今天是愚人节，考虑到咱们的IT工作者们平时已经过的够苦X了，所以这次咱聊点轻松的话题：说，为什么照比于美国的公司，咱们中国的公司更容易被攻击者“拿下”？

之所以想聊这个话题起因于刚刚参加的一次由国内某领先厂商举办的安全技术沙龙，援引当天一位IDC中国分析师的说法，中国的公司之所以更容易被黑是因为过多采用开源，而美国的公司则大多采用商用系统，相比之下，寻找漏洞没那么容易，要黑起来自然更费事一些。

这种解释简单粗暴，但任谁听了想必都会有如此的内心戏：他说的好有道理，我竟无言以对。当然，也肯定有笔者这种愿意再进一步思考和总结的，于是今次我们从三个角度来细致地八一八为什么中国的公司更容易被黑。

用户角度：你能承受的“失败成本”是多少？

可以说安全意识是个老生常谈的话题，随着近几年国家对安全越发重视（将网络安全提升至国家战略高度种种），人们的安全意识确有加强，然而落实到企业在对安全的投资上则立马就不那么明显了。客观上讲，企业也很无奈，因为安全本身就是一个相对的概念，没有被攻击，就都是安全的，用“不进棺材不落泪”来形容安全在企业中的地位一点不为过。从用户角度来讲，就是看你能承受的“失败成本”是多少，只有那些对“失败”零容忍的机构（政府、金融等）才会对安全投资特别敏感和用心。

除却之前提到的中国公司偏爱开源自带潜在危险外，攻击形势也由以往的已知漏洞转向未知威胁，针对未知威胁，国内探索的解决方案大致呈三种细分形态：第一种是针对网络端进行的防御，其二是针对端点的检测，第三是结合大数据分析的内部分析。尽管关于未知威胁的种种探讨非常热门，但真正落地下来用户可以使用的方案可以说凤毛麟角，且鉴于对国家安全的考量，外企即便有更先进的方案中国公司也是“想用而无门”罢了。

厂商角度：什么才是做安全的正确姿势？

再来看厂商，这个在安全方面更有活力也更具话语权的群体。国内外厂商做安全呈现的状态明显不同。在美国，无论老牌还是初创安全公司都比较专注和单一，有做沙箱的，有做下一代防火墙的等等，然后专注不同领域的公司合作起来，一同为用户提供多种防御，这是一种良性的生态环境。而国内安全市场则竞争非常激烈，厂商都在做一体化的方案以保持用户粘性，往往陷入价格战的恶意竞争。

当然，也不能一竿子拍死，近年来国内的安全厂商也开始由竞争走向联合和协作，这里也包括技术上的联合，常见的我们看到友商间开始共享威胁情报。因为安全是个非常大的课题，单靠单一厂商的设备和服务是无法为企业实现绝对保护的。我们说厂商间的协作也只是联合大家的能力来缓解攻击，想要完全解决，这一点无论是国内外厂商都尚有很长的距离要走。

市场角度：安全硬件仍是主力 云安全起步晚了n个段数

安全意识和能力在市场这张晴雨表上体现的特别明显。全球市场是安全软件和服务快速增长，中国情况相对特殊，硬件设备增速快，占安全软硬件服务增长一半以上。据IDC的调研数据显示，中国安全软硬件服务复合增长率在20%，美国是7%。在去年，国内是合规比较重要，军队采购非常多，硬件集采占20%，软件在10%左右。

随着基础设施云化、软件化，安全也要随之发生变化，未来服务和云安全将会迎来跳跃式增长。云安全在国外发展已较为成熟，而在国内则起步较晚，大型互联网厂商牵头做云也只是在以互联网服务来发展用户，因而初创公司做云安全前景会比较好。云安全因为盘子小今年的增长会呈翻倍状态，协作和云服务将更有益于弥补用户需求和厂商提供间的差距和鸿沟。

我们对比国内外安全发展的不同并非长他人志气灭自己威风，而是希望通过对比，学习他人的优势来弥补自身发展的不足。且安全作为特殊的领域，遇上IT重塑产业的“互联网+”时代，我们希望看到更多金钱以外的东西，更重要的是维护“科技改变生活”的初心。