《2021中国网络安全产品用户调查报告》完整纸版面世

特别恭喜点赞排名第一星球ID为“海叔”的会员，成功赢得“火力奖”，奖品为价值3000元大疆Mini2无人机一件。

关于第二届安在新榜读后感补充说明！共有三点建议：

1.首先是全力扩大诸子云会员和行业分布，会员多了，范围大了，调查样本就够了！可以采用社群裂变，会员推荐等方式，以及和一些协会联合。

2.当前设总排名意义不大，不如做单品或某类的分项排名。这也是一种大众点评，就好像川菜和粤菜各有排名，而中餐、西餐、快餐也不适合放一起评！

3.强化诸子云的活动和成果输出，突出影响力，比于办诸子云会员大会，CSO和中层安全管理的培训，甲乙方供需见面沙龙。让安全厂商觉得即使不代表全部“食客”，但这个群体依然是安全市场中非常重要不可或缺的，赢得这些人欢心也会带来收益！

这两年网安技术应用最大的思考，现有的安全技术如何广泛应用于云上业务、移动办公和效率协同。传统安全产品不够创新或不够灵活，甲方安全团队有主动改造安全平台走向安全自研的意愿，因此继续开放灵活的安全产品生态。OpenApi、开发数据成为能力互动和技术选型的主要考量。

当我们还在思考安全投入绝对值的时候，容易陷入盲目追求安全投入规模增长的假象中。安全团队如何在企业、业务、组织发展的不同的发展阶段持续创造价值，如何聪明地争取安全预算，眼下很多是缺少这方面的方法论和最佳实践。

利用管理层对安全领域的不够理解，引入行业投入参考，是一种短视盲目的行为，不够科学和业务相关。有没有够“科学”的管理者话术提升咱们的思考能力和引领能力。亦或是将安全预算定位到合适安全水位开销，如每员工安全意思培训成本、每研发最小漏洞产生的安全技术采购，每单交付的最小安全防御成本……还是将安全价值定位在效率和效益的衍生，种种困惑需要安全从业者上下求索。围绕业务价值链条去定义安全投入的下限和增长方法，帮助安全团队持续创造价值。

网络安全产品用户调查的形式不错，可以从用户的维度反映出网络安全产品的一些情况，后续相关建议如下供参考，主要是为了争取幸运奖。

1. 建议把信创产品可以独立出一个排行榜，这一类和防火墙等传统意义的网络安全产品还是有很多不同的地方；

2. 在相关领域分类上：建议分为安全产品和安全服务两个维度进行统计，目前不少监管部门和大型企业倾向于购买服务，特别是某些需要重点保障的时间段；

3.  在细分领域细分上：建议增加工业互联网等新兴领域类安全产品，特别目前新技术新场景新问题不断带来一些新产品，还有一些厂商的新概念，如零信任、态势感知、隐私计算和DevSecOps等新产品和新服务；

4. 增加一些产品榜单：除了十大热门产品榜单以外，能否增加其他的榜单，如十大新兴产品/服务，可以帮助用户发现一些新的趋势端倪；或者最具性价比产品榜单之类；

5. 在用户维度上，建议不同用户维度的分类输出相关细分领域的排行榜；首先对大型企业（集团）和中小型企业进行分类输出相关排行榜，因为两类企业对产品价格的敏感度是完全不一样的；其次是针对不同地区和不同行业用户的排行榜；

6. 在用户调查问题上：能否增加一些调查的维度：如对不同类型网络安全产品/服务最受欢迎的功能；最希望得到的产品/服务/功能等；

7. 另外考虑到相关调查样本的广泛性的问题，能否引进一些其他第三方渠道的调查数据，丰富相关内容。

这份报告发布之初就已拜读，总体的感觉调查问卷数量也反映出现今甲方对于安全建设的态度是明确的。近两年随着网安法、个人隐私保护、数据安全等法律的出台，企业在建设过程中不可逃避合规的建设。

我在甲方从业经验近10年，深刻感受到甲方安全建设的难度，早期我在乙方，参与的都是政府项目，政府机关单位每年可以申请预算投入去做，动辄100--200万不在话下，设备堆得一排一排。但是以私营企业为主的中国甲方市场，早期想大力投入安全是不可能的，ROI都说不清楚，如何谈安全建设。

近年随着政府对于国家安全的重视，法规的监管，等保的要求，不做安全建设，大概率属于违法行为。所以近几年我深感安全建设越来越容易，很多时候安在的调查报告，可以摘取中间的调查数据作为安全建设的参考依据，有很大价值，但是也希望调查报告中能加入一些访谈的报告，找一些典型的甲方安全企业谈谈安全建设的案例分享。

最后谈谈国内安全厂商，给大家一点建议，安全产品市场充斥着各类厂商，但是根据我多年的经验，安全没有绝对，安全厂商也如此，做安全自家安全产品漏洞百出比比皆是，国家漏洞共享平台是我日常关注的重点网站，可以看到很多针对安全厂商自身问题提交的漏洞信息。

但是我所在的企业，不管防火墙、IDS/IPS、加密工具、准入产品，出现漏洞后，售后服务都不及时，都需要甲方看到风险告知乙方安全厂商再去做修复。这样谈何安全！希望未来调查报告中有相关针对甲方安全产品自身漏洞的评估调查，也是给广大甲方客户在安全建设过程中避坑！

安在的报告我一直都看，最后希望安在将报告做的更细更广，让国内甲方企业买到货真价实的安全产品。

看完安在调研报告，最深刻的感觉是信息安全意识与受众面无法大众，导致自我感觉良好却身陷无知的暗流中而浑然不知。面对细分行业与产品的调研结果与习惯性思维和意识相左后的“质疑”！这么有名的公司怎么在某个排名中如此靠后！是调查报告数据的偏颇，还是自己知识面的退潮！两种疑惑顿生！

