毋容置疑，网络安全市场在中国乃至全球都是很热门的话题，与美国成熟巨头企业相比，现在我们中国的企业，无论是大型企业还是创新型企业，都面临着一个问题，就是企业未来往哪个方向发展，今天围绕这个主题阐述一下个人观点，希望对大家帮助。
Part 1
从全球视角看中国IT安全市场发展规律
美国网络安全市场有多大？
首先，拿美国市场来做一个参照，看看网络安全市场发展的规律。美国是全球最大的网络安全市场，美国的网络安全市场大到什么程度呢？据IDC统计数据，美国的网络安全市场规模相当于的第二、第三、第四名加起来的总和，占全球44.2%的市场份额。所以它的市场是足够庞大的。
美国安全市场有什么特点？
第一，是在成熟的市场中存在寡头垄断的规律。全球IT安全服务、IT安全软件、IT安全硬件，前几名头部的客户决大多数都是美国本土化“巨无霸”公司，例如，IT安全硬件市场头部厂商包括：思科、Palo Alto、赛门铁克、Check Point（以色列公司）、IBM；IT安全软件头部市场包括：赛门铁克、McAfee、趋势科技（台湾）、Dell、IBM；IT安全服务头部厂商包括：Dell、IBM、HP、德勤、埃森哲。市场发展越成熟，这些头部厂商所占的市场份额就会越大。
是不是发展到一定程度这个市场规模再增长就很难了呢？答案是中性的，如果没有持续创新能力，市场规模确实会达到瓶颈。但美国市场多年保持持续的创新，因此，第二个规律就是持续创新会带来新的市场机遇。
举几个例子，从安全网关发展历程看，2000年之前，边界防护依赖简单包过滤防火墙，它不检测连接状态，难以抵御基于半连接的攻击，所以思科推出了状态检测包过滤技术，使得思科至今仍牢牢占据着这个市场的领导地位。
但是，这个市场发展到一定阶段后，又出现了新的问题：因为防火墙无法识别网络病毒，企业不得不买更多的安全网关产品串联在网络中，给企业带来两个主要问题，简单讲就是投资大、网络访问延迟大。此时，飞塔推出了UTM产品，重新创建了一个新的安全网关子市场。
再往后，Polo Alto推出下一代防火墙，解决应用识别和控制的问题，整体架构颠覆式重构，在安全能力和性能方面都得到很大的提升，很快成为全球的主流。
面向未知威胁，网关类产品束手无策，这个时候FireEye推出了APT产品，很好的帮助客户识别0day攻击，提高网络防御效果。由此可见，美国安全市场的创新速度是非常地迅速的。上述这两个规律是我们看到的美国市场的规律，同时也是适用于全球各个市场的规律。
中国网络安全市场现状如何？
中国的网络安全市场占比全球的整体市场占有率为5.9%，跟美国相比还是有很大差距的。但是其实中国GDP的增速很快，这也是一件好事儿，说明中国市场还有很大的发展潜力。
成熟的市场中存在寡头垄断的规律，在中国市场也逐步显现出来；头部厂商聚集效应明显，中国IT安全软件市场前6名占整个市场的34%；而在美国，前6名占31%。同样，在IT安全硬件市场，中国市场前六名占比是52%，美国市场前六名（不一定是美国企业）占整个市场份额的64%。
IT安全软件市场TOP6企业占比（中国 vs. 美国）
IT安全硬件市场TOP6企业占比（中国 vs. 美国）
为什么硬件市场前6名占比相较于软件市场高那么多？因为IT安全硬件市场相对是一个更为成熟的市场，所以寡头垄断效应更明显。而IT安全软件市场，随着云的出现，带来了大量的IT安全软件创新技术的出现，虽然头部在聚焦，但是没有聚焦到像硬件这么成熟的水平，这是整个市场发展的规律。企业在制定自己的发展战略时，其实可以从这个数字里找出一些灵感，思考我们应该在哪个方向发力。
在中国有一个挺大的问题，就是我们的创新力不够。今年美国的RSA大会，沙盒比赛前十名中没有中国的厂商，说明了什么？
虽然我们现在有大量的初创公司，但是在创新力上亟待加强。为了寻找中国网络安全市场的创新企业，帮助他们能够与资本更为顺利的对接，IDC从2016年开始对IT安全的创新市场进行跟踪和分析，目前，IDC创新计划的名录里已经收录了几十家中国的网络安全创新型企业，希望未来在他们中间，能够有企业可以在全球瞩目的RSA大会上崭露头角，进入前十名。 这也将意味着中国网络安全市场进入到了另一个更高的层面。
