2023中国数字安全产业年度报告.pdf

北京数字世界咨询有限公司 2023.6中国数字安全产业年度报告(2023)北京数字世界咨询有限公司 2023.6中国数字安全产业年度报告(2023)目录前言 1第一章统计标准 2一、统计口径 3二、统计范围 3三、统计方法 4四、术语解释 4第二章数字安全 市场 6一、市场规模 二、业务分类 9三、客户分布 10四、城市分布 11第三章数字安全 企业 12一、收入水平 13二、上市企业 13三、数字安全百强 161、综合实力百强 162、年度成长力十强 183、年度创新力十强 194、专精特新百强 20四、从业人员 21第四章数字安全 技术23目录一、数字安全的内涵24二、数字安全能力图谱 261、政府部委 28案例：基于分类分级的数字政府数据安全流转监测与防护方案29案例：某人力资源和社会保障局电子社保移动安全建设案例312、金融 34案例：斗象科技 VMS 漏洞运营管理系统某商行联盟解决方案35案例：某大型金融机构行业案例38案例：某全国性股份制商业银行移动安全建设案例403、运营商 434、公安 445、国防 45案例：某国防客户安全监管解决方案466、能源 48案例：中国石油某销售公司油库网络安全改造推广项目案例49案例：某干线天然气管道公司工控安全解决方案527、电力 55案例：电力新能源工控安全态势感知平台建设案例56案例：竞远安全电力行业网络安全综合服务案例59案例：某省输电变电站618、轨道交通 64目录案例：某城市轨道交通列车智能运维安全防护方案65案例：某地铁集团 PSCADA 系统安全改造试点示范项目案例689、医疗 7110、互联网 72案例：某互联网行业客户移动安全建设案例73第五章数字安全 资本 76第六章数字安全九大态势80一、数字安全时代的到来 80二、国有化趋势愈加明显 80三、集成模式挤压利润与创新空间 80四、数字安全产业发展形势严峻 80五、国家安全、数字经济为刚需 81六、存量市场与增量市场并发 81七、一体化解决方案呼声渐强 81八、安全运营从共识走向落地 82九、数据安全新方向逐渐明朗 82后 记 83 中国数字安全产业年度报告 20231前言2020 年至 2022 年，是全球动荡变化的三年，战争、疫情、贸易封锁、金融危机习总书记近年来数十次的强调“当今世界正经历百年未有之大变局”。具体到仅有三十年历程的网络安全产业，如今也面临着前所未有的挑战和机遇。三年疫情之后，广大安全企业面临着生存与发展，创新与营利的多重难题。但危机与机遇并存，数字化的趋势已是全球共识，数字经济已是所有经济体的发展目标。因此，网络安全正在从以国家安全、公共安全为主的范式转换到国家安全保障和护航数字经济并重的数字安全。数字经济的命脉是数据的流动，因此，以网络安全为基础手段，以数据安全为核心目的，是数字安全的技术内涵。在万物互联的数字世界里，数字安全是国家安全和数字经济的基础支撑，而摸清家底、厘清现状，以判断趋势和辅助决策，是助推数字安全产业健康良性发展的前提。为此，数世咨询基于连续多年积累的产业调研能力和经验，经过大量的现场沟通、访谈，梳理、整理，统计工作之后，撰写完成中国数字安全产业年度报告(2023)，以客观地反映我国数字安全产业的真实状况，为国家主管部门、研究机构、行业用户，以及广大数字安全企业和相关从业者提供有价值的参考。北京数字世界咨询有限公司2023 年 6 月2第一章统计标准“一套清晰明确并来源于实践的统计标准，其意义要甚于统计工作本身。因为没有统计标准，统计工作就是空中楼阁。”摘自中国数字安全产业统计与分析报告(2022)中国数字安全产业年度报告 20233本报告的统计标准包括，统计口径、统计范围、调查方法和术语解释，供业界相关人员参考与指正。一、统计口径本报告的统计口径有两大类，一类是公开财报的上市企业，以财报披露的营收额为准。另一类是未上市的公司，以年度的营收开票额为准。本报告包括三种整体市场规模的统计数字，即数字安全行业总收入、数字安全业务（含集成）总收入和数字安全业务（去集成）总收入。如无特别指出，本报告所有提及的数字安全市场规模是指“数字安全业务（含集成）总收入”。统计数据的时间跨度为2022年1月1日至2022年12月31日。二、统计范围基于数世咨询核心团队20年的国内安全企业调研工作的经验积累，本报告根据原厂能力、营收水平和业务类型，选择了750余家在公开市场上具有一定知名度的数字安全企业作为本报告的基础调查对象。