安全服务烽烟骤起:烽烟尽处

　　尚处于起步阶段的安全服务市场，迫切需要缓解无序竞争带来的冲击，以及信息安全厂商转型中的诸多困惑。 　　“对于目前的安全服务市场来说，一起合作做大市场才是关键。刚刚起步就搞恶意竞争给我国安全服务市场带来的后果将是可怕的。”某安全服务厂商负责人赵先生说起去年在安全服务领域的一次经历，就有些气不打一处来。
　　早在2006年，赵先生就注意到，市场上安全产品销售的利润正在变薄，同时很多用户也越来越不能满足于那些只能被动防御的安全产品。为了进一步拓展业务，赵先生果断地决定公司业务往安全服务转型。“我当时觉得自己的服务物美价廉，肯定能一炮打响。”赵先生说。
　　不过，赵先生的如意算盘却在无序的安全服务市场里落了个空。在某个西北城市，正当赵先生与一家大型企业关系如漆似胶，准备签署安全服务合同的时候，一家安全厂商横插了进来，以低于赵先生一半的价格，抢走了赵先生眼看到手的单子。
　　“事实上，安全服务根本就不可能有那样的价位。这家厂商就是利用了西部用户对价格的接受程度较低的心理。”赵先生指出，安全服务牵扯到特征库升级，产品软件、硬件都要升级，如果一年之内没有得到更新，作用会降到50%以下，就像灭火器材一样，过期后就失效了。
　　“这些用很低价格抢单的厂商，根本不能提供什么安全服务。而这种做法，让用户预算花不完，但又没有有效的安全防护。一年以后，用户甚至都找不着厂商来提供服务了，只能重新评估，这样第二年的服务费用就等于重复建设，服务费用就更多了。”SurfControl技术顾问张勇也有类似的经历。
　　这种经历折射出了我国安全服务市场的现状：处于起步阶段，面临无序竞争。“现在国内的安全服务市场与2000年的防火墙市场有些相似，是一个百家争鸣的局面，今年应该是安全服务竞争相当激烈的一年，竞争会渐趋白热化。”太极计算机股份有限公司安全事业部总经理助理王皓认为，2007年将成为“安全服务年”，但信息安全厂商也将面临痛苦的转型。
　　
　　集体转型
　　
　　“目前许多国内用户在信息安全方面的建设，已经有了多年的历史，但随着安全威胁的快速发展和不断变化，用户所面临的安全情势依然严峻。而应对这些新的安全威胁，简单的技术产品部署已经难以奏效，因此对安全服务的需求变得十分强烈。”赛门铁克中国区技术支持部总监李刚的一席话，准确地道出了安全服务市场开始火爆的客观原因。
　　在李刚看来，在所有的IT基础架构元素当中，安全服务和安全技术、安全产品是密切的融合和依赖的关系，没有哪种技术能够“傻瓜”型地应对当前复杂严峻的安全环境，用户需要有科学的方法论来指导安全防护体系的规划、建设、管理和维护。
　　正是基于信息安全部署的转型需要，一些具备规模和实力的行业用户已经开始了对安全服务理念的接受和尝试。业内人士透露，从前两年开始，一些大型行业，比如电信等具有一定系统复杂性的行业已经开始逐渐接受安全服务，安全服务市场已经开始起步。
　　当然，信息安全厂商转战安全服务市场，更有安全服务可观的利润空间及安全产品市场利润率相对下滑的主观原因。“从分销商和系统集成商的角度来说，近年来信息安全产品的利润空间正在逐渐缩小。在前些年经营信息安全产品可能有超过十倍的利润，而目前在渠道竞争压力下，分销商和系统集成商除了在渠道资源上下功夫外，提供额外的服务也成了重要的赢利手段。比如，系统集成商提供的安全评估服务就成为亮点。”IDC中国跨产品研究部高级分析师董锐说。