小结：当一个市场成熟以后，会出现寡头垄断的规律；市场只有不断创新，创造出更多的子市场，才会拉动整个市场规模不断扩大。
Part 2
企业制定清晰的发展战略至关重要
做好企业发展战略的重要性
了解市场规律有助于网络安全企业制定自身的发展战略。那么，企业做好自身发展战略的重要性在哪里呢？首先，全球网络安全市场的发展是很快速的，与美国相比，中国复合增长率达到24.9%的增速，这个背景是很好的，市场前景是很好的。此时，企业可以自己衡量一下，我们自己的发展增速每年是不是达到了这样一个复合增长率的水平，因为我们现在看到，中国有很多的新兴公司的增速是很快，包括像华为、华三这样的公司，他在安全硬件收入上增速也是很快的；但有高增速的企业，也意味着一定有一些企业的增速很低，平均下来才能达到24.9%的均值。在这么好的市场背景下，企业不制定一个科学的发展战略，可能就会发展的不好，这是第一点。
第二点，我们现在已经迎来了中国历史上网络安全发展的最佳时期。国家《网络空间安全战略》里提到两个一百年，这两个一百年期间国家将持续提升在网络安全空间上的投入，第一个一百年就是建党一百年，也就是2021年，这个节点很快就要到了，在这几年过程中一定会在整个市场出现高速发展、百家争鸣的炙热状态。第二个一百年是1949-2049年，这给了我们一个很好未来预期。
时代要变了，网络安全行业未来可期
今年5月13号，网络安全等级保护2.0出炉，2.0和1.0最实质的差别就是受众点不同。等保1.0是IT安全企业去找最终客户谈：“你得做安全建设，做等保建设”是求人的状态。而对于最终客户来讲是无所谓的，而且当资金紧张的时候，很多IT系统首先砍掉的就是安全的预算，他们普遍抱着即便受到攻击也影响不大的心理。而到了等保2.0时代，不建网络安全防御体系，可能法人将会承担直接的法律责任，也就是说可能是属于一种违法的行为，尤其对国企、央企这种大型企业，此时，他们会主动地思考建网络安全防御体系，他们反过来会找到网络安全厂商主动询问：“你们有没有网络安全解决方案？能否帮助我们通过等保，并且在此基础上更好地保护？”。在等保2.0时代，安全企业要抓住这个很好的形势发展自己，就必须要有一个科学的企业发展战略。
另外，现在我看到一个明显的变化就是安全建设成为刚需。据IDC统计，从2018和2017年行业投入对比看，制造业增速达到70.3%，这确实是一个很高的增速，它背后的故事是这样的：第一，原来的制造业安全投入很少，即基数小。第二，国务院发布《深化“互联网+先进制造业”发展工业互联网的指导意见》，其中强调要做工业的平台、工业APP，所以在这样一个背景下，客户会主动地考虑安全问题。在工控环境下，一旦遭受到黑客的攻击，负面影响是非常大的。因此我们看到，现代网络安全建设，除了政策推动，有很多是真正的刚需，大家已经切身意识到面临的这种严峻的情况。
Part 3
企业发展战略决定未来命运
网络安全企业该如何做？
我认为现在是冰火两重天，为什么？中美贸易摩擦，可能令整个IT行业在未来的发展受阻或增速下降；但是，我们去年做了一轮分析，贸易摩擦对所有的ICT行业市场和技术会有怎样的影响？目前看，只有对网络安全市场是正向的，而其他行业市场或多或少都会有一些负面的影响。其实也很容易理解，网络空间作为陆、海、空、天外的第五维疆土，现在已经受到国家高度重视，在这样一个政治背景下，国家一定会加大网络安全建设的投资，所以我们看到大背景很好，事实上有很多的创新型企业，他们在公开宣传时候都已经拿到了上亿的融资金额。因此，目前看网络安全行业没有受到贸易摩擦的冲击。
但是我们也要看到另外一点：IDC预测，“到2019年，全球大约有1,400家公司提供网络安全服务或重要产品。到2023年，网络安全公司的数量将比2019年下降近40％。“全球网络安全的趋势现在已经到了一个拐点。一方面，机器学习、AI和安全自动化工具正在逐步取代分析人员的工作，并提高了安全创业的准入门槛。另一方面，预示着全球在网络安全投资的机构成功退出的项目也会越来越多。美国的创新型企业的退出机制做得非常好，很多公司做好了以后就会被大公司收购，资本层面可以合理的从中获利。
