中国信息安全产业.docx

中国信息安全产业.docx

《中国信息安全产业.docx》由会员分享，可在线阅读，更多相关《中国信息安全产业.docx（32页珍藏版）》请在冰豆网上搜索。

中国信息安全产业

中国信息安全产业

第一节信息安全产业概况

当今世界以信息为中心的国际竞争越来越激烈，面对复杂的国际环境，信息安全、经济安全、文化安全、国防安全和社会稳定的关系越来越紧密，发展我国信息安全产业，对提升国家的信息安全有重要意义。

近年来，中国信息安全产业发展迅猛，除产业规模稳步增长之外，企业实力增强、人才队伍不断壮大，涌现了市场竞争能力强的企业，有多家企业已经成功上市，这些企业先后参与了承担北京奥运会、上海世博会、广州亚运会的信息安全保障工作。

我国信息安全产业快速发展的同时，仍面临诸多挑战：

产业整体相对弱小，关键产品和高端服务依赖进口，对国家信息安全保障的支撑能力需要进一步提升；产业核心技术积累不足，创新能力急需提升，缺乏引领产业发展的大企业，行业内的收购整合不可避免，缺乏技术创新、服务能力和独特商业应用模式的企业将逐步被淘汰；高端信息安全人才不能满足产业快速发展的需要；国家信息安全标准仍不完善，市场竞争急需进一步规范，管理体制迫切需要调整优化，产业发展环境有待完善。

一信息安全产业规模

我国信息化建设已有20多年，较大规模的信息安全建设已有十多年的历史。

我国信息安全产业的发展大致经历了三个阶段：

第一阶段是1995年以前，以通信保密和依照TCSEC的计算机安全标准开展的计算机安全工作，其主要服务对象为政府和军队。

第二阶段是1995年到2001年，诞生了一批从事信息安全的企业，主要从事计算机与互联网的安全工作，其重点逐步转移到银行和电信信息安全建设上。

2000年我国第一个行业性的技术规范《银行计算机系统安全技术规范》出台。

这一时期主要提供的是隔离、防护、检测、监控、过滤等安全服务技术和产品，用来面对病毒、黑客和非法入侵等威胁。

第三阶段是2002年至今，我国信息安全产业进入了有序发展阶段。

这一阶段不仅从事互联网的信息与安全，而且开始对国家重要基础设施信息化安全开展工作，这一时期的技术与产品逐步走向芯片化、客户化、平台化和高技术化，促进了信息安全管理平台的研究与开发。

目前我国信息安全建设已进入了新的发展时期，已逐步从跟随发展战略走向自主发展时期。

主要表现为对十年来信息安全建设进行总结分析，树立信息安全新认识、奠定信息安全新起点、开辟信息安全新领域、培养新的发展增长点。

“十一五”期间，我国信息安全产业持续快速发展，年均增速超过30%，产业规模不断扩大，产品体系逐渐完善，企业实力逐步提升，标准化体系不断完善，人才队伍不断壮大，对国民经济和社会发展的支撑作用进一步增强。

2009年中国信息安全产业规模达到123.10亿元，占世界信息安全产业市场的13.9%，比2008年同期增长17.0%，所占比例和增幅分别比上年提高1.2和0.3个百分点；2010年中国信息安全产业规模达到182亿元，比2009年同期增长47.9%；2011年中国信息安全产业规模达到300亿元，比2010年同期增长64.8%，如下表所示。

到2015年，我国信息安全产业规模预计突破670亿元，将保持年均30%以上的增长速度，占信息产业的比重稳步提高。

表6-12006～2011年中国信息安全产业规模及增长率

图6-12006～2011年中国信息安全产业规模及增长率

我国信息安全产业规模不断壮大，主要表现在以下方面：

1.网民规模不断壮大

中国互联网络信息中心（CNNIC）发布的《第29次中国互联网络发展状况统计报告》显示，截至2011年12月底，中国网民规模达到5.13亿人，全年新增网民5580万；互联网普及率较2010年底提升4个百分点，达到38.3%，如下表所示。