本报告的统计范围为中国内地的企业，不包括香港、澳门和台湾地区内。本报告的基础调查对象为750余家经营数字安全业务且具备原厂能力的企业，不包括专门从事分销、代理、代售业务的企业，不具备解决方案能力的集成商，以及非企业主体，如研究所、测评中心、高校学院等。在750家基础样本中，本报告以1000万元左右的数字安全业务年营收额为底限，选取了350余家企业作为统计对象。信创领域中，如芯片、操作系统、数据库、中间件、服务器、个人电脑、办公软件等非安全类产品不在本报告统计之内。4三、统计方法在调研方面，本报告主要通过企业问卷调查、公开资料收集、日常交流访谈三种形式开展调研工作。在统计方面，本报告采用的是供给侧的角度，将统计对象，即350余家数字安全企业的年营业收入、业务类型、从业人员、地区行业收入等数字进行计算后，从各种不同的维度进行展现。在收入方面，数字安全业务收入在企业总收入中占比小于50%的企业，只统计数字安全业务收入，不统计该企业的非安全业务收入。反之，占比大于等于50%的企业，则统计其非安全业务并将其计入数字安全行业收入。在收入划分方面，弃用软件与硬件收入的划分方法，将两者合而为一并且与“软件即服务”收入一并计入到安全产品收入。四、术语解释1、数字安全包含电子设备、通信网络、信息系统及电子数据所构成的虚拟网络空间，正在与现实物理空间融合成一个数字化的世界。在数字世界中，面向数字化对象或基于数字化手段而展开的对抗博弈过程，称之为数字安全。2、数字安全业务以企业主体出售数字安全产品、人员服务、解决方案产生的经营收入。3、数字安全企业理论上一切具有数字安全业务的企业都可称之为数字安全企业，但在本报告中是指数字安全业务占企业总收入50%及以上，或者数字安全业务年收入达1000万元以上，且具备原厂能力的企业。中国数字安全产业年度报告 202354、原厂能力自身具备数字安全产品、方案定制、安全服务的能力，而非单纯的中间转售。5、数字安全企业从业人员与数字安全企业签订劳动合同的正式员工。6、数字安全技术或网络安全技术本报告中一般是指数字安全企业所提供的产品、服务、方案的其中一种、两种或总和。7、并购兼并和收购。本报告中是指并购双方或多方相互之间的股权转移，而不是以融资为目的的股份稀释。（注：本章的统计标准部分参考中国网络空间安全协会于2020年发布的中国网络安全产业统计报告。）6第二章数字安全市场网络安全行业发展了三十年，从计算机安全等级保护，到信息安全等级保护，再到网络安全等级保护，充分体现出合规的第一驱动作用。但数字安全的复杂性和碎片性，只能依靠创新来引领和解决。数字安全行业的未来，一定是合规与创新双轮驱动。摘自2022年数字安全大事记 中国数字安全产业年度报告 20237一、市场规模2022 年度，国内数字安全业务（含集成）总收入为 981.2 亿元，较 2021年度增长 7.14%。与上年度 18.6%的增长率相比，下降 11.46 个百分点。数字安全集成业务收入 199.72 亿元，较 2021 年度增长 36.42%。2022 年度，国内数字安全业务（去集成）总收入为 781.48 亿元，较 2021年度下降 14.92 亿元，增长率为-1.87%。与上年度 15.9%的增长率相比，下降 17.77 个百分点。2022 年度，国内数字安全行业总收入为 1047.81 亿元，较 2021 年度增长6.97%。与上年度 22%的增长率相比，下降 15.03 个百分点。（注：按照数世咨询的统计惯例，本报告将“数字安全业务（含集成）总收入”定义为默认语境下的数字安全市场规模）图 1国内数字安全市场规模(2020-2022)新冠疫情三年（2020-2022）期间，国内数字安全产业规模的变化为“先扬后抑”。从 2020 年增长率 29.9%的历史最高点，下滑到 2021 年的 18.6%，然后再到 2022 年的 7.14%，成为 2014 年以来的历史增长率最低点。这一结果，基本符合数世咨询去年报告中的市场预判。8“2022年度的数字安全市场有可能出现自2014年以来的历史最低增长”摘自中国数字安全产业统计与分析报告 2022图 22017-2027 年国内数字安全市场规模重要结论2022 年度，国内数字安全市场规模为 981.2 亿元，增长率首次跌破两位数，仅为 7.14%，为十年来的历史最低点。需要业界尤为警惕的是，7.14%的市场规模增长，实际上完全来自于集成业务，而安全产品和服务则首次出现负增长即-1.87%。