去年和今年可以看到收购是非常频繁的，未来几年，全球的收购，成功退出项目的事件会越来越多，我们并不认为这是一个负面的信息，也可能是一个正面的信息。对中国市场来讲，我们和美国的市场发展会有一个迭代，现在中国市场创新的基调很高，有很多创新公司出现；投资方也在密切地关注有哪些新的技术、新的方向，IDC也经常会收到一些访谈和咨询的需求，来了解创新型企业的状况，或者哪个项目值不值得投资等等，相信在2023年之前，中国的整个网络安全的创新环境会变得更好。
一带一路国家和地区的安全市场有多大？
做企业战略的时候，需要洞察整个市场的趋势。大家可能了解中国的网络安全市场有多大，但是否了解其它国家市场空间呢？现在国家做一带一路，一带一路的65个国家和地区，他们网络空间有多大？这个大家是需要关注的。举例来讲，在整个亚洲，除了日本和中国，其他地区加起来就是这张图：
这张图的一个增长趋势和我们中国的增速是差不多的，所以如果说发现这样的一个机遇我们是不是也可以跟着国家往外走，跟着一带一路往外走？这样你的市场就变成了两个中国这么大的市场，因此，企业制定发展战略也需要考虑这个问题。
从“跟进式”创新迈向独立创新阶段
放眼全球，我们看到很多创新项目，我们也在学习，其实这也是一个好事情，跟着发达国家走，我们也保持一定的先进性。但是我们始终处在二次创新的阶段。但今天中国可能将进入独立创新的阶段，现在中国的5G发展已经达到了跟全球一致的水平，甚至基础设施水平还可能高于全球发展。在5G这个方向上我们已经领先了，但是我们也看到5G带来很多风险，这个时候更多依赖于我们自身的创新能力，把这些创新点拿出来形成一些新的创新产品，我觉得是完全可能的。所以我也很相信，中国即将进入到一个在网络安全市场上能够独立创新的阶段，也相信有一天在美国的RSA的沙盒大赛上会有中国的创新企业。
接下来我们应该在技术上、战略上关注哪些点？IDC在今年的预测上做的很多方向，选了一些供大家参考。从技术上是AI、IoT、云，还有量子计算，从场景上包括智慧城市、金融欺诈等等。
IDC持续关注创新技术，也在关注全球的技术，我们的目的是希望能够将全球先进的理念、先进的技术引入到中国来。
另外，制定企业发展战略还要关注的就是人，人是企业的核心，从统计看，网络安全工程师相当于一个特种兵，不仅会用枪用炮，其他技能也要充分掌握，企业发展的时候一定要保留好自己的人才。
Part 4
给CIO/CISO的建议
之前是从网络安全企业的视角介绍其制定企业发展战略的重要性及微薄的建议。接下来，从最终客户角度，给他们一点建议。
更高的支出并不意味着更安全
下面这个图，纵轴是网络安全事件发生的次数，横轴是在网络安全上的投入有多大，我们发现，在网络安全方面投入大并不意味着安全攻击事件就会变少，所以我们建议客户在做网络安全建设时候，首先一定要了解行业的一些前瞻性的发展趋势，另外要找到能够长期合作的合作伙伴，看这个企业未来发展的战略和布局是什么，以此判断在新的攻击出现时它能否帮助你解决问题。
安全成为组织业务战略和目标的最大挑战
经IDC调研，安全已经成为组织业务战略目标最大的挑战，第二个才是预算问题，投入网络安全建设是必须要做的事情。
最后，我们提出了一个数字信任的框架。未来的发展趋势是数字化的世界，在数字世界里最终客户能不能得到自己客户或者合作伙伴的信任是业务发展好坏的关键。
以云服务提供商为例，很多企业上云的时候首先考虑的就是安全问题，看看”这片云“是不是值得信任。我们要看云厂商的综合信誉到底达到什么水平，怎么去看呢？这个需要有一个综合的，包括从技术层面、需求层面、公司战略方面，制定一套合适的战略，使得别人如果选云，首先想到选A这个云，而不是B这个云，因为它是安全的。这个就是IDC提出的数字信任的框架，可以供最终客户参考。
声明：本文来自James谈安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
