中国数据安全管理平台厂商评估2023

IDCMarketScape IDCMarketScape:中国数据安全管理平台2023年厂商评估 AustinZhao IDCMARKETSCAPE图 图1 IDCMarketScape：中国数据安全管理平台，2023 来源:IDC,2023 请参照附录的详细研究方法，市场定义和评分标准。 IDC观点 我国在2020年出台的《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》将数据与土地、劳动力、资本、技术并称为五种生产要素。2021年，我国发布的《数据安全法》中提到"国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。"《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》进一步明确提出，要建立数据资源产权、交易流通、跨境传输和安全保护等基础制度和标准规范，推动数据资源开发利用。因此，如何更好地管理数据、利用数据、保护数据，在合法合规的前提下将数据价值最大化，成为每个企业关心的重点问题，并被列入很多重点企业的长远规划。 面对规模越来越庞大、种类繁杂、分布广泛的数据资产，企业往往存在资产梳理不清、数据流转不明、权限管理不善、数据安全风险无法研判、安全事件处置不及时等诸多问题。与此同时，全球范围的数据泄露、勒索攻击事件层出不穷，为企业带来难以挽回的经济和信誉损失，并面临巨大的国内外数据安全、隐私保护等法律条例的违规风险。由此可见，随着数字经济发展，无论是出于法律合规要求，还是自身业务发展需要，对高价值数据资产的安全管理成为企业的重要诉求。 基于对众多技术提供商和最终客户的深入访谈，IDC认为，中国的数据安全管理平台市场仍然处于早期发展阶段，众多技术服务提供商已经意识到数据安全能力融合的大趋势，开始将其数据安全能力模块化、原子化，结合平台统一管理的优势，帮助用户从数据安全单点建设走向体系化建设，但多数技术提供商的平台能力仍然或多或少地存在明显的能力缺失，例如数据资产类型管理不全面、数据流转监控不细致、威胁事件关联分析不直观、响应编排自动化能力不完善等。从行业视角来看，当前我国数据安全整体防护体系建设较为全面、数据安全管理较为系统化的企业主要分布在金融、运营商、政府等数字化转型进程更为领先，以及合规监管更为严格的行业，同时，互联网、交通、能源、医疗、教育、制造等行业的数据安全建设也在快速发展。 IDC认为，目前国内数据安全管理平台市场的发展呈现以下特点： 市场处于早期发展阶段，技术提供商安全能力正在快速积累和完善。数据安全厂商、网络安全厂商、大数据治理厂商、云计算厂商等分别依托各自技术积累和市场优势打造各具特色的数据安全解决方案，并获得了不同类型的客户青睐。但整体数据安全管理平台市场仍然处于初期发展阶段，技术提供商的数据安全管理平台产品依然存在或多或少的能力缺失，需要通过技术升级和项目实践的经验积累持续完善。 通过安全能力原子化提升产品灵活性和适配性。由于数据源于业务，服务于业务，与业务运营密切结合，不同行业所关注的数据类型和安全防护侧重点各不相同，因此数据安全管理平台的项目建设往往会包含较多的定制化开发和服务内容，延长了项目交付周期并增加了成本。技术提供商正在通过将数据安全能力模块化、原子化来提升开发效率以及平台的灵活性、可扩展性，用户可以结合业务需求，按需购买、分阶段部署。 平台产品对外接口的开放性和标准化仍需提升。企业现有数据安全防护体系中往往已经部署了多个品牌的不同类型防护产品，数据安全管理平台产品需要与各类安全产品有效集成，形成数据关联分析和响应处置联动。而由于市场竞争或项目管理等方面的原因，目前市场上的数据安全管理平台产品接口标准化仍需提升，厂商往往更聚焦于与自身品牌数据安全产品的集成，与第三方异构产品的融合仍然存在阻力。 