对象，我国云安全的合规需求会推动云 安全市场进一步加速发展。在合规需求与云端数据泄露压力双重推动下，云安全 市场发展空间巨大。2.2 工业互联网市场开启，工控安全前景广根据我国工业互联网产业联盟的定义，其本质是“以机器、原材料、控制系统、 信息系统、产品以及人之间的网络互联为基础，通过对工业数据的全面深度感知、 实时传输交换、快速计算处理和高级建模分析，实现智能控制、运营优化和生产 组织方式变革。”网络、数据和安全是工业互联网的三个重要维度。根据中国信通院的报告，工业互联网产业经济核算包括核心产业和融合带动的经 济影响两部分，信通院的测算结果表明，2018 年、2019 年我国工业互联网产业 经济增加值规模分别为 1.42 万亿元、2.13 万亿元，同比实际增长为 55.7%、 47.3%，占 GDP 比重为 1.5%、2.2%，其中，工业互联网核心产业稳步增长， 2018 年、2019 年核心产业增加值规模为 4386 亿元、5361 亿元；工业互联网 融合带动的经济影响快速扩张，2018 年、2019 年增加值规模为 9808 亿元、 1.60 万亿元。随着工业互联网的快速发展，工控安全越来越得到重视。根据《工业信息安全态 势报告》的资料，全球工业信息安全呈现技术应用化发展、事件爆发式增长、政 策多维度深化、风险弥漫性扩散等特征,新型冠状病毒全球大流行致使利用疫情实 施的网络攻击层出不穷，针对工业领域的勒索攻击频发。2020 年，国家工业信息 安全发展研究中心共跟踪公开发布的工业信息安全事件 274 件，其中勒索软件攻击共 92 件，占比 33.6%，涉及 20 余个国家的多个重点行业。物联网设备、智能联网设备因其低成本、低安全等特征，逐步取代 IT 设备成为攻击者的重要攻 击武器。低防护联网设备是指暴露于公共互联网，自身防护水平差，可被识别、监测，存 在极大被远程入侵风险的设备。国家工业信息安全发展研究中心自 2014 年起开 展针对低防护联网工业控制系统的在线监测工作，目前可识别种类已从工业控制 系统扩展至物联网终端、工业信息系统及工业互联网设备等，共计 500 余种。经 对比分析多轮次在线监测数据，各类低防护联网设备数量相比去年均有较大幅度增长。2020 年 12 月最新监测数据显示，我国各类低防护联网设备数量总计超过 500 万，其中，摄像头、车载模块、打印机等终端设备占比超过 80%。可编程逻 辑控制器（PLC）、数据采集与监视控制系统（SCADA）、数据传输单元（DTU） 等工业控制系统数量已超过 2.5 万，相比 2019 年增加近 4 倍。显示了当前工业 互联网面临着严重的威胁局面。依托国家工业信息安全监测预警网络，对 S7Comm、 Modbus、0mronFINS、DNP3 等 10 余种工业专属协议进行高交互 仿真，研发并实施了工控蜜罐网络一期部署，2020 年捕获来自境外的恶意网络攻 击累计 200 余万次，平均每个蜜罐每日捕获攻击 50 余次。据市场研究公司 Verified Market Research 分析，2019 年全球工业信息安全市场 规模达 164.01 亿美元，预计到 2026 年增长至 297.6 亿美元，年复合增长率为 8.83%。其中，运营技术（OT）安全仍然是增速最快的细分市场。据 Gartner 预测，2019 年全球 运营技术安全支出达 3.8 亿美元，年增长率达 52%.根据赛迪顾问资料，2018 年，我国工业互联网安全市场规模约为 125 亿元，相 比 2018 年增长 32.2%，高于我国网络安全市场平均增速。预计到 2021 年市场 规模达到 228 亿元，市场成长性较高。同时政府对工业互联网安全的关注不断提升，围绕《网络安全法》《中国制造 2025》，密集出台多项政策、指南以推进工业互联网安全产业的发展。2020 年 5 月，由国家工业信息安全发展研究中心牵头起草的《工业互联网数据 安全防护指南》在全国信息安全标准化技术委员会大数据特别工作组作为国家标 准研究项目立项，该指南以"技管结合、动静相宜、分类施策、分级定措"作为工 业互联网数据安全防护的总体思路，从通用防护、分类防护、分级防护三个维度 提出工业互联网数据安全防护框架。随着我国高度重视发展工业互联网数据发展，在 2020 年《政府工作报告》中首 次将工业互联网作为国家七大"新基建"领域之一，工业互联网产业迎来了快速发 展时期，工控安全也随着迎来了新的发展机遇，未来几年有望持续快速发展。详见报告原文。（本文仅供参考，不代表我们的任何投资建议。如需使用相关信息，请参阅报告原文。）精选报告来源：【未来智库官网】。
荷包蛋《2019年山东省互联网网络安全报告》发布
今天下午（7月13日），《2019年山东省互联网网络安全报告》（以下简称《报告》）在济南发布，第二届山东省网络安全应急服务支撑单位同时公布。上述报告由省委网络安全和信息化委员会办公室、省通信管理局、国家计算机网络应急技术处理协调中心山东分中心共同组织编写。《报告》显示，2019年山东省共协调处置网络安全事件1257起，其中安全漏洞事件1102起，共处置木马和僵尸网络控制源772个，并成功切断黑客对近8万台感染主机的控制。计算机恶意程序受控主机数量连续5年下降，控制主机数量连续两年下降，移动恶意程序爆发式增长趋势得以遏制，但全省网站后门、网页篡改和网页仿冒等安全事件数量都有大幅提升，整体各项威胁规模依然庞大。移动互联网恶意程序俗称为“手机病毒”。《报告》指出，2019年移动互联网安全问题呈现降低趋势，监测发现山东省内活跃的手机病毒样本共2813款，较2018年减少19.6%。涉及微信支付、支付宝、网银等多个平台的盗刷事件时有发生，威胁到人民群众的财产安全及正常的交易秩序。总的来说，恶意扣费、信息窃取、恶意传播、远程控制、系统破坏、诱骗欺诈等恶意程序规模有所控制，但违法违规收集个人信息问题凸显。《报告》指出，网页挂马是通过在网页中嵌入恶意程序或链接，致使用户计算机在访问该页面时触发执行恶意脚本，从而在不知情的情况下跳转至“放马站点”（指存放恶意程序的网络地址），下载并执行恶意程序。2019年，监测到山东省的挂马网站IP数量1559个，居全国第6位。被篡改网站中，域名为GOV的政府网站占比为0.18%，低于全国0.3%的平均水平0.1个百分点，山东政府网站防篡改能力优于全国平均水平。被植入后门网站中，域名为GOV的政府网站占比为0.43%，低于全国0.84%的平均水平，山东省政府网站防攻击入侵能力好于全国平均水平。我省强调，要严格落实《网络安全法》和网络安全工作责任制，各涉网职能部门、各地区各行业、关键信息基础设施运营者、应急服务支撑单位等要树立全省网络安全“一盘棋”思想，形成齐抓共管的强大工作合力。
