数据安全产品与服务观察报告-81页-WN5.pdf

群内每日免费分享5份+最新资料 群内每日免费分享5份+最新资料 300T网盘资源+4040万份行业报告为您的创业、职场、商业、投资、亲子、网赚、艺术、健身、心理、个人成长 全面赋能！添加微信，备注“入群”立刻免费领取 立刻免费领取 200套知识地图+最新研报收钱文案、增长黑客、产品运营、品牌企划、营销战略、办公软件、会计财务、广告设计、摄影修图、视频剪辑、直播带货、电商运营、投资理财、汽车房产、餐饮烹饪、职场经验、演讲口才、风水命理、心理思维、恋爱情趣、美妆护肤、健身瘦身、格斗搏击、漫画手绘、声乐训练、自媒体打造、效率软件工具、游戏影音扫码先加好友，以备不时之需扫码先加好友，以备不时之需行业报告/思维导图/电子书/资讯情报行业报告/思维导图/电子书/资讯情报致终身学习者社群致终身学习者社群关注公众号获取更多资料关注公众号获取更多资料本报告版权属于数据安全推进计划，并受法律保护。转载、摘编或利用其它方式使用本报告文字或者观点的，应注明“来源：数据安全推进计划”。违反上述声明者，编者将追究其相关法律责任。版权声明数据安全产品与服务观察报告数据安全推进计划取得数据的途径为公开资料、厂商调研与行业访谈。本报告力求内容客观公正，但所载观点及其他数据信息仅供参考使用，对依据或使用本报告所造成的一切后果，本报告及作者不承担法律责任。免责声明数据安全产品与服务观察报告2023年，中共中央、国务院印发 数字中国建设整体布局规划（以下简称 规划）。规划 强调要推进数字技术与经济、政治、文化、社会、生态文明建设“五位一体”深度融合，强化数字技术创新体系和数字安全屏障“两大能力”，由此可见技术发展在数字产业规划与数字经济发展中的重要作用。数据安全作为发展数字经济的能力底座，其技术产品及服务能力备受关注：数据安全技术是数据安全厂商立足之本。数据安全技术以数据为核心，围绕数据在全生命周期中的安全需求，通过对数据的识别、标记、变形、计算等操作，保护数据的持续安全状态。数据安全厂商通过组合、应用一种或多种数据安全技术，形成丰富的数据安全产品及服务，实现数据识别、检测、防护、监测、隐私保护、追踪溯源等场景下的目标。随着各行业组织的数字化转型持续深入，数据安全事件频发，数据安全风险严重，业内多方亟需支持数据安全产品及服务厂商通过技术创新与应用，持续提升数据安全能力水平，发展壮大我国数据安全产业。产品与服务的持续创新是数据安全厂商发展之阶。近几年，我国数据安全产业发展迅速。为深化调研我国数据安全产品与服务市场现状，2022年，数据安全推进计划面向116家数据安全产品、服务供应商，开展两轮数据安全产品与服务调研，将数据安全产品与服务分为数据资产识别类产品、数据安全检查类产品、数据安全防护类产品、数据风险监测类产品、数据共享流通安全类产品、数据安全合规类服务、数据安全能力提升类服务等品类板块，合计调研488款产品及服务，并形成 数据安全产品与服务图谱2.0（以下简称“图谱”）。本报告基于图谱数据，对我国数据安全产品、服务、市场的现状进行介绍、分析，形成数据安全产品与服务的十大观察观点。前 言数据安全产品与服务观察报告中国信息通信研究院云计算与大数据研究所、杭州安恒信息技术股份有限公司、奇安信科技集团股份有限公司、联通数字科技有限公司、杭州美创科技股份有限公司、北京安华金和科技有限公司、全知科技（杭州）有限责任公司、杭州极盾数字科技有限公司、深圳昂楷科技有限公司、北京亿赛通科技发展有限责任公司、数安信（北京）科技有限公司、杭州薮猫科技有限公司、江苏保旺达软件技术有限公司、北京奇虎科技有限公司、中国电子科技网络信息安全有限公司、北京数字认证股份有限公司、神州融安数字科技（北京）有限公司、深圳市洞见智慧科技有限公司、天道金科股份有限公司、安徽辰图大数据科技有限公司、天翼安全科技有限公司、杭州雅拓信息技术有限公司、南京聚铭网络科技有限公司、厦门服云信息科技有限公司、杭州金智塔科技有限公司、杭州比智科技有限公司、北京炼石网络技术有限公司、北京数安行科技有限公司、苏州美天网络科技有限公司、深圳市华傲数据技术有限公司、新华三技术有限公司、中兴通讯股份有限公司、中电科拟态技术有限公司、深圳市联软科技股份有限公司、浙江泽大律师事务所、浙江寰福科技有限公司、上海观安信息技术股份有限公司、科大讯飞股份有限公司、深圳红途科技有限公司。