文 | 產(chǎn)業(yè)家 斗斗
編輯 | 皮爺
5G、物聯(lián)網(wǎng)、AI、云計算等技術(shù)的應(yīng)用，讓生產(chǎn)、服務(wù)過程加速數(shù)字化、云化。
但哪里有利益，哪里就有壞人盯著。一組數(shù)據(jù)是，國內(nèi)大中型企業(yè)在過去一年內(nèi)因信息安全事件平均每家損失達(dá)240萬美元。而每年計算機(jī)及網(wǎng)絡(luò)犯罪活動帶來的損失超過4450億美元。
產(chǎn)業(yè)數(shù)字化在創(chuàng)造巨大價值的同時，數(shù)據(jù)安全、網(wǎng)絡(luò)安全、主機(jī)安全，就成為保護(hù)價值的堡壘。但值得注意的是，網(wǎng)絡(luò)安全人才缺口正在越來越大。
相關(guān)數(shù)據(jù)顯示，2021年，網(wǎng)絡(luò)安全人才缺口達(dá)140萬人，預(yù)計2027年缺口將進(jìn)一步擴(kuò)大到300萬人?！熬W(wǎng)絡(luò)安全人才十分稀缺，而每年網(wǎng)絡(luò)安全相關(guān)專業(yè)的高校畢業(yè)生規(guī)模僅兩萬余人。”一位業(yè)內(nèi)人士說道。
此外，大型企業(yè)安全解決方案都以本地化部署為主，但本地安裝的傳統(tǒng)安全解決方案既費時又費錢，維護(hù)費用也高，從幾百萬到幾千萬甚至更多。這筆費用對于大型企業(yè)而言或許并不吃力，但對于一些預(yù)算有限的中小型企業(yè)，即使有意向安裝，卻也是有心無力。
SaaS正在打破這種固有的本地化安全部署架構(gòu)。
一個例子是，某企業(yè)在自己網(wǎng)絡(luò)中安裝了SECaaS（安全即服務(wù)）產(chǎn)品，首先其安全警報數(shù)量直線下降，只有之前的1/100。其次，隨著業(yè)務(wù)的增長，該企業(yè)安全需求擴(kuò)大，而訂閱式的付費方式，讓企業(yè)可以隨時隨地按需要購買安全配置。且SECaaS使得該企業(yè)不再需要安全部門，縮減了人力成本。
而這就是安全輕量化，即SaaS化最直接的體現(xiàn)。在企業(yè)客戶的需求之下，安全的輕量化已經(jīng)逐漸成為未來的一個發(fā)展趨勢。
據(jù)中國信通院發(fā)布《中國網(wǎng)絡(luò)安全產(chǎn)業(yè)白皮書》，安全即服務(wù)（SECaaS）被稱為未來最有發(fā)展?jié)摿Φ木W(wǎng)絡(luò)安全新技術(shù)/新理念之一。
一個預(yù)測是，當(dāng)安全SaaS規(guī)模化發(fā)展之后，安全SaaS廠商也將重塑目前的競爭格局，帶來一些新的商業(yè)模式。
因為安全解決方案，十分考驗廠商的PaaS能力，每一次安全解決方案的本地化部署，都要重復(fù)造輪子，導(dǎo)致系統(tǒng)越來越沉重。管理起來也痛苦，但如果安全解決方案以SaaS的形式進(jìn)行服務(wù)，廠商可以實現(xiàn)降本增效，解放更多的人力、物力、財力。
另外，隨著安全解決方案市場參與者數(shù)量的增加，供應(yīng)商越來越難以脫穎而出，而通過專注于SaaS安全解決方案，廠商可以利用其現(xiàn)有又是并從競爭對手中脫穎而出。
總體而言，無論是對企業(yè)客戶、安全解決方案提供商，還是整個產(chǎn)業(yè)數(shù)字化而言，安全SaaS的價值正在被逐漸放大。
但目前來看，安全SaaS想要真正實現(xiàn)全面推廣并不簡單。
一、安全SaaS，叫好不叫座
安全SaaS本質(zhì)上是將安全以SaaS的形式進(jìn)行交付，并非是為SaaS產(chǎn)品提供安全服務(wù)。前者交付形式是訂閱制，而后者還包括本地化交付形式；在產(chǎn)品形態(tài)上，前者是軟件，后者則包括軟、硬件。
在國內(nèi)，很多廠商在這一方面都有所布局。目前，主要分為三大陣營。
一是以阿里云、騰訊云、華為云等為代表的這個云計算廠商。其優(yōu)勢在于基礎(chǔ)設(shè)施——云，以及豐富的客戶。