其一命也网络安全年度策略：回顾2020展望2021和未来
回顾2020:疫情之下，网安仍欣欣向荣疫情对网络安全公司Q1 业绩影响明显，业绩下滑根本原因来自网络安全公司的商业模式很难抵御疫情冲击。我们认为网络安全公司目前仍提供非完全标准化的产品和服务。虽然疫情对网络安全公司影响严重，但是从全年的角度来看，我们仍然认为网络安全公司会保持着稳定甚至高速的增长，主流的大型网络安全公司：奇安信(+35%)、安恒信息(+44%)、深信服(+19%)、启明星辰(+18%)、绿盟科技(+26%)均有着不错的市场预期，网络安全的需求，逐渐成为某种“刚性需求”。展望2021 以及未来：机会在哪里？从短期来看，我们认为大部分网安公司在Q4 可能存在一定的交付压力，会有相关业绩结算到21 年Q1，所以考虑到20 年Q1 的低基数，我们认为网络安全公司21年Q1 存在超预期的可能性。从全年以及更远的维度来看，我们认为渗透率提升之下，网络安全的需求逐渐变成个刚需，景气度逐渐上升，板块仍具有整体贝塔机会。安全理念的变革下，攻防型公司具有更强的成长阿尔法，Wind 一致预期显示奇安信、安恒信息、深信服在21 年也将保持40%以上的营收增速。网络安全公司的核心壁垒：完整的防御面以前的观点认为网络安全公司难以构建竞争壁垒，我们认为在从合规需求转向内生需求的过程中，仅仅能提供单个网络安全产品的公司竞争力是非常弱的，能提供整套产品形成联动防御，以及补充上安全服务，形成攻防防御面的网络安全公司在大B 端和大G 段将具有显著优势，从而具有很强的客户黏性和竞争壁垒，我们建议关注具有完整的防御面的全产品链公司。投资策略从进攻的角度，我们推荐奇安信、安恒信息：发展强劲的新安全网络公司，业绩维持高速增长、成长性很强，公司护城河不断加深，预计将持续享有较高的估值溢价；从防守的角度，我们推荐绿盟科技、启明星辰：老牌的网络安全公司，仍具有全产品线布局、强大的直销能力等优点，估值已相对底部，预计具有较大的底部向上弹性；从抗风险的角度，我们推荐深信服：具有强劲渠道和丰富小微客户的网络安全公司，第二增长曲线超融合发展顺利，在保持增长的同时，具有较强的抗风险能力；除上述公司以外，建议关注天融信、山石网科、安博通、迪普科技、美亚柏科、格尔软件。风险提示：疫情反复风险；行业竞争加剧风险；政府预算紧张风险；技术迭代风险（文章来源：天风证券）
黄震速读《2019年中国互联网网络安全报告》（下）
8月11日，国家互联网应急中心(CNCERT/CC)正式发布《2019年中国互联网网络安全报告》，内容涵盖我国互联网网络安全态势分析、网络安全监测数据分析、网络安全事件案例详解、网络安全政策和技术动态等多个方面。今日，“网信天津”带您一图速览2019年我国互联网网络安全状况。来源：网信中国审核：王韶云校对：陈 卓编辑：王 安
袁盎即将发布：《中小企业网络安全报告》
在欧盟网络安全机构即将发布的《中小企业网络安全报告》中，该机构召集了欧洲企业、机构和协会，分享他们对中小企业在面临高度威胁时所面临的主要挑战的看法。一、ENISA：中小企业在线研讨会2020年11月17日，欧盟网络安全署(ENISA)为欧洲中小企业组织了一次在线研讨会，分享他们在应对新冠病毒相关网络安全挑战时努力增强弹性的第一手经验。与会者还对ENISA中小企业网络安全报告的初步结果提出了自己的看法，该报告将在未来几个月发布。中小企业占欧洲GDP的一半以上，是整个欧盟创新和增长的关键驱动力。他们的福祉对经济和社会都至关重要。今年的大流行给这些企业带来了难以置信的压力。中小企业不仅正在进入一个新的数字领域——员工在家工作，企业越来越多地在网上办公——而且它们还面临着更先进、更有针对性的网络威胁。欧盟网络安全机构安全基础设施和服务部门负责人Evangelos Ouzounis博士以主题演讲开启了为期一天的研讨会，主题是该机构与中小企业的合作——从发布最佳实践指南到聚集各社区的利益相关者以提高网络安全意识。来自具有网络安全和信息技术专业知识的中小企业的小组成员讨论了当前的障碍以及他们为提高网络弹性所做的努力。总部位于爱尔兰的BH Consulting创始人布莱恩霍南(Brian Honan)强调了社会工程攻击的危险性。西班牙Leet Security公司首席执行官Antonio Ramos介绍了网络安全能力建设模型和安全治理。奥地利AV Comparatives公司的联合创始人Peter Stelzhammer提供了反恶意软件解决方案的例子。彼得亚雷abrowski波兰的Ceneo.pl讨论网络安全在电子商务领域。该活动突显中小企日益需要正确的工具，以保持领先地位，并在网络威胁发生前做好准备。与会者欢迎欧盟网络安全机构的工作和参与，并表示非常有兴趣参与该机构进一步针对中小企业的倡议。二、中小企业网络安全背景近15年来，欧盟网络安全机构一直在推动网络安全倡议，以帮助中小企业将网络安全融入其数字环境。从2006年和2007年开始，该局出版了两份中小企业资讯报告，为中小企业提供风险评估和管理方法。资讯科技署于2010年发表《中小企持续经营报告》，协助中小企传递资讯科技知识。2015年，《中小企业云安全指南报告》发布，帮助中小企业了解云服务的安全风险和机遇。两年后，该机构发布了针对中小企业个人数据处理安全的指导方针。今年，欧盟网络安全署(EU Agency for Cybersecurity)发布了一系列小贴士，帮助企业在疫情期间应对迅速变化的数字领域:选择和使用在线沟通工具的小贴士;网上买卖时的网络安全小贴士;在家工作时的网络安全小贴士;covid-19大流行期间中小企业的十大网络卫生提示。最近，在2020年11月，欧盟网络安全署(EU Agency for Cybersecurity)和国家网络安全联盟(National Cyber Security Alliance)为中小企业发布了一份联合清单，为大西洋两岸的企业提供了维护数字安全的基本指南。即将发布的《中小企业网络安全:挑战和建议》报告是该机构提高欧洲中小企业网络安全弹性的更广泛工作的一部分。这份报告基于一项长达两个月的公众调查，在调查中，250多家欧洲中小企业确定了他们面临的主要网络安全挑战，以及他们应对最常见的网络威胁的准备水平。
