2024年中国网络安全行业《数据安全产品及服务购买决策参考》发布

2024年6月17日作者：GoUpSec

“新全球化”下的数据安全威胁态势与挑战

随着中国企业数字化转型和数字经济的高速发展，数据要素和数据安全的战略价值正不断提升。

同时，在“脱钩”与“新全球化”的全球政治经济博弈中，中国作为全球重要的数据安全市场之一，其发展对全球市场都具有重要影响。

如今，数据安全不仅是国家安全的关键保障，同时也是企业的核心竞争力，是技术创新（例如人工智能）、业务创新和经济增长的重要驱动力。越来越多的国内企业开始加大在数据安全领域的投入，以确保业务的稳定发展和数据的完整性、机密性、可用性。根据IDC的预测，到2027年，中国数据安全软件市场规模将达到22.2亿美元，年复合增长率20.7%。”

2024年，各行各业数据安全管理正面临前所未有的挑战，数据泄露事件频发，规模和损失屡创新高。与此同时，随着全球进入“大选年”，“新全球化”不断突破西方封锁，全球政治经济与网络安全态势动荡加剧，企业需要了解最新威胁趋势，以制定有效的数据治理和安全防护策略。

数据安全的新引擎：业务需求

数据安全作为网络安全防御的核心任务，目前正处在高速发展的初期，政策红利、合规需求和威胁压力是推动数据安全行业发展的主要动力。

目前我国数据安全市场表现低于预期，行业内耗严重和创新不足是主要原因。创新不足意味着同质化和价格战，供给质量不高，继而导致需求释放不足，市场低迷进一步导致投资创新萎缩，形成负反馈循环。

根据GoUpSec《2022年中国企业数据安全现状调查报告》，超过三分之一（36%）的企业认为网络安全厂商的数据安全“产品/服务与需求差距大”是数据安全能力建设的最大障碍，其次是“预算不足”（29%）和“领导不够重视”（27%）。

要想打破市场僵局，数据安全行业就必须从合规驱动转向创新驱动，以业务需求为核心，针对新业务新场景和用户需求开发以数据流转为中心，基于主动安全和深度防御的全生命周期防护体系。

2024年六大数据安全威胁趋势

2024年企业网络安全态势空前严峻。Forrester最近针对安全和风险管理专业人士的调查发现，近八成(78%)的受访者表示其组织的敏感数据在过去12个月中至少被泄露或入侵过一次。报告指出：“一次成功的网络攻击会成为未来攻击的信号弹。”对比2022年和2023年的安全调查数据，过去12个月内经历过6到10次攻击的受访者比例增加了13%。

48%的受访者曾遭遇过损失超过100万美元的网络攻击或数据泄露事件。其中大多数数据泄露事件的修复成本在200万至500万美元之间(27%)，还有3%的事件的修复成本超过1000万美元。

根据Verizon发布的2024年数据泄露调查报告（DBIR），当前数据安全领域的一些关键变化和新兴威胁如下：

漏洞利用激增
2023年漏洞利用作为入侵的初始路径显著增加，占所有数据泄露事件的14%。这一增长主要受到勒索软件攻击者利用未修补的系统和设备漏洞（零日漏洞）的推动。MOVEit软件漏洞就是其中之一，最初影响教育行业，随后扩展到金融和保险行业。
人为因素依然是主要入口
无论是否涉及第三方，全球68%的数据泄露事件都涉及非恶意的人为行为，这包括个人错误或成为社会工程攻击的受害者。尽管这一比例与去年相似，但报告中还指出，员工自我报告钓鱼攻击的比例有所增加，这表明网络安全意识正在逐渐提升。
勒索软件和敲诈技术盛行
勒索软件和敲诈技术在过去一年中显著增长，占所有数据泄露事件的32%。尽管传统勒索软件攻击有所下降，但新的敲诈技术正在崛起，使得这类攻击的整体比例增加。
第三方风险上升
报告还揭示，15%的数据泄露事件涉及第三方，包括数据托管方、第三方软件漏洞以及供应链问题。这一比例比前一年增加了68%，主要受到零日漏洞利用的推动。
修补漏洞的时间滞后
根据报告，企业在补丁发布后平均需要55天才能修复50%的关键漏洞，而网络犯罪分子利用这些漏洞进行大规模攻击的中位时间仅为5天。这表明企业需要加快漏洞修补速度，以减少被攻击的风险。
网络钓鱼仍然高发
网络钓鱼依然是主要的攻击手段之一，生成式人工智能技术的快速发展进一步加剧了网络钓鱼威胁。尽管员工识别和报告钓鱼攻击的能力有所提升，但用户点击恶意链接并输入数据的中位时间不到60秒，这凸显了网络钓鱼攻击的高效性和危险性。

