2023年中国网络安全运营 市场研究报告 2023-11 数说安全研究院有限公司 关键经营数据分析——现⾦流健康度继续下降 版权声明 本报告由“数说安全研究院”出品（数说安全隶属于北京赛博英杰科技有限公司），报告版权归北京赛博英杰 科技有限公司所有，报告中所有原创文字、观点、图片、表格均受中国知识产权法律法规保护。转载、摘编或利 用其他方式使用本报告内容的，应向所有者取得书面授权，并注明“来源：数说安全”。违反上述使用的，我司 将追究其法律责任。 免责声明 本报告中部分文字和数据采集于公开信息；市场数据通过CSRadar商业分析平台进行统计分析与模型估算获得； 企业数据通过公开信息或访谈获得。数说安全对报告内容的准确性、完整性和可靠性尽最大努力的追求。由于研 究方法和数据样本具有一定局限性，故在任何情况下，本报告中的信息或所表达的观点仅供客户作为参考，不构 成任何建议。本公司不对报告的数据及分析结论承担法律责任。 数说安全研究院 关键经营数据分析——现⾦流健康度继续下降 研究背景与研究范围说明 u 在我国网安产业近三十年发展过程中，网络安全法实行超过6年、 等级保护制度实行接近20年，这两项网安普适性法律法规已对企 业网络安全建设产生重要且实质性的影响。目前看，多数企业已 完成合规建设，基础安全体系搭建完成，未来将进入深耕细作、 建设与运营并重的新阶段。 u u u 数字应用爆炸式增长导致企业安全风险暴露面不断扩大，网络威 胁态势日益严峻。安全运营可以帮助企业将安全技术、安全人员 与安全管理制度进行高效聚合，实现更为主动、快速、贯穿全局 的防御能力。安全运营已成为海内外广泛认可的重要发展方向， 未来也将成为绝大多数企业安全能力提升过程中的核心工作。 企业安全运营需求的快速释放也推动了安全运营市场蓬勃发展。 安全运营涵盖范围非常广，主要由安全运营产品、安全运营服务 和安全运营应用场景构成，不同应用场景所需要的安全运营产品、 安全运营服务以及服务的模式可能存在差异。 本次研究主要针对安全运营服务市场，以市场需求最大的网络安 全运营作为主要应用场景，非安全运营平台类产品和其它应用场 景的安全运营不作为本次研究的主要内容。 数说安全研究院 安全运营分类 安全运营产品 安全运营服务 SOC SIEM XDR 态势 感知 SOAR BAS EDR/ CWPP NDR TI ASM DECEP TION CAM VA/ VPT ITDR SASE 安 全 运 营 咨 询 服 务 驻 场 运 维 服 务 安 全 托 管 服 务 托 管 检 测 与 响 应 服 务 安全运营应用场景 网络安全运营 云安全运营 数据安全运营 工控安全运营 移动安全运营 关键经营数据分析——现⾦流健康度继续下降 目录 数说安全研究院 01 安全运营概述 02 安全运营技术与产品介绍 03 安全运营服务介绍 04 安全运营市场分析 05 安全运营市场优秀项目案例 06 安全运营市场总结与发展趋势 07 附录-安全运营厂商调研情况 关键经营数据分析——现⾦流健康度继续下降 安全运营概述 数说安全研究院 企业安全管理工作面临的挑战 安全运营的模式（甲方视角） 安全运营的定义 安全运营的价值 安全运营在网络安全体系中的定位与价值 安全运营利好政策 安全运营与安全运维的区别 安全运营法律法规 关键经营数据分析——现⾦流健康度继续下降 企业安全管理工作面临的挑战 u 缺乏安全运营的静态防御模式无法有效应对不断演进的网络安全威胁：国内大多数企业在构建安全体系时主要以满足合规要求作为第一导 向，采购大量安全产品并堆叠部署已成为常态。然而，在这种背景下，各安全产品间常常孤立运转，缺乏有效的协同联动能力，企业整体安 全策略与防御姿态长期处于静止和被动的状态，难以有效应对日益复杂和精细化、平台化、自动化的网络攻击，企业迫切需要建立动态、主 动的安全运营体系，以达到有效防护的目标。 u 攻防不对等性导致企业难以实现100%绝对的安全：攻击者在暗而防守者在明，防守方需要耗费大量资源部署长长的防线来保护庞大的网络 资产，攻击者只要在100次攻击中成功1次，就可以抵消防守方在99次成功防守中所付出的努力。因此，企业在构建安全防线时，盲目的建 设防线并不是最优的选择，更好的办法是在安全运营过程中时刻感知威胁与风险，采用更具针对性、动态的安全策略，并不断加强防御系统 的韧性，保证即便发生攻击或系统被攻破，也能够及时发现、阻断攻击并快速恢复业务。 u 企业在网络安全投入上面临预算压力和资源限制：对于一些企业来说，很难衡量网络安全投资的回报率（ROI），这导致它们在网络安全方 面只拥有有限的预算和资源，同时也可能限制其采购和实施最新的安全技术和措施。因此，企业需要找到一种平衡，通过建立高效的安全运 营体系，帮助企业最大程度提高系统的安全性，同时实现在有限资源下进行有效管理。 数说安全研究院 安全运营的定义 关键经营数据分析——现⾦流健康度继续下降 中国网络安全审查技术与认证中心（CCRC） 安全运维服务资质简介 通过技术设施安全评估，技术设施安全加固，安全漏洞补丁 通告、安全事件响应以及信息安全运维咨询，协助组织的信 息系统管理人员进行信息系统的安全运维工作，以发现并修 复信息系统中所存在的安全隐患，降低安全隐患被非法利用 的可能性，并在安全隐患被利用后及时加以响应。 