电子商务类应用继续稳步发展，包括网络购物、网上支付、网上银行、旅行预订在内的电子商务类应用在2011年继续保持稳步发展态势，其中网络购物用户规模达到1.94亿人，较2010年底增长20.8%，网上支付用户和网上银行全年用户也增长21.6%和19.2%，目前用户规模分别为1.67亿人和1.66亿人。

表6-22008～2011年中国网民规模和互联网普及率

图6-22008～2011年中国网民规模和互联网普及率

2.软件产业飞速发展

自2000年6月，国务院发布关于鼓励软件产业和集成电路软件的若干政策以来，中国软件产业飞速发展。

“十一五”时期，我国软件和信息技术服务业持续快速发展，年均增长28.3%，产业规模不断扩大。

2010年，我国软件和信息技术服务业务收入达到1.36万亿元，是2005年的3.5倍，超额完成“十一五”规划目标，软件和信息技术服务业占电子信息产业产值的比重从2005年的10.2%提高到2010年的18%，从业人员超过300万人；2010年，我国年收入过亿元的软件和信息技术服务企业已经超过2000家，其中业务收入超过50亿元的企业有7家，超过100亿元的有4家，超过500亿元的有1家，大企业日益成为产业创新和规模发展的主导力量。

2011年1月，国务院发布了进一步鼓励软件产业和集成电路软件的若干政策，包括了财税、投融资、进出口等7类支持力度更大的政策。

《软件和信息技术服务业“十二五”发展规划》提出，到2015年，业务收入突破4万亿元，占信息产业比重达到25%，年均增长24.5%以上，软件出口达到600亿美元。

信息技术服务收入超过2.5万亿元，占软件和信息技术服务业总收入比重超过60%。

近日，工业和信息化部运行监测协调局发布的统计数据显示，2012年1～2月，我国软件业务收入达2859亿元，同比增长25.7%，高于2011年同期1.9个百分点，实现利润311亿元，同比增长11.7%，低于2011年同期19.3个百分点，如图6-3所示。

图6-32011～2012年中国软件业务收入增长情况

3.行业需求保持强劲

我国信息安全产品行业需求突出，政府、电信、银行、能源、军队等仍然是信息安全企业关注的重点行业，证券、交通、教育、制造等新兴市场需求强劲，为信息安全产品市场注入了新的活力，如图6-4所示。

中小型企业市场及二、三级城市市场都呈现出蓬勃的生命力。

防火墙仍然是最大的细分产品市场，根据赛迪顾问的统计数据，2010年防火墙/VPN市场规模为27.02亿元，占信息安全市场24.65%的份额。

与此同时，UTM、SSLVPN、IPS、身份认证、安全管理、安全服务等正在逐步打开市场，成为重要的信息安全需求品。

2010年政府、银行、证券、电力等重点行业及世博会、亚运会重大活动提升了信息安全应用水平，市场规模达到109.6亿元，比2009年增长18.0%。

图6-42010年中国信息安全市场行业需求结构

二信息安全产品体系

信息安全产品是保护国家、组织、个人的信息系统、网络系统、通信系统安全的软硬件产品，并且用户对信息安全产品的质量、可用性、可靠性、鲁棒性等有较高的要求。

目前，我国信息安全产品种类不断丰富，密码产品、防火墙、病毒防护、入侵检测、终端接入控制、网络隔离、安全审计、安全管理、备份恢复等技术领域产品研发取得明显进展，产品功能逐步向集成化、系统化方向发展。

1.信息安全产品分类

（1）基础类产品

安全芯片、安全操作系统、安全数据库、安全中间件以及高可靠基础密码设备、可信主机与可信终端设备、可信计算平台、可信软件配置管理工具等部署在主机及其计算环境中的产品。

（2）网络与边界安全类产品

包括面向大规模复杂网络环境及云计算技术与应用模式的应用需求，下一代防火墙、大规模入侵检测与防御、面向应用内容安全防护的深度包检测系统、高性能信道与网络密码设备、密码网关、安全Web网关、安全邮件网关、虚拟专用网、安全路由及交换设备、统一威胁管理平台、高性能网络隔离与交换系统、网络行为监控系统、基于云计算的安全查杀和防御类网关产品、反垃圾邮件系统、恶意代码检测与防护系统等部署在网络设备或安全域边界上的网络与边界安全类产品。