2024年数据安全市场热点与趋势

“资产数据难治理，风险行为难发现，数据泄露难感知，威胁攻击难防护”是企业数据安全管理的四大难题。2024年我国数据安全产品与服务市场的主要热点和趋势是支持企业数据安全实战化、体系化、常态化，推动数据安全与数字化转型相互融合。在新全球化大趋势下，数据安全市场的十大热点如下：

1、人工智能重新定义数据安全

人工智能（AI）和机器学习（ML）正在彻底改变数据安全领域。AI不仅能分析海量数据、识别模式，还能检测异常，从而在威胁检测和预防方面带来革命性进步。然而，黑客也在利用AI开发恶意软件并实施复杂的网络攻击。2024年，企业将继续整合AI和ML以增强安全系统的效率，并进行预测性分析，以便在网络威胁面前保持领先。

人工智能技术自身也带来了新的数据安全威胁，例如针对生成式人工智能的提示工程、提示注入和重复提示攻击可泄露敏感数据。随着越来越多的企业引入基于生成人工智能的应用程序，数据泄露风险正不断累积。

人工智能带来的另外一个重大数据安全威胁是虚假信息。根据Garnter的预测，到2028年，企业对抗虚假信息方面的支出将超过5000亿美元，这将占到营销和网络安全预算的一半左右。

人工智能、分析、行为科学、社交媒体、物联网和其他技术的结合使恶意分子能够创建和传播高效、大规模定制的虚假信息。Gartner建议CISO明确治理、设计和执行全企业反虚假信息计划的职责，并投资相关工具和技术，利用混沌工程测试组织的应对能力。

2、“新全球化”时代的企业出海与数据出境

随着中国企业出海提速，数据出境的安全和合规性成为关注焦点。尤其是在《个人信息保护法》和《数据出境安全评估办法》等法规出台后，企业必须确保数据在跨境传输中的安全性和合规性。这对企业的合规管理和数据保护提出了更高要求。此外，“新全球化”时代对企业数据安全管理应对第三方与供应链风险、混合云跨云环境、API广泛调用和数据资产能见度的能力提出了更高的要求。

3、增长最快的数据安全产品：数据安全态势管理

“影子数据”是数据安全防御者的头号敌人。传统数据安全产品没有足够的视野来发现以前未知、未被发现或未被识别的数据存储库（影子数据），并且无法持续发现敏感数据。包括云安全态势管理解决方案（CSPM）也不会发现数据，而DSPM能从数据开始，扩展到访问并识别所有风险。数据安全态势管理可用于发现已知和未知数据，帮助企业结构化管理潜在数据泄露风险。

DSPM是数据安全市场的一颗新星，根据Gartner的统计，2022年DSPM的市场渗透率尚不足1%，但是未来几年将快速增长到超过20%，是发展最迅猛的数据安全产品之一。

4、数据治理变革：新一代数据安全管控平台

数据治理是确保数据质量、合规性和安全性的关键。随着全球数据隐私法规的实施，企业对数据治理解决方案的需求日益增加。

新一代数据安全管理平台集成了各种成熟单点技术、能力组件和管理流程，以资产为中心、身份为边界、风险为界面，通过可视化技术使资产、身份和风险可见，实现可看、可管、可控、可溯的数据安全管理，通过统一治理和联动多种数据安全能力，提供全域防护。

新一代数据安全管控平台是企业数据安全管理的重要基础设施，能大大减少复杂性，提高运营效率。

5、信创与合规改造

在信创和合规改造方面，基于国密算法的全流程业务数据加密和保护方案逐渐成为主流。这些方案不仅能确保数据在存储和传输过程中的安全，还能满足国内严格的合规要求，保障企业数据安全。

6、个人隐私保护与安全意识

随着数据隐私问题日益突出，企业需要采取更严格的措施来保护个人隐私。包括加密技术的应用、多因素认证（MFA）的推广，以及员工安全意识的培训，都是有效的隐私保护措施。

