近日，网络安全评级和风险监控平台SecurityScorecard宣布在E轮融资中筹集了1.8亿美元。

成立于2013年的SecurityScorecard帮助包括诺基亚、AXA、Liberty Mutual和Cadence Bank等公司评估并持续监控其自身和第三方供应商的安全性。SecurityScorecard首席执行官兼联合创始人亚历克斯·扬波尔斯基（Alex Yampolskiy）表示：

“正如企业和个人可以获得信用评分并使用信用评分来衡量财务信誉，网络安全评分也是如此。”

SecurityScorecard首席运营官兼联合创始人Sam Kassoumeh补充说，基于过去7年的历史数据，我们将安全评分等级从A到F划分，以帮助安全人员解决他们最重要的漏洞并评估外部合作伙伴关系，从而提供一种简单的方式来“了解他们的网络状况”。“我们已经证明，得分低的公司比得分高的公司被攻击的可能性高7.7倍。”

安全评级分是按类别给出的，例如，某家公司的漏洞修补节奏和DNS运行状况获得“中等严重性”等级，而其网络安全性则会得到“高严重性”等级（下图）。

不过，分数实际上只是冰山一角，SecurityScorecard还根据评级指标提供了其他工具和服务，包括企业风险管理，可帮助建立IT基础架构中的漏洞和分析功能，从而使企业能够“利用网络的态势感知来进行操作，更加自信地制定业务决策。”Kassoumeh说。

墙外起火

一家企业即使将所有资金都投入加强安全防御，也无法控制业务合作伙伴的安全状况，而第三方数据泄露如今已成为一个日益严重的问题。最显著的例子是最近的SolarWinds供应链攻击，该公司Orion网络管理软件中的一个漏洞被用作将恶意代码传播到近18,000个客户的工具中。其中包括政府机构和像微软这样的技术巨头，当时微软透露黑客已经下载了Azure和Exchange的源代码。微软总裁布拉德·史密斯称它为“世界上最大、最复杂的攻击。”

SecurityScorecard最近发布了自己的有关Exchange攻击的调查，并指出，尽管它没有像最初担心的那样广泛，但仍具有深远的意义。

Kassoumeh说：“使用我们的专有技术扫描互联网，以查找面向公众的易受攻击的Microsoft Exchange服务器，从而在全球范围内发现了2500-18,000台易受攻击的服务器，其中大部分位于欧洲、中东和非洲。”“我们还发现绝大多数受害者位于美国和德国，这表明肇事者有很大的蓄意性。”

云中风暴

SecurityScorecard试图解决的问题其实不是什么新问题。大约十年前，Kassoumeh和Yampolskiy在为电子商务网站进行安全性开发时就想到了SecurityScorecard。但是在随后的几年中，技术领域越来越关注于云，这使相关问题变得更加紧迫。

“我和山姆早在2013年就提出了安全评级的想法，当时我们试图了解我们拓展的供应商和业务合作伙伴生态系统所带来的风险，并试图向董事会报告自己的网络安全状况，”Yampolskiy说。“随着公司之间的联系越来越紧密并转移到云中，这个问题变得更加严重。”

的确，在过去一年中，云基础架构支出已经迅速增长，这在很大程度上是由于向远程工作的快速转移所致。这为潜在的安全隐患打开了大门，这就是为什么网络安全支出有望在2021年增长10％的原因——像SecurityScorecard这样的公司处于强势地位。

该公司表示，在过去的一年中，它已经增加了450个新客户，其国际收入和市场覆盖都显示出强劲的增长。它还获得了许多赞誉，包括被世界经济论坛评为2020年“技术先驱”之一，而Forrester最近将SecurityScorecard列为“七个最重要的”网络安全风险评级平台之一（下图）。该名单上的其他公司还包括BitSight、UpGuard、RiskRecon、Panorays、Prevalent和Black Kite（前身为Normshield），它们在去年年底获得了750万美元的资金。

这表明网络安全风险评级市场空间已达到一定程度的饱和度，但是SecurityScorecard正在着手以几种方式进行差异化区分。

生态竞争

Kassoumeh首先强调了SecurityScorecard的数据，该数据会不断更新，而且该公司能够“每周收集270亿点并运行世界上最大的恶意软件监测网络之一”，涵盖了超过5亿台受感染的计算机。Kassoumeh解释说：“这使我们能够连续收集，归因全球200万家公司并对其进行评级，并提供不需要任何人工输入或管理的实时情报。”“这些数据使我们能够在几分钟之内给出‘快速得分’，而不是几天和几周。”

但是SecurityScorecard的最大卖点可能还是通过专门的安全市场专注于更广泛的生态系统，该安全市场带来了一系列预先构建的集成模块，涵盖了风险管理和合规性、政府、供应商风险管理（VRM）、安全信息和事件管理（SIEM）等类别。例如，Splunk的客户可以直接在Splunk内部访问SecurityScorecard的安全等级、风险类别数据以及与事件相关的数据，从而帮助他们监控自己的内部和外部网络安全风险。

Kassoumeh表示：“通过这个生态系统，SecurityScorecard使客户能够通过自动化的工作流程，通过将我们的网络安全数据整合到他们使用的其他解决方案中来减少持续的风险情报，并减少风险缓解时间，从而扩大了运营规模。”

据悉，SecurityScorecard此前已筹集了约1.12亿美元，其最新募集的1.8亿美元现金来自许多投资“回头客”，包括Alphabet的GV和Intel Capital，也包括一些新的支持者，例如Silver Lake Waterman和T.Rowe Price Associates。

声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。