例如，阿里云上的客戶，數(shù)量大，且基礎(chǔ)設(shè)施托管在阿里云，本身就需要云清洗、云WAF、云掃描的服務(wù)，阿里叫做“云盾”系列就是主要指的這幾個產(chǎn)品。從資源的成本角度，以及獲客成本角度，云巨頭做SaaS安全產(chǎn)品具備天然的優(yōu)勢。
但云廠商一般專于公有云等整體的云安全，打造解決方案，在更加具體、細(xì)分的安全領(lǐng)域并未深耕。
二是以聯(lián)通云、移動云、天翼云為代表的運營商；優(yōu)勢是網(wǎng)。由于運營商國內(nèi)就那么幾家，本身帶寬的基礎(chǔ)設(shè)施就遍布全國，且傳統(tǒng)政企客戶上云后也往往上運營商的云機(jī)房，順帶在賣計算和帶寬資源的同時，提供安全SaaS服務(wù)，獲客成本低，能起量。
值得注意的是，運營商的這類服務(wù)的建設(shè)模式，往往通過采購安全廠商的設(shè)備和服務(wù)來實現(xiàn)安全云的建設(shè)。因為運營商采購量巨大，入圍的廠商多，價格低，因此也能夠迅速以低成本的方式建設(shè)“安全云”。比如國內(nèi)電信“云堤”、聯(lián)通“云盾”、以及移動公有云系列，都是這個模式。
與云廠商類似，雖然運營商有著基礎(chǔ)設(shè)施帶來的優(yōu)勢，但目前來看，其主要圍繞DDoS攻擊防護(hù)，打造SaaS解決方案。在其他細(xì)分領(lǐng)域發(fā)展的并不是特別成熟。
三則是以新華三、奇安信、360安全、微步在線、綠盟、青藤云安全等為代表的專業(yè)安全廠商。這其中有一部分是由原來傳統(tǒng)的網(wǎng)絡(luò)安全廠商轉(zhuǎn)型而來。這類廠商專業(yè)性更強(qiáng)、行業(yè)經(jīng)驗積累更多，一部分廠商還可以為企業(yè)提供更加個性化的服務(wù)。
但由于沒有現(xiàn)成的網(wǎng)絡(luò)和計算基礎(chǔ)設(shè)施資源，也沒有現(xiàn)成的成批量的客戶，獲客成本較高。所以這類廠商的營收與云廠商、運營商相比，較低。目前比較能成規(guī)模的，主要是做監(jiān)管單位，比如網(wǎng)監(jiān)、通管局、政府等。這些監(jiān)管單位本身下面的子單位就非常多，信息系統(tǒng)也很多，搞定監(jiān)管部門，一次性就可以大量獲客。
可以發(fā)現(xiàn)，其實各個布局安全SaaS的廠商，商業(yè)模式都類似于“主產(chǎn)品+安全SaaS”。在這種模式下，安全SaaS往往無法作為一個單獨產(chǎn)品或者一種單獨的服務(wù)進(jìn)行交付，而是成為類似于“買一贈一”的綁定服務(wù)或產(chǎn)品。
“目前的安全SaaS的商業(yè)模式，更多是廠商圍繞自身業(yè)務(wù)，疊加安全的SaaS化能力。”在與新華三安全產(chǎn)品線研發(fā)副總裁韓小平的談話中，其表達(dá)了類似的觀點。
除此之外，在客戶體量方面，韓小平認(rèn)為，單拿安全SaaS來看，客戶群體并不大。
在與微步在線技術(shù)合伙人黃雅芳的對話中，也證實了這一點?！澳壳?，不管是獨立的安全廠商還是大型的綜合型廠商，安全SaaS訂閱業(yè)務(wù)真正能占據(jù)一定比例的很少。”
站在當(dāng)下來看，雖然目前國內(nèi)有諸多廠商都有能力打造安全SaaS，且都在布局安全SaaS，但似乎叫好不叫座。
二、本地化到SaaS化的困局
安全SaaS化，安全常常面臨諸多挑戰(zhàn)。首先，安全SaaS產(chǎn)品與用戶群體之間似乎存在著需求“悖論”。
從安全SaaS的產(chǎn)品特點來看，中小微企業(yè)是其主要的“落腳點”。然而，國內(nèi)大部分的中小微企業(yè)數(shù)字化水平并不高。部分?jǐn)?shù)據(jù)顯示，國內(nèi)小微企業(yè)數(shù)字化滲透率僅為10%。小微企業(yè)更甚，這類規(guī)模的企業(yè)，員工可能僅有十幾個人，或者更少。對企業(yè)安全需求并不高嗎，或者企業(yè)安全根本不是剛需。