但稍作冷静思考后，恍然顿悟，是自己的位置太低了，被一叶障目。没法一览众山小，是因为自己对该了解的行业知识还停留在了过去的认知。没有与时俱进自然出现认知错位！

与其“大众点评”似乎与安全领域系统性建设还有些距离，至少在消费端的宣传方面有极大的空间需要弥补。信安企业或者中大型企业信息化部门对某些网安产品的偏好，导致部分排名的出乎意料，似乎可以理解为小众的点评结果而非大众点评，真正的大众我的理解是C端的力量和认知数据而非产品使用者的那一小部分。

这就尴尬地推导出一个结论，产品宣传，消费端教育推广普及，是产品生态与口碑建立最终形成群体安防意识的必由之路。

这份用户调查报告总体上呈现了网络安全的方方面面，对用户和厂商均有一定的参考价值，但是网络安全细分领域实在太多，且不同行业由于业务不同，其安全需求及安全实践均存在行业差异。

建议后期调查报告增加网络安全保险相关产品或服务的调查研究，该领域在国外已经比较成熟，但是在国内还是一块非常新兴的领域，而且市场前景非常广阔。但是要想推动这款领域的发展，一定离不开监管的推动和保险及网络安全持续评估定损服务等配套的成熟，本次由于国内用户极少真正购买过网络安全专项保险，因此比较难想到。

随着后期《数据安全法》和《个人信息保护法》等安全法律的正式出台，在高额罚款和勒索病毒攻击等双重压力下，网络安全保险服务势必将成为企业可选的一种很不错的风险转移方式（虽然无法转移安全主体责任，仅能获得经济赔偿），但是也同样引发客户和厂商的一些思考，需要双方共同探讨，如用户应购买多少金额的保单？保单的费率如何科学的确认？如何定量地定损？以及可以根据市场需求提供哪些网络安全保险，是专项保险还是全面保险，赔付的内容有那些等等。

以“用户调查报告”为切入点，诚恳的表示“报告存在一定的局限性”，在国内安圈实属珍贵。

报告有趣的地方很多，中型民企成为网络安全生力军；非强技术属性的企业开始重视网络安全建设；最有意思的预算部分，300万以上企业占比合计超过15%，同时50万以下占比居然有接近50%，这些数字值得我们思考。

安全产品的部分其实我不是非常感兴趣，主要是因为每个企业都需要一份独一无二的安全战略，如果这个模式是复制而来的，我坚信很大程度是存在问题的。我们一直在寻求标准化、统一、格式化的统一安全解决方案，但真的存在吗？或者这么说，在预算有限、企业背景各异、企业资源不同的背景下，存在所谓的可复制模版吗？我的答案是：不存在。

报告最后的厂商介绍部分，说实话，惊讶到我了。“在所有厂商中，涉及的国外厂商仅占18.42%”。我不崇洋媚外，但这个占比下降太快，具体背后的原因是真的国产设备这么强了？还是预算问题？维护问题？或者其他问题？你要我一个懂技术的安全负责人相信网络安全领域，我们已经秒杀“洋货”了，我还是持保留意见的。国内安全能力，我们必须要客观看待，进步很快，差距很大。

现在，各种速成班、各种“白帽子”，各种poc熟练操作，各种src提交漏洞，你反过来问一句，请问这个漏洞的rce能说一下吗？不对，留了细节和原理两字……技术部分尚且如此，安全管理更是如此。

通读了一遍安在《2021中国网络安全产品用户调查报告》。还是有了一些具体想法。

第一，报告初衷是给到用户不同安全产品的细分排行榜，信息的输出。

第二，当然也是结合当下网络安全大环境的推动，让安全厂商听到用户发自内心的声音。向上传递。结合某位同学提出的几点建议，我跟进几点可行的实践内容：

1. 根据安全厂商的规模，分为成熟榜单和新晋榜单；

2. 部署模式如果不是单一licence的软件和硬件实施，例如云化，就应该单独指出。例如SecaSS；

3.  多参考国外先进咨询公司方法论，导入零信任、态势感知、EDR和Cybersecurity mesh等；

4. 扩展安全到数据保护，比较一下安全服务厂商的benchmark；

5. 国际化同步发布英文版，外企用户群体比重如此之高，向上传递信息，更需要原汁原味的英文版本；

6.另外考虑报告的可读性和趣味性，建议增加图标和图表的设计考量。用户体验也需要考量。

《2021中国网络安全产品用户调查报告》为甲方企业在选择安全产品时，提供客观的参考和指导。如果厂商能提供Poc测试报告，会为甲方企业选择产品提供更加详实的数据支撑。

作为一名安全运营人员，说到安全产品的使用体验，我最大的感受就是点和面的矛盾。安全产品之间不能很好的联动，就算是同一家厂商的产品有的都做不到联动，更别说不同厂商的了，这就会带来安全防御的短板效应，也为安全运营人员的工作造成极大的不便。

对于甲方企业而言，采购同一家厂商的产品要冒很大的风险，毕竟安全领域不存在"银弹"。所以针对这个问题市场涌现了相应的安全运营产品，然而，可扩展性本应是产品的基本属性，用户反而要为此买单，有点冤了。

安全产品没有统一的标准，非但产品之间存在联动问题，就是用户进行二次开发也没有官方指导和最佳实践，需要探索前进。

另外，本星球已开通“分享有赏”，20%分享奖励，以当前价格计，您只需引荐5位付费新星友，您就完全赚回“门票”支出了。