安全SaaS，在中國TO B中艱難成長

無論是一體化、還是以業(yè)務(wù)為中心專攻政企或金融客戶，還是針對(duì)中小微企業(yè)市場(chǎng)推出免費(fèi)產(chǎn)品，都可能成為未來安全SaaS規(guī)?；陌l(fā)展路徑。

作者|斗斗

編輯|皮爺

出品|產(chǎn)業(yè)家

5G、物聯(lián)網(wǎng)、AI、云計(jì)算等技術(shù)的應(yīng)用，讓生產(chǎn)、服務(wù)過程加速數(shù)字化、云化。

但哪里有利益，哪里就有壞人盯著。一組數(shù)據(jù)是，國內(nèi)大中型企業(yè)在過去一年內(nèi)因信息安全事件平均每家損失達(dá)240萬美元。而每年計(jì)算機(jī)及網(wǎng)絡(luò)犯罪活動(dòng)帶來的損失超過4450億美元。

產(chǎn)業(yè)數(shù)字化在創(chuàng)造巨大價(jià)值的同時(shí)，數(shù)據(jù)安全、網(wǎng)絡(luò)安全、主機(jī)安全，就成為保護(hù)價(jià)值的堡壘。但值得注意的是，網(wǎng)絡(luò)安全人才缺口正在越來越大。

相關(guān)數(shù)據(jù)顯示，2021年，網(wǎng)絡(luò)安全人才缺口達(dá)140萬人，預(yù)計(jì)2027年缺口將進(jìn)一步擴(kuò)大到300萬人?！熬W(wǎng)絡(luò)安全人才十分稀缺，而每年網(wǎng)絡(luò)安全相關(guān)專業(yè)的高校畢業(yè)生規(guī)模僅兩萬余人。”一位業(yè)內(nèi)人士說道。

此外，大型企業(yè)安全解決方案都以本地化部署為主，但本地安裝的傳統(tǒng)安全解決方案既費(fèi)時(shí)又費(fèi)錢，維護(hù)費(fèi)用也高，從幾百萬到幾千萬甚至更多。這筆費(fèi)用對(duì)于大型企業(yè)而言或許并不吃力，但對(duì)于一些預(yù)算有限的中小型企業(yè)，即使有意向安裝，卻也是有心無力。

SaaS正在打破這種固有的本地化安全部署架構(gòu)。

一個(gè)例子是，某企業(yè)在自己網(wǎng)絡(luò)中安裝了SECaaS（安全即服務(wù)）產(chǎn)品，首先其安全警報(bào)數(shù)量直線下降，只有之前的1/100。其次，隨著業(yè)務(wù)的增長，該企業(yè)安全需求擴(kuò)大，而訂閱式的付費(fèi)方式，讓企業(yè)可以隨時(shí)隨地按需要購買安全配置。且SECaaS使得該企業(yè)不再需要安全部門，縮減了人力成本。

而這就是安全輕量化，即SaaS化最直接的體現(xiàn)。在企業(yè)客戶的需求之下，安全的輕量化已經(jīng)逐漸成為未來的一個(gè)發(fā)展趨勢(shì)。

據(jù)中國信通院發(fā)布《中國網(wǎng)絡(luò)安全產(chǎn)業(yè)白皮書》，安全即服務(wù)（SECaaS）被稱為未來最有發(fā)展?jié)摿Φ木W(wǎng)絡(luò)安全新技術(shù)/新理念之一。

一個(gè)預(yù)測(cè)是，當(dāng)安全SaaS規(guī)?；l(fā)展之后，安全SaaS廠商也將重塑目前的競(jìng)爭(zhēng)格局，帶來一些新的商業(yè)模式。

因?yàn)榘踩鉀Q方案，十分考驗(yàn)廠商的PaaS能力，每一次安全解決方案的本地化部署，都要重復(fù)造輪子，導(dǎo)致系統(tǒng)越來越沉重。管理起來也痛苦，但如果安全解決方案以SaaS的形式進(jìn)行服務(wù)，廠商可以實(shí)現(xiàn)降本增效，解放更多的人力、物力、財(cái)力。