丛林狼美国际战略研究中心发表我国网络安全标准研究报告
2018年8月2日，美国国际战略研究中心（Center for Strategic and International Studies）发布了《中国网络安全标准对在华市场活动的影响-How Chinese Cybersecurity Standards Impact Doing Business in China》报告（以下简称《报告》），对我国网络安全标准化工作进行深入研究，从一个侧面反映了我国网络安全标准化工作取得的进展及其影响。本文从四个方面概要介绍《报告》的主要内容及观点。一、中国网络安全标准快速建立《报告》指出：自从2015年中国网络安全法起草过程以来，中国的主要国家标准机构——国家信息安全标准化技术委员会（TC260）发布了近300项与网络安全相关的标准。这些新标准涵盖了从软件到路由器、交换机和防火墙的产品。2016年8月（网络安全法生效前一年），中国三方政府机构都参与了网络安全标准工作并发表了联合意见，为习近平主席所提出的“网络强国”梦想而努力，也为网络安全法的落实贡献力量。2017年11月，全国人民代表大会颁布了修订后的《中华人民共和国标准化法》，作为中国推动标准体系现代化，以适应工业和技术发展的一部分。同时，中国官员们表示，作为国家标准化工作的一部分，在不久的将来将发布更多的网络安全标准，现在仅是处于早期阶段。二、关于网络安全等级保护2.0《报告》提到，今年6月27日，公安部发布了《网络安全等级保护条例（征求意见稿）》，简称等保2.0。该草案以网络安全法为原则，基于新时代下的新情况对原有的信息安全等级保护体系进行更新。在原有信息安全等级保护的体系下，政府对信息和信息载体按照重要性等级分级别进行保护，共有一级到五级五种标准，其中五级是最敏感的。三级或以上级别便触发了对向关键信息基础设施（CII）出售的ICT产品和服务的一系列监管要求。等级越高意味着公司将受到等保系统的更强监控，因此增加了国外企业的市场准入难度和安全风险。等保2.0虽然降低了3级及以上的知识产权要求，但很有可能会增加对其他领域的审查。例如，该文件可能涵盖以前不属于等保范围的ICT产品，将该计划扩展至所有网络运营商，而不仅仅是CII或政府机构的网络运营商。在等保 1.0制度下，制造业或零售业等行业不会落入等保的监管范围，但等保 2.0将覆盖所有拥有ICT基础设施的行业，因为它涵盖了“网络运营商”这一模糊的类别，可以包括任何使用ICT系统的人。同时，等保 2.0似乎也专注于云计算、移动互联网和大数据。三、关于关键信息基础设施（CII）《报告》提到，在新的网络安全监管制度下，最令人困惑但又重要的问题之一是CII到底是什么。根据网络安全法，被视为CII的实体将面临一系列新要求。然而，政府还没有发布CII的官方定义，也没有解释这些规则是如何与现有的等保系统配合的。现在，CII似乎有两个平行的监管系统:一个是最初的信息安全等级保护系统，另一个是根据网络安全法中规定的新系统。政府没有澄清这两个权利部门之间的关系。此外，两家政府机构(公安部和网信办)对CII拥有重叠的管辖权。在众多争论中，CII标准的发展非常缓慢。关于CII的条例草案中的措词表明，标准将在澄清模糊概念，特别是CII本身的范围方面发挥重要作用，但到目前为止，这方面仍有许多问题。在这些灰色监管区域缺乏透明度的情况下，企业很可能会陷入网络官僚机构中竞争利益相关者之间的交叉口。在网信办获得影响力推进并行CII保护系统之际，公安部可能会寻求实施等保2.0机制，以维护其相关性。CII监管草案表示，负责不同行业的监管机构应在各自的行业内分别确定CII，这一事实进一步加剧了这场地盘争夺战。因此，外国公司可能会受到不公平执法的影响，因为拥有广泛自由裁量权的政府利益攸关方正努力理清相互竞争的监管制度，维护主导权。四、关于密码标准《报告》指出：虽然长期以来一直在审查《密码法》草案，但中国官方媒体最近的一篇文章指出，当局可能正在加速立法进程。如果《密码法》得以颁布和执行，它意味着只能使用预先批准的国内密码产品——这是许多在华外国公司的底线。《密码法》草案还包含涉及国家安全的模糊性解密要求(《中国反恐法》中也有这一规定)、访问数据和没收设备的现场检查，以及对某些密码产品和服务的国家安全审查。《密码法》将通过扩大政府监管和中国首个统一密码制度下的准入，显著加强中国国家密码管理局的执法权力。因为这一法律仍在编写中，它很容易成为另一个“后门(backdoor)”报复工具。研究与密码相关的现有标准可以发现，政府有着广泛自由裁量权的途径。首先，虽然许多与密码有关的中文标准都采用国际标准，但其中还包括对使用中国国家密码管理部门批准的算法的修改，数据完整性、数字签名等内容的相关标准都是如此；其次，政府在要求公司进行与密码要求相关检查过程中提供什么有很大灵活性，密码模块安全测试要求的有关标准规定“举证责任在被检查的公司。”中国政府认识到，对外国企业来说，要想留在中国市场，执行成本太高。现行法规中的一项豁免规定允许公司申请批准使用外国生产的商业密码产品。但在贸易战下，这些可能性都会消失。五、网络安全标准为在华外企带来的挑战《报告》指出：中国政府可以使用标准来迫使企业进行深入的产品审查，其中敏感的知识产权（IP）和源代码（即使企业并没有清晰明确的代码）可能需要作为验证和测试的一部分。为了符合中国的部分标准，外国公司还可能需要重新设计中国市场的产品，尽管这与国际标准并不兼容。中国的这些标准也为本土企业创造了竞争优势。在并不清晰的标准下，受本土思想的影响，中国监管机构也可能认为中国公司的安全性更好，并因此认为没有外国政府影响的情况更加“可控”。