摘要: 2015 年，虚拟现实 (VR) 的炒作热潮达到顶峰。由于各种条件的缺乏，VR 大规模商业应用的时代并未到来，但 VR 热背后蕴含着的巨大深意，影响了许多喜欢思考的人对未来世界的判断。比如，我就在和人交谈以及演讲时多次提到 “未来的5G时代，商务中心、写字楼会...
2015 年，虚拟现实 (VR) 的炒作热潮达到顶峰。由于各种条件的缺乏，VR 大规模商业应用的时代并未到来，但 VR 热背后蕴含着的巨大深意，影响了许多喜欢思考的人对未来世界的判断。比如，我就在和人交谈以及演讲时多次提到 “未来的5G时代，商务中心、写字楼会不复存在。” 当时，还觉得自己挺有远见。实际上，这种畅想一点都不新鲜。今年，在看 2011 年出版的《奇点临近》一书中，发现作者已经表达过类似的观点：“真实的办事处将不复存在。房地产行业也将是虚拟的。”
大量阅读和深度思考，多年来已经成为我的个人习惯。透过现象看本质给人带来的认知层次提升和精神愉悦感，是任何物质满足都难以取代的。回到自己从事了近 20 年的网络安全领域，这个市场规模非常小的行业，过去是如何起源的，现状是怎样的，未来又会如何发展？身为一个安全从业者，对这些问题的思考始终没停止过。而思考多了，就有一种与人分享的冲动。碍于平时工作繁忙和一定程度上的懒惰，一直无暇梳理成文。前不久，借着配合世界互联网大会整理网络安全产业资料的机会，利用二个月左右的业余时间最终形成了这篇文章。希望本文中的观点和思考能够得到更多人的共鸣，如能给业界带来真正的价值，善莫大焉。
是为序。
1 网络安全概念的演化
什么是网络安全？这是一个如此简单的问题，简单到专业人士也许会嗤之以鼻。但越是简单的问题，越是蕴含着对未来的大势判断。谁能够更加深刻的认识到事物的本质，谁就能更加坚定的践行自己的信念，而不是空谈情怀，坐等所谓机会的到来。
在绝大部分人的认知中，提及网络安全一般就会想到本地网、互联网、无线网的安全，但这只是狭义上的或说字面意义上的网络安全。部分专业人士则会想到赛博安全即网络空间安全的概念。但由于各行业各业背景的不同，网络安全又是一个与环境、场景、对象、技术、产品特性等密切相关的伴生性技术。因此，不同领域背景的人，对网络安全概念的认识也不尽相同，也因而造成了各种安全概念在分类、使用和沟通上的混乱。信息安全是什么？计算机安全是网络安全吗？如何理解网络威胁、网络风险与网络安全之间的关系？网络空间安全的界限在哪里，它从何而来，现在的状况是什么，未来又将如何发展？
网络安全的前身：通信加密时代（上世纪四十年代至八十年代）
无庸置疑，网络安全这个词一定是在计算机网络出现之后出现的，尤其是在世界著名黑客凯文·米特尼克在 1995 年登上时代周刊封面之后，病毒、黑客和计算机安全的概念逐渐进入大众的认知。但早在 1987 年，巴基斯坦两兄弟为了防制软件拷贝制造了第一批病毒，则催生了防病毒厂商的出现。而凯文·米特尼克的黑客历程，则是从盗打固定电话开始的，那个时候还没有互联网。试问，对抗计算机病毒和盗打电话算不算网络安全呢？对通信信号的加密以防止窃听算不算呢？如果答案是肯定的，那么网络安全的前身最早可追溯到上世纪四十年代，即二次世界大战时期。
我们知道，以图灵为代表的英国密码专家破译了德军的情报密码算法，从而直接影响了二战的结果与进程。敌我双方在电子通信信号上展开攻防博弈，当时主要的技术手段就是密码技术。到了现在，加解密的对象早已不局限于通信信号。从电子文档、数据库，到磁盘、芯片，再到程序应用、通信协议的保护，都需要密码技术的支撑。实际上，不管是过去还是现在，甚至是可以预期的未来，密码技术都曾是也将是网络安全最为重要和最基础的支撑技术。虽然在计算机网络普及之前，通信信号的加密属于国家安全的一部分，并未形成民间的商业市场。但从这一点上可以看出，早在还没有“网络安全”这一概念之前，通信加密作为网络安全的前身和起源，就已经纳入国家安全的范畴。“没有网络安全，就没有国家安全”理念的提出，有着深厚的国防背景和技术渊源。