另外，隨著安全解決方案市場(chǎng)參與者數(shù)量的增加，供應(yīng)商越來越難以脫穎而出，而通過專注于SaaS安全解決方案，廠商可以利用其現(xiàn)有又是并從競(jìng)爭(zhēng)對(duì)手中脫穎而出。

總體而言，無論是對(duì)企業(yè)客戶、安全解決方案提供商，還是整個(gè)產(chǎn)業(yè)數(shù)字化而言，安全SaaS的價(jià)值正在被逐漸放大。

但目前來看，安全SaaS想要真正實(shí)現(xiàn)全面推廣并不簡單。

一、安全SaaS，叫好不叫座

安全SaaS本質(zhì)上是將安全以SaaS的形式進(jìn)行交付，并非是為SaaS產(chǎn)品提供安全服務(wù)。前者交付形式是訂閱制，而后者還包括本地化交付形式；在產(chǎn)品形態(tài)上，前者是軟件，后者則包括軟、硬件。

在國內(nèi)，很多廠商在這一方面都有所布局。目前，主要分為三大陣營。

一是以阿里云、騰訊云、華為云等為代表的這個(gè)云計(jì)算廠商。其優(yōu)勢(shì)在于基礎(chǔ)設(shè)施——云，以及豐富的客戶。

例如，阿里云上的客戶，數(shù)量大，且基礎(chǔ)設(shè)施托管在阿里云，本身就需要云清洗、云WAF、云掃描的服務(wù)，阿里叫做“云盾”系列就是主要指的這幾個(gè)產(chǎn)品。從資源的成本角度，以及獲客成本角度，云巨頭做SaaS安全產(chǎn)品具備天然的優(yōu)勢(shì)。

但云廠商一般專于公有云等整體的云安全，打造解決方案，在更加具體、細(xì)分的安全領(lǐng)域并未深耕。

二是以聯(lián)通云、移動(dòng)云、天翼云為代表的運(yùn)營商；優(yōu)勢(shì)是網(wǎng)。由于運(yùn)營商國內(nèi)就那么幾家，本身帶寬的基礎(chǔ)設(shè)施就遍布全國，且傳統(tǒng)政企客戶上云后也往往上運(yùn)營商的云機(jī)房，順帶在賣計(jì)算和帶寬資源的同時(shí)，提供安全SaaS服務(wù)，獲客成本低，能起量。

值得注意的是，運(yùn)營商的這類服務(wù)的建設(shè)模式，往往通過采購安全廠商的設(shè)備和服務(wù)來實(shí)現(xiàn)安全云的建設(shè)。因?yàn)檫\(yùn)營商采購量巨大，入圍的廠商多，價(jià)格低，因此也能夠迅速以低成本的方式建設(shè)“安全云”。比如國內(nèi)電信“云堤”、聯(lián)通“云盾”、以及移動(dòng)公有云系列，都是這個(gè)模式。

與云廠商類似，雖然運(yùn)營商有著基礎(chǔ)設(shè)施帶來的優(yōu)勢(shì)，但目前來看，其主要圍繞DDoS攻擊防護(hù)，打造SaaS解決方案。在其他細(xì)分領(lǐng)域發(fā)展的并不是特別成熟。

三則是以新華三、奇安信、360安全、微步在線、綠盟、青藤云安全等為代表的專業(yè)安全廠商。這其中有一部分是由原來傳統(tǒng)的網(wǎng)絡(luò)安全廠商轉(zhuǎn)型而來。這類廠商專業(yè)性更強(qiáng)、行業(yè)經(jīng)驗(yàn)積累更多，一部分廠商還可以為企業(yè)提供更加個(gè)性化的服務(wù)。

但由于沒有現(xiàn)成的網(wǎng)絡(luò)和計(jì)算基礎(chǔ)設(shè)施資源，也沒有現(xiàn)成的成批量的客戶，獲客成本較高。所以這類廠商的營收與云廠商、運(yùn)營商相比，較低。目前比較能成規(guī)模的，主要是做監(jiān)管單位，比如網(wǎng)監(jiān)、通管局、政府等。這些監(jiān)管單位本身下面的子單位就非常多，信息系統(tǒng)也很多，搞定監(jiān)管部門，一次性就可以大量獲客。