龚诗然、李天阳、张越、林鹭、程文博、楚赟、赵宁、崔玲龙、王英杰、薛恺、李阳、谭峻楠、周顿科、查浩奇、李方方、赵汝东、乐凯明、黄哲慧、李楷、张艺伟、梁晓云、胡国华、张红露、孟晨、傅娅兰、刘险峰、钱戈、卢伟、唐会芳、薛锋、王晗、王翀、李登峰、宁立君、王皓、李博、李绍宾、韩晓宇、王同新、关中华、项宇欣、张鑫、陈韬、陈虎、余志军、杨智垄、陈超超、梁腾文、何夕、曾博、薛诗静、赵倩、刘玉红、曹峰、何旭珩、王曦光、王文娟、侯大鹏、耿蕴秋、杨学治、高云翔、孙权、甘铜、谢江、包宏宇、倪修峰、杨培、王慧敏、黄俊辉、陈冰洵。特别鸣谢机构特别鸣谢专家数据安全产品与服务观察报告一.数据安全产品与服务发展概述(一)数据安全产品(二)数据安全服务 二.数据安全产品与服务观察(一)智能化浪潮来临：数据安全产品技术升级(二)新技术：深刻影响数据安全产品发展(三)第三方评测：“以评促建”创造厂商新优势(四)安全检查工具：供给难以满足市场需求(五)数据防泄露：安全防护领域的重点产品(六)数据安全网关：产品形态缺乏统一共识(七)数据风险监测：站在“一体化”的“分岔路口”(八)运营管理平台：“平台化”趋势下的热门产品(九)安全合规服务：咨询与评估成为业内焦点(十)分类分级服务：逐渐演变为独立服务品类 附录(一)综合型厂商(二)专业型厂商(三)新兴型厂商 目 录1159910141517192223252730314660数据安全产品与服务观察报告图目录图1 图谱：数据安全产品与服务图谱框架图2 数据安全产品分布图3 图谱：数据安全防护类产品图4 图谱：数据安全服务图5 数据安全服务分布图6 数据安全厂商分布图7 图谱：隐私计算产品图8 厂商第三方评测与平均单年营收统计图9 图谱：数据安全检查类工具图10 图谱：数据安全网关产品图11 图谱：数据安全运营管理平台产品图12 图谱：数据分类分级服务图13 奇安信数据安全产品布局图14 奇安信数据安全服务框架图15 奇安信数据安全服务流程图16 奇安信数据分类分级服务流程图17 亿赛通数据安全产品布局图18 亿赛通数据安全服务案例图19 保旺达数据安全产品布局图20-1保旺达数据安全产品架构（数据资产梳理系统）图20-2保旺达数据安全产品架构（接口安全管控系统）图20-3保旺达数据安全产品架构（文档安全流转中心）图21 保旺达数据安全服务案例2236681115162123283233333537394041424345数据安全产品与服务观察报告图22 安恒信息数据安全产品布局图23 安恒信息数据安全服务框架图24 安恒信息数据安全细项服务简介图25 美创科技数据安全产品能力全景图图26 美创科技数据安全咨询服务体系图27 美创科技数据安全运维服务体系图28 美创科技数据安全运营服务体系图29 炼石网络数据安全产品矩阵简介图30 炼石网络数据安全服务框架图32 数安信数据合规管理能力体系图33 数安信数据安全合规服务框架图34 数安信数据安全服务案例图35 融安数科隐私计算引擎产品架构 图36 融安数科隐私计算解决方案架构图图37 洞见科技InsightOne平台相关场景解决方案图38 洞见科技精准投放场景解决方案图39 洞见科技数据要素安全交易场景解决方案图40 金智塔科技“智隐隐私计算平台”架构图图41 金智塔科技“智通数据要素流通平台”架构图图42 金智塔科技统计数据合规应用场景解决方案图43 金智塔科技小微企业授信融资场景解决方案图44 金智塔科技政务数据融合场景解决方案47484850525353555658595961626465666869707071数据安全产品与服务观察报告图目录以数据为中心的安全防御体系逐步建立。根据图谱，数据安全产品的应用贯穿数据的全生命周期：无论是数据采集阶段的识别、标记、分类分级，还是存储、使用阶段的加密、脱敏、审计，以及共享流通阶段的隐私计算、数据水印等产品工具，均为保障数据的保密性、完整性、可用性，以及数据处理活动的合规性、可控性提供了技术支撑。组织的数据安全建设理念转变带来产品、服务的变化创新。相较于传统网络安全基于系统的安全防护，数据安全从业务需求出发，强调覆盖数据全生命周期的技术、产品与能力布局，重点关注何种数据、分布何处、如何流转、谁在使用、如何防护等关键问题。本报告根据数据安全产品的安全能力、面向的数据形态等多个维度，将数据安全产品分为数据资产识别、数据安全检查、数据安全防护、数据风险监测、数据共享流通安全等领域，形成兼顾安全与合规、覆盖“识别-检测-防护监测”的产品布局。