网络安全萌芽期：计算机安全时代（八十年代中后期至21世纪初）
前文中提到，上个世纪末，黑客和计算机安全的概念逐渐进入大众的认知。这一时期，兴起了一批国内外防病毒厂商。国际上的有诺顿、迈克菲、趋势科技、卡巴斯基等，国内随后则出现了冠群金辰、瑞星、江民等杀毒厂商。最早的杀毒技术是直接装在计算机主板上的病毒卡，之后则产生了以特征库、黑名单技术为支撑的本地杀毒软件和网络杀毒产品。
计算机安全时代，安全的关注重点在计算机设备本身，包括硬件和操作系统，以及存储其上的电子数据。防病毒产品、电磁信号防泄露，与电子数据的加密、备份与恢复形成了主要的商业市场。与信息基础设施普及程度较高的西方国家相比，中国的信息产业要晚于西方数年，如 2000 年互联网泡沫破裂时期，中国的互联网门户网站才开始崛起。同样，伴随着电子信息技术而来的安全产业也晚于西方。一个明显的标志就是，美国于 1987 年颁布《计算机安全法》、英国 1990 年制定《计算机滥用法》，我国公安部则在 1994 年颁布了《中华人民共和国计算机信息系统安全保护条例》。
网络安全成长期：信息安全时代（2003年至2013年）
信息安全时代实际包括了两个主要概念，一个是面向内外网隔离的网络边界安全，一个是面向信息化办公的信息安全。
首先是网络边界安全。随着个人计算机和互联网的普及，自动化和远程办公的需求加大，与此同时，门户网站和企业信息化的发展速度也在加快，安全的关注点开始从终端走向网络，这是网络安全概念得以普及的关键原因。然后是信息安全。信息安全本身也有两个主要含义，一个是涉及到机构办公和经营的信息系统安全，另一个是信息内容层面的安全，如信息保密、不良信息治理等。
信息安全时代的概念更为偏重于网络边界安全，包括对内办公的本地局域网的安全、通过公网线路的广域网安全和对外提供网站服务的网站安全。网络隔离、网络分域/分区、身份验证、访问控制、虚拟专用网络 (VPN) 等一系列网络边界安全技术开始成型，文档加密、应用安全、身份安全等技术与产品也相继出现。相应的国内于 2000 年左右出现了一批网络安全设备公司，如天融信、绿盟、启明星辰、飞天诚信等。国家政策方面，一个明显的里程碑就是《国家信息化领导小组关于加强信息安全保障工作的意见》([2003]27号)，即 27 号文的发布，标志着我国信息安全保障工作有了总体纲领。
网络安全加速期：网络空间安全时代（2014年始）
2013 年 “棱镜门” 事件的曝光，引起世界各国政府对网络安全的重视，网络空间安全 (Cybersecurity) 的概念，开始得到更多人的认可和接受。
网络空间概念的核心在于网络连接一切，即把所有电子设备通过有线或无线网络连接在一起，以达到通信与控制的目的，从而形成贯穿陆、海、空、天四大空间的第五空间。网络空间安全也简称为网络安全，与信息安全时代在技术上明显的区别是，网络边界变得模糊，基于大数据和云计算的检测、分析和响应技术成为主流，在业务上的区别是，越来越强调安全解决方案和安全服务，而不是单纯销售网络安全设备。
2014 年，以中央网络安全和信息化领导小组的成立为标志，以及 2016 年习总书记的 419 讲话和 2017 年网络安全法的出台，安全市场进入快速增长期。从上个世纪八十年代末的计算机安全时代到 2013 年的网络空间安全时代，长达 20 多年的时间里，国内网络安全市场从无到有发展到约 200 亿元左右。而从 2014 年到 2018 年仅四年的时间里，网络安全市场的规模就突破了 400 亿元。
以上各个时期的安全概念内涵，都会被新概念所扩展、覆盖，可统称为网络安全，即广义上的网络安全。