可以發(fā)現(xiàn)，其實(shí)各個(gè)布局安全SaaS的廠商，商業(yè)模式都類似于“主產(chǎn)品+安全SaaS”。在這種模式下，安全SaaS往往無法作為一個(gè)單獨(dú)產(chǎn)品或者一種單獨(dú)的服務(wù)進(jìn)行交付，而是成為類似于“買一贈(zèng)一”的綁定服務(wù)或產(chǎn)品。

“目前的安全SaaS的商業(yè)模式，更多是廠商圍繞自身業(yè)務(wù)，疊加安全的SaaS化能力。”在與新華三安全產(chǎn)品線研發(fā)副總裁韓小平的談話中，其表達(dá)了類似的觀點(diǎn)。

除此之外，在客戶體量方面，韓小平認(rèn)為，單拿安全SaaS來看，客戶群體并不大。

在與微步在線技術(shù)合伙人黃雅芳的對(duì)話中，也證實(shí)了這一點(diǎn)。“目前，不管是獨(dú)立的安全廠商還是大型的綜合型廠商，安全SaaS訂閱業(yè)務(wù)真正能占據(jù)一定比例的很少?！?/p>

站在當(dāng)下來看，雖然目前國內(nèi)有諸多廠商都有能力打造安全SaaS，且都在布局安全SaaS，但似乎叫好不叫座。

二、本地化到SaaS化的困局

安全SaaS化，安全常常面臨諸多挑戰(zhàn)。首先，安全SaaS產(chǎn)品與用戶群體之間似乎存在著需求“悖論”。

從安全SaaS的產(chǎn)品特點(diǎn)來看，中小微企業(yè)是其主要的“落腳點(diǎn)”。然而，國內(nèi)大部分的中小微企業(yè)數(shù)字化水平并不高。部分?jǐn)?shù)據(jù)顯示，國內(nèi)小微企業(yè)數(shù)字化滲透率僅為10%。小微企業(yè)更甚，這類規(guī)模的企業(yè)，員工可能僅有十幾個(gè)人，或者更少。對(duì)企業(yè)安全需求并不高嗎，或者企業(yè)安全根本不是剛需。

即使有些中型企業(yè)有一些網(wǎng)絡(luò)安全的意識(shí)，但由于企業(yè)內(nèi)部業(yè)務(wù)、數(shù)據(jù)并不涉及企業(yè)機(jī)密，表現(xiàn)的也比較佛系。這種心態(tài)的企業(yè)并不少見。

“很多中小微企業(yè)只有在遭受攻擊時(shí)，才會(huì)象征性的買一些安全產(chǎn)品，做應(yīng)急處理，但當(dāng)產(chǎn)品部署成功，可能已經(jīng)時(shí)過境遷了?！表n小平認(rèn)為單以目前中小微企業(yè)的需求來看，很難觸達(dá)。

所以，企業(yè)在“非剛需”和“佛系”的作用下，自然不會(huì)花錢去買一個(gè)安全產(chǎn)品。于是，需求無法滿足用戶，矛盾點(diǎn)也逐漸顯現(xiàn)。

站在當(dāng)下來看，在安全SaaS這個(gè)領(lǐng)域，中小企業(yè)的市場(chǎng)大門尚未敞開。

其次，SaaS安全解決方案通常被設(shè)計(jì)為具有靈活性和可擴(kuò)展性，但在國內(nèi)市場(chǎng)的商業(yè)環(huán)境中，企業(yè)定制化需求較高，其可能無法提供某些組織所需的定制級(jí)別。尤其是對(duì)于具有獨(dú)特安全需求或特定合規(guī)性要求的組織來說，這可能是個(gè)問題。

加之SaaS安全化意味著需要將SaaS安全解決方案與現(xiàn)有IT系統(tǒng)集成。組織可能需要修改其IT架構(gòu)以適應(yīng)新的解決方案，這是一個(gè)巨大的工程，需要大量的資金和時(shí)間，對(duì)于大型企業(yè)而言都很難決斷，更何況中小企業(yè)。