而数据安全服务则根据服务需求方的目标与期望，分为合规类服务与能力提升类服务。一.数据安全产品与服务发展概述(一)数据安全产品1数据安全产品与服务观察报告数据安全产品广泛应用于在数据资产识别、数据安全检查、数据安全防护、数据风险监测、数据共享流通安全，整体上呈现出多层面、全方位的数据安全理念。然而，从产品数量的分布上看，数据安全防护类产品数量占数据安全产品总数的43%，呈现出目前以“防”为主的安全理念。图1 图谱：数据安全产品与服务图谱框架图2 数据安全产品分布43.0%6.2%11.3%10.3%11.1%18.0%数据安全防护43.0%数据风险监测18.0%数据资产识别11.3%数据共享安全流通11.1%数据安全检查6.2%其他10.3%数据安全产品与服务观察报告2数据安全产品与服务图谱框架数据安全产品数据安全服务能力提升类服务.密码服务平台身份安全数据容灾备份与恢复数据脱敏数据水印溯源.数据安全合规评估数据安全合规评估.区块链.数据分类分级数据资产识别数据安全合规检查数据安全风险检测个人信息使用合规.数据加密数据库防火墙数据安全网关数据防泄露数据脱敏数据水印溯源数据容灾备份与恢复身份安全密码服务平台.数据库审计数据流转监测API监测.隐私计算数据沙箱合规类服务数据共享流通安全数据风险监测数据安全防护数据安全检查数据资产识别图3 图谱：数据安全防护类产品数据资产识别类产品包括数据资产识别、数据分类分级等产品，主要应用于组织发现、识别、管理数据资产，覆盖了结构化数据与非结构化数据。数据资产识别产品主要通过自动化识别技术（例如：文本识别、图片识别、关键字匹配、正则表达式匹配等），基于识别规则对组织的数据源进行全面扫描、筛选、梳理、分析，帮助组织识别、发现数据资产类型和量级，全面盘点组织内部的数据资产。数据分类分级产品则在此基础上，通过数据自动发现技术，基于产品内置的规则对组织的数据进行识别、分类、分级，形成可视化、可输出的分类分级成果，从而实现差异化、精细化的安全保护与管理。1.数据资产识别数据安全产品与服务观察报告3数据风险监测类产品主要包括数据库访问监测、API安全监测、应用访问监测等产品，主要提供聚合态势呈现、风险预警、安全运营、威胁分析、事件溯源等风险监测能力，实现对组织数据处理活动的风险实时动态监测。此外，随着各行业数字化转型进程加快，单点工具的简单堆砌已无法满足组织面临的复杂数据安全风险，亟需引入一体化的监测类产品，形成“以点4.数据风险监测4数据安全产品与服务观察报告数据安全防护类产品涵盖了数据保护类、访问控制类、追踪溯源类的诸多产品。数据安全防护类产品以数据为核心，围绕全生命周期进行防护，依托加密、脱敏、身份认证、访问控制、监控审计等技术，贯穿数据、终端、应用、系统、网络、物理等层面的安全技术及工具部署，实现多方式、多层次的产品技术互补，提升终端数据安全、网络数据安全、平台数据安全和应用数据安全的防护能力，实现安全可信、安全可管、安全可控。数据安全检查类产品主要包括数据安全合规检查工具与数据风险检测工具。数据安全合规检查工具基于数据安全相关法律法规要求，对数据脱敏、违规采集、数据销毁等安全控制措施的有效性进行检测，判断数据安全现状与测评指标的符合程度。数据风险检测工具则主要通过流量分析等方式，盘点敏感数据暴露面与流动情况，开展漏洞及配置检测，识别包括账号、权限、暴露面、行为在内的诸多数据安全风险要素。3.数据安全防护2.数据安全检查数据安全服务种类增加，服务内容持续完善。相对于传统网络安全服务往往仅作网络安全技术产品的“附属品”，由于数据作为新型生产要素与业务耦合度深、流转范围广的特点，数据安全服务种类更加多样，也更重视服务内容多样性与服务的品质。数据安全服务指数据安全服务的提供方使用其自身资源来支持数据安全服务需求方对数据安全管理的服务提供。数据安全服务可以分为合规类服务与能力提升类服务，合规类服务包括合规评估、合规咨询，能力提升类服务则包括管理体系建设、数据分类分级以及数据安全运维、人员培训、应急演练、数据安全保险等。随着数据要素市场化步伐加快,数据共享流通安全类产品基于隐私计算、区块链等新兴技术，与其他数据安全技术进行协同与融合,助推数据要素安全流通,推动数据要素合理化配置,进一步释放数据价值。在满足数据隐私保护与数据流通融合需求的整体目标下，数据共享流通安全类产品将难以共享的数据通过隐私计算等技术应用，促进数据要素跨域流通和应用的安全合规。