2 网络安全的本质与特性
网络安全概念的变化反映出安全的覆盖面在不断扩大，前文也说过，不同领域背景的人，对网络安全概念的认识也不尽相同，并在其中出现一些理解上的混乱。比如信息安全，政府人员就容易认为是指信息保密。通信领域的人员就认为是不良信息、垃圾邮件。IT 人员会认为是信息系统安全。还有一种混乱情况是范围的界定。比如，有人认为电磁防泄露不属于网络安全。再比如，利用电话或网络社交工具进行的诈骗、勒索也不属于网络安全。还有，对人为物理破坏或自然灾害的防范也不属于网络安全。本部分内容试图给出网络安全的概况性定义、本质和一些相关特性，当然这只是一家之言，谨供业内人士思考与讨论。
网络安全的核心概念：网络与对抗
从网络安全概念的演化可以看出， “网络与信息系统” 和 “攻防对抗” 是网络安全最为核心的两个关键词。其中，网络与信息系统即是攻防对抗的目标也是手段。因此，网络安全的本质或概念可以简单概括成一句话：基于或面向网络与信息系统展开的对抗过程。“基于” 是指把网络与信息系统当作工具或手段，“面向” 则是指攻防的目标对象就是网络与信息系统。由于网络的无处不在，攻防双方的目标可能为陆、海、空、天等空间中的任意对象，不仅仅是由电子设备、通信网络及应用程序、文档数据等构成的网络与信息系统本身，还包括与之相关联的实体设施，甚至是舆论思想和人身安全。这也正是网络空间安全概念提出的真正意义所在。
网络安全的层级外延：事件、威胁与风险
依照上文对网络安全概念的解释，从攻的角度，电子设备的破解、通信协议的劫持、信息数据的盗窃，从防的角度，为防止数据的无意丢失和泄露采用的数据加密，维护网络与信息系统的稳定运行，甚至是为了防止人为破坏或自然灾害所采用的系统备份、网络保险等手段，均属于网络安全的范畴。但在现实中，对抗性质不明显的防范或保护，往往被列入相关技术范畴，比如保障系统稳定运行，归为网络运维，数据备份则归到存储。
围绕网络安全，有三个词最为常用：事件、威胁与风险，后两个词还经常被很多人混用。但实际上，这三个词之间有着递进扩展的关系。“事件” 最为直接，它的内含在于对抗，发生安全事件时，所做的应急、响应、处置等第一时间的行为。“威胁” 的内含是预防，在威胁变成事件之前的保护。比如，系统存在漏洞但还没有被利用，就是典型的威胁，需要更新系统打补丁。“风险” 的内含是控制，因为风险是不可避免的，而资源是有限的，所以要将风险控制在可接受的范围内。比如业务连续性，灾难备份等。“事件” 最为直接，发生了事情必须解决。“威胁” 是未发生或未发现的事情，用户的感受虽然不那么直接，但威胁防御也有对抗的性质，只不过是对抗过程的延伸。“风险” 的概念最为广义，对抗的内含也最为泛化（如与自然灾害的对抗），而且理论上投入多少资源都无法杜绝风险。因此，用户在风险上的投入也最不敏感。
网络安全的技术特性：伴生
网络安全技术是随着信息技术的出现而出现的伴生性技术。由于网络与信息系统的环境、场景、对象、技术、产品的复杂性和多样性，网络安全需求不可避免的呈现出行业化、场景化、碎片化、规模小等特征。举个例子，居住是生活的基础性需求，装修则是伴生性需求。一个现代化企业的信息系统是必需的，但保护信息系统的安全就是伴生需求。但在某些极端情况下，如业务信息系统是企业的命脉时，对安全的伴生需求就会成为刚需。比如，完全依赖线上销售的电子商务，抗 DDoS 就是必要需求。以知识产权为核心竞争力的科技公司，重要资料的保护就是必要需求。
网络安全的行业特性：服务