即使有些中型企業(yè)有一些網(wǎng)絡(luò)安全的意識，但由于企業(yè)內(nèi)部業(yè)務(wù)、數(shù)據(jù)并不涉及企業(yè)機(jī)密，表現(xiàn)的也比較佛系。這種心態(tài)的企業(yè)并不少見。
“很多中小微企業(yè)只有在遭受攻擊時，才會象征性的買一些安全產(chǎn)品，做應(yīng)急處理，但當(dāng)產(chǎn)品部署成功，可能已經(jīng)時過境遷了。”韓小平認(rèn)為單以目前中小微企業(yè)的需求來看，很難觸達(dá)。
所以，企業(yè)在“非剛需”和“佛系”的作用下，自然不會花錢去買一個安全產(chǎn)品。于是，需求無法滿足用戶，矛盾點也逐漸顯現(xiàn)。
站在當(dāng)下來看，在安全SaaS這個領(lǐng)域，中小企業(yè)的市場大門尚未敞開。
其次，SaaS安全解決方案通常被設(shè)計為具有靈活性和可擴(kuò)展性，但在國內(nèi)市場的商業(yè)環(huán)境中，企業(yè)定制化需求較高，其可能無法提供某些組織所需的定制級別。尤其是對于具有獨特安全需求或特定合規(guī)性要求的組織來說，這可能是個問題。
加之SaaS安全化意味著需要將SaaS安全解決方案與現(xiàn)有IT系統(tǒng)集成。組織可能需要修改其IT架構(gòu)以適應(yīng)新的解決方案，這是一個巨大的工程，需要大量的資金和時間，對于大型企業(yè)而言都很難決斷，更何況中小企業(yè)。
另外，安全SaaS模式還存在與廠商鎖定的風(fēng)險。例如，一旦企業(yè)部署了某廠商的安全SaaS，切換到不同的廠商可能會很困難且成本很高。這可能會限制組織利用新安全技術(shù)的能力，并可能使協(xié)商有利的定價或合同條款變得更加困難。
一個更為重要的點是，想要實現(xiàn)安全SaaS化的大規(guī)模應(yīng)用，數(shù)據(jù)政策是決定性因素。
“其實我們看到的情況不是企業(yè)不接受安全SaaS化，技術(shù)人員能意識到SaaS化產(chǎn)品帶來的技術(shù)優(yōu)勢，但往往受限于企業(yè)自身或者是行業(yè)有一些監(jiān)管上的要求?！秉S雅芳認(rèn)為數(shù)據(jù)不能出網(wǎng)等，是決定企業(yè)能否接受安全云化的核心關(guān)鍵。
下層基礎(chǔ)決定上層建筑，這道數(shù)據(jù)政策的閥門，擋住了大部分企業(yè)安全轉(zhuǎn)型的路。
總體而言，從產(chǎn)品本身的用戶群體選定、到客戶的轉(zhuǎn)型意識，再到整個宏觀的網(wǎng)絡(luò)安全大環(huán)境來看，用SaaS的模式做安全，仍有許多發(fā)展瓶頸。
但在一些頭部安全廠商的具體布局中，已經(jīng)可以看到一些安全SaaS未來發(fā)展的趨勢。
三、尋找安全SaaS化路徑
新華三的立體化、微步在線錨定央企、360企業(yè)安全云面向中小微企業(yè)免費開放......安全廠商似乎都在以自身的優(yōu)勢，走出了不一樣的發(fā)展路徑。
對于客戶而言，購買單一的安全SaaS產(chǎn)品，價值不大?！表n小平對產(chǎn)業(yè)家說，企業(yè)需要一個立體的防護(hù)方案。
所謂“立體化”，就是安全SaaS能力與本地化產(chǎn)品或解決方案進(jìn)行搭配、整合。例如，新華三與運營商合作推出的安全大腦的解決方案，通過在本地部署安全網(wǎng)關(guān)，把這些安全網(wǎng)關(guān)的數(shù)據(jù)上傳到云端的這個安全大腦，實現(xiàn)海量設(shè)備的安全管理。同時，區(qū)別于傳統(tǒng)的SaaS能力僅能防護(hù)外網(wǎng)暴露面，新華三安全大腦方案，通過云端和本地網(wǎng)關(guān)建立加密隧道實現(xiàn)云端的各類SaaS能力對用戶內(nèi)網(wǎng)資產(chǎn)進(jìn)行掃描、檢測、防護(hù)，結(jié)合本地防護(hù)設(shè)備打造立體化防御體系。
