因為網(wǎng)絡安全行業(yè)的服務特性 規(guī)模小是必然的結果

網(wǎng)絡安全概念的變化反映出安全的覆蓋面在不斷擴大，不同領域背景的人，對網(wǎng)絡安全概念的認識也不盡相同，并在其中出現(xiàn)一些理解上的混亂。比如信息安全，政府人員就容易認為是指信息保密。通信領域的人員就認為是不良信息、垃圾郵件。IT 人員會認為是信息系統(tǒng)安全。還有一種混亂情況是范圍的界定。比如，有人認為電磁防泄露不屬于網(wǎng)絡安全。再比如，利用電話或網(wǎng)絡社交工具進行的詐騙、勒索也不屬于網(wǎng)絡安全。還有，對人為物理破壞或自然災害的防范也不屬于網(wǎng)絡安全。本部分內容試圖給出網(wǎng)絡安全的概況性定義、本質和一些相關特性，當然這只是一家之言，謹供業(yè)內人士思考與討論。

網(wǎng)絡安全的核心概念：網(wǎng)絡與對抗

從網(wǎng)絡安全概念的演化可以看出， “網(wǎng)絡與信息系統(tǒng)” 和 “攻防對抗” 是網(wǎng)絡安全最為核心的兩個關鍵詞。其中，網(wǎng)絡與信息系統(tǒng)即是攻防對抗的目標也是手段。因此，網(wǎng)絡安全的本質或概念可以簡單概括成一句話：基于或面向網(wǎng)絡與信息系統(tǒng)展開的對抗過程?！盎凇?是指把網(wǎng)絡與信息系統(tǒng)當作工具或手段，“面向” 則是指攻防的目標對象就是網(wǎng)絡與信息系統(tǒng)。由于網(wǎng)絡的無處不在，攻防雙方的目標可能為陸、海、空、天等空間中的任意對象，不僅僅是由電子設備、通信網(wǎng)絡及應用程序、文檔數(shù)據(jù)等構成的網(wǎng)絡與信息系統(tǒng)本身，還包括與之相關聯(lián)的實體設施，甚至是輿論思想和人身安全。這也正是網(wǎng)絡空間安全概念提出的真正意義所在。

網(wǎng)絡安全的層級外延：事件、威脅與風險

網(wǎng)絡安全概念的解釋，從攻的角度，電子設備的破解、通信協(xié)議的劫持、信息數(shù)據(jù)的盜竊，從防的角度，為防止數(shù)據(jù)的無意丟失和泄露采用的數(shù)據(jù)加密，維護網(wǎng)絡與信息系統(tǒng)的穩(wěn)定運行，甚至是為了防止人為破壞或自然災害所采用的系統(tǒng)備份、網(wǎng)絡保險等手段，均屬于網(wǎng)絡安全的范疇。但在現(xiàn)實中，對抗性質不明顯的防范或保護，往往被列入相關技術范疇，比如保障系統(tǒng)穩(wěn)定運行，歸為網(wǎng)絡運維，數(shù)據(jù)備份則歸到存儲。

圍繞網(wǎng)絡安全，有三個詞最為常用：事件、威脅與風險，后兩個詞還經常被很多人混用。但實際上，這三個詞之間有著遞進擴展的關系。“事件” 最為直接，它的內含在于對抗，發(fā)生安全事件時，所做的應急、響應、處置等第一時間的行為?！巴{” 的內含是預防，在威脅變成事件之前的保護。比如，系統(tǒng)存在漏洞但還沒有被利用，就是典型的威脅，需要更新系統(tǒng)打補丁?！帮L險” 的內含是控制，因為風險是不可避免的，而資源是有限的，所以要將風險控制在可接受的范圍內。比如業(yè)務連續(xù)性，災難備份等?！笆录?最為直接，發(fā)生了事情必須解決?！巴{” 是未發(fā)生或未發(fā)現(xiàn)的事情，用戶的感受雖然不那么直接，但威脅防御也有對抗的性質，只不過是對抗過程的延伸。“風險” 的概念最為廣義，對抗的內含也最為泛化（如與自然災害的對抗），而且理論上投入多少資源都無法杜絕風險。因此，用戶在風險上的投入也最不敏感。

網(wǎng)絡安全的技術特性：伴生

網(wǎng)絡安全技術是隨著信息技術的出現(xiàn)而出現(xiàn)的伴生性技術。由于網(wǎng)絡與信息系統(tǒng)的環(huán)境、場景、對象、技術、產品的復雜性和多樣性，網(wǎng)絡安全需求不可避免的呈現(xiàn)出行業(yè)化、場景化、碎片化、規(guī)模小等特征。舉個例子，居住是生活的基礎性需求，裝修則是伴生性需求。一個現(xiàn)代化企業(yè)的信息系統(tǒng)是必需的，但保護信息系統(tǒng)的安全就是伴生需求。但在某些極端情況下，如業(yè)務信息系統(tǒng)是企業(yè)的命脈時，對安全的伴生需求就會成為剛需。比如，完全依賴線上銷售的電子商務，抗 DDoS 就是必要需求。以知識產權為核心競爭力的科技公司，重要資料的保護就是必要需求。