数据资产的统一管理和分类分级是企业数据安全管理的关键基础，也是目前企业数据安全建设的重点需求。因此，我国市场上主要的数据安全技术提供商均已经具备数据资产发现和分类分级基础能力，且正在持续训练和完善针对不同行业的能力模型，对数据资产类型（结构化数据、非结构化数据等）管理的全面性、准确性和精细化程度也在快速提升。同时，政府、金融、运营商、能源、制造等重点行业也在不断具象化和精细化各自行业的数据分类分级标准规范，促使数据安全管理有章可循、有规可依。 数据安全管理平台整体的自动化、智能化水平还需提升。2022年底ChatGPT的发布再次引燃市场对人工智能，特别是大模型和生成式人工智能的热议，2023年，国内市场的类ChatGPT应用如雨后春笋般涌现。虽然这是一个新事物，但众多网络安全企业已经或计划将生成式人工智能加入到网络安全、数据安全产品和服务发展路线，用以缓解安全领域人才短缺、安全工具众多且难以使用、安全运营人员技能不足以及疲于处理海量/重复告警信息导致工作效率低下等问题。因此，数据安全管理平台如何利用人工智能提升数据分类分级、威胁检测与分析、数据 溯源与取证、安全编排与自动化响应、人机协同运营等多方面的能力，是众多技术提供商正在大力投入的方向。 专业的咨询服务是大多数企业数据安全防护体系建设的迫切需求。根据IDC的调研，大多数企业在数据安全建设过程中往往面临一个窘境，即：企业知道自身的数据安全防护体系薄弱点很多、缺失的安全能力很多，但却说不清楚具体有什么问题，不知道从何处开始建设、从何处优先投入，只能是哪里出现问题补哪里，哪里有合规要求建哪里。因此，技术提供商正在增强对数据安全服务团队的建设，通过咨询服务帮助企业做好符合行业特点和业务属性的数据安全顶层规划，并进一步从制度、团队、项目规划、产品部署、安全运营等方面帮助企业合理投入、有效建设数据安全防护体系。 在法律合规和业务需求的双重驱动下，国内企业的数据安全资源投入明显增加，但由于原有数据安全防护基础薄弱，目前防护体系大多仍处于初步建设阶段。企业目前的建设重点聚焦于数据资产的发现和分类分级、数据安全审计、安全风险分析等基础能力，体系的关联性和完整性仍然明显不足。长远来看，企业希望通过数据安全管理平台对数据全生命周期的安全状态进行一体化管理，包括数据资产的合规情况和安全风险、数据流转安全监控、数据安全策略的统一管理、响应流程的编排与自动化、数据安全态势可视化等。如此丰富的功能需求对技术提供商的产品组件的丰富度以及融合能力提出了较高要求，技术提供商需要通过自研或者生态合作的方式积极提升数据安全管理平台能力的全面性。 IDCMARKETSCAPE厂商入选标准 入选《IDCMarketScape:中国数据安全管理平台2023年厂商评估》报告的厂商需符合如下标准： 提供数据安全管理平台产品，并在数据安全领域有明确市场定位和长远规划的数据安全厂商、网络安全厂商或云服务提供商。 数据安全管理平台相关产品必须在中国有落地项目。 该产品必须具备基础的数据发现与分类分级能力，至少提供一项数据安全管理平台概念定义下的安全防护功能（具体详见"市场定义"部分）。 给技术买家的建议 通过本次项目的调研，结合客户反馈和IDC对市场的分析，我们向技术买家提出以下几点建议： 数据安全管理体系建设不能盲目投入，也无法一蹴而就，做好顶层设计尤为重要。随着企业数字化转型的逐步深入，企业数据资产的数量快速增加、种类日益复杂，面对《数据安全法》、 《个人信息保护法》以及行业规范的严格规定，企业管理者往往面临因无法全面理解合规要求而导致潜在的数据合规风险，或者想要满足合规要求却无从入手的窘迫处境。因此，企业亟需专业的数据安全咨询团队帮助进行数据安全管理体系的全面梳理和顶层设计，从权责划分、制度建设、资产梳理、风险评估、系统建设、安全运营等方面合理规划建设，在满足各项合规要求的同时，减少对企业业务的负面影响。 数据资产发现和分类分级管理是做好数据安全管理的关键基础。