向面”的产品布局与能力支撑，通过规范化、集中化的数据安全管控策略管理，提供组织数据安全运营、运维、风险监测、事件管理管理等功能。5.数据共享流通安全(二)数据安全服务5数据安全产品与服务观察报告6图5 数据安全服务分布图4 图谱：数据安全服务20.0%18.0%15.0%15.0%9.0%.%9.0%合规咨询20.0%合规评估18.0%数据分类分级15.0%管理体系建设15.0%数据安全人员培训9.0%应急响应与演练8.0%数据安全运维5.0%数据安全保险1.0%其他9.0%8.0%5.0%数据安全产品与服务观察报告此外，在本次对于数据安全产品与服务的调研中，发现目前数据安全产品与服务机构的分布仍呈现碎片化的特点，在地域、行业等维度的集中度不高。根据对厂商的采访调研，参考参与图谱调研的116家机构近三年内的经营信息、营收表现、数据安全产品及服务数量、行业用户客户案例、第三方评测等方面信息，将数据安全厂商分为综合型（32.8%）、专业型（37.9%）、新兴型（16.4%）。综合型厂商（32.8%）通常是早期（2019年以前）依托业务沉淀大量安全技术及应用经验的ICT、大型互联网公司或头部网络安全厂商。其中，个别厂商机构单年业务营收已达到十亿级。近几年，这类机构的业务重心逐渐移向数据安全领域，但相对于其整体营收，数据安全业务的营收、投入在整体业务规模中占比较小。综合型机构的数据安全产品相对全面，基本全面覆盖了数据识别、检测、防护、监测等方向，且通常在单个方向具备多款产品，整体产品布局呈现出“遍地开花，综合发展”的态势。从产品数量上看，大部分综合型机构的产品布局侧重于数据安全防护方向，体现了以“防”为主的安全理念。综合型机构基于前期在网络边界安全领域的实战沉淀与项目经验，在行业头部客户或大型安全项目的竞争中具备较强的优势，现已具备成熟的解决方案与服务能力。专业型厂商（37.9%）主要是早期（2019年以前）依托数据库、数据库安全业务发展的头部厂商，部分厂商机构已入选“专精特新”组织。厂商机构在数据库安全领域具备丰富的积累与沉淀，数据安全业务已成为厂商机构的主营业务，大部分厂商的拳头产品包括数据库安全审计、数据防泄露、数据库加密等安全监测、防护类产品，目前随着数据的高频使用与流转，厂商7数据安全产品与服务观察报告机构的产品重心也从数据库走向基于数据的全生命周期安全，并已在业内推出高知名度的数据安全建设经验或理念，并据此形成一系列的解决方案。新兴型厂商（16.4%）主要是近年基于特定的新兴技术（例如：隐私计算、人工智能等）发展数据流通安全相关业务的初创厂商。随着国家法规政策提出“建立健全数据流通管理体制机制”，助力数据价值的安全释放。在政策与需求的双重推动下，大型互联网公司、厂商机构等均逐步开展隐私计算、智能数据运营等领域相关产品、技术布局，市场格局逐渐稳定。从产品数量上来看，厂商机构专精于某一至两个方向，主攻隐私计算、多方计算等方向，赛道内的头部厂商已占领大部分市场份额，持续打造细分赛道的纵深竞争力，目前备受投融资市场青睐。相关产品也从落地初期验证阶段进入加速落地阶段，但部分产品的同质化趋势明显。图6 数据安全厂商分布454035302520151050其他综合型专业型新兴型8数据安全产品与服务观察报告人工智能赋能数据安全。2023年，微软提出“AI安全副驾驶”，认为人工智能能够利用安全模型收集有关潜在威胁，追踪网络攻击风险。人工智能通过获取、收集和分析更多用户和组织数据，提升和优化语义分析、内容理解等方面技术能力，能够对收集的海量数据进行快速分析和分类管理，实现数据安全产品在效率、精细度上的显著提升，并一定程度上降低检索与筛选的时间成本，极大地释放人力。人工智能技术的应用反映了从静到动的安全防护策略转变。数据安全风险与组织业务发展休戚相关，组织业务的持续运营离不开对数据安全风险的实时管控，因此静态的风险管理规则已不适应难以满足当前对于数据安全风险的动态防护需求。人工智能技术通过实时学习能力，驱动数据安全治理向智能化、高效化、精准化方向演进。提升数据分类分级产品技术的准确性及工作效能。组织多源异构的海量数据嵌套于复杂的业务场景中，为数据分类分级带来巨大挑战，亟需依托自动化的产品工具保障分类分级工作的高效、准确。这也直接推动了数据分类分级产品的技术创新：图谱数据显示，35.3%厂商向组织提供自动本报告基于图谱调研信息与业内专家访谈、研讨结论，从不同的数据安全产品与服务入手，分析产品发现现状与技术发展理解，阐述典型产品的发展问题、技术优劣势与未来趋势，形成以下十项观察，为组织的数据安全体系建设提供产品与技术参考。