中國將成全球第一大物聯網市場，全球1/5的數據安全投資夠嗎？
【文/觀察者網 呂棟】
“全球四分之一的數據產生在中國，但中國的數據安全投資只佔全球的五分之一，這個比例可以想象，中國在數據安全領域的投資還要進一步加大。”日前，IDC中國區總裁霍錦潔在IDC 2022 CSO全球網絡安全峯會（中國站）上回答觀察者網提問時表示。
霍錦潔透露，此次是IDC首次在中國舉辦 CSO（首席安全官）全球網絡安全峯會，這也説明在中國聚集海量數據的背景下，數據安全、網絡安全在中國是非常重要的。
但她也同時指出，雖然中國大量的數據應用場景藴藏着很大機會，但數據安全只有中國做好並不夠。由於數據具有廣泛性、分散性、多樣性、複雜性等特性，數據安全更是全球的挑戰。
英國一家IT管理公司去年曾統計，僅2021年5月，全球發生的網絡數據泄露和網絡攻擊案件記錄就高達1.16億條，其中40%由勒索軟件引發。
還有知情人士告訴觀察者網，中國東部某地級市平均每個月就遭受370萬次境內外的網絡攻擊。
“二三十年前，黑客真正能攻擊的對象可能只有服務器，因為那個時候的企業數字化程度並不高。但現在不僅有攝像頭，還有各種物聯網設備，這些都可能成為黑客攻擊的對象。”IDC中國研究副總裁鍾振山在接受觀察者網等媒體採訪時表示。
他指出，到2026年，中國物聯網市場規模會達到2640億元，成為全球第一大物聯網市場，比美國還要大。而隨着不同的物聯網設備出現，帶來的安全風險也將會越來越多。因此，企業和政府機構不僅要從技術層面去應對，更重要的是提高員工乃至整體社會面的安全意識。
在本次網絡安全峯會上，IDC還發布了《IDC TechScape：中國數據安全發展路線圖，2022》。該報告認為，幫助用户構建全方位數據安全治理體系將成為大趨勢，各項數據安全和密碼技術將在治理體系中作為重點能力模塊，賦能用户實現數據安全治理目標。
圖源：IDC
觀察者網整理部分採訪實錄如下：
問：隨着數字經濟時代到來，中國會產生海量的數據，但數據泄露的事件時不時會被曝出。尤其是疫情期間，更存在數據泄露的風險。我們遭遇的挑戰主要有哪些，是技術問題、人才問題，還是投資方面的整體問題，應該如何去應對這些挑戰，減少數據泄露事件的發生？
**鍾振山：**安全永遠是對抗的過程。只要有數據、有系統，安全風險也就與之相伴。舉個例子，我以前聽一個專家講過，説為什麼現在數據安全事件頻發，很簡單，是因為現在可攻擊的對象越來越多了。二三十年前，黑客真正能攻擊的也就是服務器，因為那個時候的企業數字化程度並不高。但現在不僅有攝像頭，還有各種物聯網設備，這些都可能成為黑客攻擊的對象。IDC預測，到2026年，中國物聯網市場規模會達到2640億，成為全球第一大物聯網市場，比美國還要大。而隨着不同的物聯網設備出現，帶來的安全風險也會越來越多，不僅服務器，黑客甚至可以通過物聯網設備入侵企業內網。
除去技術層面不斷地發展和對抗，去應對這些潛在的風險，還有比較重要的一點是提高企業員工乃至整體社會面的安全意識。很多企業內部員工可能會為了工作方便，去自己搭一台服務器，或者下載一些開源代碼去寫應用，他們並沒有意識到這麼做帶來的安全風險。如果他們自行搭建服務器，可能就無法遵循企業內部的安全策略，會為企業整體的安全完整性帶來挑戰。這其中，企業內部除了完善對員工的管理策略外，擁有一套端到端的完整解決方案也非常重要。
很多IT項目，無論是企業端還是政府側，其實並沒有相對應的安全解決方案，去保護企業的數字核心資產，這是CIO們需要考慮的事情，也面臨着一些挑戰。對於如何減少數據泄露事件發生的頻次，我個人建議，一是企業內部安全意識的提升，二是真正要把安全當做企業的核心戰略，而不是做完系統後，再去思考如何彌補安全漏洞。很多廠商將來可能會提到原生安全或者內生安全的概念，就是真正把安全當做企業數字化轉型的核心組件，這樣才能降低數據安全的風險。
問：提升數據安全意識，把數據安全當做核心，我們需要去做哪些工作？
**鍾振山：**剛才也提到一些，企業在做項目設計和規劃時，首先就要把安全當做項目核心的一部分，而不是等項目上馬之後，再去想安全怎麼辦。其次，國內很多企業或政府機構，安全是放在IT內部的。也就是説，可能安全經理或CSO需要向CIO彙報。我個人認為，這本身就是矛盾的。因為CIO的職責是項目越快上馬越好，而安全可能是越慢越好，因為需要把很多安全機制補全。所以CSO向CIO彙報並不是非常完美的狀態，CSO應該獨立於CIO，才能真正在企業內部發揮建設整體安全能力的作用。
問：這是不是意味着，企業內部流程可能需要重置，把保護數據安全的功能分離出來？
**霍錦潔：**是這樣的。大家以前談到安全的時候，認為這是一項技術活，甚至包括很多安全從業者，也是從技術角度去看安全。但在企業內部，安全是一個業務層面的事情，不能只去看這套IT系統有多安全，還要看員工的行為會不會對企業核心資產帶來一定風險。因此，CSO是一個技術和業務相結合的角色，他在考慮安全機制的同時，也需要去考慮業務如何去轉變，才能提升公司內部整體安全的能力。
問：您剛才講到，隨着數字經濟的發展，企業對數據安全越來越重視。那麼在您看來，未來三到五年在數據安全領域，有哪些技術或趨勢比較值得關注？
