隨著網絡安全威脅的不斷演變和升級，企業(yè)開始關注以服務為基礎的新型網絡安全能力構建，以面對日益復雜的安全威脅。為了更好地了解當前網絡安全服務在我國企業(yè)組織中的落地應用情況，安全牛日前開展了針對新一代網絡安全服務應用的問卷調查活動。

本次調研通過網上渠道自愿報名方式開展，一共收回136份問卷，其中有效問卷98份（由甲方企業(yè)用戶的網絡安全及相關崗位人員填寫），涉及金融、制造、電信運營商、互聯網等行業(yè)。安全牛希望本次調查工作能夠在一定程度上反映當前我國企業(yè)中網絡安全服務的應用現狀，并為組織在后續(xù)新一代網絡安全服務能力建設中提供可行的實施思路與建議。

通過對有效調查問卷所反饋結果的分析和匯總，安全牛發(fā)現國內企業(yè)的安全服務應用基本達到了標準成熟度階段，并正在構建應用新一代安全服務，這也帶來了對新一代網絡安全服務的更多需求。而服務質量無法保證、數據泄露風險、對甲方業(yè)務理解優(yōu)先、服務水平協(xié)議難以量化等因素是影響網絡安全服務應用的主要挑戰(zhàn)，65.6%的受訪企業(yè)擔心第三方網絡安全服務的質量和實際應用效果無法達到預期。

以下是本次調研中部分重點問題的結果展現：

1、我國企業(yè)安全服務人員普遍配置不足。調查數據顯示，近60%的企業(yè)專職安全人員不足3人，其中9.8%的企業(yè)甚至沒有專職人員。建設和維護一支專業(yè)的安全團隊需要投入大量的人力、物力和財力，這對一般的中小企業(yè)來說，投入成本相對較高。

圖 1 企業(yè)網絡安全服務人員配置情況

2 、調查數據顯示，目前國內近半數企業(yè)（49.2%）網絡安全支出占IT整體支出的比例不足5%。超過75%的企業(yè)2024年網絡安全預算同比持平或縮減，其中14.8%的企業(yè)安全預算縮減10%以上。企業(yè)網絡安全預算不足會造成企業(yè)的安全防護能力薄弱。

圖 2 2024年企業(yè)網絡安全預算情況

圖 3 企業(yè)網絡安全服務預算情況

3、調查數據顯示，39.3%的企業(yè)用于第三方安全服務的支出占到20%-50%。當前國內企業(yè)安全服務能力建設需要依靠第三方服務商提供。

圖 4 企業(yè)第三方網絡安全服務支出情況

4、調查數據顯示，31.2%的企業(yè)安全服務建設已經進入標準化階段，建立了安全運營團隊，并且崗位職責明確，有標準化事件響應流程，能及時應對常見安全事件；16.4%的企業(yè)具備初步的新一代安全服務，已經建立了安全事件響應中心等常態(tài)化組織，可7*24小時快速響應事件；11.5%的企業(yè)則進一步開展了新一代安全服務的建設，可利用智能技術發(fā)現未知威脅，自動化開展事件響應處置，并可應對高級威脅。

圖 5 企業(yè)網絡安全服務建設狀態(tài)

5、調查數據顯示，超九成的企業(yè)認為網絡安全能力構建需要依賴第三方服務。由于企業(yè)普遍存在專業(yè)人才短缺、經驗不足、技能不全面等問題，另外建設和維護一支專業(yè)的安全團隊需要投入大量的人力、物力和財力，導致企業(yè)難以依靠自身安全團隊有效應對復雜的安全威脅。而第三方安全服務提供商擁有專業(yè)的安全人才和豐富的經驗，先進的安全技術和工具，可以提供持續(xù)的安全監(jiān)控和威脅分析，能夠幫助企業(yè)彌補企業(yè)內部安全團隊的不足、及時發(fā)現和處置安全威脅、以及快速響應安全事件，提升安全防護能力，幫助企業(yè)降低風險和損失。

圖 6 企業(yè)對第三方網絡安全服務的需求情況

6、我國企業(yè)對第三方網絡安全服務的需求類型廣泛。調查數據顯示，59%的受訪企業(yè)認為需要安全咨詢類服務、54.1%的受訪企業(yè)認為需要安全運維類服務、45.9%的受訪企業(yè)認為需要安全運營類服務、44.2%的受訪企業(yè)認為需要安全支撐類服務。

圖 7 企業(yè)對第三方網絡安全服務的需求類型

7 第三方網絡安全服務應用存在諸多挑戰(zhàn)。調查數據顯示，65.6%的企業(yè)擔心第三方網絡安全服務的質量難以達到建設的預期；55.7%的企業(yè)擔心第三方服務可能存在數據泄露風險；55.7%的企業(yè)擔心第三方服務提供商對企業(yè)的業(yè)務理解不足；50.8%的企業(yè)擔心服務水平協(xié)議（SLA）難以量化。

圖 8 第三方網絡安全服務應用挑戰(zhàn)

8、網絡安全服務的采購挑戰(zhàn)包括采購限制和缺乏認知。調查數據顯示，33.3%的企業(yè)未采購第三方的原因是采購限制，23.8%的企業(yè)缺乏對第三方網絡安全服務的了解與認知。

圖 9 第三方網絡安全服務的采購挑戰(zhàn)

9、缺乏專業(yè)安全人才和經驗是企業(yè)采購第三方網絡安全服務的主要原因，調查數據顯示，近七成企業(yè)（68.8%）認為第三方服務可以提供專家級的安全團隊和專業(yè)的安全知識和技能，近六成企業(yè)（59%）認為第三方服務可以快速響應安全事件，超過半數企業(yè)（52.4%）認為需要第三方服務幫助應對新威脅和漏洞，面對快速增長的威脅和漏洞挑戰(zhàn)。

圖 10 第三方網絡安全服務采購的主要原因

10、企業(yè)對第三方網絡安全服務的滿意度有待提升。調查數據顯示，近四成企業(yè)（37.7%）對第三方服務感覺一般或不滿意。企業(yè)對安全服務的需求不同，很難以標準化的方式來提供，需要服務商充分理解用戶業(yè)務，合理分配資源、積極利用新技術，提供定制化服務，實現用戶安全能力提升。

圖 11 對第三方網絡安全服務的滿意度

11、企業(yè)在選型新一代網絡安全服務時，一般會從廠商的市場實力和項目服務能力兩個方面進行評估。調查數據顯示，59%的企業(yè)認為服務團隊的專業(yè)能力是選擇服務提供商的首要因素，包括團隊成員的資質、經驗和技術水平等。其他的選型因素則包括廠商品牌、市場表現、技術能力等方面。

圖 12 選型網絡安全服務提供商的因素

12、企業(yè)目前主要通過實際效果來評估第三方網絡安全服務的價值和質量。調查數據顯示，超過六成企業(yè)（65.6%）評估服務質量的方法是通過事件響應時間、重保或攻防演練的實際效果來開展。

圖 13 評估網絡安全服務質量的方式