在全球经济疲软的大背景下，以 2022 年底数字安全需求方的预算规划和今年上半年预算的实际执行情况来看，2023 年的市场形势十分严峻，大概率继续维持个位数的增长率。以 2025 年，即十四五规划收关年，恢复 20%的增长率推算，国内数字安全市场规模将在 2027 年接近 2000 亿元。中国数字安全产业年度报告 20239二、业务分类正如去年报告所言，将数字安全产品划分为硬件和软件的习惯，来源于生搬硬套传统信息产业的划分方法，不适用于以生产软件和提供服务为主的数字安全厂商。依据数世咨询的统计惯例，本报告将数字安全业务分为三大类：一是软硬件、设备及 SaaS 订阅收入，即安全产品收入；二是以人天计费的安全服务收入；三是安全集成收入。图 32019-2022 年 安全产品、安全服务、安全集成占比重要结论2022 年，安全产品收入约占总收入的 68%，安全服务收入约占总收入的12%，安全集成收入约占总收入的 20%。安全服务占比略有上升，安全产品占比下降，安全集成业务连续三年呈快速上升态势。安全集成业务占比的提升，有两大主因：一是多元化。大型安全企业、云服务商和软硬件科技企业均不同程度的在10发展集成业务，以扩大营收规模。二是数科化。大型国有集团纷纷成立科技三产公司，或改组或合并原有组织架构，以获取更大的竞争优势。三、客户分布根据本报告 750 家基础调查对象客户数据的不完全统计，2022 年数字安全产业的核心客户群依然为，政府部委、国防公安、金融、运营商和能源等五大领域。图 4国内数字安全客户行业分布情况(2022)图 5 国内数字安全客户行业分布情况(2021)中国数字安全产业年度报告 202311重要结论疫情原因，政府部委（不含国防、公安）在客户行业中的占比明显下降，但国家与社会安全等特殊行业，以及事关国计民生的工业制造、医疗、ICT 科技和互联网领域等领域，占比均略有上升。由于安全具有国家、社会、政治等公共属性，因此合规始终是数字安全产业的基本驱动力。但随着全球的数字化进程，数字经济发展带来的应用场景需求将会成为数字安全的第二大驱动力。四、城市分布按数字安全企业总部所在城市的企业营收排序，超过 20 亿元的有九座城市，分别为北京、深圳、杭州、成都、上海、南京、厦门、苏州、济南。从各城市数字安全企业收入占城市 GDP 的比例来看，除北京、深圳和杭州三所城市以外，其他六座城市均有很大的提升空间，尤其以上海为甚。图 6数字安全企业总部所在城市的企业营收12第三章数字安全 企业从各企业收入水平的占比情况来看，网络安全市场“没有寡头，只有诸侯”的格局明显，同时碎片化现象非常突出。这种情况也与全球网络安全市场的格局相似。摘自2020 年中国网络安全产业统计报告 中国数字安全产业年度报告 202313一、收入水平2022 年的数字安全业务（含集成）年收入，在本报告 350 家统计对象中，有 11 家企业收入达到 20 亿元以上，占比 37.5%；8 家达到 10 亿元以上，占比12.6%；18 家企业在 5 至 10 亿之间，占比 12.9%；133 家企业在 1 至 5 亿之间，占比 29.6%；180 家企业不足亿元，占比 7.1%。图 72022 年国内数字安全企业收入区间重要结论与去年相比，数字安全企业的年收入水平几无变化。数字安全技术属于企业服务的市场范畴，碎片化的格局是常态。“没有寡头，只有诸侯“的市场格局，未来将长期保持下去。对于数字安全企业而言，一方面很难快速的规模化，上市的比例很小。另一方面能保持基本的企业运转，破产倒闭的情况很少。因此，在扎根自身的特长领域和保持创新力的基础上，实现良性循环、稳步增长的目标，不失为中小企业的健康经营之道。二、上市企业2022 年度，具有明显数字安全业务属性的企业，在新三板挂牌的公司有1438 家，在沪深上市的共有 51 家。其中，数字安全企业 32 家（数字安全业务在总营收中占比大于等于 50%，或者绝对值超过 5 亿元人民币的企业）。图 8具有明显数字安全业务属性的上市企业收入分类另据今年 5 月数世咨询发布的2022 中国数字安全上市企业航线图的统计，自数世咨询 2014 年开始产业统计工作以来，沪深上市的数字安全企业净利润总和历史上首次出现亏损，且亏损总额接近 17 亿元。图 92020-2022 年数字安全上市企业三项指标重要结论从上市企业收入分类中可以明显看出，沪深两市的企业以产品销售为主，而新三板企业服务与集成并重，而仅有安全业务属性的非安全公司，则是集成和产品并重。