（3）终端与数字内容安全类产品

包括病毒木马识别引擎、反钓鱼反欺诈反恶意网址系统、终端接入控制、数据保护与防泄密、主动防御等终端安全防护产品；数据加密、容灾备份和数据恢复、身份认证与授权管理等保障数据安全相关的产品；数字版权保护、隐私保护、网站安全监测与防护等相关的产品和系统。

（4）安全管理类产品

包括面向大规模网络应用的网络内容、流量、安全状态、信息泄密以及系统行为的安全监控与审计类产品，面向大规模网络环境的集成产品配置管理、网络安全事件管理、网络安全态势评估以及安全策略管理等功能的网络综合管理系统。

（5）信息安全支撑工具

包括系统及网络脆弱性评估工具、安全配置核查类工具、信息安全等级保护支撑工具、信息系统风险评估工具、密码测评工具、安全测评工具、应急响应工具、软件安全保障工具、信息安全技术与产品的标准符合性评估工具，以及其他信息安全管理与服务支撑工具产品；面向云计算、物联网、移动互联网等信息安全保障的相关支撑工具产品。

2.信息安全产品市场规模

2009年，我国信息安全需求层次逐步从中央向省级、地市甚至县级渗透，从核心业务安全监控向全面业务安全保护扩展，从网络实施阶段的安全布置到网络运行过程的安全维护，安全需求正在形成多层次的树状格局，安全市场增长空间持续扩大。

根据赛迪顾问的数据，2009年我国信息安全产品市场规模为92.94亿元，比2008年增长17.2%；2010年信息安全产品市场规模为111.74亿元，增长20.2%；2011年我国信息安全产品市场规模为135.53亿元，增长21.3%；2012年我国信息安全产品市场规模为166.58亿元，增长22.9%，如图6-5所示。

表6-32010～2012年中国信息安全产品市场规模及增长率

图6-52010～2012年中国信息安全产品市场规模及增长率

3.信息安全产品结构

我国信息安全产业针对各类网络威胁行为已经具备了一定的防护、监管、控制能力，市场开发潜力得到不断提升。

最近几年，信息安全产业在政府引导、企业参与和用户认可的良性循环中稳步成长，本土企业实力逐步加强。

安全产品结构日益丰富，网络边界安全、内网信息安全及外网信息交换安全等领域全面发展；安全标准、安全芯片、安全硬件、安全软件、安全服务等产业链关键环节竞争力不断增强。

根据赛迪顾问的数据，在产品具体收入分区上，安全软件已开始呈现稳步增长的趋势，安全服务的业绩也正在扩大，如图6-6所示。

图6-62010～2011年中国信息安全产品收入分区

4.信息安全产品发展演变

由于用户需求开始由被动向主动转型，信息安全从网络安全一枝独秀逐渐加入应用安全、数据安全和系统安全的全面支撑。

产品类型更加多样，网络边界、内网、服务器、PC终端、移动介质、操作系统、数据库、应用软件等软硬件系统防护体系全面推进，依靠防火墙、IDS和防病毒软件“老三样”无法保障整体安全，使得UTM、IPS、VPN、终端安全管理、安全审计等新兴安全产品及安全服务有了更大的施展空间。

根据赛迪顾问的数据，以启明星辰2009年总体销售结构为例，安全网关类（主要是UTM）产品占总营业收入的25%，安全检测类产品（IDS/IPS产品）占18.88%，安全服务占31.73%。

2008年以来，在防火墙、防病毒软件等传统信息安全产品价格持续走低的情况下，UTM、IPS、终端安全管理等新兴安全产品价格相对稳定，安全服务由于门槛较高，人员投入大，特别是针对高端用户的安全服务，所以价格敏感度较低。

图6-7信息安全产品的发展演变

三信息安全企业实力

企业是产业发展的微观体现，大企业规模是产业量级的重要指标。

2010年，我国信息安全相关企业已超过700家，信息安全年收入超亿元企业10多家，建立了一批国家级信息安全研发中心。

按照《信息安全产业“十二五”发展规划》，未来五年，我国要培育一批具有国际竞争力的骨干企业，不断涌现具有创新活力的中小企业，到2015年，形成30家信息安全业务收入过亿元企业，力争培育出信息安全业务收入达50亿元的骨干企业。