**鍾振山：**我們發佈的TechScape報告中列出了10多個新技術點，如果真要選一個，我覺得隱私計算是未來值得關注的領域。最近幾年，我國也出台了很多和數據安全相關的法律，除了《網絡安全法》《數據安全法》之外，還有《個人信息保護法》，都是和數據保護以及如何使用數據相關的。大家可能都有過這樣的經歷，如果給一箇中介打電話説想租房子，可能第二天會收到十幾個不同中介打來的電話。
作為數據安全從業者，我當時就會想數據是怎麼被傳出去的。從監管的角度來講，法律法規約束了我們應該如何使用法律。但如何約束員工，或者説企業內部如何確保合規性，這其實是企業的責任。隱私計算這項技術，可以從很大程度上幫助企業規避一些個人信息泄露方面的風險。雖然隱私計算市場目前還處於非常初級的階段，市場規模也不大，但未來五年的增速可能是TechScape十幾個技術點當中最快的一個。
問：您剛才講到的隱私計算是近年來比較熱的數據安全技術，無論是大廠還是創業公司均在佈局這項技術，像隱私算法的落地也推動了隱私計算的發展。您剛才講到這項技術還處在初級階段，那隱私計算在商業模式方面有沒有什麼瓶頸？
**鍾振山：**我覺得不一定是商業瓶頸。無論大廠還是小廠，目前產品的完整度或成熟度已足夠支撐現有市場的一些需求。但隱私計算是一個比較難理解的概念，企業最終去看這項技術的時候，可能會考慮這項技術到底用在哪裏，或者這項技術是不是真正能產生足夠大的價值。這可能是CIO的視角，如果一項技術的價值無法量化，CIO或CSO們就會面臨很大壓力，CEO會詢問為何要付出這麼大的成本去引進這項技術。但無論是從IDC的角度還是廠商的角度，包括隱私計算在內的任何一項技術，給企業帶來的價值都能量化出來。
當引入一項技術的時候，只有把投資回報率講清楚，CIO們才有信心跟老闆提出需求。所以我認為，現在企業中的CIO和CSO們所面臨的一個非常大的挑戰，就是大家都以為傳統的IT或技術部門是一個花錢的部門，對整體業務沒有直接影響。但隨着越來越多的企業進行數字化轉型，這些數字化的業務很大程度上就會依賴企業自身的技術能力。也就是IT部門和安全部門所做的事情會對企業自身業務產生直接影響。所以將技術價值量化的方式，會不斷提高技術部門在企業內部的地位，從而讓它真正能融入到企業核心業務中去。
問：霍總剛才提到，全球四分之一的數據發生在中國，但中國的數據安全投資只佔全球的五分之一。我的問題是，在發展數據安全產業方面，中國相比其他國家有哪些優勢和劣勢？未來中國在數據安全方面應該加強哪些具體領域的投資？
**霍錦潔：**我覺得中國的優勢就是數據多，相比其他國家有各式各樣的數據應用場景，這些不同的場景會給中國的數據安全產業帶來非常多的機會。但安全這件事，只在中國內部做好並不夠，因為數據是全球互通的。所以我們也要了解一些全球的案列，學習一些他們理解的解決方案，中國這邊最重要的還是多做。
**鍾振山：**我補充一下，大家對於數據安全或數據保護最基本的認知，可能只是數據存在哪，然後把它保護好。但現在業界有這樣的説法，即數據是一個生命週期，包括數據的採集、傳輸、存儲、使用，甚至到最後的銷燬，每個環節都可能出現問題。剛才也講到，中國將來會成為全球最大的IOT市場，IOT弱口令這件事大家應該都聽説過，一個攝像頭被黑可能會導致整個內網被攻擊。
無論是政府部門還是傳統企業，面臨的最大問題，就是隨着IT和OT不斷地融合，IT部門對於安全的意識可能相對高一些，但做生產的OT部門的安全意識可能沒那麼高，他們使用的各種數字化設備無時無刻都在產生大量數據，這些都是可攻擊的對象。
所以從數據安全或數據保護的發展來講，將來肯定是一個全生命週期的過程，不只是保護好內網的數據庫就行了，其實在數據產生的一剎那，就已開始面臨着網絡安全的風險。在我看來，技術只是保護數據安全的一方面，另一方面則是數據安全意識的提升。企業能不能意識到潛在的安全風險在哪，畢竟只有知道問題在哪，才能去解決。所以數據安全不僅是安全部門或IT部門的事情，可能會涉及到公司所有的員工，只有每個都具有數據安全意識，才能把數據安全風險降到最低。
問：疫情期間，企業運行會有很多新的數據產生，這在數據安全方面會相應增加哪些需求？
**鍾振山：**遠程辦公零信任的案例，就是由疫情催生出來的。因為疫情帶來很多遠程辦公場景，這其中不僅要遠程連接公司內網，還涉及大量的數據交換，如何確保員工在辦公室之外也能得到足夠的安全保護，對企業來説是一大挑戰。Zoom剛火起來的時候也遇到類似挑戰，現在很多安全企業也在推零信任的解決方案。
另外一點，企業內部整體的網絡環境在不斷地複雜化，隨着更多的IOT設備的出現，公司內部的網絡安全壓力不斷增大。所以企業在上一個新項目的時候，要考慮到整體安全風險都在存在哪裏。企業在做遠程辦公系統的時候，也要考慮到對公司內網的衝擊，是不是有足夠的能力保護遠程辦公的安全，從而保護公司整體的數據核心資產。
本文系觀察者網獨家稿件，未經授權，不得轉載。