二.数据安全产品与服务观察(一)智能化浪潮来临：数据安全产品技术升级9数据安全产品与服务观察报告化、智能化的数据分类分级工具，部分厂商将数据分类分级产品与机器学习算法规则相结合，利用人工智能技术对复杂的上下文进行分析，生成敏感数据分布，便于用户掌握敏感数据类别以及使用情况等信息，并通过机器学习、自然语言处理、图像识别等技术对数据资产进行梳理，形成标注样本，并通过持续训练提升数据分类分级效率。数据安全产品与服务观察报告提升数据安全风险监测技术的自动化响应能力。人工智能的自动学习能力能够从海量数据及行为中识别恶意程序以及其他欺诈行为，实现对数据安全的智能化监测防护，对引起数据态势发生变化的安全要素进行“获取、理解、显示”，其自主决策能力能够通过发掘数据处理日志，检测攻击者的行为特征并加以拦截，结合威胁情报以及预判的未来趋势，实现对数据风险事件的自动化响应，避免组织服务和数据被破坏。在人工智能引起新一轮技术变革的同时，我们也应正视人工智能技术应用带来的全新的数据安全威胁。2022年ChatGPT横空出世，其依托强大的基础模型、高质量的样本数据、基于人类反馈的强化学习这三项关键能力，极大地降低了攻击行为的技术门槛这对数据安全产品乃至全行业带来极大的影响和冲击，可以预见未来在模型的建立、训练过程中，以数据污染、数据泄露、数据滥用为代表的数据安全威胁将导致安全攻防态势愈发激烈，这也对数据安全厂商及产品带来更大的挑战与考验。隐私计算为数据安全合规流通提供技术支撑。如今隐私泄露已成为不容小觑的数据安全威胁。隐私计算技术能够在不泄露原始数据的情况下，(二)新技术：深刻影响数据安全产品发展1.隐私计算10安全地加密、处理、计算数据，能够有效应对数据在流通应用过程中面临的泄露风险，进一步挖掘数据价值。隐私计算技术产品落地应用逐渐广泛。2023年1月发布的 工业和信息化部等十六部门关于促进数据安全产业发展的指导意见 中提出，加强隐私计算技术攻关和产品研发，在政策红利和安全需求的双重驱动下，隐私计算技术与产品已从落地初期验证阶段进入加速落地阶段，现已广泛应用于政务、金融、通信、医疗、互联网等行业，在公共数据开放、智能营销、联合风控等行业典型场景下持续落地。目前多地政府、中大型银行、运营商、医疗机构等均着力建设隐私计算平台。数据安全产品与服务观察报告图7 图谱：隐私计算产品尽管隐私计算产品一定程度上解决了数据使用过程中的安全问题，实现了“数据可用不可见”，但隐私计算产品在规模化应用过程中面临三大挑战：一是安全与性能平衡有待探讨。隐私计算依托复杂算法保障安全，然而算法的复杂度将直接影响计算效率，安全与性能之间的平衡是隐私计算产品应用面临的一大挑战。二是通用解决方案难以应对复杂场景。受多参与方、高时效性要求、复杂应用模式等客观条件影响，且不同的数据使用共享场景差异大，通用的隐私计算产品难以直接适配场景需求，应用门槛与成本较高。三是互联互通面临阻碍。市面上的隐私计算产品在框架、协议以及11底层技术方面存在差异，产品存在互联互通障碍，用户应用过程中也易出现重复投资风险、系统资源冗余消耗和产品选型受限等问题，亟需基于统一的标准强化产品的互联互通能力。然而，以上问题无法单纯依靠厂商技术迭代解决，未来亟需产业多方合力攻克，实现隐私计算产品在效率、成本、互联互通方面的持续改进。一是多技术路线融合。通过隐私计算自身多技术路线融合，以及与人工智能、区块链、Web3.0等新兴技术融合应用，打破技术瓶颈，持续实现计算效率与安全性、互联互通性等方面的平衡。二是持续控制产品运营成本。隐私计算产品应用提供更“普惠”的产品应用门槛与安全能力，通过高度集成化、计算模型标准化、可视化等方式持续控制产品运营成本，提升用户使用体验、产品便利性。三是互联互通进程将显著加快。目前中国信息通信研究院联合多家主流隐私计算厂商建立“隐私计算联盟互联互通推进计划”，逐步探索异构隐私计算平台间的互联互通，厂商之间已从散点联合、验证探索的阶段逐渐迈进“织点成网”、协同推进的新阶段。这也意味着未来业内将出现更多的完整、成熟的互联互通落地方案，持续构建多行业、多领域的可信数据流通生态。数据安全产品与服务观察报告量子计算技术的出现将对当前广泛使用的基于公钥密码体系的加密算法构成安全威胁：量子计算机具备在短时间内破解大规模的基于公钥密码的加密算法的能力。这意味着依托于传统加密方法的数据安全产品需要更强大的加密机制保障敏感数据的机密性，以应对日益严峻的攻击勒索态势。