业内有很多人在谈到 to B 业务难以做大的话题时，往往会强调 to B 与 to C（面向企业还是面向消费者）的区别。但我认为，与其强调 BC 的区别，不如强调服务与标准化产品的区别。因为前者只是表现形式上的区别，后者则是本质上的区别。我们知道，B 与 C 的区别在业务流程、销售环节、产品迭代、运营手法上有着很大差异，但实际上，to C 业务一点也不比 to B 业务简单。虽然后者的环节较多，比如需要有售前的岗位、不断的打磨产品、长期的建立客户关系等，可 to C 产品一样会有复杂的销售链条、渠道代理、品牌营销、区域特色、地方保护、门店连锁等等，一点不比 to B 业务好做，而且 “死亡” 概率要比 to B 高得多。再反观国外，IBM、微软、甲骨文、Adobe、AWS 这些做企业服务的公司照样可以做的很大。所以，影响规模大小的不是 BC 的区别，而是服务与标准化产品的区别。前者天生就是碎片化¹ 的，后者则容易形成巨头。
[1] 平台性质的服务除外。如社交、共享、电商、云计算等。
网络安全属于服务性质的行业，类似的如餐饮、银行、保安、医疗等行业，除了快餐连锁、突破性药品这样的标准化产品，没有哪家以提供服务为主的行业能形成巨头。同样，网络安全公司，除了防火墙、个人安全软件这种偏标准化且能够普及的产品，没有任何一个细分领域能达到较大规模。
与网络安全行业最为相似的一个行业就是医疗卫生。医院无法包治百病，安全也做不到百分之百。医院非常依赖经验积累，最有价值的是医生，安全也一样，最值钱的是高级安全专家。而且医疗行业是非常碎片化的，世界上没有一家医疗机构能够做到类似于社交、电商、搜索、手机、芯片、操作系统、应用软件等领域具备统治力的企业巨头。据安全牛统计，全世界所有安全业务年收入超过十亿美元的企业（约 17 家左右），全部加起来也只占到全球网络安全收入的 30%，其余 70% 的收入来自数量繁多的中小微企业。有一个数据可能会让业内人士感到意外，网络安全行业最大的细分领域不是防火墙，而是安全咨询服务，收入规模是防火墙的两倍（约 200 亿美元²）。而且在 17 家安全业务达到年收入 10 亿美元以上的企业中，有五家是咨询公司，从数字的角度佐证了网络安全是一个不折不扣的服务性行业。
[2] 以 2018 年千亿美元的全球市场规模计算，防火墙超过 100 亿，个人安全软件 50 亿，SIEM 25 亿，其他产品最多的也就 10 亿左右，而且高度定制化。
超大型企业会自己建医院，同样也会成立自己的安全公司。大型综合医院对应全产品线厂商，专科医院对应技术细分厂商，细菌病毒对应恶意代码，疑难杂症对应 APT（高级持续性威胁），手术急诊对应安全部署或事件响应，医生处方对应解决方案，医疗顾问对应安全咨询，定期体检对应扫描监测，日常保养对应安全运维，医药器械生产商对应安全软硬件厂商……
伴生需求也就意味着可要可不要，再加上应用场景和行业的复杂化，以及网络安全行业的服务特性，因此规模小是必然的。但这种状况在未来会发生根本性的转变，为什么这么说呢？或者说网络安全的未来会怎样呢？在回答这个问题之前，我们换一个思路，先来谈一谈另外一个极其重要且非常宏大的问题。
03 5G为什么重要？
近两年，5G 已经成为高科技用语中最火热的名词之一，世界各国家竞相将其定位成国家重要发展战略，并首次形成全球移动通信技术的统一标准。围绕着 5G 的研究、合作、建设、推广、新闻、会议等活动与话题层出不穷，但5G究竟为什么如此重要？仅仅是大带宽、低延时、多连接的技术特性？“4G改变生活，5G改变社会” 其蕴含着的根源意义是什么？
人类文明进程的关键因素：信息的沟通
人类从茹毛饮血的原始人时代，进化到全球互联、太空探测、基因解码的高科技文明时代，其中有一个至关重要的因素和推动力，即信息的流通或说知识的共享。现代人类（学术名称亦称智人）之所以打败其他古代原始人种而存活³，群体大规模合作之所以可能，城邦、国家之所以建立，经济贸易之所以往来，其关键原因就是信息的沟通。
[3] 许多人种学家认为，智人率先进化出语言能力，很可能是几万年前，导致脑容量、体格、肌肉均强大于智人的尼安德特人灭绝的主要原因。有了语言，才能形成大规模的团队作战，战术组织才有更高的效能。
