隨著網絡攻擊和數據泄露事件頻發，企業客戶對盤點數字資產、知悉資產中存在的潛在安全風險愈發重視。為了解決日益嚴峻的風險，攻擊面管理一躍成為近兩年來最火熱的安全賽道之一。
憑借在安全實戰攻防領域的領強大技術實力和領先的白澤攻擊面管理平臺產品，成立于2018年的云科安信已經發展成為攻擊面管理賽道的代表廠商。2022年耀途資本領投云科安信A輪融資，并于近期追加A+輪（閱讀更多）。
但是就在攻擊面管理風頭正勁的當下，云科安信卻在近日向安全419表示其已經完成全新戰略升級——由攻擊面管理廠商升級為風險管理廠商，未來將“以風險為核，做數字世界的風險管理者”作為企業使命，并基于此將發布“信息圖鑒”系列產品。
無獨有偶，就在上周業界有消息稱，在奇安信任職多年的高管、資深安全專家張曉兵已加盟云科安信，擔任首席戰略官一職。作為資深行業專家，張曉兵曾任瑞星市場經理與產品經理、安天實驗室產品總監、微軟MMPC中國區負責人、安全寶創始人、途隆云CEO、奇虎360產品總監、奇安信集團高級總監/解決方案中心副總經理等職位，對行業發展趨勢有著深入的洞察。
不難看出，云科安信近期在戰略上的調整，也與張曉兵的加入有著必然的聯系。而經過與云科安信及張曉兵本人的溝通，也證實了筆者的判斷。張曉兵在云科安信本次整體戰略升級過程中發揮了主導作用。那么，對于未來的云科安信，這位戰略大師是如何思考的？帶著這樣的疑問，我們采訪了剛剛履新的張曉兵。
在張曉兵看來，安全行業的整體發展依賴于四大驅動力：威脅的驅動、技術的驅動、合規驅動和業務驅動。經過三十余年的發展，安全行業已經從威脅驅動、技術驅動、合規驅動來到了業務驅動的時代，越來越多的甲方客戶開始主動思考安全應該如何建設，客戶已經從內心發出“提升安全以保障業務穩定發展”的強烈信號。而隨著數字化進程的加速，國家層面也提出了發展數字經濟的整體規劃，當前數字經濟的GDP占比已經從原來的30%提升至了50-60%。當數字經濟的成為國家經濟發展的主力，而甲方客戶又主動想要做安全的時候，網絡安全的重要性就已經提升到了一個前所未有的新高度。張曉兵指出，“過去安全行業中有一句老話叫搞安全的人不懂信息化，搞信息化的人不懂安全。其實放在今天同樣適用，搞安全的人不懂IT和業務，而做業務的人同樣不懂安全，彼此之間是割裂的關系。但在數字化的驅動下，在業務發展需求的驅動下，安全必然會跟IT、業務進行大融合，攻擊面管理賽道的崛起就是這個融合下的產物。”因此，張曉兵提出了自己對安全行業的洞察：認知是安全的尺度，越來越多新安全技術的出現都是基于認知的改變，只有對安全有更多更高維度的認知，才能看到更多的可能性。因此，在安全、IT和業務三者融合之后，安全行業必然會將對威脅的認知擴大到風險的高度，因此必須將“風險”定義為未來安全行業的本源。基于這一洞察，張曉兵看到了攻擊面管理這一賽道的前瞻性和未來。“但攻擊面管理這件事情，還只是安全和IT層面的融合，但從云科安信的產品布局，從跟云科安信CEO金飛的交流中，我驚喜地發現，作為這一賽道的主要參與者，云科安信對安全的理解已經遠超出了攻擊面管理的范疇，而是已經在做和業務層面的融合，逐漸觸摸到了風險管理的維度。在云科安信的身上我感受到了雛鷹的氣勢。”作為一名行業老兵和前奇安信資深高管，張曉兵在做出加入云科安信選擇時，做出了哪些思考？作為云科安信未來的首席戰略官，他如何看待云科安信這家企業的未來？我們邀請張曉兵從自己的視角分享了他的觀點。他談到，“風險這個詞在網絡安全行業里面一直是一個比較抽象的概念，因為它比較務虛，我一直不敢談。但遇到云科安信之后，我發現風險這個詞似乎可以找到落地的場景了。通過對風險變化的度量，我們可以真正測繪出整個風險世界，而不僅僅是像過去那樣僅僅對資產進行測繪。所以云科安信是以攻擊面為起點，用升維的方式進入另一個更廣闊的風險宇宙，去解決數字世界和物理世界疊加后更復雜的安全風險。”當然，除了看好風險管理賽道的前瞻性和未來外，對他而言，云科安信身上還有著許多吸引他加入的特質。張曉兵認為，當前網絡安全行業存在一大弊病：整個行業都在用高價值的“人的能力”來補充低價值產品的能力不足，從商業邏輯上來看這其實是一個偽命題。所有科學的商業邏輯都是盡量用產品來代替人工，因此未來一定是一個拼產品力的時代，所有安全廠商都必須把產品做得足夠好，下沉到某個行業里、細分領域里，去解決通用性的安全問題。而在云科安信的身上，張曉兵看到了作為技術從業者對技術、對產品力的苛刻追求。在他心中對好的產品有著自己的理解，他認為一家好的產品必須具備獨特的靈魂、一流的素質和氣質。而一家能夠稱之為優秀的企業，則必須具備三個特點：一線的手感、巡航高度的思考和抓住時代的主題，這三者缺一不可。