量子加密技术为此提供了可能。量子加密技术基于量子力学原理，利2.量子计算12用量子态的性质进行加密和解密。量子加密技术的实现需要量子密钥分发（QKD）协议，该协议利用量子比特之间的相互作用来分发密钥。由于量子态的测量会改变它的状态，所以任何第三方的窃听或干扰都会被检测到。这意味着量子加密能够为数据安全产品提供更高强度的加密处理能力，并持续提供高性能的并发处理支撑，大幅提高密码分析、模式识别和人工智能等方面的计算能力，即使是量子计算机也无法破解。随着量子计算的发展以及商用化，未来量子加密技术或将成为数据安全产品中的必要组成部分。然而，量子计算机的构建、操作需要可靠的量子通信基础设施（包括光纤、量子中继器、量子存储器等硬件支撑以及针对量子计算的专用算法等），且技术应用成本高，目前在实际应用过程中仍面临落地挑战。此外，为确保其在不同系统、应用之间的兼容性与互操作性，量子加密技术应用也亟需业内加速制定相关标准，以满足不同行业、领域、场景的需求，实现更可靠、高效的量子技术应用。数据安全产品与服务观察报告区块链成为可信数据基础设施的关键一环。随着“数据要素化”趋势渐显，各类组织对自身数据的流通提出了更高的安全要求。区块链通过形成安全、连续、不可篡改的链式数据结构，使其在数据权属主体确认、数据流通追踪溯源、多主体数据共享管理等方面发挥重要作用。依托这种新型的信任服务基础设施，区块链在数据防篡改、可溯源取证等相关场景（例如：主体确认、追踪溯源、数据安全事件审计与追责等）能够为数据权属的主体确认、数据流通的追踪溯源、数据变化的血缘关系等提供可信、安全的基础，以更加安全、自动化、机器化的形式为多方提供信任，一定程度上解决了数据在交换的过程中面临的所有权界定问题。3.区块链13尽管区块链相关底层技术、插件发展逐渐成熟，目前技术应用与落地加速，市场需求持续攀升，但区块链自身存在的安全问题也逐渐显现（例如：合约代码漏洞等），面临效率与技术的双重挑战。此外，相较于传统的信用模式（例如：人治信用、权威信用、第三方公证等），由于区块链采用的是基于数学模型与密码学算法的机器信任模式，在实际应用落地阶段，区块链节点无法避免实体干预（个人、机构、组织等）。这也意味着如何最小程度避免人为因素扰动，保障数据在上链前与链下存储的安全可信，将是区块链与数据安全融合时亟需考虑的重要问题之一。数据安全产品与服务观察报告“第三方评测”通常指专业机构通过评估、技术评测某一产品或横向对比同类产品的质量、功能、性能等方面情况，从而为用户提供专业、独立、客观的参考信息。第三方评测机构作为参与社会治理与市场监督的重要力量之一，在打破信息壁垒，助力供需适配的同时，也显著地影响用户的决策行为。第三方评测助力厂商创造新优势。目前数据安全厂商积极参与数据安全产品评测：第三方评测在帮助厂商发现产品问题的同时，也为厂商提供向广大用户充分展示产品的优势与特色的途径。图谱数据显示，25.8%的厂商的厂商主动参与过数据安全产品与服务相关的评测，其中16.4%的厂商在近三年内实现过单年营收破亿。参与过评测的产品在招标项目中通常具备一定的优势，在厂商整体营收上普遍表现相对亮眼，且行业应用案例较多，逐渐演变为厂商的主打产品。(三)第三方评测：“以评促建”创造厂商新优势14图8 厂商第三方评测与平均单年营收统计参与评测，平均单年营收5000万以下参与评测，平均单年营收5000万-1亿参与评测，平均单年营收1亿以下未参与评测74.1%6.0%3.4%16.4%数据安全产品与服务观察报告第三方评测拉通对齐供需双侧认知。第三方评测能够一定程度上为需求侧组织解决对产品、服务以及厂商等服务机构本身的疑惑与担忧，推动服务机构持续完善产品、服务质量，从而助力培育良好的行业生态。未来，第三方评测机构在完善自身资质、保持独立性的同时，亟需面向数据安全产品、服务甚至厂商等服务机构建立评估评测体系，与参评厂商充分互动、发现问题并合力探讨解决良方，推动数据安全产品、技术、服务的高质量发展。此外，第三方评测机构还可通过信息公开平台、新闻等方式向业内用户公开评测成果，保障评测结果的充分应用，持续发挥第三方评测的价值。监管部门对数据安全的检查要求日益严格。在欧盟一般数据保护条例（GDPR）、美国加州消费者隐私法案（CCPA）为代表的个人数据保护法规的推动下，国外市场已逐步孵化了提供数据安全合规检测产品工具或技术服务的相关厂商（例如：Onetrust、Bigid等）。