企业数据的属性日益丰富，其敏感数据可能以结构化、半结构化、非结构化等多种数据结构广泛存储于企业各类资产中。随着企业的发展，数据不仅仅会发生规模上的变化，还可能发生敏感度和重要性上的转变。另外，数据只有在业务间、组织间充分使用起来，才能真正体现其价值，而动态变化的数据，以及数据伴随业务的流转无疑进一步提升了数据全生命周期监控和保护的难度。因此，对于企业数据资产的全面发现以及规范化、精细化和深入的分类分级管理是做好数据安全管理的前提条件，也是目前国内数据安全技术提供商需要持续升级和完善的关键技术能力。 数据安全防护体系的建设不是大量安全产品的简单堆砌，而是多项能力的有机融合与联动。企业在数据安全建设过程中往往会部署来自多个品牌的一系列数据安全产品或组件，包括数据库防护、数据分类分级、数据加密、数据脱敏、数据水印、数据泄露防护等，但各个产品和组件的单打独斗常常无法形成体系，各类安全告警无穷无尽，安全运营人员工作事倍功半。因此，企业需要通过统一的中枢将各项能力和数据进行有机融合与联动处置。数据安全管理平台作为"大脑"汇聚分析多源数据，进行海量安全告警的关联、去重与优先级划分，提升系统发现潜在威 胁、高级威胁的能力，直观展现安全态势，统一协调安全事件的响应处置，将各个产品和组件的能力最大化，并显著降低安全运营人员的工作负载。 业务上云已经成为企业数字化转型的重要途经，如果企业计划或者已经拥抱云计算，则必然要考虑数据安全管理平台与云环境的适配。一方面是数据资产的全面发现和管理，伴随着业务上云和远程办公室成为常态，数据资产的分布将更为广泛，多云混合云场景将普遍存在，不管数据是在本地、云端还是移动设备间存储和流转，都需要完成安全策略的全面部署；另一方面是平台产品的云化部署，特别是对云原生场景的支持，通过容器化、无服务器化等云原生部署模式，更深入地适配云计算易部署、可拓展、高容错、多租户管理等优势。 人工智能技术正在越来越深入地应用到安全产品中，安全运营人员将越来越直观地感受到自动化、智能化带来的效益。生成式人工智能（AIGC）再次激发了人们对AI在安全上应用前景的想象力，国内外众多安全厂商接连发布了各自的AI大模型、类ChatGPT应用。人工智能将有效缓解安全领域人才短缺、安全工具众多且难以使用、安全运营人员技能不足以及疲于处理海量/重复告警信息导致工作效率低下等问题。数据安全管理平台也将得益于人工智能的接入，显著提升数据分类分级、威胁检测与分析、数据溯源与取证、安全编排与自动化响应、人机协同运营等多方面的能力。 加强员工数据安全意识教育和培训可以有效降低内部数据泄露和安全违规风险。企业员工是网络安全、数据安全防护中最薄弱的环节，员工有意或无意的违规操作往往是造成敏感数据违规采集、使用或泄露的主要原因。因此，除了全面部署各类数据安全产品和解决方案，利用技术手段进行全面的数据安全防护外，企业还应通过数据安全教育和培训加强员工数据安全保护意识，了解数据安全违规行为需要面临的法律责任，降低人为因素造成的数据风险。 厂商综合概况 本章节简要地解释了IDC通过厂商在IDCMarketScape中的位置得出的关键发现。在附录中概述了各个厂商基于各项标准的评估，该处展示了对各厂商的优势与机会的总结。 阿里巴巴 阿里巴巴在2023年IDCMarketScape中国数据安全管理平台市场评估中被定位于领导者类别。 阿里云计算有限公司是阿里巴巴集团旗下的云计算子公司，一直致力于提供稳定、可靠、安全、合规的云计算基础服务，通过提供创新的安全产品与服务，让用户轻松共享阿里云安全能力，为企业业务保驾护航。阿里云致力于确保云上每项业务的安全。 优势 阿里云自成立以来，始终高度重视云上用户的数据安全，在云设计之初就同步考虑安全架构，不仅将安全基因植入到整个阿里云平台及各云产品中，更将数据安全要求嵌入产品开发生命周期相关的各环节。阿里云也是数据安全合规市场的推动者与践行者，阿里云数据安全中心等产品，以数据为核心、风险为导向，帮助客户建设基于