　　从目前的市场来看，众多的信息安全厂商已经开始往安全服务转型。“我们的安全服务项目已经在一些政府机关和重要企业用户中实现，安全服务目前已经成为太极信息安全事业部的重点。”王皓告诉记者，太极信息安全事业部的业务主要包括安全集成、安全产品和安全服务三个方面。在以前，安全服务更多是围绕已有的集成项目去展开，而从去年开始，太极逐渐把安全服务作为一条重要的业务线，与集成、产品并列，并且业务还在逐渐安全服务倾斜。“目前我们的公司政策、销售队伍都在向安全服务倾斜。”王皓说。
　　与太极做法相似的还有瑞星。为了彻底改善服务现状，2007年新年伊始，瑞星开始筹划完善技术服务体系的建设，随即推出“瑞星安全服务月”活动，投资1500万元扩建呼叫中心。在为用户提供反病毒技术和产品的同时，向用户提供反病毒服务。此外，内容安全防御厂商SurfControl则以安全外包的形式提供反垃圾邮件等服务。“我们提供的一些远程保护就是以安全服务的形式来做的。”张勇告诉记者，以前发现病毒后要升级补丁、发程序，基本上要一两天，用户在这一过程中没有防护能力。而现在，用户的邮件会先发到SurfControl的设备，过滤后才会发给用户。
　　
　　烽烟四起
　　
　　无疑，竞争的加剧正促使大大小小的安全厂商各显神通，充分利用自身的优势谋求发展。不过，尽管安全服务市场尚属于起步阶段，各家信息安全厂商也各具特色、各有所长，但在这一市场的厮杀已经在所难免。
　　一直以来，规模较小的本土信息安全厂商会依靠人际关系，或者对某个行业的熟知和理解，聚焦式地发展自己的业务。而规模较大的信息安全厂商则依靠国家支持和自身实力，在政府部门等领域占有优势。此外，国内的信息安全厂商如启明星辰、安氏和中联绿盟等还具有不错的人力资源优势，普遍采用的是“人海战术”。人力优势产生的是经验上的积累，这使得国内的安全服务厂商在实战上就占据了一定优势。而国外的信息安全厂商在我国市场上则通过完善的方法论和品牌、资本支持，努力拓展市场。国外安全服务厂商通常与规模较大的公司展开信息安全方面的合作（比如思科与神州数码、佳杰科技的合作）。
　　信息安全服务行业的扩张，同样进一步加剧了信息安全厂商在安全服务交集地带的厮杀。王皓指出，尽管各个安全厂商的定位都会有所侧重，比如国内有实力的厂商会着重于政府机关、国企类大型企业，国外信息安全厂商由于信息安全政策上的限制，首先选择为在中国开展业务的外企服务。但是当这些市场领域逐渐饱和的时候，信息安全厂商都会逐渐进攻政策约束比较宽松的电信和金融行业，因此电信和金融行业将是今后竞争的重点。此外，随着安全服务业务的细化，一些国外安全厂商原本无法进入的领域也逐渐开放，这就更加剧了竞争。
　　不可避免的痛楚
　　用户需求的变化和利润的驱使，使得安全服务市场变得风生水起。不过，在激烈竞争的同时，信息安全厂商却不得不面临阵痛。
　　首先，相对昂贵的费用给安全服务的市场渠道扩展带来困难。“目前的安全服务还主要集中在重点行业和大型企业，安全厂商对于中小企业的业务还是以安全产品为主，安全服务的收费还是很难让中小企业接受的。如果说安全厂商向中小企业推广安全服务的话，那也基本是打着服务的旗号来推广产品，这实质是一个巧妙的营销策略。”王皓说。
　　服务市场的细化同样给期待从安全服务市场淘金的信息安全厂商浇了一盆凉水。董锐指出，安全服务市场近两年的变化是，在前两年安全服务市场是比较粗线条的，比如一个安全厂商拿到一个一千万的单子，其中包含了A、B、C、D等所有服务内容；而近两年来随着安全服务市场的细分，原来一千万的单子会细分成A、B、C、D等多个项目，由不同的安全厂商竞标承担，这样就引发了安全服务厂商之间的竞争，出现了安全服务厂商你争我夺的局面。