同时，官方将大多数标准列为“推荐标准”，但在与政府或者国有企业合作时，企业必须满足其中的许多条目。除政府之外，一些普通的中国客户可能也不会从缺乏特定标准认证证书的供应方购买产品（需满足的标准随着商业和产品的不同而不同）。随着中美双边紧张局势加剧，新的网络安全审查制度相关的标准很可能是中国在贸易战中使用的第一批反击美国公司的工具。他们为中国政府延缓市场准入所需的许可证或执照的发放，或者关闭一家在中国已经取得成功的公司提供了依据。总体来看，网络安全标准为外企在中国境内的营业活动增加了难度，不仅影响其企业安全，还增加了其销售成本，监管标准的模糊也为企业经济活动带来困难。随着中美贸易战的升级，这些成本很难被量化计算。对外企而言，他们必须熟悉掌握监管环境的层次性和模糊性，在处理中国市场时应格外注意这一点；同时，正如我们所知，标准和法律中用语模糊往往是为了将不同利益团体集合到一起，外企也可以积极寻找有一致利益的团体。最后，无论如何，美国企业必须清楚地认识到一系列行为的可能后果，网络安全标准或许不会造成最大的冲击，但这将会是影响中美技术和商业合作关系的重要因素。
龙黄蜂云安全专题报告：网络安全的未来在云端
（报告出品方/作者：开源证券，陈宝健、刘逍遥）1、 云安全市场正处于发展黄金时期1.1、 云基础设施的投资以及网络攻击的不断增长，推动云安全市场快速发展关于云安全的定义，目前有两种观点：一种是云计算安全，主要是对云自身的安全保护，包括云计算应用系统安全、云计算应用服务安全、云计算用户信息安全等； 另一种安全云计算，通过使用云的形式提供和交付安全，即通过采用云计算技术来提升安全系统的服务性能，如基于云计算的防病毒技术、挂马检测技术等。我们认为 随着云计算的普及，两个概念将实现融合发展的趋势，即以利用云计算的方式为云计算业务提供安全保护。Gartner 在《secure-access-service-edge》报告中论述了类似的观点，即未来云安全将会变成单纯的安全。一方面，云化的基础设施和平台需要安全防护，用传统安全手段赋能云计算；另一方面，云计算的各种新技术、新理念（如软件定义、虚拟化、容器、编排和微服务等），也在深刻变革着当前的安全技术发展路线，因而，未来的云安全，一定会将“云”这个定语去除，等价于安全本身，即安全技术必然覆盖云计算场景，安全技术必然利用云计算技术。考虑到云安全目前所处的发展阶段，本篇报告中我们主要围绕云计算安全（第一种定义）进行讨论。云安全几乎是伴随着云计算市场而发展起来的，云基础设施投资的快速增长， 无疑为云安全发展提供土壤。根据 Gartner 的预测，2021 年全球最终用户在公有云服务上的支出将增长 18.4%，达到 3049 亿美元，高于 2020 年的 2575 亿美元。特别是 在 COVID-19 危机之后，转移到云的 IT 支出比例将加速增长。Gartner 预计，到 2024 年，云服务将占全球企业 IT 总支出的 14.2%，远高于 2020 年的 9.1%。在云计算发展面临的挑战中，安全和隐私排在了首位。在全球数字化转型的浪潮席卷下，越来越多的企业开始应用云计算技术。资源集中使云平台更容易成为黑客攻击的目标，云上安全问题也更加突出。IDC 调研显示，云计算所面临的挑战中， 安全问题排在首位。且 2019 年 RSA 大会上，云安全已跃居热词榜首。与传统 IT 体系相比，云计算面临着更多的风险点。一是传统安全边界的消失：传统安全以边界为核心，而虚拟化技术使得传统安全边界消失，基于物理安全边界的方式难以在云计算环境下得以应用；二是用户具有动态性：云计算环境下，用户的数量和分类变化频率高，具有动态性和移动性强的特点，静态的安全防护手段作用被削弱，安全防护措施需要进行动态调整。三是更高的数据安全保护要求：云计算将资源和数据的所有权、管理权和使用权进行了分离，资源和数据不在本地存储，用户失去了对资源和数据的直接控制，再也不能像传统信息系统那样通过物理控制、逻辑控制、人员控制等手段对数据的访问进行控制。面对用户数据安全保护的迫切诉求和庞大的数据规模，云计算企业需要具有更高的数据安全保护水平和更先进的数据保护手段，以避免数据不可用、数据泄露等风险。四是多种外部风险：云计算企业搭建云平台时，可能会涉及购买第三方厂商的基础设施、运营商的网络服务等情况。基础设施、网络等都是决定云平台稳定运行的 关键因素。因此，第三方厂商和运营商的风险管理能力将影响云计算企业风险事故的发生情况。同时，云计算企业在运营时，可能将数据处理与分析等工作分包给第三 方合作企业，分包环节可能存在数据跨境处理、多方责任难界定等风险。云原生技术逐渐成为云计算市场新趋势，所带来的安全问题更为复杂。以容器、 服务网格、微服务等为代表的云原生技术，正在影响各行各业的 IT 基础设施、平台 和应用系统，也在渗透到如 IT/OT 融合的工业互联网、IT/CT 融合的 5G、边缘计算 等新型基础设施中。随着云原生越来越多的落地应用，其相关的安全风险与威胁也不断的显现出来。Docker/Kubernetes 等服务暴露问题、特斯拉 Kubernetes 集群挖矿事件、Docker Hub 中的容器镜像被“投毒”注入挖矿程序、微软 Azure 安全中心检 测到大规模 Kubernetes 挖矿事件、Graboid 蠕虫挖矿传播事件等一系列针对云原生的 安全攻击事件层出不穷。CSA 云安全联盟对行业专家进行了一次调查，根据调查问卷结果从 20 个 concerns 中选出最严重的 12 个，包括:数据泄露；身份、凭证和访问管理不足；不安 全的接口和应用程序编程接口（API）；系统漏洞；账户劫持；恶意的内部人员；高级 持续性威胁（APT）；数据丢失；尽职调查不足；滥用和恶意使用云服务；拒绝服务 （DoS）；共享的技术漏洞。云安全责任共担模式在业界已经达成共识。在海外，亚马逊 AWS、微软 Azure 均采用了与用户共担风险的安全策略。对 IaaS 服务来说，云服务提供商（CSP）需 保障物理、网络和虚拟化层面的安全，而用户需要保障操作系统、应用程序和数据的安全；对 PaaS 服务来说，操作系统安全也归 CSP 负责，用户只需要负责应用程序和 数据安全；对 SaaS 服务来说， 用户要负责的就是数据安全，而其他所有的部分都 是 CSP 的保障范围。