净利润历史上首次出现亏损，具体表现在 25 家企业出现亏损，更甚者一家企业高达 18 亿元的净利润亏损，即将出现历史上首个从沪深交易所退市的安全公司。在营收几无增长且亏损总额接近 17 亿元的情况下，但研发投入依旧有较高增长，除了部分有平衡财务指标的原因以外，还意味着安全上市企业对未来 中国数字安全产业年度报告 202315的市场较有信心。图 102022 中国数字安全上市企业航线图16三、数字安全百强数字安全百强报告基于国内 750 余家经营数字安全业务的企业，结合多种角度、不同维度的企业相关数据进行梳理和评价。报告分为两大部分，一是综合实力较为突出的 100 家企业，通过品牌影响力和企业规模二大维度，以数轴点阵图的形式予以展现。二是专精特新 100 家企业的推荐，目的在于突出业务规模目前较小，但在创新能力方面表现优秀的企业。1、综合实力百强在入围本次综合实力百强的企业中，领军力量企业入围门槛为 10 亿元，共 19 家，总营收约 480.67 亿元。中坚力量共 45 家，总营收约为 220.71 亿元。潜在力量共 36 家，总营收约为 68.02 亿元。中国数字安全产业年度报告 202317 图 112023 年数字安全百强182、年度成长力十强即便在整体安全产业增长乏力的情况下，仍然有一批企业业绩突出，增长迅速：图 12年度成长力十强 中国数字安全产业年度报告 2023193、年度创新力十强创新是产业良性发展的灵魂支柱，在尤为注重技术实用性和应用价值性的数字安全领域更是如此：图 13年度创新力十强204、专精特新百强专精特新百强均为企业规模较小，但在专业、深度、差异化和创新性方面非常具有优势或特色的数字安全企业。由于名单较长，本报告仅列出“年度创新力十强”企业。（百强报告可前往数世咨询官网或公众号查看）重要结论2022 年度，综合实力百强安全业务总营收达 769.4 亿元，较上年度增长4.07%。年增长率下降约 12 个百分点。在本统计年度的综合实力百强中，有 5 家企业退出 10 亿元营收的领军力量区间，但也有 2 家企业首次挺进。专精特新百强中，开发与应用安全、威胁检测与响应、工业互联网安全、安全运营、数据安全、API 安全、数字靶场，为七大热点赛道。百强报告中，10 亿元区域企业数量的减少，意味着数字安全企业扩大规模的艰难。具备经营状况良好、规模大，并且创新力强的“三合一”型数字安全企业，在国内始终未能出现。数字安全产业的本质是企业级服务，只要是普及性的服务就一定是碎片化的。因此数世咨询认为，在自身擅长的领域深耕，合理调配现有资源，以实现“滚雪球”式的稳健增长，才是企业级服务市场的正道。中国数字安全产业年度报告 202321四、从业人员2022 年数字安全企业从业人员约 14.71 万人，其中技术人员约占 69.7%，从业人员较 2021 年增长 6.6%。图 14数字安全从业人员构成 图 15不同收入规模的数字安全企业从业人员分布图 16数字安全从业人员平均成本分布(2022)22图 17数字安全从业人员平均成本分布(2021)重要结论2022 年，从业人员增长率为 6.6%，相比去年下降 9 个百分点，主要为非技术人员的减员。2022 年，数字安全从业人员的人均产值约为 53.86 万元，但人均净利润为负值。因此预计，2023 年整个产业的研发投入将有大幅度的缩减。2022 年，数字安全从业人员人均成本在 20-30 万元之间的占 60%，人均薪酬在 20 万元以下的占 24%。与 2021 年相比，前者增长了 10 个百分点，后者则下降了 10 个百分点。可以看出，数字安全从业人员成本（薪资水平）明显上升。中国数字安全产业年度报告 202323第四章数字安全 技术网络安全与数字安全最大的区别在于，前者的关注重点在“围绕通信、边界和端点组成的网络进行对抗的过程”，后者则是“以网络安全为基础手段，以数据安全为核心目的。”数世咨询24一、数字安全的内涵自 2019 年数世咨询创始人在公开发表的文章中，首次提倡“数字安全”时代以来，数字安全的概念越来越受到业内的关注。基于网络安全的本质和特性，数世咨询在 2020 年提出网络安全技术分类的方法论“网络安全三元论”（以下简称三元论）：信息技术、业务应用和网络攻防。信息技术是网络安全的起源。有了电子通信才有电子对抗，有了计算机、操作系统、数据库、应用程序，才会有系统安全、数据库安全、应用安全，有了云计算、移动互联网、工业互联网，才会有云安全、移动安全和工业互联网安全的概念。