7、内部威胁与社会工程攻击

内部威胁和社会工程攻击依然是数据安全的重大挑战。近年来随着网络犯罪的产业化发展，“人的因素”已经成为网络安全和数据安全的头号威胁。内部人员的误用或恶意行为，U盘攻击的复活，生成式AI与深度伪造等新兴技术，都会对企业的数据安全构成威胁。企业需要通过加强内部控制和员工培训来应对这些挑战。

8、云集中风险

近年来国内外云服务商多次发生全球性停机事故，故障严重程度、影响规模和范围历史罕见，严重打击了各行业用户对公有云可靠性和安全性的信心，进一步凸显了Gartner去年三季度风险报告中强调的“云集中”风险。

在ESG的“数据隐私和合规状况”企业数据安全调查中，三分之一的受访者表示，他们丢失了云端数据。更令人担忧的是，另外28%的企业怀疑他们丢失了云端数据，但由于缺乏数据可见性而无法确定。

在全球科技巨头和云服务商争先恐后“大炼数据”的生成式人工智能时代，企业和个人对存放于云端数据的安全焦虑与日俱增，密码学专家布鲁斯施奈尔认为：单纯增加云服务商数量并不能从根本上降低“云风险”，一个可行的策略是将身份、数据和行为解耦合。企业不应对云服务商的数据安全能力和意愿抱有过高期望，企业需要将数据安全控制权重新掌握在自己手中。

9、传统数据安全工具的进化：DLP融合

为了确保安全覆盖和控制分散在企业中的所有敏感数据，许多企业和机构都部署了多个DLP工具，这些工具产生了很多不必要或重叠的安全政策，存在数据可见性和安全覆盖漏洞，同时也导致运营效率和安全性下降。

企业迫切需要融合的DLP平台来保护混合多云环境、人工智能应用以及远程人员的静态数据、动态数据和使用中的数据。

为此，数据丢失防护（DLP）工具正不断进化和融合，以应对新的安全挑战。那些能够提供具有完整数据可见性、一致策略和运营效率的融合DLP平台的安全厂商将能帮助企业降低风险，节约成本。最重要的是，提高数据安全自信。

新一代DLP系统不仅能防止数据泄露，还能提供全面的数据监控和管理功能，帮助企业更好地保护其敏感信息。

10、移动安全/API安全

随着数字化转型的快速发展，企业API类型和数量呈现出爆发式增长，主要原因有：

线下业务线上化：传统柜面业务不断往线上迁移，逐渐成为企业的重要业务通道；
线上渠道多样化：即APP之后，企业逐步推出更多的轻量化应用形态：如小程序、公众号、H5、SDK等。

API激增导致API风险不断累积，造成的主要危害包括数据泄露、业务中断、利益受损等。

Salt Security的《2023年API安全状况报告》显示，2023年API滥用成为导致数据泄露的最常见攻击媒介，而且50%的数据盗窃事件与不安全的API有关。因此，API安全性已成为企业保护数据的首要任务，每年给企业造成高达750亿美元的损失。

除了API配置错误和云数据泄露外，API蔓延正成为API安全的主要威胁。

数据安全“酷厂商”推荐

在“新全球化”大背景下，企业数据安全战略正在经历“以创新为主要驱动力”和“以业务需求为中心”的重大范型转移，核心目标和关键业绩指标是“运营弹性”，最终目标是将数据安全能力打造成企业的核心竞争力。

在数据安全市场“融合与创新”为主题的重大范型转移中，如何重新认识数据安全威胁和技术的新定义、新威胁和新趋势，决定了企业能否正确甄别并选择合适的解决方案和战略合作伙伴来打造面向未来的数据安全防御体系。

为了帮助CISO拨开营销迷雾，提高市场能见度，全面了解潜在数据安全战略合作伙伴，GoUpSec深入调研了37家国内数据安全“酷厂商”（包括专业厂商和综合安全厂商），从产品功能、应用行业、成功案例、安全策略等维度对各厂商数据安全产品及服务进行调研了解，整理形成了2024年中国网络安全行业《数据安全产品及服务购买决策参考》。

本次报告共收录37家国内网络安全厂商，共计93个安全产品及服务，具体成功实施案例87例，适用于政府、医疗、金融、互联网、国央企、能源、制造业、交通、教育等重点行业。