近年来云服务提供商(CSP)均在努力提升其安全能力，保护其基 础设施和产品安全。依据责任共担模型，云安全市场的参与者主要分为两类，一类是云服务提供商 （CSP）。亚马逊 AWS、微软 Azure、阿里云等云厂商对云基础设施安全的重视程度 逐渐提升。以 AWS 为例，AWS 从四个方面对云安全提供了相应的解决方案，包含了 ID 访 问控制，检测式控制，基础设置保护和数据保护，为用户提供云上安全。另一类是专业的安全厂商，主要负责保护用户侧云安全。McAfee、Palo Alto 等 老牌的安全厂商不断通过自研+兼并收购完善云安全技术和产品布局；Zscalar、 Crowstrike 等新兴安全云厂商迅速发展。1.2、 CASB、CSPM、SASE 等新技术不断涌现，推动云安全市场创新发展从责任共担模型和云原生两个维度出发，云安全产品可以大体分成三大类：一 是传统安全设备的云化。在传统的数据中心中，安全防护通常是通过在安全域入口 部署专用的安全设备来实现的，比如防火墙、IDS、IPS 等。在虚拟化的云环境下， 传统的安全防护设备不再发挥作用，因此出现了相对应的虚拟防火墙，虚拟 IDS、 IPS。第二类是云服务提供商（CSP）为配套云服务而提供的安全产品，常见的有威胁检测、云数据库安全、API 安全、容器和工作负载安全、用户行为监控、合规与风险 管理等。第三类则是基于云原生应运而生的“新安全”产品和服务，包括 CASB（云访问安全代理），CSPM（云安全配置管理），CWPP（云工作负载安全防护平台），SASE （安全访问服务边缘模型）等。其中，CASB 作为部署在客户和云服务商之间的安全 策略控制点，是在访问基于云的资源时企业实施的安全策略。而 CSPM 产品通常使用自动化方式来解决云配置和合规性问题。CWPP 作为一项以主机为中心的解决方案，主要是满足这些数据中心的工作负载保护需求，因此，主要适用于 IaaS 层。根据 Gartner 最新发布的《2020 年云安全技术成熟度曲线》，与 2019 年对比， CASB（云访问安全代理），CSPM（云安全配置管理），CWPP（云工作负载安全防护平台），SASE（安全访问服务边缘模型）等新兴技术均实现了快速发展。CASB（云访问安全代理）Gartner 将云访问安全代理市场定义为解决云服务使用过程安全漏洞问题的产品和服务。CASB 为多云管理提供了一个中心位置，提升对用户活动和敏感数据的细 粒度可见性和控制。CASB 相当于一个超级网关，融合了多种类型的安全策略执行 点。在这个超级网关上，能够进行认证、单点登录、授权、凭据映射、设备建模、数 据安全（内容检测、加密、混淆）、日志管理、告警，甚至恶意代码检测和防护。根据 McAfee 官网资料，CASB 核心价值是解决深度可视化、数据安全、威胁防护、合规性这四类问题：(1) 深度可视化—CASB 提供了影子 IT 发现、组织机构云服务格局的统一视图以及从任何设备或位置访问云服务中数据的用户的详细信息。(2) 数据安全性—CASB 能够实施以数据为中心的安全策略，以防止基于数据分类、数据发现以及因监控敏感数据访问或提升权限等用户活动而进行有害活动。通 常是通过审计、警报、阻止、隔离、删除和只读等控制措施来实施策略。DLP（数据 丢失防护）功能很普遍，并且是仅次于可视化的最常用的一项控制措施。(3) 威胁防护—CASB 通过提供 AAC 来防止有害设备、用户和应用程序版本来 访问云服务。可以根据登录期间和登录之后观察到的信号来更改云应用程序功能。 CASB 此类功能的其他示例包括通过嵌入式 UEBA 识别异常行为、威胁情报、网络 沙箱以及恶意软件识别和缓解。(4) 合规性—CASB 可帮助组织机构证明，是组织机构在管理云服务的使用情况。 CASB 提供了信息来确定云风险偏好并确定云风险承受能力。通过各种可视化、控制和报告功能，CASB 有助于满足数据驻留和法律合规性要求。CASB 市场正处于高速发展阶段。根据 Gartner 预测，到 2022 年，60%的大型企业将使用 CASB，是 2018 年年底使用 CASB 的数量的三倍。而根据 Apps Run The World 预测，全球 CASB 市场规模将从 2018 年 21 亿美元增至 2023 年的 157 亿美 元，年复合增长率将达 49.0%。目前，CASB 在云安全市场已经成为一项较为普及的技术，包括 McAfee、 Netskope、Symantec、Microsoft、Oracle、Forcepoint、Cisco 在内的知名安全厂商均 在 CASB 领域布局。根据 Gartner 发布的 2020 年云访问安全代理（CASB）魔力象 限，CASB 市场的主要领导者为 McAfee、Netskope、Microsoft 和 Bitglass。CSPM（云安全配置管理）在谈及云工作负载的安全防护的时候，一般分为三个部分去考虑，分属于两个平面。一个是数据平面，一个是控制平面。在数据平面，主要包括针对云工作负载本 身进行防护的 CWPP（Cloud Workload Protection Platforms），以及云工作负载之上的 CWSS（云工作负载安全服务）。CWSS 是在云工作负载之上对负载进行安全防护。 在控制平面，则都是在负载之上对负载进行防护的措施，就包括了 CSPM，以及前面 的 CWSS。CSPM 能够对 IaaS，以及 PaaS，甚至 SaaS 的控制平面中的基础设施安全配置进行分析与管理。这些安全配置包括账号特权、网络和存储配置、以及安全配置（如加密设置）。理想情况下，如果发现配置不合规，CSPM 会采取行动进行纠偏。云安全态势管理(CSPM)四大核心功能：一是可见性。提升云基础架构资产和安 全配置的可见性，用户可以跨多云环境和帐户访问单一的来源。配置错误、元数据、 网络、安全和更改活动等信息在部署时就会被发现。跨帐户、区域、项目和虚拟网络 的安全组策略可以通过单个控制台进行管理。二是配置分析和管理。CSPM 通过将云应用程序配置与行业和组织基准进行比较，从而消除安全风险并加快交付流程，以便实时识别和纠正违规行为。