简而言之，没有网络就没有网络安全。业务应用是一个机构或组织生存发展的根本前提，信息技术是为业务需求服务的。基于产品设备或技术方案对信息系统的保护，并非网络安全的最终目的，只有更好的服务数字化业务的需求，为数字经济的发展赋能，保卫国家安全，才是网络安全的根本目标。网络攻防的逻辑本质是“对抗”，对抗则意味着没有无往不胜的攻击，也没有牢不可破的防御。“道高一尺，魔高一丈”，循环往复，永不休止。因此，动态性、相对性、整体性、开放性、协同性等理念是做好网络安全的方向指引。2020 年，中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见（以下简称意见）正式公布。意见开创性地把数据与土地、劳动力、资本、技术并列，定义为人类经济活动的第五大生产要素。2021 年，数据安全法实施。2022 年，中共中央、国务院印发了数字中国建设整体布局规划，明确要求“筑牢可信可控的数字安全屏障。切实维护网络安全，完善网络安全法 中国数字安全产业年度报告 202325律法规和政策体系。增强数据安全保障能力，建立数据分类分级保护基础制度，健全网络数据监测预警和应急处置工作体系。”基于三元论的三大支点信息技术、业务应用和网络攻防，围绕数据的安全保护，就构成了数字安全模型。网络安全与数字安全最大的区别在于，前者的关注重点在“围绕通信、边界和端点组成的网络进行对抗的过程”，后者则是“以网络安全为基础手段，以数据安全为核心目的”。图 18以三元论为支点的数字安全模型重要结论信息技术是网络安全的保护对象，业务应用是网络安全的服务对象，而网络攻防是网络安全的立身之本。对三者的深度理解和技能掌握是做好网络安全工作的三个支点，缺一不可。数世咨询将这一理论称之为，网络安全三元论。以网络安全三元论为支点，数世咨询给出数字安全的概念：“包含电子设备、通信网络、信息系统及电子数据所构成的虚拟网络空间，正在与现实物理空间融合成一个数字化的世界。在数字世界中，面向数字化对象或基于数字化手段而展开的对抗博弈过程，称之为数字安全。”26二、数字安全能力图谱从信息技术、业务应用与网络攻防三大支点和位于中心的数据安全共四大维度出发，能力图谱划分出八大方向，信息基础设施保护、信息计算环境保护；行业环境安全、应用场景安全；基础与通用技术、体系框架、安全运营；数据安全。每个方向又包含各自一级或子级的细分领域。（注：包含企业的完整版图谱可在数据咨询官网 浏览）业内有很多缺乏逻辑框架，仅靠罗列堆积的企业目录、产品大全性质的图表，“重数量轻质量”、“只堆积不精选”、“模仿意愿强、原创能力弱”，是这些分类图表的普遍现象。常见的典型例子，一家年收入仅数千万元的厂商，就能覆盖十余个分类，一些综合产品的大厂更是能覆盖几十个分类。稍微有几年安全行业经验的人应该都明白，哪怕是一项细分品类的安全技术，都需要包括研发、人员、销售、市场、客户等方面的长期投入，一个数千万年收入的厂商能有二、三款主打产品已是极限。因此，一个貌似大而全但在真实性方面欠缺的图表，给业界带来了沟通不便、统计不便、采购不便等一系列弊端，违背了分类图谱清晰划分并推荐优选的初衷和本意，即降低供需双方的试错成本。为此，数世咨询发布的系列能力图谱，大幅度削减了入选企业的数量，是精选而不是海选，更不是企业大全，以规避“全能型”原厂商或中小企业占据多条产品线的混乱现象。除此之外，为了反映重要行业用户中的主流安全厂商，数世咨询基于行业的维度，于 2023 年 6 月首次推出了2022 年度中国数字安全能力图谱（行业版），包括了数字安全产业十个最为重要的行业领域。中国数字安全产业年度报告 202327图 19数字安全能力图谱总分类281、政府部委网络边界安全山石网科、启明星辰、新华三、天融信、深信服、信达网安流量安全恒安嘉新、绿盟科技、奇安信、天融信、启明星辰、安恒信息端点安全网站安全瑞数信息、绿盟科技、电信安全云安全观安信息、安全狗、阿里云、知道创宇移动安全盈高科技、梆梆安全物联网安全天懋信息、慧盾安全、迪普科技、新华三、远望信息、世安智慧公共安全美亚柏科、效率源、上海弘连工业互联网安全奇安信、安恒信息、烽台科技、珞安科技、博智安全开发与应用安全海云安、思客云、云弈科技互联网安全通付盾、微步在线、恒安嘉新密码万里红、中孚信息、数字认证、飞天诚信、九州量子网络空间资产测绘360数字安全、知道创