作為一家已經在攻擊面管理領域闖出一番天地的企業，云科安信已經具備了一線的手感且抓住了時代主題。而自己加入后，則將會以首席戰略官的角色來扮演好云科安信的“巡航高度思考者”的角色，找到企業發展的“指南針”和“航海圖”，助力云科安信將戰略細化為精準的路線圖從而落地實現。站在時代的框架下，與云科安信共謀未來，將云科安信對安全的認知，與自己對安全的認知，共同拼成了一張更大的地圖。“云科安信CEO金飛身上有著技術創業者最好的特質，對技術的追求和前瞻思考，決定了他是云科安信的‘靈魂’，我在他的眼中看到了對安全行業未來的憧憬。在公司運營層面，COO陳思也對工作有著‘精準到像素級別’的極致要求，我在她的身上看到了云科安信的‘素質’，同時也決定了云科安信本身是一家極為實干的企業。而我希望自己能夠成為這家企業的‘氣質’，與這家企業一起思考未來的終局在哪里，以及我們如何到達那里。”基于云科安信“鐵三角”的共識，云科安信也在業內首次提出了自己對安全行業發展趨勢的判斷：對風險的管理將是網絡安全的終極形態，如果風險的本質是“被防御目標的變化”，那么風險管理的本質就是“度量被防御目標的變化。”張曉兵指出，隨著數字時代的到來，物理世界與數字世界之間的關系已經發生了改變。在過去，物理世界和數字世界是交互關系，??物理世界中生長出來了數字世界，為數字世界的迭代提供信息，數字世界則將情報反哺給物理世界。但在今天，數字世界已經和物理世界變成了共生關系，甚至已經開始影響物理世界的變化。數字世界已經反向成為了物理世界的基礎設施，未來物理世界一切的社會活動、社會行為都將建立在自動化、智能化的數字基礎之上，依賴于數字世界，又被數字世界所控制。在這種情況下，傳統理解的網絡安全邊界已經名存實亡，圍繞邊界展開的一切防御工事，最終將進化為在整個數字世界中的風險管理，云科安信將其稱之為物理世界與數字世界的“疊加”。在這樣的疊加思維下，企業的資產暴露面將以級數的速度擴張，攻擊事件的發生已經成為必然性事件。因此云科安信提出，對風險的管理，將是網絡安全的終極形態。因此，云科安信認為，包括攻擊技術的演進、更多維度的疊加，企業資產的變化、系統的升級都會引起風險的變化，想要管理好這些風險就需要持續對被防御目標的變化做度量。云科安信將這一種度量被防御目標變化的能力命名為“信息圖鑒”，不久后云科安信將圍繞信息圖鑒這條產品主線，發布攻擊圖鑒、資產圖鑒、角色圖鑒、路徑圖鑒系列產品，把不同維度、不同邊界的風險管理聚合在一起并實現動態化、全局化、精細化的度量。張曉兵指出，“過去行業里總是在談攻防平衡，每年都在增加防御成本和安全預算，希望把防御工事做得足夠厚，然后就可以讓攻擊的成本提高，但其實這個邏輯是有問題的。中國有一個故事叫‘庖丁解牛’，?其中?有一句話很經典的話叫??：以無厚入有間，我的刀刃只要足夠薄，仍然可以找到你的弱點，將一個龐然大物瞬間分割開來。從這個邏輯來看，過去的安全建設其實還是基于木桶理論來構建的，通過終端、邊界、云的安全體系建設，把木桶的每一個木板都變得越來越長，但其實它解決不了板與板之間縫隙的問題。”?因此，云科安信實際上是以一種高頻、實時的方式，基于多維度疊加的視角對可能引起風險變化的因素持續度量，再通過簡單、輕量化的交付方式，為更廣泛的客戶提供專業的實戰產品與服務。采訪最后，張曉兵介紹，除了“以風險為核，做數字世界的風險管理者”的全新的使命戰略，云科安信還明確了“做一家有溫度的企業，一起看到更大的世界”的企業愿景，以及“熱愛、有趣、真誠、創意” 的價值觀。他表示，將使命定義成“以風險為核，做數字世界的風險管理者”，是因為云科安信堅信，“認知是安全的尺度”，堅信“風險是數字世界的本源”，同時堅信“要將風險管理的權力交還給客戶”。未來云科安信不僅僅要交付給用戶一個產品，更要交付給用戶一種所見即所得的能力，用度量變化的方法和信息圖鑒的技術重新治理風險，用全新的手段重塑安全邊界，然后把它用極簡的方式交還給用戶。云科安信的愿景是“做一家有溫度的企業，一起看到更大的世界”，云科安信認為偉大的企業一定是有溫度的，因此必須堅信技術是可以改變世界，堅信這個世界自有公論，堅信溫良可以激發更多人的善意。“熱愛、有趣、真誠、創意” 的價值觀代表著云科安信希望做有趣的事情，用技術改變世界。據他透露，基于云科安信在SaaS、渠道、直銷等多種商業模式方面的先進性，過去幾年里，云科安信一直保持著300%的增長率。僅在2023年一季度，云科安信便已經完成2022年全年度的業績指標。這也在一定程度上代表了云科安信的未來潛力。在本次完成戰略升級后，云科安信將率先開啟風險管理賽道，向更廣闊的風險管理宇宙發起遠征。