配置错误、 开放 IP 端口、未经授权的修改以及使云资源暴露的其他问题可以通过引导式补救来修复，并提供护栏来帮助开发人员避免错误。存储受到监视，因此始终具有适当的权限，并且数据永远不会意外地向公众开放。此外，还监视数据库实例，以确保启用高可用性、备份和加密。三是持续威胁检测。CSPM 通过有针对性的威胁识别和管理方法消除多云环境安全警报的噪音，主动检测整个应用程序开发生命周期中的威胁。由于 CSPM 侧重于对手最有可能利用的区域，漏洞根据环境确定优先级，并且无法将易受攻击的代码用于生产，因此警报数量减少。CSPM 还将持续监视环境，通过实时威胁检测来监 视环境中的恶意活动、未经授权的活动和对云资源的未经授权的访问。四是 DevSecOps 集成。CSPM 可减少开销，并消除多云提供商和帐户之间的摩 擦和复杂性。云原生、无代理状态管理提供对所有云资源的集中可见性和控制。安全 操作和 DevOps 团队获得单一的真相来源，安全团队可以阻止受损资产在应用程序生 命周期中取得进展。 根据 Gartner 预测，2019 年，全球 CWPP 市场规模为 12.5 亿美元。预计到 2023 年，这一领域将达到 25 亿美元。云工作负载保护平台（CWPP）Gartner 将云工作负载保护平台（CWPP）定义为以工作负载为中心的安全产品， 针对现代混合、多云数据中心架构中工作负载的独特保护要求。2016 年，Gartner 首 次推出 CWPP 市场指南，旨在为企业用户推荐全球具有代表性的 CWPP 产品提供商。 在 2020 年的最新指南中，Gartner 已经将 CWPP 产品扩展为多能力&多平台、脆弱性扫描&配置与合规、基于身份的隔离&可视和控制能力产品等七大类别，代表厂商也 涵盖了全球主流安全厂商。IT 系统最初的工作负载形式就是物理服务器。随着 IDC 走向虚拟化，工作负载 演进为虚拟机形式。云服务中容器成为工作负载的主流，而正在出现和发展的工作 负载新形式 Serverless，直接对应用 run-time 虚拟化，改变了传统意义上的服务进程 监听-运行模式，是更加精细粒度的瞬态工作负载。随着云计算和云原生需求的发展， 云工作负载的形式越来越抽象灵活，同时其部署和运行的生命周期也可越来越短。 多种形式和生命周期的云工作负载会长期共存，目前并没出现彼此淘汰的情况，同 时这些演进和共存，也使得抽象化定义很有必要。CWPP 对云上的工作负载，提供多个维度、全方位的保护能力。Gartner 把这种 能力分成了 8 大类别（从上到下，重要程度逐层递增），包括：反恶意软件扫描；具 有漏洞屏蔽功能的 HIPS；服务器工作负载 EDR 行为监测与威胁检测/响应；漏洞利 用预防/内存保护；应用控制/白名单；系统信任保证；网络防火墙、可视性及微隔离； 受限的物理及逻辑访问边界。安全服务访问边缘（SASE）根据 Gartner 的定义，SASE 是一种基于实体的特性、实时环境、企业安全/合规策略，以及在整个会话中持续评估风险/信任的服务。实体的标识可与人员、人员 组（分支办公室）、设备、应用、服务、物联网系统或边缘计算场地相关联。SASE 汇 聚网络(例如，SD-WAN)和网络安全服务(例如 SWG、CASB 和 FWaaS)的功能，主要 以云服务的方式进行交付。根据 Gartner 的定义，SASE 有四个主要特征：（1）身份驱动不仅仅是 IP 地址，用户和资源身份决定网络互连体验和访问权限级别。服务质量、路由选择、应用的风险安全控制——所有这些都由与每个网络连接相关联的身份所驱动。采用该方法，公司企业为用户开发一套网络和安全策略，无需考虑设备或地理位置，从而降低运营开销。（2）云原生架构SASE 架构利用云的几个主要功能，包括弹性、自适应性、自恢复能力和自维护功能，提供一个可以分摊客户开销以提供最大效率的平台，可很方便地适应新兴业务需求，而且随处可用。（3）支持所有边缘SASE 为所有公司资源创建了一个网络——数据中心、分公司、云资源和移动用户。软件定义广域网 (SD-WAN) 设备支持物理边缘，而移动客户端和无客户端浏览 器访问连接四处游走的用户。（4）全球分布为确保所有网络和安全功能随处可用，并向全部边缘交付尽可能好的体验， SASE 云必须全球分布。因此，Gartner 指出，必须扩展自身覆盖面，向企业边缘交付低延迟服务。根据 Gartner 预测，到 2024 年，SASE 市场规模将从 2019 年的 19 亿美元攀升至 110 亿美元。同时，到 2024 年，至少 40%的企业将有明确的战略采用 SASE，而在 2018 年年底这一比例不到 1%。SASE 市场已迎来传统 IT 厂商、云计算厂商、安全 厂商、CDN 厂商等多方势力的角逐，包括思科、VMware、Palo Alto Networks、Cato Networks、Akamai 和网宿科技等。1.3、 长期来看，全球云安全市场规模有望达数百亿美元目前云安全支出占云 IT 支出比例尚处于较低水平。根据 IDC 数据，2020 年全 球云安全支出占云 IT 支出比例仅为 1.1%，充分说明目前云安全支出远远不够，假设 这一比例提升至 5%，那么 2020 年全球云安全市场空间可达 53.2 亿美元，2023 年可 达 108.9 亿美元。云基础设施的投资以及网络攻击的不断增长，将持续推动云安全市场的增长。根据 Million Insights 的最新报告，从 2020 年到 2027 年，全球云安全市场预计将以 14.6％的复合年增长率增长，预计 2027 年全球云安全市场规模将达到 209 亿美元。2、 海外云安全市场：技术创新与兼并整合活跃整体来看，海外云安全市场正处于快速发展阶段，技术创新活跃，兼并整合频繁。一方面，云安全技术创新活跃，并呈现融合发展趋势。例如，综合型安全公司 Palo Alto 的 Prisma 产品线将 CWPP、CSPM 和 CASB 三个云安全技术产品统一融合， 提供综合解决方案及 SASE、容器安全、微隔离等一系列云上安全能力。云安全创业公司 Cloud Passage 的云安全解决方案也综合了 CWPP、CSPM 和 CASB 技术，并且 结合容器安全防护能力，提供统一云安全防护平台。