1.信息安全关键技术

信息安全领域的核心技术可以分成结构性技术和解构性技术两大类。

（1）结构性技术，即体系化技术，典型代表为加密认证技术，其核心内涵就是为防御体系和保障体系构建各个要素之间的紧密关联。

以加密认证技术等为基础形成的网络安全域理论和方法，就是在网络和系统层面将网络设备节点、链路、服务器、客户端等组成一个结构性体系，以抵抗攻击、保障服务能力、增加强壮性。

我国在加密认证技术研究和应用的许多细分领域已经达到国际先进水平：

如在数据加密和加密设备研究方面，江南计算机研究所和科学院等单位参与和自主开发的十几万亿次的计算机和具有数百T以上规模的存储设备已经达到世界先进水平；在身份认证、数字证书及其管理技术方面取得了许多应用成果；在密码技术方面，国内专家破译MD5算法成为我国密码技术水平的突出代表。

（2）解构性技术，其中最主要的就是攻防对抗技术。

对信息安全系统构成威胁的攻击技术是一种突破防御体系、将保障体系进行解构的力量，而防御攻击的技术核心实际是检测技术，如防病毒系统的首要功能是对病毒文件的检测；防火墙则是一个对数据包进行甄别和判断的检测设备；入侵检测系统更是对于网络和系统攻击数据包的检测。

为了提高检测技术和检测设备的水平，则首先要对攻击技术有非常深入的了解。

在攻防对抗技术领域，我国信息安全产业的技术水平与国际保持同步，在漏洞检测、网络攻击方法、攻击防御等方面与世界水平相当甚至有所超越，并形成了某些专有技术。

在产品研发方面，相当一批民营企业已能够成团队地开展攻防技术的体系化研究和产品化开发；在以攻击技术和检测技术为内涵的安全服务领域中，我国信息安全产业完全可以和国际先进水平抗衡。

2.信息安全企业

安全可控的信息安全产品和服务在国家重要信息系统和基础信息网络以及重点行业信息化建设和个人信息安全中应用比例不断提高，在北京奥运会、上海世博会和广州亚运会等国家重大活动的信息安全保障工作中发挥了重要作用。

在2010年美国RSA信息安全大会上包括启明星辰、网御星云在内的7家国内信息安全企业纷纷亮相，得到了国际同行的高度关注和认可。

随着信息安全多元化发展趋势的日渐明朗，厂商差异化定位也成为可能。

对于有一定规模和技术积累的公司，开拓高门槛高利润的新产品或新市场，成为其进一步发展占领竞争制高点的必需。

像东软、启明星辰、卫士通、天融信等以安全产品与服务见长的综合厂商取得了快速发展，综合实力、服务水平、人才积累等方面都获得了很大的提高，并且在差异化竞争中各有所长，使得信息安全行业呈现百花齐放的发展局面，如图6-8所示。

图6-82010年中国信息安全产品市场品牌结构

根据赛迪顾问的数据，2010年中国信息安全细分市场主要包括防火墙/VPN、IDS（入侵检测系统）/IPS（入侵防御系统）、UTM（统一威胁管理）、SOC（安全管理平台）、信息加密/身份认证、内容安全管理（防病毒、邮件安全等）、安全服务，各细分市场的主要竞争者情况如表6-4，表6-5所示。

表6-42010年中国信息安全细分市场的主要竞争者

表6-5主要信息安全厂商及产品

续表

续表

续表

续表

续表

续表

续表

续表

续表

续表

续表

续表

3.信息安全人才队伍

在人才队伍建设方面，国内设立信息安全专业及信息安全学科的高等院校数量明显增加，社会机构和企业也日渐重视信息安全技能、意识教育和培训，信息安全人才培养培训体系逐步形成，并且初步建立了涵盖技术研究、产品开发、安全服务等领域的信息安全产业人才队伍，人员素质不断提升。

第二节信息安全产业环境分析

信息安全是国家安全的重要组成部分，信息安全产业是国家信息安全的保障性产业，它以其战略性、全局性、先导性、保障性为特点，在整个信息产业发展格局中具有举足轻重的地位和作用。

