中国网络信息安全监管力度发展、驱动因素、网络信息安全发展格局及发展前景分析.docx

中国网络信息安全监管力度发展、驱动因素、网络信息安全发展格局及发展前景分析    2019年全球已发生上百起影响较大的网络安全事件，根据国家互联网应急中心的报告数据，2018年我国“零日”漏洞数量持续走高，网络安全形势严峻。网络攻击频发、攻击多样化和隐蔽化成为全球网络攻击的主要特征。    云、IoT、AI新技术发展升级网络安全需求：信息安全是技术敏感度最高的领域。进入云计算时代，政府、企业、个体均与外部资源有更多的交互、共享和融合，攻击方也采用新技术提升攻击效果，新技术带来极大便利的同时也带来了更高的网络安全风险。技术迭代加速，安全成为良性发展愈发重要的必需品。网络安全成为全球企业数字化转型的最大挑战    一、安全监管力度及标准    等级保护对象范围扩大：等保2.0将云计算、移动互联、物联网、工业控制系统等列入了标准范围，也提高了社会各主体对于关键信息基础设施（能源、金融、交通、教育、科研、水利、工业制造、医疗卫生、社会保障、公用事业等）的保护和保障。    安全保护内容大幅扩充：等保2.0增加了风险评估、安全监测、通报预警、案事件调查、数据防护、灾难备份、应急处置、自主可控、供应链安全、效果评价、综治考核等，相比于之前的等保1.0更侧重主动防御、安全可信、动态感知和全面审计。    法律效力提升：相比于基于行政法规的等保1.0，等保2.0的执行有网络安全法的法律依据，等保建设将是网络运营者必须履行的网络安全义务，国家也将对未履行义务或是出现重大安全事故的运营、使用单位进行严肃处理。等保2.0与等保1.0的多维度详细对比    云安全保护等级不低于其支撑的业务系统等级：定级指南规定基础信息网络、云计算平台和大数据平台应根据其承载或将要承载的等级保护对象的重要程度确定其安全保护等级，原则上应不低于其承载的等级保护对象的安全保护等级。    安全定级整体性原则提升整体防护要求：定级指南对云计算平台、大数据、物联网及工控系统定级的整体性要求较高，而这些新技术应用交互、共享和融合较多，单要素高安全需求将提升整体安全防护要求，整体安全需求将大幅增加。    大数据系统应作为单独定级对象定级，安全责任主体相同的大数据、大数据平台和应用可作为一个整体对象定级。    物联网主要包括感知、网络传输和处理应用等特征要素，应将以上要素作为一个整体对象定级，各要素不单独定级；在设计安全解决方案时，不仅要满足安全通用要求的共性安全需求，还要考虑大数据、物联网和云计算的扩展安全要求的个性安全需求。    云安全形势严峻：据调查数据显示，虽然国内主流云平台使用的IP地址数量仅占境内的7.7%，受木马或僵尸网络控制的IP地址数比例仅为1.3%，但云平台上的DDoS攻击次数、被植入后门的网站数量、被篡改的网站数量占比超过50%，承载的恶意程序种类数量占比达53.7%，已成为网络攻击的重灾区。一方面因为云上承载业务和数据越来越多、越来越重要，使得针对云的攻击日益增多；另一方面相比传统企业，云用户对网络安全防护重视不够。    工业互联网高危漏洞频发：2018年在35个国内外主流厂商的87个型号产品中共发现232个高危漏洞。攻击者利用这些漏洞可使工业控制设备宕机，甚至获取设备控制权限，可能对其它工业网络设备发起攻击。甚至在电力设备部分漏洞呈现同源性特征，原因是大多数电力设备厂商在实现IEC61850协议时都采用了美国SISCO公司的第三方开发套件，显示了较严重的产品供应链安全风险。    重点行业亦疏漏颇多：电力、石化等重点行业生产监控管理系统因存在网络配置疏漏等问题，可能会直接暴露在互联网上，一旦遭受网络攻击，影响巨大。    2018年暴露相关健康管理系统的数量，电力、城市公用工程和石油天然气三个行业的联网监控管理系统均存在高危漏洞隐患数量各自占比分别达到10%、28%和35%。2018年工业网络产品安全检测中发现的高危漏洞数量按类型分布2018发现的重点行业联网监控管理系统漏洞数量    二、云及产业互联网安全    工业运行过程中的各个领域环节均涉及信息安全，核心任务就是要确保工业信息化、自动化、网络化、智能化等基础设施的安全。早期工业自动化阶段，生产环境相对封闭，信息安全主要集中在企业信息管理层的安全；近年逐渐进行数字化转型，工控系统和生产设备的网络安全风险激增，重点在于工控安全；随着渐渐向网络化过渡，工业实体逐步趋向泛在互联，工业互联网安全逐渐成为工业信息安全的焦点和核心。    工业信息安全快速增长，电力及石油石化是主要投入行业：近几年我国工业信息安全产业呈现加速增长态势，2018年实现同比增长33.55%，达到70.32亿元，显著高于国内IT安全产业整体增速。电力和石油石化投入合计过半，其他大量行业仍有不少的潜在投入空间。