另外，安全SaaS模式還存在與廠商鎖定的風(fēng)險(xiǎn)。例如，一旦企業(yè)部署了某廠商的安全SaaS，切換到不同的廠商可能會(huì)很困難且成本很高。這可能會(huì)限制組織利用新安全技術(shù)的能力，并可能使協(xié)商有利的定價(jià)或合同條款變得更加困難。

一個(gè)更為重要的點(diǎn)是，想要實(shí)現(xiàn)安全SaaS化的大規(guī)模應(yīng)用，數(shù)據(jù)政策是決定性因素。

“其實(shí)我們看到的情況不是企業(yè)不接受安全SaaS化，技術(shù)人員能意識(shí)到SaaS化產(chǎn)品帶來的技術(shù)優(yōu)勢(shì)，但往往受限于企業(yè)自身或者是行業(yè)有一些監(jiān)管上的要求?！秉S雅芳認(rèn)為數(shù)據(jù)不能出網(wǎng)等，是決定企業(yè)能否接受安全云化的核心關(guān)鍵。

下層基礎(chǔ)決定上層建筑，這道數(shù)據(jù)政策的閥門，擋住了大部分企業(yè)安全轉(zhuǎn)型的路。

總體而言，從產(chǎn)品本身的用戶群體選定、到客戶的轉(zhuǎn)型意識(shí)，再到整個(gè)宏觀的網(wǎng)絡(luò)安全大環(huán)境來看，用SaaS的模式做安全，仍有許多發(fā)展瓶頸。

但在一些頭部安全廠商的具體布局中，已經(jīng)可以看到一些安全SaaS未來發(fā)展的趨勢(shì)。

三、尋找安全SaaS化路徑

新華三的立體化、微步在線錨定央企、360企業(yè)安全云面向中小微企業(yè)免費(fèi)開放……安全廠商似乎都在以自身的優(yōu)勢(shì)，走出了不一樣的發(fā)展路徑。

對(duì)于客戶而言，購買單一的安全SaaS產(chǎn)品，價(jià)值不大?！表n小平對(duì)產(chǎn)業(yè)家說，企業(yè)需要一個(gè)立體的防護(hù)方案。

所謂“立體化”，就是安全SaaS能力與本地化產(chǎn)品或解決方案進(jìn)行搭配、整合。例如，新華三與運(yùn)營商合作推出的安全大腦的解決方案，通過在本地部署安全網(wǎng)關(guān)，把這些安全網(wǎng)關(guān)的數(shù)據(jù)上傳到云端的這個(gè)安全大腦，實(shí)現(xiàn)海量設(shè)備的安全管理。同時(shí)，區(qū)別于傳統(tǒng)的SaaS能力僅能防護(hù)外網(wǎng)暴露面，新華三安全大腦方案，通過云端和本地網(wǎng)關(guān)建立加密隧道實(shí)現(xiàn)云端的各類SaaS能力對(duì)用戶內(nèi)網(wǎng)資產(chǎn)進(jìn)行掃描、檢測(cè)、防護(hù)，結(jié)合本地防護(hù)設(shè)備打造立體化防御體系。

目前，新華三針對(duì)這項(xiàng)業(yè)務(wù)與三大運(yùn)營商都推進(jìn)了合作，專線的用戶數(shù)已經(jīng)達(dá)到了10萬加的規(guī)模，安全運(yùn)營服務(wù)的平均在線用戶數(shù)有7萬家。

可以發(fā)現(xiàn)，而這種安全SaaS能力與本地化產(chǎn)品的整合，將會(huì)把安全SaaS在具體場(chǎng)景應(yīng)用中優(yōu)勢(shì)放大，達(dá)到1+1＞2的效果。