　　另外，伴随着安全服务快速发展和激烈竞争的是不容忽视的发展瓶颈。专业人士指出，经验不足、人才奇缺、用户思路传统等因素，都成为我国完善服务市场急需清除的“绊脚石”。
　　“我国安全服务厂商与欧美厂商从方法论角度积累上看，还是有差距的。”王皓指出，我国安全服务领域与国外相比，从国家层面上讲，尽管比欧美晚了一些，但是理论水平是接近的，从近期中美各自发布的一些报告和论文上来看，我国对信息安全的认识并不落后。但是具体到服务企业层面，毕竟国外厂商起步较早，管理得当，积累比我国安全厂商来的扎实，而我国很多企业早期都是作坊式的做法，靠的是少数高手的个人能力，企业并没能有所积累，实现后续队伍的跟进。
　　人才的普遍缺乏正在成为我国安全服务厂商共同的心病。董锐认为，安全服务与信息安全产品不同，安全产品的经验可传递，但是安全服务具有案例的特定性，突发事件多，几乎没有可复制性，这就使得安全服务的经验要求远远超过了安全产品，对人才提出了更高的要求。“由于安全服务人才的缺乏，从而提高了服务厂商的人力成本和安全服务的成本，降低了安全服务的利润。”
　　一些安全服务厂商最为苦恼的问题是来自于用户。李刚指出，目前国内安全服务最大的问题在于，在用户还没有安全体系时，安全服务往往被认为是安全产品的实施服务：安全技术的部署往往成为安全产品的安装；安全事件的响应往往成为相应安全产品的售后服务；而即使是安全体系建设，评估、规划又常常难以落地，和相应的安全技术的部署紧密结合；而安全管理流程的建立又往往缺乏相应技术的支撑和审核。“出现这些现象的根本原因，在于信息安全的重要性尽管已经被用户高度重视，但应对的思路还是‘项目式’，即通过一两个项目，一劳永逸地解决安全威胁的问题。而事实上，信息安全是必须伴随企业发展，外部和内部安全环境的变化，不断地被评估、规划、实施、响应，循环前进的。”李刚说。
　　“很多用户已经认识到安全服务是怎么回事，但是客观上讲，安全服务到底应该以哪种标准进行，具体怎么执行，用户还是搞不清楚，只能服务商说了算，这让用户很郁闷。他们只能从感性认识上判断安全威胁是不是少了。”王皓提出，用户对安全服务的认识上是前进了，但是相关辅助，比如政策、标准并没有完全跟上。缺乏一个法规或者国家政策的统一标准，这是用户和厂商都比较困扰的问题。“往往我们在项目验收的时候，只能找一些鉴定专家，将整个项目实施过程的文档拿出来进行核对。而当出了安全事故的时候，这算不算安全服务厂商的失误，都很难断定，只能摸着石头过河、一步一步来进行。”
　　多种问题的存在造成了我国的安全服务市场发展的瓶颈。“从比例上说，国内市场安全硬件产品、安全软件产品与安全服务的比例是5∶3∶2，而在国外安全市场，安全产品（硬件＋软件）与安全服务的比例为5∶5，国外对安全服务的接受程度比国内高。”董锐指出，安全产品作为一种标准化且适于大规模分销的产品，还是会在一段时间内占据我国安全市场的主导地位。
　　
　　市场规模亟待拓展
　　
　　“对于目前的安全服务市场来说，合作做大蛋糕才是首要的任务。”一位业内人士指出，在安全服务市场规模尚待扩大的当前，规范市场秩序、开拓用户市场才是关键所在。
　　“服务厂商需要关心服务的标准化和人才队伍素质的提升。”王皓告诉记者，太极信息安全事业部正在形成一个梯队化的安全服务队伍。具备高级资格、作为技术骨干的安全服务专家30多人，由这30多人作为梯队的核心，带着一批有基础的、有能力的服务工程师，同时太极每年都通过校园招聘的方式选择一些非常有潜力的应届毕业生进行培养，通过不同梯队的人员组合实现对各种用户的服务，这样形成的安全服务梯队也为日后安全服务队伍发展打下基础。