宇、华顺信安、盛邦安全漏洞与补丁管理斗象科技、默安科技、华云安攻击面收敛烽台科技、华顺信安、天懋信息、云科安信威胁情报微步在线、天际友盟、奇安信、360数字安全身份安全派拉软件、竹云、芯盾时代、齐治科技模拟伪装永信至诚、锦行科技、经纬信安、长亭科技、默安科技态势感知深信服、奇安信、启明星辰、新华三、绿盟科技、安恒信息威胁检测与响应安天、火绒安全、奇安信高级威胁防御安天、安恒信息、天融信、深信服、奇安信、绿盟科技意识与培训红山瑞达安全管理安全演练永信至诚、赛宁网安、丈八网安、安码科技、锦行科技、博智安全网络保险嘉韦思数据贮存安全世平信息、海峡信息、美创科技数据访问安全闪捷信息、明朝万达、天融信、赛猊腾龙信息基础设施保护信息计算环境保护行业环境安全应用场景安全基础与通用技术体系框架安全运营数据安全安天、奇安信、360数字安全、安全狗、天融信、绿盟科技安恒信息、江民科技、安芯网盾安信天行、联成科技、远禾科技、安恒信息、天融信、深信服奇安信、绿盟科技图 20政府部委 中国数字安全产业年度报告 202329基于分类分级的数字政府数据安全流转监测与防护方案闪捷信息科技有限公司【用户需求】数字政府是推动数字中国建设的重要支撑，安全作为发展的伴生体，为应对新时代数据安全风险挑战，政府行业的数据安全防护必须高度重视。数字政府建设过程中，存在组织机构数据分类分级能力较弱、可用数据分类分级信息滞后、内容识别技术准确度低、数据安全风险监测能力欠缺等痛点。因此，亟需对域内数据进行摸底盘点、分级分类、关联分析、风险评估等综合安全治理，实现数据全生命周期安全管理，确保数据来源可信、访问可控、操作可查和责任可追。【解决方案】（一）数据安全分类分级服务发挥数据安全分类分级起承上启下的作用，完成迈向数据安全精细化管理重要一步。承上：运维制度、保障措施、岗位职责等多方面的管理体系都需依托数据分类分级进行针对性编制。启下：根据不同数据级别，实现不同安全防护。工作流程包含分类分级方案预研、分类分级方案确定、分类分级方案评审三个环节。（二）数据安全资产管理系统数据分类分级方案确定后，引入自动化工具，采用“工具”+“人工”的方式对数据进行分类分级标识，加速项目实施速度，降低错误率，为企业或组织构建数据安全运营体系打下夯实的基础。系统分为数据资产探测、数据资产梳理、敏感数据识别、数据分类分级、数据资产多维分析等功能模块，同时采用 AI 技术提升内容识别的准确性与识别工具的实用性及应用范围，以达到数据资产“可见、可懂、可控、可用”。30 图 21数据资产管理系统逻辑架构图(三）与数据安全产品联动将分类分级信息与数据安全产品联动，实现敏感数据信息与安全风险等内容的实时同步，形成有针对性的数据安全防护策略，实现加密、脱敏、审计、访问控制等的策略协同与联防联动。（四）直观可视、可查、可判、可用根据分类分级结果，自动监测敏感数据的流动和访问情况，在风险识别模型基础上采用 AI 技术提升风险识别能力。支持广泛的数据源类型及常见非结构化数据资产识别，自动化生成统计报表，提高常态风险管理能力与数据安全风险监测能力。【用户评价】该建设项目采用政务行业的数据识别规则模板和 AI 技术，识别的自动化程度达到 96%，根据数据梳理结果制定出差异化的安全策略，优化了安全资源配置，整个防护体系统一管理，策略共享，防护无遗漏。建设系统自身不存储、不截留用户的真实业务数据，确保用户业务数据在维护、管理过程中不会曝光和泄露。该项目为数字政府行业数据安全防护提供了新的治理模式，具有良好的示范效应，为数字政府建设和数字经济发展提供了行之有效的安全保障。中国数字安全产业年度报告 202331某人力资源和社会保障局电子社保移动安全建设案例北京梆梆安全科技有限公司【用户需求】近年来，电子社保卡业务一直在不断创新，由之前人社范围内的一卡通办到目前实现支持更多政务数据的一卡共享、各类民生服务的一卡多用。人社部重点搭建完善服务内核，以将内核嵌到地方政府 APP 及各大银行 APP 中，方便广大群众使用电子社保卡。由于社保数据的特殊性，它已成为个人隐私信息泄露的“重灾区”，如被公开售卖，用于牟利，社保行业的安全建设面临严峻的风险与挑战：防范个人隐私信息泄露 社保数据防护能力提升 符合社保行业移动安全合规要求【解决方案】图 22解决方案示意基于社保移动端的安全态势及行业政策，梆梆安全社保移动安全解决方案，防护对象包括 App 和 H5 小程序，方案覆盖安全合规、安全监测、安全防护以及安全运营保障四大框架。