事實(shí)上，安全SaaS化的終極目標(biāo)是幫助企業(yè)解決業(yè)務(wù)問題。

正如黃雅芳所言：“是不是實(shí)際解決了業(yè)務(wù)問題，是不是讓客戶更多精力聚焦在業(yè)務(wù)上?！彼J(rèn)為這就是客戶評(píng)定安全SaaS好壞的標(biāo)準(zhǔn)。

從安全SaaS這個(gè)模式在國內(nèi)興起開始，微步就是國內(nèi)較早推行安全SaaS的安全廠商，屬于安全SaaS領(lǐng)域的佼佼者。也正是因?yàn)檫@種特性，其更專注于打造安全SaaS的產(chǎn)品應(yīng)用。

“我們當(dāng)時(shí)推出互聯(lián)網(wǎng)安全接入服務(wù)產(chǎn)品OneDNS做了一些預(yù)判，OneDNS這種SaaS輕量化的產(chǎn)品應(yīng)該是中小企業(yè)更喜歡，但最后發(fā)現(xiàn)，實(shí)際上不管是接入網(wǎng)后面的人數(shù)還是付的錢數(shù)，最終金融、央企用戶變成大多數(shù)?！秉S雅芳對(duì)產(chǎn)業(yè)家說，“第一家簽約客戶也是央企，跟我們的想象有點(diǎn)不太一樣?！?/p>

一個(gè)數(shù)據(jù)是，過去7年，微步在線的大客戶續(xù)約率一直維持在98%以上。

通過微步在線的產(chǎn)品實(shí)踐來看，SaaS化意識(shí)正在不斷滲透大型企業(yè)，大型企業(yè)對(duì)安全SaaS的認(rèn)可度逐漸提升。

比起數(shù)字化程度較高大型企業(yè)，對(duì)于數(shù)字化程度較低的小型企業(yè)來說，安全SaaS的滲透速度較為艱難。

因此，也有一些企業(yè)想改變以往的SaaS的銷售模式。

2022年3月7日，周鴻祎宣布推出“360企業(yè)安全云”，面向中小微企業(yè)免費(fèi)開放。對(duì)外宣稱將發(fā)放“數(shù)字大紅包”，讓中小微企業(yè)免費(fèi)逛360SaaS商店，幫扶中小微企業(yè)數(shù)字化轉(zhuǎn)型。

此消息一出，安全SaaS領(lǐng)域一片嘩然。眾所周知，SaaS是以訂閱付費(fèi)模式，幫助客戶成功，尋求長期主義下的持續(xù)盈利。而周鴻祎這一做法，在當(dāng)時(shí)看來顯然有一種要“革TOB廠商的命”的感覺，很可能傷及友商。

但就目前來看，該產(chǎn)品以交付門檻低、配置要求低、技術(shù)難度低、操作難度低、使用成本低的優(yōu)勢(shì)，觸達(dá)了中小微企業(yè)的需求，服務(wù)的終端規(guī)模已經(jīng)超2000萬，中小微數(shù)字安全領(lǐng)域服務(wù)規(guī)模第一。而通過這一打法，360安全或?qū)⒋蜷_中小微企業(yè)市場(chǎng)安全SaaS的大門。

總體來看，各個(gè)廠商的切入角度不同，無論是一體化、還是以業(yè)務(wù)為中心專攻政企或金融客戶，還是針對(duì)中小微企業(yè)市場(chǎng)推出免費(fèi)產(chǎn)品，都可能成為未來安全SaaS規(guī)?；陌l(fā)展路徑。格局未定，一切皆有可能。

根據(jù)《2022中國SaaS市場(chǎng)研究及選型評(píng)估報(bào)告》顯示，2022年中國信息安全類SaaS市場(chǎng)規(guī)模達(dá)42.5億元，近五年復(fù)合增長率達(dá)33.9%。

雖然安全SaaS市場(chǎng)規(guī)模在高速增長，但整體來看，市場(chǎng)規(guī)模明顯較低。國內(nèi)安全SaaS市場(chǎng)雖有，但不多。

但在TOB這個(gè)注重長期主義的領(lǐng)域，更需要看見未來，隨著“全民上云”的浪潮愈發(fā)洶涌，安全SaaS也許會(huì)成為新的“明星賽道”。