数说安全对安全运营的定义 结合行业主管部门对安全运维的定义和安全运营能力过程要求，数说安全对安全运营定义如下： 安全运营是通过统一和协调组织内安全人员、安全技术和安全管理流程，对组织面临的安全风险进行预警、 识别、保护、检测、响应的过程。安全运营的目标是发现组织已存在或未来可能会出现的安全风险，并利 用高效的安全防控措施来主动化解风险，以此不断改善组织的安全状况。 预警 安全管理 中国信息安全测评中心（CNITSEC） 安全运营服务资质（安全运营过程能力要求） 安全意识和安全技能培训；资产识别和管理；脆弱性识别和 管理；应急响应及处理能力；深度威胁检测、研判和管理； 安全事件预警与取证分析；风险评估的能力；内部审计和威 胁情报处置；态势感知和趋势分析；维护安全运营中心 （SOC）工具生命周期；安全性协调的能力；检验并证实整 体安全性。 数说安全研究院 流程 识别 保护 安全 安全 技术 人员 检测 响应 攻击 威胁 风险 关键经营数据分析——现⾦流健康度继续下降 安全运营在网络安全体系中的定位与价值 资产安全盘面 基础结构安全的防御姿态 posture，主要就是解决 威胁处置盘面 纵深防线盘面 积极防御的posture，是威胁发现能力和处置及时性有效 纵深防御的防御姿态posture，是防护策 略有效性，以构成坚实的防御“阵地” “资产-漏洞-配置-补丁” 问题的系统安全 AI UEBA SDN ZTNA XDR 云计算 大数据 移动 工控 TI UTM IPS SOC UTM IPS SOC 物联网 SOAR EPP IAM WAF EPP IAM WAF 车联网 SASE 防火墙 防病毒 防火墙 防病毒 VA 防火墙 防病毒 VA 区块链 CAM IDS 密码 IDS 密码 网闸 IDS 密码 网闸 业务安全 DECEPTION 基础结构安全 数说安全研究院 纵深防御 态势感知与积极防御 关键经营数据分析——现⾦流健康度继续下降 安全运营与安全运维的区别 安全运维 以保障企业网络安全基础设施正常使用和稳定运行为主要目标 工作围绕用户现有的网络安全设施，比如防火墙、WAF、上网行 为管理、防病毒软件、终端安全管理等网络安全产品 安全巡检、配置核查、产品运行状态监控、产品升级、设备维保、 等保整改等 人工和手动为主、以少量工具作为辅助 数说安全研究院 安全运营 通过主动化解网络安全风险来保障企业数字化业务稳定运行为主 目标 范围 过程 方法 要目标 工作围绕企业所有数字化业务和应用而展开，通过安全运营来保 护企业IT资产、数据资产、互联网资产不被侵害 资产盘点、漏洞管理、渗透测试、风险评估、安全加固、威胁管 理、态势感知、风险缓解、应急响应、溯源取证等 通过人+自动化平台/工具实现人机合智的安全运营与管理 关键经营数据分析——现⾦流健康度继续下降 安全运营的模式（甲方视角） 完全自建模式 u 组织具有成熟的安全体系，安全管理流程、安全人员、安全技术均 产品体系自建+采购驻场运维服务模式 u 由组织自建自筹； 组织通过安全集成的方式购买安全产品并建立安全防护体系，但组 织内安全人员有限，需要以人力外包的方式补充安全运营人员； u 组织CSO（首席安全官）对本组织的安全运营情况和效果负责； u 组织CSO（首席安全官）对本组织的安全运营情况和效果负责； u 组织具备充足的安全预算，已建成体系化的安全架构，拥有专业的 u 组织安全预算相对充足，但预算优先投入安全技术体系建设，拥有 u 安全运营团队，安全运营是保障组织业务发展的重要因素。 相对成熟的安全管理流程，但受限于组织体制、技术能力与人员编 目前在市场中，采用完全自建模式的客户比例不超过3%。 制控制等原因，无法自建完整的安全运营团队。 安全托管模式（MSS） u u 组织建立了安全防护体系，但没有独立的安全运营团队，也不具备 数说安全研究院 u 除基础安全运营工作外，组织更关注自身面临的网络攻击与威胁， 安全运营能力，需要将安全运营工作委托给外部专业的安全公司； 但组织不具备相应的技术能力，需要将威胁检测、威胁分析、威胁 受委托的安全公司针对组织面临的安全需求，制定组织安全管理流 响应等工作委托给外部专业的安全公司； 程、配备安全运营人员、提供安全运营工具，以云端/远程的交付方 u 托管检测与响应模式（MDR） u 受委托的安全公司为组织提供面向威胁视角的托管式安全服务，包 式实现对组织安全运营工作的全面托管，并对最终的效果负责； 括部署威胁检测探针、威胁分析和响应平台等基础设施，并在云端 组织安全预算有限，短期内不具备自筹自建安全运营体系的能力。 配备安全专家，为组织提供7*24小时的威胁检测与响应服务。 安全运营的价值 安全管理指标化 关键经营数据分析——现⾦流健康度继续下降 成熟的安全运营将打破传统网络安全管理的模式，在管理制度和管理流程基础上，进一步采用