根据人社移动端安全建设任务的紧迫程度，建议分期进行建设。32一期建设App 是社保业务的重要承载渠道，作为安全合规检查的重点对象，一期建议优先构建 App 端的安全防护措施及安全运营保障。安全防护措施应用安全加固：有效防止针对智能应用软件的逆向分析、二次打包、内存注入、动态调试、数据窃取、界面劫持、应用钓鱼等恶意攻击行为，使客户端具备基本的抗攻击能力，全面保护智能应用软件安全。App 安全软键盘：通过梆梆安全独有的白盒加密技术对密钥进行保护，使用严格的加密方式对用户输入的信息进行安全处理，并提供多种类型的输入字符供用户进行切换，降低了输入数据泄露的风险，保障客户端信息输入的安全。安全运营保障App 安全监测：保障客户端的环境校验，检查客户端运行时所必须的条件，确保客户端自身和所处运行环境的安全性。通过对移动应用运行过程的持续监控，从动态攻击的技术源头进行感知分析，提供多维度的安全态势统计，并以可视化图表的方式展现整体安全形势，帮助用户快速建立事前、事中、事后的移动应用安全监测防御体系。二期建设H5 安全加固：有效防止针对 H5 Web 应用、H5 混合应用、小程序、公众号进行的反编译、动态调试、代码篡改、JavaScript 盗用等攻击行为，降低因H5 自身安全缺陷带来的各种风险，使 H5 页面具备基本的抗攻击能力。H5 安全软键盘：保障 H5 小程序端信息输入的安全，为开发者提供高强度数据加密保护能力，同时支持展示企业 Logo、安全软键盘等信息，让用户在输入过程中意识到被保护，提升用户对企业安全服务能力的认可和品牌认同感。常态化建设 中国数字安全产业年度报告 202333个人隐私合规评估服务：根据客户提供的行业合规要求，帮助企客户在监管部门检查前自查自纠，提前发现问题，确保其符合行业安全合规、个人信息合规要求，保障服务渠道在采集用户个人敏感数据时的合规性。安全渗透测试服务：利用漏洞产生原理和渗透测试方法，通过黑盒方式对各类信息系统及应用等进行深度弱点探测和脆弱性测试，帮助应用开发者和管理者了解应用系统存在的脆弱性，为改善并提高应用系统安全性提供依据和解决方案，保障服务渠道避免由软件漏洞引发的安全风险，帮助用户建立安全可靠的应用服务。【用户评价】感谢“梆梆安全”投入大量人力物力，为项目顺利推进提供了有力支持。在移动安全建设项目中，项目团队与我单位积极配合，工作负责，业务精湛，展现出很好的工作能力和作风。342、金融网络边界安全信安世纪、新华三、山石网科、华为、奇安信流量安全启明星辰、绿盟科技、新华三、奇安信、斗象科技、科来网络端点安全奇安信、安天、联软科技、亚信安全云安全移动安全指掌易、爱加密、安软信创、梆梆安全、联软科技、嘉赛信息物联网安全万物安全开发与应用安全互联网安全顶象科技、国舜股份、芯盾时代网络空间资产测绘360数字安全、斗象科技、魔方安全、云弈科技漏洞与补丁管理斗象科技、默安科技、华云安、碳泽信息攻击面收敛威胁情报微步在线、奇安信、360数字安全身份安全芯盾时代、竹云、派拉软件、齐治科技模拟伪装默安科技、长亭科技、元支点、360数字安全态势感知奇安信、启明星辰、天融信、深信服威胁检测与响应未来智安、兰云科技意识与培训易念科技检测与测评嘉诚信息、北方实验室、赛可达实验室、时代新威安全演练360数字安全、默安科技、奇安信、绿盟科技网络保险嘉韦思、众安科技数据贮存安全安华金和、炼石网络、安恒信息数据访问安全天空卫士、明朝万达、闪捷信息、北信源、数安行信息基础设施保护信息计算环境保护应用场景安全基础与通用技术体系框架安全运营数据安全悬镜安全、海云安、开源网安、默安科技、云弈科技国舜股份、酷德啄木鸟、边界无限、火线安全华顺信安、未来智安、安博通、360数字安全、华云安零零信安、魔方安全青藤云安全、小佑科技、默安科技、瑞数信息全知科技、探真科技、安全狗图 23金融行业 中国数字安全产业年度报告 202335斗象科技 VMS 漏洞运营管理系统某商行联盟解决方案上海斗象信息科技有限公司【项目背景及需求】某商业银行合作联盟有限公司（以下简称“联盟”）基于业务的发展与安全建设需求，每年定期开展渗透测试、上线安全评估检测、攻防对抗演习等工作，因此其内部汇集了大量的安全漏洞数据，这些数据仅能通过人工统计、排重后在进行后续漏洞的重新汇总、分发、处置修复等工作。