網(wǎng)絡安全的行業(yè)特性：服務

業(yè)內有很多人在談到 to B 業(yè)務難以做大的話題時，往往會強調 to B 與 to C（面向企業(yè)還是面向消費者）的區(qū)別。但我認為，與其強調 BC 的區(qū)別，不如強調服務與標準化產品的區(qū)別。因為前者只是表現(xiàn)形式上的區(qū)別，后者則是本質上的區(qū)別。我們知道，B 與 C 的區(qū)別在業(yè)務流程、銷售環(huán)節(jié)、產品迭代、運營手法上有著很大差異，但實際上，to C 業(yè)務一點也不比 to B 業(yè)務簡單。雖然后者的環(huán)節(jié)較多，比如需要有售前的崗位、不斷的打磨產品、長期的建立客戶關系等，可 to C 產品一樣會有復雜的銷售鏈條、渠道代理、品牌營銷、區(qū)域特色、地方保護、門店連鎖等等，一點不比 to B 業(yè)務好做，而且 “死亡” 概率要比 to B 高得多。再反觀國外，IBM、微軟、甲骨文、Adobe、AWS 這些做企業(yè)服務的公司照樣可以做的很大。所以，影響規(guī)模大小的不是 BC 的區(qū)別，而是服務與標準化產品的區(qū)別。前者天生就是碎片化1 的，后者則容易形成巨頭。

［1］ 平臺性質的服務除外。如社交、共享、電商、云計算等。

網(wǎng)絡安全屬于服務性質的行業(yè)，類似的如餐飲、銀行、保安、醫(yī)療等行業(yè)，除了快餐連鎖、突破性藥品這樣的標準化產品，沒有哪家以提供服務為主的行業(yè)能形成巨頭。同樣，網(wǎng)絡安全公司，除了防火墻、個人安全軟件這種偏標準化且能夠普及的產品，沒有任何一個細分領域能達到較大規(guī)模。

與網(wǎng)絡安全行業(yè)最為相似的一個行業(yè)就是醫(yī)療衛(wèi)生。醫(yī)院無法包治百病，安全也做不到百分之百。醫(yī)院非常依賴經驗積累，最有價值的是醫(yī)生，安全也一樣，最值錢的是高級安全專家。而且醫(yī)療行業(yè)是非常碎片化的，世界上沒有一家醫(yī)療機構能夠做到類似于社交、電商、搜索、手機、芯片、操作系統(tǒng)、應用軟件等領域具備統(tǒng)治力的企業(yè)巨頭。據(jù)安全牛統(tǒng)計，全世界所有安全業(yè)務年收入超過十億美元的企業(yè)（約 17 家左右），全部加起來也只占到全球網(wǎng)絡安全收入的 30%，其余 70% 的收入來自數(shù)量繁多的中小微企業(yè)。有一個數(shù)據(jù)可能會讓業(yè)內人士感到意外，網(wǎng)絡安全行業(yè)最大的細分領域不是防火墻，而是安全咨詢服務，收入規(guī)模是防火墻的兩倍（約 200 億美元2）。而且在 17 家安全業(yè)務達到年收入 10 億美元以上的企業(yè)中，有五家是咨詢公司，從數(shù)字的角度佐證了網(wǎng)絡安全是一個不折不扣的服務性行業(yè)。

［2］ 以 2018 年千億美元的全球市場規(guī)模計算，防火墻超過 100 億，個人安全軟件 50 億，SIEM 25 億，其他產品最多的也就 10 億左右，而且高度定制化。

超大型企業(yè)會自己建醫(yī)院，同樣也會成立自己的安全公司。大型綜合醫(yī)院對應全產品線廠商，專科醫(yī)院對應技術細分廠商，細菌病毒對應惡意代碼，疑難雜癥對應 APT（高級持續(xù)性威脅），手術急診對應安全部署或事件響應，醫(yī)生處方對應解決方案，醫(yī)療顧問對應安全咨詢，定期體檢對應掃描監(jiān)測，日常保養(yǎng)對應安全運維，醫(yī)藥器械生產商對應安全軟硬件廠商……

伴生需求也就意味著可要可不要，再加上應用場景和行業(yè)的復雜化，以及網(wǎng)絡安全行業(yè)的服務特性，因此規(guī)模小是必然的。但這種狀況在未來會發(fā)生根本性的轉變，為什么這么說呢？或者說網(wǎng)絡安全的未來會怎樣呢？