国内多部门、多角度、高密度的监管要求也使数据安全检查工具得到越来越多的行业用户关注，各行业主管(四)安全检查工具：供给难以满足市场需求15部门及监管部门正式承担数据安全管理、监管职责，组织作为数据处理者亟需开展数据安全评估检测工作，落实数据安全保护义务，数据安全检查工具的需求应运而生。数据安全检查工具基于不同的检查目标与输入，数据安全检查工具主要分为合规检查与风险检测两类，这类产品主要通过提供预置、统一的检查标准，建立自动化的检测能力，提高监管机构或组织内部执行数据安全检查活动的效率。其中，合规检查工具主要应用于面向组织数据处理活动合规情况的检测，具体包括针对敏感数据的安全保障能力、数据处理主体的身份验证、访问控制以及数据处理活动的合规性；数据风险检测工具则主要应用于针对组织数据及数据载体的潜在威胁、脆弱性等风险要素的检测。数据安全检查工具依赖明确的检查输入。受限于国内外监管合规体系庞杂、业内缺少可被工具直接识别、转化的数据安全检查标准，目前仅18.1%的厂商向组织提供数据安全检测工具，数据安全合规检查类工具仅在数据出境评估、APP隐私安全检测、个人信息合规使用等检查输入相对明确的场景下发挥有限的价值，数据安全风险检测类工具则主要在独立技术验证、上线安全检测等基于特定技术标准要求的场景下得以应用。数据安全产品与服务观察报告图9 图谱：数据安全检查类工具16数据安全产品与服务观察报告数据安全检查工具在检查维度、精度上同样面临技术挑战。一是合规输入兼容挑战。各国、各行业的数据安全、个人信息保护要求不一致将严重影响工具输出结果的准确性、全面性，直接为数据安全合规检查带来阻碍。二是大规模数据分析能力挑战。数据安全风险检测贯穿数据及其他风险要素的识别、检测以及风险响应，这意味着检测工具需要快速分析、处理多类型、大规模的数据（包括网络流量、系统日志等），因此亟需引入人工智能技术，根据数据的上下文场景对其面临的安全风险进行识别与判断，提高检测的准确率与效率，提升工具对风险的检出能力、全面性。未来，数据安全合规检查工具将基于更加明确的监管要求及通用的权威标准、技术规范持续完善、发展。数据安全风险检测工具则将持续向“实战化”方向发展，依托人工智能技术，全面识别技术、管理缺陷，持续提高风险检测与分析的精度。IBM 2022年数据泄露成本报告 显示，2022年全球数据泄露平均成本高达435万美元，创下该年度报告17年以来的最高纪录，数据防泄露的重要性日益凸显。随着国际、国内监管要求趋严，数据防泄露产品市场需求持续走强：数据安全推进计划发布的 2022数据安全行业调研报告 数据显示，68.4%的组织部署了数据防泄露产品，数据防泄露产品已成为组织数据安全防护的重点产品。相较于传统的安全工具通过限制数据访问或全网数据加密等方式防范数据泄露风险，数据防泄露产品依托产品的深度内容识别技术，结合加密、访问控制、审计等技术，兼顾数据的流动与安全，满足了组织多场景、精(五)数据防泄露：安全防护领域的重点产品17细化、协同化的数据安全防护需求。此外，随着人工智能与机器学习的不断发展，数据防泄露产品在自动分类、标记敏感数据的同时，还将通过人工智能的多维风险建模匹配，实现对内部用户的行为和意图进行智能监控与预测，持续提升数据泄露监测与控制的速度、精度。数据防泄露产品市场竞争激烈。数据防泄露产品市场需求旺盛，大量厂商均在数据防泄露产品及解决方案上积极布局：图谱数据显示，在数据安全防护产品领域，46.4%的厂商向组织提供数据防泄露产品及解决方案。数据防泄露产品数量超过30款，占数据安全防护类产品的22.5%。各家产品的核心技术与功能点基本一致，产品类型包括终端数据防泄露、网络数据防泄露、存储数据防泄露、应用程序数据防泄露等，广泛应用于金融、电信运营商、政务、医疗、工业等大多数行业领域组织。各类数据防泄露产品的主要应用能力如下：（1）终端数据防泄露：关注终端层面的敏感数据发现与泄露防护。产品通过终端设备或服务端集中管控、虚拟化等部署方式，应用文件加解密、访问控制、脱敏、水印等关键技术，防范终端数据外发场景下的数据泄露风险；（2）网络数据防泄露：关注网络传输过程中的敏感数据泄露防护。产品通过网络代理、网络出口旁路部署等方式，应用网络流量检测、防火墙、防入侵检测、防病毒、传输加密等关键技术，实现网络入侵、数据异常传输等场景下的数据泄露防护、审计；（3）存储数据防泄露：关注存储数据的泄露防护。