随着网络攻击和数据泄露事件频发，企业客户对盘点数字资产、知悉资产中存在的潜在安全风险愈发重视。为了解决日益严峻的风险，攻击面管理一跃成为近两年来最火热的安全赛道之一。凭借在安全实战攻防领域的领强大技术实力和领先的白泽攻击面管理平台产品，成立于2018年的云科安信已经发展成为攻击面管理赛道的代表厂商。
但是就在攻击面管理风头正劲的当下，云科安信却在近日向安全419表示其已经完成全新战略升级——由攻击面管理厂商升级为风险管理厂商，未来将“以风险为核，做数字世界的风险管理者”作为企业使命，并基于此将发布“信息图鉴”系列产品。
无独有偶，就在上周业界有消息称，在奇安信任职多年的高管、资深安全专家张晓兵已加盟云科安信，担任首席战略官一职。作为资深行业专家，张晓兵曾任瑞星市场经理与产品经理、安天实验室产品总监、微软MMPC中国区负责人、安全宝创始人、途隆云CEO、奇虎360产品总监、奇安信集团高级总监/解决方案中心副总经理等职位，对行业发展趋势有着深入的洞察。
不难看出，云科安信近期在战略上的调整，也与张晓兵的加入有着必然的联系。而经过与云科安信及张晓兵本人的沟通，也证实了笔者的判断。张晓兵在云科安信本次整体战略升级过程中发挥了主导作用。那么，对于未来的云科安信，这位战略大师是如何思考的？带着这样的疑问，我们采访了刚刚履新的张晓兵。
促成了攻击面管理赛道的崛起
在张晓兵看来，安全行业的整体发展依赖于四大驱动力：威胁驱动、技术驱动、合规驱动和业务驱动。经过三十余年的发展，安全行业已经从威胁驱动、技术驱动、合规驱动来到了业务驱动的时代，越来越多的甲方客户开始主动思考安全应该如何建设，客户已经从内心发出“提升安全以保障业务稳定发展”的强烈信号。
而随着数字化进程的加速，国家层面也提出了发展数字经济的整体规划，当前数字经济的GDP占比已经从原来的30%提升至了50-60%。当数字经济成为国家经济发展的主力，而甲方客户又主动想要做安全的时候，网络安全的重要性就已经提升到了一个前所未有的新高度。
张晓兵指出，“过去安全行业中有一句老话叫搞安全的人不懂信息化，搞信息化的人不懂安全。其实放在今天同样适用，搞安全的人不懂IT和业务，而做业务的人同样不懂安全，彼此之间是割裂的关系。但在数字化的驱动下，在业务发展需求的驱动下，安全必然会跟IT、业务进行大融合，攻击面管理赛道的崛起就是这个融合下的产物。”
因此，张晓兵提出了自己对安全行业的洞察：认知是安全的尺度，越来越多新安全技术的出现都是基于认知的改变,只有对安全有更多更高维度的认知，才能看到更多的可能性。因此，在安全、IT和业务三者融合之后，安全行业必然会将对威胁的认知扩大到风险的高度，因此必须将“风险”定义为未来安全行业的本源。
基于这一洞察，张晓兵看到了攻击面管理这一赛道的前瞻性和未来。“但攻击面管理这件事情，还只是安全和IT层面的融合，但从云科安信的产品布局，从跟云科安信CEO金飞的交流中，我惊喜地发现，作为这一赛道的主要参与者，云科安信对安全的理解已经远超出了攻击面管理的范畴，而是已经在做和业务层面的融合，逐渐触摸到了风险管理的维度。在云科安信的身上我感受到了雏鹰的气势。”
站在巡航高度思考未来战略
补齐云科安信铁三角最重要一角
作为一名行业老兵和前奇安信资深高管，张晓兵在做出加入云科安信选择时，做出了哪些思考？作为云科安信未来的首席战略官，他如何看待云科安信这家企业的未来？我们邀请张晓兵从自己的视角分享了他的观点。
他谈到，“风险这个词在网络安全行业里面一直是一个比较抽象的概念，因为它比较务虚，我一直不敢谈。但遇到云科安信之后，我发现风险这个词似乎可以找到落地的场景了。通过对风险变化的度量，我们可以真正测绘出整个风险世界，而不仅仅是像过去那样仅仅对资产进行测绘。所以云科安信是以攻击面为起点，用升维的方式进入另一个更广阔的风险宇宙，去解决数字世界和物理世界叠加后更复杂的安全风险。”
当然，除了看好风险管理赛道的前瞻性和未来外，对他而言，云科安信身上还有着许多吸引他加入的特质。
张晓兵认为，当前网络安全行业存在一大弊病：整个行业都在用高价值的“人的能力”来补充低价值产品的能力不足，从商业逻辑上来看这其实是一个伪命题。所有科学的商业逻辑都是尽量用产品来代替人工，因此未来一定是一个拼产品力的时代，所有安全厂商都必须把产品做的足够好，下沉到某个行业里、细分领域里，去解决通用性的安全问题。而在云科安信的身上，张晓兵看到了作为技术从业者对技术、对产品力的苛刻追求。
在他心中对好的产品有着自己的理解，他认为一家好的产品必须具备独特的灵魂、一流的素质和气质。而一家能够称之为优秀的企业，则必须具备三个特点：一线的手感、巡航高度的思考和抓住时代的主题，这三者缺一不可。