另一方面，新兴的云安全企业快 速发展，同时，传统安全供应商也通过自研+兼并的方式加强云安全布局。例如，Palo Alto Networks 相继收购 Evident.io、RedLock、PureSec 和 Twistlock；Check Point 并 购 Dome9；McAfee 收购了 Skyhigh。2.1、 新兴云安全厂商高速成长，并获得资本市场的高度认可以 Zscaler、Crowstrike、Okta 为代表的新兴云安全厂商不断涌现、高速成长，并 且获得资本市场的高速认可。Zscalar：云安全独角兽Zscaler 是一家提供云安全服务的美国网络安全公司，成立于 2008 年，共拥有超过 4500 家客户，涵盖 185 个国家，包括福布斯 2000 强中的 450 家企业，客户覆盖金融服务、医疗、制造、航空、运输、消费零售、教育等各个行业。 公司四大支柱产品线为：Zscaler Internet Access（ZIA）、Zscaler Private Access （ZPA）、Zscaler Digital Experience（ZDX）和 Workload Segmentation。Zscaler 的旗舰产品是 Zscaler Internet Access（ZIA）和 Zscaler Private Access （ZPA）。Zscaler Internet Access 作为用户和提供商之间的中间层，供用户安全连接 外部托管的应用。Zscaler Private Access，可供安全访问未托管在第三方云的内部应 用。订阅模式下，2017-2020财年Zscaler的收入复合增长率超过50%。截止FY21Q1， 用户续费率达 122%。Crowstrike：云交付的下一代终端安全厂商CrowdStrike 成立于 2011 年，公司构建了 CrowdStrike Falcon 平台来检测威胁并阻止漏洞。依靠 Falcon 平台，公司创建了第一个多租户云原生的智能安全解决方案， 能够保护运行在多个终端的设备。Falcon 平台通过基于 SaaS 订阅模型集成了 11 个 云模块，该模型跨越多个安全市场，包括端点安全、安全和 IT 运维（包括漏洞管理） 以及威胁情报，以提供全面的漏洞保护。公司用户数量高速增长，同时用户粘性强。从用户数量来看，2017-2020 财年， 公司每年的用户数量增长均超过 100%，截止 2021 财年 Q3，公司用户数达到 8416 个，其中覆盖了财富 100 强企业中的 49 家。同时，用户粘性较高，2019 财年至今公 司用户续费率基本维持在 120%以上。2018-2020 财年，公司收入的复合增长率超过 100%。公司收入的高速增长，一 方面得益于公司所处赛道正在高速增长，客户需求旺盛；另一方面则得益于公司产 品的强竞争力。自上市以后，Zscaler 与 CrowdStrike 获得资本市场的高速认可，PS 估值一直处于较高水平。我们认为主要原因有几个方面：（1）赛道。正如前面所述，云安全尚 处于高速发展的赛道，随着产品和技术的成熟，市场空间逐渐打开。（2）竞争力。 Zscaler 与 CrowdStrike 产品获得用户认可，客户粘性高，客户量与单客户 ARUP 值 也在不断提升。因此，过去几年的收入增速保持在较高水平。（3）商业模式。与传统 的安全厂商不同，Zscaler 与 CrowdStrike 以云的方式为企业提供安全服务，商业模 式也从传统的产品销售模式转变为订阅模式。2.2、 传统安全厂商通过自研+兼并，加速布局云安全赛道以 PaloAlto、McAfee 为代表的传统安全厂商在云安全领域纷纷加速布局，动作不断。Palo Alto：下一代防火墙领导者，加速布局云安全Palo Alto 成立于 2005 年，是全球下一代防火墙领导厂商。Palo Alto 下一代防火 墙采用 App-ID、User-ID 和 Content-ID 这三种独特的识别技术，针对应用程序、用 户和内容实现可视化和控制能力。近年来 Palo Alto 在云安全领域一直保持高举高打的态势。2018-2020 年，公司 相继收购了 Evident.io、Red Lock、PureSec、Twistlock 和 CloudGenix 等一系列公司， 加强在云安全领域的产品和技术布局。在一系列的收购与整合之后，2019年 6月，公司正式推出云安全解决方案 Prisma。 Prisma 是唯一在单一平台上以 SaaS 解决方案形式同时提供云安全态势管理和云工作负载保护功能的供应商。Prisma 共包括四大组件：（1）Prisma Access 是安全访问服 务边缘（SASE），可以保证企业分支机构和移动用户，无论处于世界任何角落都能在接入云时受到安全保护。（2）Prisma Cloud 是统一的云原生安全平台，在混合及多云环境中，为整个云 原生技术堆栈、应用和数据提供业界最广泛的安全性和合规性覆盖。2020 年 10 月， Palo Alto 宣布推出包括四个全新云安全模块的 Prisma Cloud 2.0，巩固了其作为业界 最全面云原生安全平台（CNSP）的地位。全新的 Palo Alto Networks Prisma Cloud 模 块包括：数据安全模块、Web 应用与API 安全模块、基于身份的微分段模块、身份和访问管理（IAM）安全模块。（3）Prisma SaaS 为云接入安全代理（CASB），可以实现 SaaS 应用的安全启动。（4）VM-Series 为 Palo Alto Networks 新一代防火墙，虚拟机箱，可部署于私有及云计算环境中。下一代安全产品收入高速增长，在总收入中占比快速提升。Palo Alto 认为下一 代安全产品收入是一个关键的财务指标和运营指标，将其定义为 Prisma 和 Cortex 产 品及服务收入（含 VM 系列和相关服务在内）。2018 财年，公司下一代安全产品收入 占总收入比例仅为 8%，2020 财年这一比例提升至 20%。