文字的产生，大规模的种植、管理、经济、制度、计划、生产等社会组织才成为可能，巴比伦、埃及、印度、中国等文明古国才得以建立，人类进入青铜器、铁器时代，人类史上的第一种文明形态——农耕文明，得以形成，农业革命⁴ 开始。
[4] 这里的农业革命是指，以大规模劳作、政体和国家出现为标志。
农业革命之后，是工业革命。仅有文字，但缺乏有效传播手段，信息只能在皇族、贵族、宗教等权贵高层阶级中流通。但在古登堡印刷术⁵ 出现之后，为科学知识的普及打通了障碍。欧洲中世纪的黑暗时代结束后迎来了文艺复兴，再接着成就了全人类引以为傲的工业革命。
[5] 中国的活字印刷术并未得到普遍应用，因此全球学术界普遍把古登堡发明的印刷机当作规模化印刷的里程碑。
进入 20 世纪后期，互联网的出现，不仅是文字，图片、音频、视频也得到了全球范围内的传播，世界成为地球村，人类文明进程来到了信息革命时代。
人类即将要迎来万物互联和数字世界的到来。而这一文明阶段（可称为数字革命）的关键，就是 5G 技术应用是否能够普及。所谓的虚拟现实、人工智能、自动驾驶、海量数据分析、智慧城市、数字地球，没有 5G 作为基础，近乎于无稽之谈。
信息的流动带来的认知提升，是推动人类文明发展的核心引擎⁶，5G 技术的发展，无疑将对人类科技文明的进程产生前所未有的重大影响。
[6] 也许有人会认为，能源开发、生物基因、人工智能等科学更为重要，但这些科学技术的进展，其前提是信息的共享与流动带来的科研人员的认知能力提升。
人类文明的进步过程，就是信息不断连接的过程。而这个发展过程，也在一定程度上解释了，为什么网络安全从早的端到端的信号加密，经过了计算机、信息化，一步一步的来到了连接海、陆、空、天的网络空间安全时代。往未来看，连接的终极状态，则将形成一个与现实世界完全一一对应的 “数字孪生” 世界。这个必然趋势是因为，高效的信息收集、处理、共享和使用，进而形成科技认知能力的提升，是以数字化为基础和驱动的。简而言之，当今世界正在数字化，并终将数字化⁷。
[7] 黑洞一词的提出者，量子理论家惠勒曾表示：“万物源于比特，一切都是信息。”解释数字化世界的必然，又是一个宏大的话题，本文暂不论述。
现在我们可以谈谈网络安全的未来了。
04 网络安全产业的未来
之前说到网络安全是一种伴生技术，随之而来的需求是伴生需求，只有在某些极端情况下才会上升到刚需，因此规模小是必然的。但在一个高度连接乃至万物互联的数字世界，情况则从根本上发生了变化。
数字安全时代：一切安全都是数字安全
科技的发展有一个必然规律，即技术越高级，系统越复杂，稳定性就越差，风险就越大。汽车比马车危险，航天比航空危险，以核武器为代表的核工业甚至威胁整个地球。网络世界或说数字世界，令破坏、犯罪和战争的成本变得极低，而且极为容易。当一条数字化的通信指令不仅可以控制空调、汽车、心脏起搏器，左右银行交易，命令电厂停电、卫星转向，甚至是发动核武器攻击的时候，其蕴藏的巨大风险可想而知。因此，在计算机安全、信息安全、网络空间安全之后，是数字安全时代的来临。
在现实世界中，安全是割裂的。人身安全、财产安全、交通安全、生产安全、社会治安、国防安全等等。这些安全领域彼此的交叉很少，分别有着各自的活动领域。但在数字世界里，水电设施、大楼、工厂、商店、交通、银行、飞机、邮轮，甚至是人体，都有着各自的 “数字孪生”，人们通过网络像操纵物理实体一样的操作各种事物的数字孪生体。在这种环境下，安全不再割裂，所有的安全问题都可归结于数字安全问题。一切安全都是数字安全，一切风险都是数字风险。复杂系统的不稳定性，数字世界安全的高度统一性，决定了网络安全的特性将从伴生需求走向内生需求，并终将成为高科技时代人类社会生活的基本需求。