但随着业务系统投入数量的增长，沉淀的漏洞数量与日俱增，传统的表格及邮件管理的模式已无法满足漏洞生命周期管理的要求且零散、繁多的漏洞、报告等数据统计的不完整、处置流程偏向于原始的漏洞处理方式等因素，不仅导致内部漏洞处理效率低下，同时沉淀的大量漏洞数据潜藏价值效能无法发挥，也难以转化为联盟自身的安全能力。在此背景下，联盟急需能够提供标准科学化的漏洞运营管理平台，实现综合漏洞数据的全面管控，同时建立起联盟自有的漏洞库和知识库，不断沉淀并扩展其价值并为后续的漏洞治理运营工作奠定基础。【解决方案】图 24联盟漏洞管理平台流程示意为有效实现管理及沉淀漏洞资源，上海斗象信息科技有限公司（以下简称“斗象科技”）以自研漏洞运营管理系统为基础，通过其内部的流程化、体系化、36持续化的漏洞运营机制，结合系统内置的漏洞全生命周期管理办法，为联盟建立起完善且符合实际需求的漏洞运营管理平台及漏洞全链路治理解决方案。该平台由联盟技术管理部负责使用，VMS 漏洞管理运营系统平台使用主要作为部门内部的漏洞管理、漏洞修复、漏洞验证、漏洞归档等流程开展。租户分权分域，实现精准且安全的权限管理基于联盟内部的资产庞杂极难统筹管理问题、部门权责等情况，VMS 漏洞运营管理系统内置以角色为主的权限划分机制，为联盟专项设计了一套逻辑化的内部职能划分的体系架构，实现了资产、架构、角色、账户等维度的逻辑设置，帮助内部漏洞管理对接工作的高效串联。模型可扩展，实现漏洞管理流程的高度管控和灵活适配VMS 漏洞运营管理系统内置漏洞审核、修复、复审、关闭的标准化漏洞管理方法，实现了对漏洞的生命周期管理。以项目需求为出发点，斗象科技为联盟设计出漏洞提交、审核、确认、整改、复测等关键节点的漏洞管理流程，以及项目对接管理机制，同时基于使用和变更的考量，VMS 漏洞运营管理系统引入后台流程配置引擎模块，用户可通过流程模板画布配置及表单自定义功能，构建起独有的符合用户需求的漏洞管理办法，完美契合联盟未来的发展及变更需求。海量漏洞情报，助力漏洞运营的智能化决策VMS 漏洞运营管理系统对接 CVND、CNNVD 官方漏洞库、CERT 和社区类漏洞库，整合运营海量安全漏洞情报，基于不同的业务场景，赋予系统智能化分析和决策能力。以联盟自有漏洞数据其基础，VMS 漏洞运营管理系统自定义字典模块帮助联盟构建起专用漏洞库，为后续的漏洞数据利用价值最大化提供支持。此次项目，斗象科技 VMS 漏洞运营管理系统不仅帮助联盟构建起起科学完善的漏洞生命周期管理流程，摆脱了粗放式漏洞管理弊端，全面提升漏洞处置效率；同时帮助其打破内部数据孤岛，融合关键信息，实现漏洞运营一体化管理，协助其沉淀的漏洞数据内化，为联盟未来安全建设提供可靠参考和动力源泉。中国数字安全产业年度报告 202337【用户评价】通过引入斗象科技 VMS 漏洞运营管理系统，极大缩减了我们漏洞发现和修复的时间，降低漏洞资产被攻击概率，斗象科技提出的漏洞运营治理解决方案，不仅帮助我们建立更快速、更集中化地漏洞收集、流转、处置类平台，同时在长期的运营管理过程中，给予科学的治理优先级理念，指导未来联盟安全漏洞管理工作，大大提升了管理人员的运营效率。VMS 的漏洞知识库功能，也帮助我们构建起漏洞数据汇入，库内漏洞数据内化，高价值漏洞案例沉淀形成知识闭环，为未来的人才培养奠定了知识的基础。38某大型金融机构行业案例北京指掌易科技有限公司【客户需求】近年来，云计算、人工智能和 5G 等新技术广泛应用，给金融机构在数字化转型建设、运营效率等方面提供了基础条件。并随着智能终端设备的种类、功能不断丰富，某大型金融机构顺势实现了业务应用和办公应用的移动化，新增了混合办公、移动展业和移动营销等多个移动化场景。移动化不仅给员工带来了便捷性，流程处理、外出走访和移动办公等效率也有了极大地提升。但是在方便员工访问移动应用服务和数据资源的同时，对外开放的服务端口有增无减，存在来自互联网的恶意攻击活动。碎片化的移动设备接入和使用，仍然出现非法泄露、账号被盗用和冒用等安全问题。在个人自带终端上进行远程办公，工作数据无意识的留存、转发分享、恶意程序窃取导致泄露等情况经常发生。针对该金融机构的现状，打造一体化、多场景的移动化安全管理平台，适应于手机、PC 端和信创终端等多种设备环境使用，同时兼具较好的用户体验。【解决方案】某金融机构现有员工 5 万多人，不同类型的应用，根据系统属性、用户范围、数据敏感性等在多个网络中部署。该金融机构根据未来战略计划和科技发展规划，整体网络架构，结合移动安全场景的需求，采用以全局视角设计全场景、按需弹性扩展的指掌易移动化安全解决方案。整体解决方案采用了终端安全沙箱