2016-2020年中国工业信息安全产业规模及增长预测电力和石油化工行业是工业信息安全主要投入行业    云平台、关键信息基础设施等面临的安全风险日渐突出，APT攻击、数据泄露、DDoS攻击等问题较为严重，配套安全需求与日预增。预测，未来几年我国云、大数据和物联网安全产业均将以显著高于IT安全行业整体的增速高速增长，产业规模有望在2021年分别达到116亿元、70亿元和301亿元。    十九大以来，建设制造强国和网络强国上升为国家战略，党中央、国务院陆续出台系列政策为工业信息安全发展提供了良好的产业环境。同时，随工业互联网安全建设的落地，相关标准研制工作积极推进，工业信息安全技术标准体系已逐步形成。2016-2021年中国云安全市场规模及增速预测2016-2021年中国大数据安全市场规模及增长2016-2021年中国物联网安全市场规模及增长    三、趋势    传统被动防御已经难以应对全球数字化转型趋势下的网络安全保障需求，基于威胁情报与分析构建数字化转型平台上的主动防御体系在全球已经成为主流的建设理念。    随IoT的发展，需要保护的环境和设备越来越多；随云技术的发展，网络边界逐步消亡，基于边界的安全防御方法将无法满足安全防御的要求。网络安全产品的种类也将日渐繁多，一体化融合的安全服务将被迫切需求。    过去政府及特殊行业一直在安全投入中占绝对主导地位，随着产业互联网的快速发展，越来越多数据交互融合创造价值，叠加法律的合规义务要求，企业必将自发地大幅增加网络信息安全投入。    预测，2022年我国IT安全市场规模将达到138亿美元，近4年CAGR将接近25%，远高于全球平均的9%的复合增长率以及美国的7%左右的复合增长率。2018-2022年全球IT安全市场规模预测2022年全球IT安全市场预测    被动式防御通常无法针对外部威胁环境的变化而采取快速的预防措施，新技术变革更迭速度加快，企业主体对于尽早发现高优先级的安全事件并能够提前应对未知威胁的需求愈发迫切。    2018年全球IT安全市场规模达到942亿美元，同比增长9.26%；我国安全解决方案总体支出达到55.3亿美元，同比增长22.1%，安全产业增速在全球遥遥领先。    全球及美国对安全服务和软件的投资占比最大，硬件投资占比最小，而我国情况恰恰相反，安全硬件在整体安全方案支出中仍占据绝对主导地位。国内客户往往倾向认可安全硬件的价值，对看不见摸不着的安全软件或安全服务的价值认可度并不高。但在当前公有云、行业云高速发展背景下，保障企业网络安全将更依赖云中的安全软件及服务。从全球角度看，IT安全服务的投资多少将直接决定客户安全防御体系的实际防御效果的好坏。2018年全球IT安全投资占比2018年中国IT安全投资占比    越来越多的企业将使用云技术，IT物理安全边界愈加模糊；全球IoT的发展将派生出数量庞大的终端设备以及大量的IT环境。IT架构日新月异，经验丰富的网络安全专业人才需求将愈发紧俏，为适应技术演进，企业整体的安全理念和思路方法都必须改变，众多企业恐将承担越来越高昂的安全成本。    IT架构从彼此独立逐渐开始深度融合，网络安全产品愈加繁多后构建丰富融合的技术生态对企业非常重要，数据安全防护，安全咨询服务、安全集成服务、教育和培训、安全管理服务等将成为国内企业在网络安全管理过程中迫切需要的补充服务。基于IDC的统计和预测，我国安全投入占整体IT市场的比例远低于全球及美国市场水平，在系列网络安全政策和新技术变革的推动下将快速发展。预计未来我国IT安全市场结构中，安全服务的比例将大幅提升。2016-2021年中国网络安全市场结构及预测    2017年国务院发布深化“互联网+先进制造业”发展工业互联网的指导意见，鼓励和推动企业积极拥抱互联网。客户在项目建设初期首先考虑的就是安全问题，因为在工控环境下的网络攻击会给企业带来严重风险，有可能对企业造成巨额损失。IDC数据显示，2018年我国制造业安全投入同比2017年增速达到71.3%，为所有行业最高，交通、教育、公用事业的安全投入增速也显著高于平均水平，政府仍保持较高同比增速的安全投入。    2018年，安全评估和安全培训带动安全服务类爆发增长，结构占比达到36%；安全产品中以态势感知、合规管理、安全运维管理为主的管理类产品快速增长，占市场总额31%；防护产品占比约为33%。    电力、石油石化（化工、天然气）行业与国计民生紧密相关，是客户重视程度最高、工业信息安全产品应用最广泛的两个行业，供应商众多。我国工业信息安全产品行业应用情况    四、格局    过去几个季度，安全产业由于机构整改变革等因素业绩表现相对低迷，中新赛克率先由于政府及运营商新增需求而快速回升。今年上半年，启明星辰、绿盟科技、中孚信息、北信源等安全领军企业扣非净利润同比增速均出现不同程度的回升，结合近期政策助推力度，判断行业大概率将进入一个新的上升周期。我国信息安全市场格局占比