三年前，我踏入了網(wǎng)絡安全產(chǎn)業(yè)。
今天來看，這一步很幸運，同時也很不幸。我想大部分網(wǎng)絡安全產(chǎn)業(yè)從業(yè)者都有類似的感受。
一、網(wǎng)絡安全產(chǎn)業(yè)的幸與不幸
說幸運，是因為我們身處一個接下來十年甚至數(shù)十年內會長期快速發(fā)展的產(chǎn)業(yè)，能抓住一兩個這類“風口”產(chǎn)業(yè)，是一生難得的運氣。網(wǎng)絡安全產(chǎn)業(yè)未來會長期快速發(fā)展，相信大部分人是認同這個判斷的。其背后的推導邏輯很簡單。
首先，在這個不斷數(shù)字化的世界，網(wǎng)絡安全越來越重要，政府、企業(yè)和個人在這件事上一定會越來越重視，愿意花更多的錢去解決可能面臨的日趨嚴峻的網(wǎng)絡安全問題;其次，由于存在攻防不斷對抗的特點，客戶在網(wǎng)絡安全方面的實際需求一直未能得到滿足，在未來十年甚至更長時間都是如此。試問，今天哪個政府或企業(yè)網(wǎng)絡安全的負責人敢說自己現(xiàn)在的信息基礎設施能夠在黑客攻擊之下高枕無憂?
說不幸，是因為我們處于一個過去多年一片混戰(zhàn)、從業(yè)者怨聲載道的產(chǎn)業(yè)。我曾經(jīng)參加過一個網(wǎng)絡安全產(chǎn)業(yè)論壇的研討，幾乎所有與會的圈內大佬都或訴苦，或求助。訴苦者說這個產(chǎn)業(yè)競爭太無序，規(guī)模不大玩家太多，玩法不規(guī)范，賺不到錢。求助者希望政府能夠站出來規(guī)范這個市場，做好產(chǎn)業(yè)分工和合作的協(xié)調管理。
如果說這個產(chǎn)業(yè)是所謂的“風口”產(chǎn)業(yè)，那這個風向就是不確定的，今天是東風，明天變成了西北風。過去這些年來，網(wǎng)絡安全各種概念、理念層出不窮：零信任、態(tài)勢感知、IPDRR、CARTA、軟件定義邊界、SOAR、城市安全大腦、城市安全運營中心……有些是舶來品，有些是土生土長的。有人拿新概念總能融來不少資金風光幾天。可今天你剛把一個概念理解得七七八八，明天可能就過時了。然而，這些光鮮概念的不斷涌現(xiàn)對緩解整個社會對網(wǎng)絡安全的擔心幫助并不大。安全廠商在拿著各種新概念到客戶面前侃侃而談大拍胸脯時，內心是忐忑的，深知光鮮外表下的安全體系仍然脆弱不堪。
廠商抱怨客戶不重視安全投資，抱怨競爭對手都在夸海口、出低價，導致市場混亂賺不到錢;有見識的客戶不容易被新概念忽悠，但對安全廠商、服務商的交付經(jīng)常不滿意，安全體系建設經(jīng)常成為擺設，平時還是要靠人拉肩扛被動地度過一個又一個安全事件的坎;國家和政府不斷出臺相關政策法規(guī)，但在不斷加大的網(wǎng)絡安全風險面前，焦慮不減反增。好像所有人都對這個產(chǎn)業(yè)并不滿意。
這個產(chǎn)業(yè)就是這么矛盾，長期痛并快樂著。
二、網(wǎng)絡安全產(chǎn)業(yè)繁榮，亟需具備國際競爭力的高品質產(chǎn)品
而其他的“風口”產(chǎn)業(yè)不同，有些“風口”產(chǎn)業(yè)成長起來了，逐漸成熟，推動社會進步的同時，形成了相對健康的生態(tài)，一批玩家從中獲得了巨大的商業(yè)利益。比如，曾經(jīng)的電子商務、移動互聯(lián)網(wǎng)、智能手機、智能穿戴、社交媒體、短視頻等等。
也有些“風口”產(chǎn)業(yè)幻滅了，或蟄伏了，一部分是因為經(jīng)濟價值或社會價值不大，最終沒有被普遍接受。比如，曾經(jīng)火爆的O2O、共享經(jīng)濟等。還有一部分因為技術不成熟，目前還沒有成為顛覆性的力量，比如，VR/AR、人工智能等。
中國網(wǎng)絡安全產(chǎn)業(yè)到今天還不算已經(jīng)成長起來了，但也一直沒有幻滅，更不會幻滅。我們能夠離開O2O模式，也可以接受VR/AR技術不成熟無法普及的現(xiàn)狀，但誰也不敢說網(wǎng)絡安全可以不要。
但是，這個產(chǎn)業(yè)如何才能逐步成熟起來，讓大部分和這個產(chǎn)業(yè)相關的人滿意?
