網絡安全概念的變化反映出安全的覆蓋面在不斷擴大，不同領域背景的人，對網絡安全概念的認識也不盡相同，并在其中出現一些理解上的混亂。比如信息安全，政府人員就容易認為是指信息保密。通信領域的人員就認為是不良信息、垃圾郵件。IT 人員會認為是信息系統安全。還有一種混亂情況是范圍的界定。比如，有人認為電磁防泄露不屬于網絡安全。再比如，利用電話或網絡社交工具進行的詐騙、勒索也不屬于網絡安全。還有，對人為物理破壞或自然災害的防范也不屬于網絡安全。本部分內容試圖給出網絡安全的概況性定義、本質和一些相關特性，當然這只是一家之言，謹供業內人士思考與討論。

網絡安全的核心概念：網絡與對抗

從網絡安全概念的演化可以看出， “網絡與信息系統” 和 “攻防對抗” 是網絡安全最為核心的兩個關鍵詞。其中，網絡與信息系統即是攻防對抗的目標也是手段。因此，網絡安全的本質或概念可以簡單概括成一句話：基于或面向網絡與信息系統展開的對抗過程。“基于” 是指把網絡與信息系統當作工具或手段，“面向” 則是指攻防的目標對象就是網絡與信息系統。由于網絡的無處不在，攻防雙方的目標可能為陸、海、空、天等空間中的任意對象，不僅僅是由電子設備、通信網絡及應用程序、文檔數據等構成的網絡與信息系統本身，還包括與之相關聯的實體設施，甚至是輿論思想和人身安全。這也正是網絡空間安全概念提出的真正意義所在。

網絡安全的層級外延：事件、威脅與風險

網絡安全概念的解釋，從攻的角度，電子設備的破解、通信協議的劫持、信息數據的盜竊，從防的角度，為防止數據的無意丟失和泄露采用的數據加密，維護網絡與信息系統的穩定運行，甚至是為了防止人為破壞或自然災害所采用的系統備份、網絡保險等手段，均屬于網絡安全的范疇。但在現實中，對抗性質不明顯的防范或保護，往往被列入相關技術范疇，比如保障系統穩定運行，歸為網絡運維，數據備份則歸到存儲。

圍繞網絡安全，有三個詞最為常用：事件、威脅與風險，后兩個詞還經常被很多人混用。但實際上，這三個詞之間有著遞進擴展的關系。“事件” 最為直接，它的內含在于對抗，發生安全事件時，所做的應急、響應、處置等第一時間的行為。“威脅” 的內含是預防，在威脅變成事件之前的保護。比如，系統存在漏洞但還沒有被利用，就是典型的威脅，需要更新系統打補丁。“風險” 的內含是控制，因為風險是不可避免的，而資源是有限的，所以要將風險控制在可接受的范圍內。比如業務連續性，災難備份等。“事件” 最為直接，發生了事情必須解決。“威脅” 是未發生或未發現的事情，用戶的感受雖然不那么直接，但威脅防御也有對抗的性質，只不過是對抗過程的延伸。“風險” 的概念最為廣義，對抗的內含也最為泛化（如與自然災害的對抗），而且理論上投入多少資源都無法杜絕風險。因此，用戶在風險上的投入也最不敏感。

網絡安全的技術特性：伴生

網絡安全技術是隨著信息技術的出現而出現的伴生性技術。由于網絡與信息系統的環境、場景、對象、技術、產品的復雜性和多樣性，網絡安全需求不可避免的呈現出行業化、場景化、碎片化、規模小等特征。舉個例子，居住是生活的基礎性需求，裝修則是伴生性需求。一個現代化企業的信息系統是必需的，但保護信息系統的安全就是伴生需求。但在某些極端情況下，如業務信息系統是企業的命脈時，對安全的伴生需求就會成為剛需。比如，完全依賴線上銷售的電子商務，抗 DDoS 就是必要需求。以知識產權為核心競爭力的科技公司，重要資料的保護就是必要需求。

網絡安全的行業特性：服務

業內有很多人在談到 to B 業務難以做大的話題時，往往會強調 to B 與 to C（面向企業還是面向消費者）的區別。但我認為，與其強調 BC 的區別，不如強調服務與標準化產品的區別。因為前者只是表現形式上的區別，后者則是本質上的區別。我們知道，B 與 C 的區別在業務流程、銷售環節、產品迭代、運營手法上有著很大差異，但實際上，to C 業務一點也不比 to B 業務簡單。雖然后者的環節較多，比如需要有售前的崗位、不斷的打磨產品、長期的建立客戶關系等，可 to C 產品一樣會有復雜的銷售鏈條、渠道代理、品牌營銷、區域特色、地方保護、門店連鎖等等，一點不比 to B 業務好做，而且 “死亡” 概率要比 to B 高得多。再反觀國外，IBM、微軟、甲骨文、Adobe、AWS 這些做企業服務的公司照樣可以做的很大。所以，影響規模大小的不是 BC 的區別，而是服務與標準化產品的區別。前者天生就是碎片化1 的，后者則容易形成巨頭。

［1］ 平臺性質的服務除外。如社交、共享、電商、云計算等。

網絡安全屬于服務性質的行業，類似的如餐飲、銀行、保安、醫療等行業，除了快餐連鎖、突破性藥品這樣的標準化產品，沒有哪家以提供服務為主的行業能形成巨頭。同樣，網絡安全公司，除了防火墻、個人安全軟件這種偏標準化且能夠普及的產品，沒有任何一個細分領域能達到較大規模。

與網絡安全行業最為相似的一個行業就是醫療衛生。醫院無法包治百病，安全也做不到百分之百。醫院非常依賴經驗積累，最有價值的是醫生，安全也一樣，最值錢的是高級安全專家。而且醫療行業是非常碎片化的，世界上沒有一家醫療機構能夠做到類似于社交、電商、搜索、手機、芯片、操作系統、應用軟件等領域具備統治力的企業巨頭。據安全牛統計，全世界所有安全業務年收入超過十億美元的企業（約 17 家左右），全部加起來也只占到全球網絡安全收入的 30%，其余 70% 的收入來自數量繁多的中小微企業。有一個數據可能會讓業內人士感到意外，網絡安全行業最大的細分領域不是防火墻，而是安全咨詢服務，收入規模是防火墻的兩倍（約 200 億美元2）。而且在 17 家安全業務達到年收入 10 億美元以上的企業中，有五家是咨詢公司，從數字的角度佐證了網絡安全是一個不折不扣的服務性行業。

［2］ 以 2018 年千億美元的全球市場規模計算，防火墻超過 100 億，個人安全軟件 50 億，SIEM 25 億，其他產品最多的也就 10 億左右，而且高度定制化。

超大型企業會自己建醫院，同樣也會成立自己的安全公司。大型綜合醫院對應全產品線廠商，專科醫院對應技術細分廠商，細菌病毒對應惡意代碼，疑難雜癥對應 APT（高級持續性威脅），手術急診對應安全部署或事件響應，醫生處方對應解決方案，醫療顧問對應安全咨詢，定期體檢對應掃描監測，日常保養對應安全運維，醫藥器械生產商對應安全軟硬件廠商……

伴生需求也就意味著可要可不要，再加上應用場景和行業的復雜化，以及網絡安全行業的服務特性，因此規模小是必然的。但這種狀況在未來會發生根本性的轉變，為什么這么說呢？或者說網絡安全的未來會怎樣呢？