作为一家已经在攻击面管理领域闯出一番天地的企业，云科安信已经具备了一线的手感且抓住了时代主题。而自己加入后，则将会以首席战略官的角色来扮演好云科安信的“巡航高度思考者”的角色，找到企业发展的“指南针”和“航海图”，助力云科安信将战略细化为精准的路线图从而落地实现。站在时代的框架下，与云科安信共谋未来，将云科安信对安全的认知，与自己对安全的认知，共同拼成了一张更大的地图。
“云科安信CEO金飞身上有着技术创业者最好的特质，对技术的追求和前瞻思考，决定了他是云科安信的“灵魂”，我在他的眼中看到了对安全行业未来的憧憬。在公司运营层面，COO陈思也对工作有着‘精准到像素级别’的极致要求，我在她的身上看到了云科安信的“素质”，同时也决定了云科安信本身是一家极为实干的企业。而我希望自己能够成为这家企业的“气质”，与这家企业一起思考未来的终局在哪里，以及我们如何到达那里。”
从“攻击面管理”到“风险管理”
以风险为核 做数字世界的风险管理者
基于云科安信“铁三角”的共识，云科安信也在业内首次提出了自己对安全行业发展趋势的判断：对风险的管理将是网络安全的终极形态，如果风险的本质是“被防御目标的变化”，那么风险管理的本质就是“度量被防御目标的变化。”
张晓兵指出，随着数字时代的到来，物理世界与数字世界之间的关系已经发生了改变。在过去，物理世界和数字世界是交互关系，物理世界中生长出来了数字世界，为数字世界的迭代提供信息，数字世界则将情报反哺给物理世界。
但在今天，数字世界已经和物理世界变成了共生关系，甚至已经开始影响物理世界的变化。数字世界已经反向成为了物理世界的基础设施，未来物理世界一切的社会活动、社会行为都将建立在自动化、智能化的数字基础之上，依赖于数字世界，又被数字世界所控制。
在这种情况下，传统理解的网络安全边界已经名存实亡，围绕边界展开的一切防御工事，最终将进化为在整个数字世界中的风险管理，云科安信将其称之为物理世界与数字世界的“叠加”。在这样的叠加思维下，企业的资产暴露面将以级数的速度扩张，攻击事件的发生已经成为必然性事件。因此云科安信提出，对风险的管理，将是网络安全的终极形态。
因此，云科安信认为，包括攻击技术的演进、更多维度的叠加，企业资产的变化、系统的升级都会引起风险的变化，想要管理好这些风险就需要持续对被防御目标的变化做度量。云科安信将这一种度量被防御目标变化的能力命名为“信息图鉴”，不久后云科安信将围绕信息图鉴这条产品主线，发布攻击图鉴、资产图鉴、角色图鉴、路径图鉴系列产品，把不同维度、不同边界的风险管理聚合在一起并实现动态化、全局化、精细化的度量。
张晓兵指出，“过去行业里总是在谈攻防平衡，每年都在增加防御成本和安全预算，希望把防御工事做的足够厚，然后就可以让攻击的成本提高，但其实这个逻辑是有问题的。中国有一个故事叫“庖丁解牛”，其中有一句很经典的话叫:以无厚入有间，我的刀刃只要足够薄，仍然可以找到你的弱点，将一个庞然大物瞬间分割开来。从这个逻辑来看，过去的安全建设其实还是基于木桶理论来构建的，通过终端、边界、云的安全体系建设，把木桶的每一个木板都变得越来越长，但其实它解决不了板与板之间缝隙的问题。”
因此，云科安信实际上是以一种高频、实时的方式，基于多维度叠加的视角对可能引起风险变化的因素持续度量，再通过简单、轻量化的交付方式，为更广泛的客户提供专业的实战安全产品与服务。
采访最后，张晓兵介绍，除了“以风险为核，做数字世界的风险管理者”的全新的使命战略，云科安信还明确了“做一家有温度的企业，一起看到更大的世界”的企业愿景，以及“热爱、有趣、真诚、创意” 的价值观。
他表示，将使命定义成“以风险为核，做数字世界的风险管理者”，是因为云科安信坚信，“认知是安全的尺度”，坚信“风险是数字世界的本源”，同时坚信“要将风险管理的权力交还给客户”。未来云科安信不仅仅要交付给用户一个产品，更要交付给用户一种所见即所得的能力，用度量变化的方法和信息图鉴的技术重新治理风险，用全新的手段重塑安全边界，然后把它用极简的方式交还给用户。
云科安信的愿景是“做一家有温度的企业，一起看到更大的世界”，云科安信认为伟大的企业一定是有温度的，因此必须坚信技术可以改变世界，坚信这个世界自有公论，坚信温良可以激发更多人的善意。“热爱、有趣、真诚、创意” 的价值观代表着云科安信希望做有趣的事情，用技术改变世界。
据他透露，基于云科安信在SaaS、渠道、直销等多种商业模式方面的先进性，过去几年里，云科安信一直保持着300%的增长率。仅在2023年一季度，云科安信便已经完成2022年全年度的业绩指标。这也在一定程度上代表了云科安信的未来潜力。在本次完成战略升级后，云科安信将率先开启风险管理赛道，向更广阔的风险管理宇宙发起远征。
京公网安备 11010802033237号