McAfee：云安全能力不断完善McAfee MVISION Cloud 已经具备较完整的云安全能力。公司于 2017 年收购了CASB 厂商 Skyhigh，重新整合成 MVISION Cloud。目前 MVISION Cloud 已扩展到多个类别，包括 CASB，CSPM，CWPP，容器安全性，SSPM 和 SWG。目前 McAfee成为唯一获得 CASB 2020 Gartner Peer Insights Customer’Choice 荣誉称号的供应商。3、 国内云安全市场：市场空间广阔，尚处于技术追随阶段中国云安全市场空间广阔。根据中国信通院数据，2019 年我国云计算整体市场规模达 1334.5 亿元，增速 38.6%。预计 2020-2022 年仍将处于快速增长阶段，到 2023年市场规模将超过 3754.2 亿元。中性假设下，安全投入占云计算市场规模的 3%-5%，那么 2023 年中国云安全市场规模有望达到 112.6 亿-187.7 亿元。中国云安全市场尚处于创新发展期。根据 Gartner 发布的《2020 年中国 ICT 技术成熟度曲线》，其中，云安全在报告中被列入新兴技术范畴。安恒信息、绿盟科技、 奇安信、深信服、天融信、启明星辰被列为标杆供应商。中国云安全与海外云安全存在较大的差异。因此，Gartner 特意使用了“中国的 云安全”，而非简单的云安全。我们这认为主要由于中国在云计算的发展阶段和云原 生技术的程度上与海外市场还有一定差距。（1）中国私有云市场比公有云市场发展更为领先，对安全资源池等安全机制需求较大。根据绿盟科技的分析，中国的云计 算发展是从虚拟化起步，从私有云到公有行业云，走出了具有中国特色的发展路线。 里程碑是开源的 IaaS 项目 Openstack 在国内兴起，国内厂商，如华为、华三、EasyStack 等企业基于 Openstack 研发了各自的云平台，此时国内的云计算需求主要是将硬件服 务器虚拟化，再加入多租户管理、网络隔离等需求。通常商用私有云系统是封闭的， 缺乏对网络流量按需控制的应用接口，因而，针对这类私有云的安全机制多为安全 资源池，通过路由、VLAN 或开放网络接口将流量牵引到资源池进行处理。（2）从技术应用上来说，中国厂商尚处于追随阶段。Gartner 指出，大多数中国 的安全厂商都聚焦在 CWPP 以保护客户云安全。对于一些新兴的云安全技术，CASB 因为国内缺乏重量级的企业级 SaaS 而导致市场较小；CSPM 则因为国内的公有云相 比私有云、行业云还是较少，尚未得到重视。但随着国内公有云市场的加速发展，云 原生技术的应用越来越广泛，我们认为 CASB、SCPM、SASE 等新兴技术在国内的 应用也将越来越广泛。国内应用较为广泛的云产品为以安全资源池为核心的云安全管理平台。云安全 资源池提供虚拟化的安全能力，如防火墙、WAF、IDS、IPS、堡垒机、数据库审计 等，并通过统一安全管理平台对各类安全能力进行组织和编排，形成整体安全方案。 在这样的架构下，云上流量不需要集中引至同一区域进行集中处理，通过边缘就近 防御的方式降低安全业务带来的网络时延。同时，运营商通常具有多供应商云平台， 对不同云平台的适配和对接也逐渐成为行业标配。根据 IDC 报告，2019 年中国安全 资源池市场的规模达到 7960 万美元，同比增长 78.3%，市场正以强劲的发展趋势快 速扩张，占领部分安全解决方案市场，奇安信、深信服、安恒信息、天融信、绿盟科 技市场份额领先。在新兴云安全技术中，CWPP 在国内的应用相对比较成熟。在国际权威咨询机 构 Gartner 发布的《云工作负载保护平台市场指南》中，腾讯云主机安全、阿里云云 安全中心、山石云·格（CloudHive）入选 Gartner CWPP 全球市场指南。Gartner 从 企业用户视角，对云上负载平台的保障需求进行了全面的市场风险分析和处置建议，并以多能力&多平台能力、脆弱性扫描&配置与合规能力、基于身份的分段&可视化 与控制能力、应用控制/预期状态执行能力、服务器 EDR&负载行为监控与威胁监测 /响应能力、容器与 K8S 保障能力、无服务器保障能力七大能力矩阵为企业用户推荐 全球具有代表性的 CWPP 服务提供商。阿里云和腾讯云入围“全功能、多系统”的 全球供应商，山石网科的微隔离可视化云安全产品——山石云·格（CloudHive）成 功入选指南中“基于身份的分段&可视化与控制能力”分类。SASE 在国内市场均处于新风口。2020 年 9 月 10 日，深信服基于多年的云安全 研究技术及安全产品研发能力重磅发布 SASE 安全产品“云安全访问服务 Sangfor Access”，标志着深信服将全面进入安全能力的云化交付时代。云安全访问服务的主 要三大服务为 SIA、SPA 和 SAP，这三大服务集结多个安全模块，为用户提供从上 网安全管理、业务安全接入到大数据威胁分析的全方位安全保障。服务一：Sangfor Internet Access（SIA）聚焦上网安全服务，可解决上网侧，包括对终端、SaaS 应用进行访问的安全问 题。通过 SD-WAN 接入服务引流实现流量上云，搭配身份认证、恶意 URL 过滤与流 量管理、数据泄密管控、终端安全、安全智能防火墙等安全模块对流量进行管理，从 而在用户终端与互联网/应用服务之间隔离出一块安全缓冲区，建立企业安全建设的 新防线。服务二：Sangfor Private Access（SPA）聚焦内网接入安全服务，可解决私有数据中心访问的安全问题。提供基于 SDP 的云 VPN 接入，基于身份的权限控制、认证等模块，确保企业员工、合作伙伴在任 何地方任何时间通过全球各地 POP 点网络访问业务时更安全、更隐私、更稳定的访 问体验。服务三：Sangfor Analytics Platform（SAP）聚焦安全智能分析服务，可解决端到端访问的安全风险分析问题。通过大数据、 人工智能、UEBA 等技术手段或模型分析安全风险，并启动威胁预警，帮助企业建立云端大数据分析平台，实现端到端访问时企业数据资产、安全威胁可视可预警。（详见报告原文）（本文仅供参考，不代表我们的任何投资建议。如需使用相关信息，请参阅报告原文。）精选报告来源：【未来智库官网】。