产品同样通过网络代理、网络出口旁路部署等方式，主要面向数据库、文件，通过应用加密、访问控制、脱敏、水印、审计等关键技术，解决数据库、文件数据及其备份数据面临的异常访问、使用等安全问题；数据安全产品与服务观察报告18数据安全产品与服务观察报告（4）应用数据防泄露：关注应用访问过程中的敏感数据泄露防护。产品通过网络代理、网络旁路部署、虚拟化部署等方式，基于大数据、深度识别技术，运用用户实体与行为分析（UEBA）、脱敏、水印等技术，重点防范应用访问过程中的数据泄露、篡改风险。数据防泄露产品能力持续升级。随着组织数据的指数型增长及使用场景持续扩展、丰富，数据泄露的威胁变得复杂化和多样化，各行业、组织的的数据安全防护需求不同，数据防泄露产品在保障稳定高效的性能的基础上，持续适应复杂的业务场景，从单纯的工具演进成为综合的数据安全防护解决方案，向用户提供高兼容性、低使用成本的一体化解决方案这也将成为数据防泄露产品的发展趋势之一：解决方案化。数据防泄露产品将发展为以数据资产为核心、异常行为检测为驱动、全网监控审计为保障的组织级解决方案。这些解决方案将贯穿组织数据的全生命周期，覆盖网络、邮件、数据库、移动应用、端点和内部业务应用的全IT架构，为用户提供更高的敏感数据资产可见性、更场景化的安全策略、更灵活的安全控制能力。同时，如何充分满足多种环境下的泄露防护协同需求是数据防泄露产品面临的一大挑战：组织的数据使用场景日益复杂，涉及到包括端、网络、数据库、数据中台等在内的多种环境，数据防泄露产品呈现多种形态，在满足用户不同的需求的同时，保障数据防泄露产品在多种环境下的协同联动。传统安全设备难以应对数据访问、数据共享、数据运维等活动带来的安全挑战，用户迫切需要新产品实现细粒度的数据访问控制、数据审计，数据安全网关产品由此应运而生。数据安全网关通过建立统一的数据访问、(六)数据安全网关：产品形态缺乏统一共识19分发的出入口，访问多类型的数据源并发现敏感数据，对访问数据的用户身份、位置、行为等信息进行分析、处理，从而实现应用及数据的可信安全访问的“咽喉”作用。数据安全网关与数据防泄露产品极易混淆。数据安全网关与数据防泄露两类产品由于防护对象均为组织的敏感数据，均将访问控制作为防护手段之一，故两类产品在应用过程中极易混淆。相较于数据防泄露产品，数据安全网关更接近“海关”：它能够查验、过滤“异常用户”与“用户异常（行为）”，识别、判断用户所携带的数据敏感程度、量级。这意味着数据安全网关产品应通过预设的访问控制策略防御面向数据的攻击操作或误操作行为，防范由此引发的数据破坏、数据泄露风险。数据安全网关产品涵盖了面向数据提供细粒度访问控制及安全防护功能的一揽子产品。图谱数据显示，数据安全网关产品数量占安全防护类产品总数的13.2%。基于不同类型的访问协议、部署环境以及数据对象，数据安全网关可以包括内网接入网关、流量加密网关、数据库安全网关、应用数据安全网关等具体产品。这也正是数据安全网关产品间缺乏共识的首要原因：部署在何种层级（产品层、中间件层、网络层还是物理层）将直接影响数据安全网关所呈现出的产品形态。此外，造成数据安全网关产品形态缺乏共识的原因之二是由于各厂商的数据安全网关产品衔接了不同的安全策略（例如：水印、脱敏、加密、阻断、合规审批等），在具备了更差异化、多样化的安全能力的同时，其功能界限也逐渐模糊。数据安全产品与服务观察报告20图10 图谱：数据安全网关产品数据安全产品与服务观察报告尽管在访问协议、部署位置、数据对象上存在差异，不同类型的数据安全网关产品仍应具备敏感资产（数据、业务）识别、身份鉴别与访问控制、异常行为识别与分析的核心能力。以数据库安全网关为例，数据库安全网关应具备数据库访问协议的识别与解析能力，能够实现访问控制的粒度达到主体为用户级或进程级，客体为文件、数据库表级，且具备对面向数据库的恶意攻击行为进行识别与处置的能力。应用数据安全网关则通过解析http协议，应用敏感信息识别技术，记录应用及API接口的敏感数据流转日志，能够通过反向代理技术获取应用的流量或者特定行为、数据信息，应具备透明代理、流量管理、负载均衡、安全防护等方面的能力。未来，数据安全网关产品将持续扩大数据对象范围（例如：支持更多的国际主流数据库、国产数据库与大数据组件），且由于协议、部署位置的差异性，数据安全网关产品还需要完善其兼容能力，通过提供“可插拔”的架构，实现业务、数据以及安全能力的快速接入，并持续控制性能损耗，避免对业务造成的访问性能下降、链路节点增加等风险。21数据