加快信息安全产业发展是国家安全建设的需要，是保证国家信息化建设健康发展的需要，是企事业单位和公民信息安全保护的需要。

随着信息化的快速发展，国民经济的运行日益依赖于信息系统，对信息系统的安全性要求越来越高，中国信息安全产业发展环境如政策法律环境、技术环境、标准化体系和测评环境等各方面正在全面改善，关键技术取得一定突破，民族企业研发实力和服务水平逐步提高，自主可控能力持续提升，信息安全保障能力得到很大提升。

不断加大政府在政策、规划和标准等方面的支持、引导和规范力度，营造良好的产业发展环境，充分发挥市场机制作用，有利于促进产业持续、健康、快速发展。

一政策法律环境

国家高度重视信息安全问题。

信息安全已经成为继陆、海、空、太空之后的第五维战略空间，信息安全已经成为国家安全的重要组成部分，扶持和发展中国自主、可控的信息安全产业已经成为基本国策。

我国信息安全市场整体上正在走向稳定和快速健康成长，宏观政策环境不断改善，信息化应用比较深入的行业和企业对信息安全的认识和重视程度不断提高，将有效促进产品和服务的进一步成熟。

国家关于信息安全等级保护的政策以及以运营商、金融机构为代表的行业安全合规规定的出台，标志着行业风险管理正在走向规范化，合规审计等产品需求快速增加，市场逐步走向成熟。

政府对自主安全产业的扶植政策，尤其是在政府采购上对我国具有自主知识产权安全产品的倾斜政策，将为国内信息安全产品厂商创造更好的产业生存和发展环境。

2006年3月出台的《信息安全等级保护管理办法》从国家监管角度将我国的信息安全保护分为5个等级，为信息安全的具体实施提供法律依据。

信息安全等级保护制度的实施，必然会成为我国信息安全产业增长的一个重要推动力。

《2006～2020年国家信息化发展战略》将建设国家信息安全保障体系列入我国信息化发展的战略重点，要求全面加强国家信息安全保障体系建设，主动应对信息安全挑战，实现信息化与信息安全协调发展；建立和完善信息安全等级保护制度，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统；加强密码技术的开发利用，建设网络信任体系；从实际出发，促进资源共享，重视灾难备份建设，增强信息基础设施和重要信息系统的抗毁能力和灾难恢复能力。

我国信息安全产业发展的法律环境目前还不是很好，主要表现在我国信息化和安全技术法规建设距信息化与安全建设的要求较大。

有些法规应当是国家制定的，有些技术法规应当是行业制定的。

我国已制定的各类型信息安全法律法规情况如图6-9所示。

图6-9我国各种类型的信息安全法律法规总览

表6-6法律

表6-7行政法规

续表

表6-8地方性法规（部分）

二技术环境

信息安全理论是信息安全技术的基础，信息安全关键技术又是信息安全产品的基础，优秀的理论和关键的技术相结合才能形成可靠的信息安全产品。

因此，要创造信息安全产业发展的良好技术环境，应加大新型信息安全架构和理论的研发力度，加强主动防护技术、密码技术、保密技术、安全芯片技术、可信计算技术、隐私保护技术等信息安全关键技术的研发和产业化，发展数据隔离与交换、虚拟化安全、安全认证等支撑云计算、物联网、移动互联网等应用的信息安全技术，尤其应重点发展保障网络空间安全的防护技术。

目前全球信息安全产业发展水平较高的国家主要有美国、法国、以色列、英国、日本等，与国际先进水平相比，我国信息安全行业的技术环境具有如下特点：

1.产业核心技术积累不足

信息安全的核心技术在于“攻防”，即攻击技术和防御技术，只有掌握攻击技术才能更好做到安全防御。

攻击技术包括漏洞挖掘、漏洞渗透、木马技术、SQL注入技术等。

防御技术指在了解攻击原理的前提下，采取针对性的防御措施，如漏洞检测和加固、木马扫描和杀除、蠕虫发现和清除、SQL注入攻击阻断等。

这些攻击技术和防御技术会形成一系列的知识库，如IDS的入侵行为特征库、IPS的WEB应用入侵特征库、漏洞扫描软件的漏洞库、UTM的入侵特征库、病毒库、审计产品的客户应用策略库等。