網(wǎng)絡安全涉及的范圍很廣，不僅僅是技術、產(chǎn)品和服務，還包括了法律、制度、管理、流程、人員意識甚至是道德觀等。本文聚焦到和技術相關的產(chǎn)品、解決方案和服務，跟各位探討。
即使限制在技術相關的范疇上，安全的范圍也不小。針對具體保護對象的不同或保護對象所在場景的不同，安全產(chǎn)品和技術可以分為很多不同的大類，比如，終端、云、網(wǎng)絡、內容、應用、數(shù)據(jù)、物聯(lián)網(wǎng)、工控等，再結合為了所要做的安全處置動作，如預防、管理、認證、分析、檢測、處置、追溯、審計等，所演化出的產(chǎn)品品類就很多了。
這么多產(chǎn)品品類，加上到目前為止基本依賴于人的、客戶定制化很強的安全服務，安全市場看似規(guī)模不算小，已有500億人民幣左右(不同機構給出的規(guī)模不同，2019年從400億~600億不等)，但分到每個玩家(提供安全產(chǎn)品的廠家據(jù)統(tǒng)計超過1000家)和每個產(chǎn)品品類上，規(guī)模就很可憐了。
而安全廠商們，大多也傾向于不斷擴大自己的產(chǎn)品線，試圖借此擴大自己的市場規(guī)模。于是，很多的安全產(chǎn)品品類，都有數(shù)十家甚至數(shù)百家廠商參與，試圖分一杯羹。比如，防火墻產(chǎn)品，擁有公安部銷售許可證的安全廠商多達210家，WAF有81家，漏掃有93家，態(tài)勢感知作為一個新興產(chǎn)品品類，也已經(jīng)有64家廠商。
按理說，這么多的學生，總有幾個尖子生，能夠在國際比賽中拿得到名次。實際情況并不樂觀：到目前為止，除了華為的防火墻產(chǎn)品，獲得Gartner網(wǎng)絡防火墻魔力象限挑戰(zhàn)者、NSSLabs推薦級外，其他國內安全產(chǎn)品少有領先。
有人說，網(wǎng)絡安全更看重服務，產(chǎn)品并不重要。這個觀點是經(jīng)不起推敲的，沒有一個科技類企業(yè)的產(chǎn)品是不重要的。環(huán)顧全球500強企業(yè)，除了金融、零售、能源等服務類或資源型企業(yè)，哪個企業(yè)不具備競爭力全球領先的產(chǎn)品?服務誠然對網(wǎng)絡安全很重要，但若不能基于高品質的產(chǎn)品，其效果如何完全依賴于個人的技能水平，這樣的服務效果不可預測，也不具備可復制性。試想，如果今天的醫(yī)療水平仍依賴于扁鵲、華佗這些不世出的神醫(yī)，而缺少現(xiàn)代的精密儀器、醫(yī)療裝備和藥品，普羅大眾一定無法享受到今日的醫(yī)療服務。
因此，對網(wǎng)絡安全產(chǎn)業(yè)來說，產(chǎn)品競爭力同樣是產(chǎn)業(yè)競爭力的基礎。不能說有了領先競爭力的產(chǎn)品就萬事俱備，但如果沒有就不可能實現(xiàn)產(chǎn)業(yè)的成熟和健康，不可能讓客戶滿意，更不可能讓安全企業(yè)在國際上開疆拓土。
三、不凡之路無捷徑，用心打磨高品質產(chǎn)品
那么作為網(wǎng)絡安全企業(yè)，如何才能做出高品質的產(chǎn)品?