　　尽管目前服务市场竞争激烈，但是服务厂商还是希望竞争的存在，认为合理的竞争将会是针对我国安全服务市场良莠不齐局面的整顿和清洗。“从目前的安全服务领域来讲，竞争还是有点无序，所以细化服务项目招标的举措将有利于加速市场的有序化。”王皓认为，用户对服务商提出了更高的要求，会激励服务商去获取一些资格认证，进一步提高服务队伍素质，从而产生的优胜劣汰对安全服务市场的发展而言是利好的，有能力的服务厂商可以在招标中展现能力，没有能力的就被排除出去。
　　安全服务在渠道方面的深入，也需要安全服务厂商对新模式进行摸索。业内人士指出，大型行业对安全服务的接受速度尽管还是一个比较缓慢的过程，但仍比对安全产品的接受来得快，接受程度也比较高。而对于中小企业而言，“如果厂商能够提供一个廉价有效的安全服务模式，比如类似于联想阳光100服务这样的模式，中小企业肯定还是会接受安全服务。”王皓说。
　　“目前对安全服务的需求主要包括评估当前系统的安全薄弱点、制定相应的安全规划、对安全管理体系进行增强、建立并实现企业信息安全控管遵从、补充信息安全人力资源、紧急安全事件响应等。”李刚指出，用户信息安全已经开始由点状的防护，发展成为要求全面的防护，由被动的防范转向必须采取主动的法规遵从的建设，由强调产品技术的部署发展到重视建设有效的安全监控和响应体系。因此，做好安全服务市场不仅需要安全厂商的努力，更强调用户对安全服务的配合和理解。对服务的统筹规划和调整是服务厂商和用户保证业务连贯性的重要途径。李刚提出，安全服务厂商必须有能力引领技术，采取主动性的手段，提供这种持续的服务。而作为用户，信息安全服务项目也不能分割来规划和管理，必须高度重视不同的、分阶段的安全服务之间的衔接和整合。
　　安全服务市场的有序化进程，还取决于国家对安全服务标准的主导程度。业内人士指出，权责分明、标准细化、规范操作对于安全服务市场有序化起着不可忽视的作用。“国家有必要组织主要安全服务厂商参与到标准的制定中来，安全服务厂商也有必要根据自己的实践经验，提供必要的建议给国家参考。”王皓说。
　　“目前中国安全服务市场还处在一个企业接受的时期，在短期内不会有太大的波澜，目前的安全服务市场现状还会持续一段时间。”一位业内人士提出，尽管安全服务市场还存在着诸多不足，但是这是一个发展的必然，不可能一蹴而就，饭要一口一口吃，安全服务的发展，还需要厂商摸着石头过河，一步一步来进行。“按照一般发展规律，过了白热化竞争之后，该消失的厂商就会消失，最终会形成几个对市场产生重大影响力的巨人。”
　　
　　•采访手记•
　　他们在等待春天
　　一切似乎都显得平稳和风平浪静，不论是安全市场从产品向服务的过渡，还是安全厂商从产品向服务的转型。这似乎更像是一场暗战，而不是公开的竞争。
　　在采访中，记者尽管听到了一些痛陈恶意竞争的评论，但是更多的安全服务厂商负责人的语调更显得轻松、平和，没有太多的激愤和对竞争对手的攻击。在经历了安全产品市场的激斗之后，看惯了秋月春风的安全厂商对服务领域的拓展，更宁愿把现状看作一个流程中的一个工序，而即便是恶意竞争、人才不足这样的市场缺陷，也只能算是一个小插曲。
　　当然，他们也没有停下自己的脚步，尽管很多厂商已经站稳了脚跟。“太阳每天照样升起，我们相信太阳每天都是新的。”一位业内人士表示，安全服务市场的暗流涌动，以及悬在安全服务厂商头上的这把达摩克利斯剑的真实存在。安全服务厂商的居安思危，也许能够让我们看到，安全服务市场的春天即将到来。