目前，新華三針對這項業(yè)務(wù)與三大運營商都推進(jìn)了合作，專線的用戶數(shù)已經(jīng)達(dá)到了10萬加的規(guī)模，安全運營服務(wù)的平均在線用戶數(shù)有7萬家。
可以發(fā)現(xiàn)，而這種安全SaaS能力與本地化產(chǎn)品的整合，將會把安全SaaS在具體場景應(yīng)用中優(yōu)勢放大，達(dá)到1+1＞2的效果。
事實上，安全SaaS化的終極目標(biāo)是幫助企業(yè)解決業(yè)務(wù)問題。
正如黃雅芳所言：“是不是實際解決了業(yè)務(wù)問題，是不是讓客戶更多精力聚焦在業(yè)務(wù)上。”她認(rèn)為這就是客戶評定安全SaaS好壞的標(biāo)準(zhǔn)。
從安全SaaS這個模式在國內(nèi)興起開始，微步就是國內(nèi)較早推行安全SaaS的安全廠商，屬于安全SaaS領(lǐng)域的佼佼者。也正是因為這種特性，其更專注于打造安全SaaS的產(chǎn)品應(yīng)用。
“我們當(dāng)時推出互聯(lián)網(wǎng)安全接入服務(wù)產(chǎn)品OneDNS做了一些預(yù)判，OneDNS這種SaaS輕量化的產(chǎn)品應(yīng)該是中小企業(yè)更喜歡，但最后發(fā)現(xiàn)，實際上不管是接入網(wǎng)后面的人數(shù)還是付的錢數(shù)，最終金融、央企用戶變成大多數(shù)?！秉S雅芳對產(chǎn)業(yè)家說，“第一家簽約客戶也是央企，跟我們的想象有點不太一樣。”
一個數(shù)據(jù)是，過去7年，微步在線的大客戶續(xù)約率一直維持在98%以上。
通過微步在線的產(chǎn)品實踐來看，SaaS化意識正在不斷滲透大型企業(yè)，大型企業(yè)對安全SaaS的認(rèn)可度逐漸提升。
比起數(shù)字化程度較高大型企業(yè)，對于數(shù)字化程度較低的小型企業(yè)來說，安全SaaS的滲透速度較為艱難。
因此，也有一些企業(yè)想改變以往的SaaS的銷售模式。
2022年3月7日，周鴻祎宣布推出“360企業(yè)安全云”，面向中小微企業(yè)免費開放。對外宣稱將發(fā)放“數(shù)字大紅包”，讓中小微企業(yè)免費逛360SaaS商店，幫扶中小微企業(yè)數(shù)字化轉(zhuǎn)型。
此消息一出，安全SaaS領(lǐng)域一片嘩然。眾所周知，SaaS是以訂閱付費模式，幫助客戶成功，尋求長期主義下的持續(xù)盈利。而周鴻祎這一做法，在當(dāng)時看來顯然有一種要“革TOB廠商的命”的感覺，很可能傷及友商。
但就目前來看，該產(chǎn)品以交付門檻低、配置要求低、技術(shù)難度低、操作難度低、使用成本低的優(yōu)勢，觸達(dá)了中小微企業(yè)的需求，服務(wù)的終端規(guī)模已經(jīng)超2000萬，中小微數(shù)字安全領(lǐng)域服務(wù)規(guī)模第一。而通過這一打法，360安全或?qū)⒋蜷_中小微企業(yè)市場安全SaaS的大門。
總體來看，各個廠商的切入角度不同，無論是一體化、還是以業(yè)務(wù)為中心專攻政企或金融客戶，還是針對中小微企業(yè)市場推出免費產(chǎn)品，都可能成為未來安全SaaS規(guī)模化的發(fā)展路徑。格局未定，一切皆有可能。
根據(jù)《2022中國SaaS市場研究及選型評估報告》顯示，2022年中國信息安全類SaaS市場規(guī)模達(dá)42.5億元，近五年復(fù)合增長率達(dá)33.9%。
雖然安全SaaS市場規(guī)模在高速增長，但整體來看，市場規(guī)模明顯較低。國內(nèi)安全SaaS市場雖有，但不多。
但在TOB這個注重長期主義的領(lǐng)域，更需要看見未來，隨著“全民上云”的浪潮愈發(fā)洶涌，安全SaaS也許會成為新的“明星賽道”。