答案是沒有捷徑，必須舍得投入，用心打磨。
舍得投入主要指舍得在研發(fā)上投入人和錢。是否將業(yè)界的牛人投入在關鍵技術突破上，是否有足夠的資金支撐長期研發(fā)投入。
有了投入還不夠，還需要用工匠精神用心打磨。只有基于客戶場景和需求不斷改進，一步一個腳印地進步，才有可能打造出高品質的產(chǎn)品來。
前文提到國內網(wǎng)絡安全企業(yè)傾向于不斷擴大產(chǎn)品線來做大規(guī)模。在這種情況下，對于單產(chǎn)品的研發(fā)投入經(jīng)常是不夠的。目前一些規(guī)模較大的廠商傾向于做全產(chǎn)品線，用有限的研發(fā)投入支撐數(shù)十種甚至上百種安全產(chǎn)品的研發(fā)。撒胡椒面兒式的投入，很難做出有競爭力的產(chǎn)品。
和撒胡椒面式的研發(fā)投入方式不同的是聚焦到某個或某些產(chǎn)品品類上，華為就是如此。我們在安全產(chǎn)品研發(fā)上秉承華為一貫的風格，首先研發(fā)投入的人員和資金規(guī)模在國內可以說首屈一指，同時研發(fā)的產(chǎn)品品類有限，聚焦兩類產(chǎn)品：HiSecEngine系列防火墻、IPS等安全網(wǎng)關設備;HiSecInsight安全態(tài)勢感知系統(tǒng)等安全分析與管理平臺。華為致力于將產(chǎn)品競爭力做到全球領先，獲得客戶認可。
每個企業(yè)都希望做大規(guī)模，這兩類企業(yè)選擇了兩種不同發(fā)展路徑。前者希望先把規(guī)模做大，也許規(guī)模大了有了足夠資金后再有選擇地將產(chǎn)品競爭力做起來。后者試圖先把產(chǎn)品競爭力做強，希望通過擁有競爭優(yōu)勢的產(chǎn)品獲取更大市場份額，從而將公司規(guī)模做大。
這兩條路對比，我認為后一條路的根基更穩(wěn)，后勁更足，對整個網(wǎng)絡安全產(chǎn)業(yè)更有幫助。若大家都選擇做全產(chǎn)品線，每種產(chǎn)品每個廠商都蜻蜓點水地投入，會帶來大量的低水平重復投入，也導致各廠家之間惡性競爭。
然而，走聚焦這條路的企業(yè)卻面臨額外挑戰(zhàn)，華為也不例外。過去我在面對客戶時，經(jīng)常面臨兩個質疑：1、你們產(chǎn)品雖好，但產(chǎn)品線不全，無法提供完整的安全解決方案;2、客戶更關心服務而不是產(chǎn)品，你們聚焦做產(chǎn)品但沒有大量投入做全面的安全服務，無法匹配客戶期望。
這兩年來我和多個走類似路線的安全企業(yè)負責人進行過探討，發(fā)現(xiàn)這些企業(yè)也面臨同樣的困境。雖然他們單產(chǎn)品競爭力更強，但在很多行業(yè)客戶那里卻經(jīng)常沒有機會參與競爭。比如，深圳某個企業(yè)，多年來一直聚焦做終端安全，他們在金融行業(yè)做得很好。為了確認合作伙伴的產(chǎn)品競爭力和技術實力，我們也專門調研過這些客戶對他們產(chǎn)品的評價如何，發(fā)現(xiàn)客戶評價總體非常高。然而，就是這樣一家企業(yè)，在政府行業(yè)中幾乎沒有存在感，為什么?因為政府客戶一般不會僅僅因為單個產(chǎn)品出色就選擇這個廠商。
四、精誠合作真生態(tài)，促網(wǎng)絡安全產(chǎn)業(yè)健康發(fā)展
那么，該如何破局?讓單產(chǎn)品競爭力更強的廠商生存地更好，實現(xiàn)良幣驅逐劣幣?如果該局可破，對整個中國的網(wǎng)絡安全產(chǎn)業(yè)來說都是一件大好事，一定可以促進這個產(chǎn)業(yè)更加成熟和健康。
要破這個局，我認為必須建立一個真正的安全廠商、服務商之間精誠合作的生態(tài)。這個生態(tài)不能依靠政府行政命令或依靠社會責任驅動，要通過市場經(jīng)濟的手段，通過生態(tài)伙伴之間利益分享的驅動力來實現(xiàn)。
理想情況下，有人牽頭將細分品類競爭力強的產(chǎn)品廠商匯聚起來。這些有競爭力的產(chǎn)品通過系統(tǒng)地、有機地組合，形成完整的安全解決方案。由于這個聯(lián)合解決方案的各個部件產(chǎn)品都有競爭力，整個解決方案競爭力也可以達到最優(yōu)。同時，再在這個生態(tài)中引入一些理解客戶業(yè)務、有能力的安全服務提供商，讓他們基于這個競爭力最優(yōu)的聯(lián)合解決方案為最終客戶提供服務。那么這個服務的效果、效率一定也是最優(yōu)的。
正是基于這個想法，我們在2018年創(chuàng)建了華為安全商業(yè)聯(lián)盟。強調“商業(yè)”，就是希望通過商業(yè)的手段解決利益的問題，從而讓這個生態(tài)具備長久的生命力。這個聯(lián)盟經(jīng)過過去兩年的探索，積累了一些成功的經(jīng)驗，也有一些失敗的教訓，并且過程中也篩選出了一批真正適合這個合作模式的志同道合的生態(tài)伙伴。基于這兩年的探索，今年華為會將這個聯(lián)盟進行升級，從過去的1.0版本升級到接下來的2.0版本。
華為安全商業(yè)聯(lián)盟2.0版本計劃在今年8月8日正式對外發(fā)布，請大家關注。