这些知识库都是专门的技术研究团队和产品应用团队在数年甚至十数年逐步积累的，目前我国对信息安全产业核心技术知识库的有效积累，以及对安全防御技术的前瞻性研究，都有待进一步提高。

2.技术成果转化能力亟待提高

在信息安全主流产品（包括：

防病毒、防火墙、IDS/IPS、漏洞扫描、加密、UTM、SOC等）方面，我国尚无真正能打入国际主流市场的国际化安全产品，产业技术成果转化能力亟待提高。

在产品成熟度、国际市场占有率、国际品牌影响力等方面与国际先进水平有差距。

但是在国内信息安全产品市场，国内企业能够在不同的细分市场中占据领先地位或与国外产品抗衡。

造成产品层面差距的原因除技术差距外，主要在于整个产业的产品转化能力和国际营销能力不足，产业链相关上下游行业的综合实力有待提高。

3.安全服务水平处于领先地位

信息安全所具有的对抗特性、对信息系统的密切关联性、安全技术和产品应用的复杂性等，使得安全服务在整个信息安全领域中占据了非常重要的地位。

信息安全服务通常包括：

信息安全风险评估、信息系统等级保护咨询、信息系统安全方案设计咨询、信息系统安全集成、信息安全工程监理、信息系统安全运维、网络安全应急处理、数据与系统容灾备份、电子认证、信息安全测评、信息安全认证、信息安全培训、电子取证、安全审计等信息安全服务。

安全服务主要依靠人和人的活动来完成，因此信息安全的核心技术可以比较直接地应用于安全服务。

决定安全服务水平高低的是服务整体的产能管理、项目群管理等方面的能力。

我国企业和国际一流企业在安全服务水平，以及从客户能够实际获得的服务价值方面差距并不大，在有些服务门类上，我国企业还能够根据国情为本国企业提供更贴切的优质服务。

三标准化体系与测评认证

“十一五”期间，我国信息安全标准化工作有序推进，初步建立了信息安全标准体系框架，形成了覆盖信息安全基础、技术、管理、测评等领域的支撑国家信息安全保障体系建设的国家标准，信息安全产品认证认可体系逐步完善。

围绕国家信息安全保障体系建设，我国信息安全标准化体系已经取得一定的成果，为国家重大信息化工程和信息安全保障体系建设提供了重要的标准支撑，主要表现在以下方面：

1.标准制定

2010年我国重点推进政府信息系统安全管理、信息安全等级保护实施、信息安全应急与灾备、信息安全产品测评认证、信息安全服务等信息安全保障体系急需的关键标准，2010年发布信息安全国家标准18项。

这些标准为我国信息系统安全等级保护建设整改，涉密信息系统分级保护实施，信息安全产品测评认证，信息安全管理体系建设提供了技术支撑。

表6-92010年完成修订的标准清单

表6-102010年下达的信息安全国家标准制修订计划清单

2.新技术标准研究

按照《国家信息安全标准化“十二五”规划》部署，密切关注云计算、RFID、传感器网络等新技术和物联网、三网融合等新应用的发展，开展新技术新应用标准研究工作，跟踪信息安全技术、标准和产业发展动态，加强技术交流，适时开展新技术新应用安全标准的制定。

以企业为主体，联系行业应用，开展涉密电子文件标志和涉密信息系统安全保密测评，可信计算、电子交易、数字电视等领域密码技术应用，工控SCADA、漏洞分析、信息安全等级保护测评与整改，政府网站与互联网接入、终端计算机配置，大规模复杂网络安全、移动支付安全、IC卡安全、信息安全产品测评，公钥密码基础设施，互联网络业务防护和安全管控，信息安全管理等相关标准的研制。

3.国际交流

我国参加了2010年4月在马来西亚召开的ISO/IECJTC1SC27工作组会议，跟踪了解国际标准化情况，推进我国《信息安全管理体系（ISMS）审核指南》和《引入在线可信第三方的鉴别机制》等国际标准提案进展。

2010年6月，由我国提出的《引入在线可信第三方的鉴别机制》正式成为国际标准ISO/IEC9798-3。

TEPA（三元对等鉴别，简称虎符）是我国在信息安全领域的