SaaS订阅模式可使企业能够“无需拥有IT资产，而更灵活和低成本使用服务“。将安全以SaaS订阅服务的模式进行交付下，安全厂商将自己的安全产品部署到公有云的服务器上，企业如果需要相应的能力，直接购买、配置即可。企业将获得安全能力，而不需要在本地部署硬件产品。

       2015年，中国开始出现SaaS订阅模式，有效降低了企业信息化的成本。疫情的的影响更是推动了这一模式在国内的发展，例如腾讯会议、CRM系统等。还比研究院将SaaS分为六条大赛道，分别是经营管理业务类、办公沟通工具类、业务流程外包类、数据分析服务类、信息安全服务类、垂直行业专用类。

       相较于信息化领域，虽然信息安全领域的SaaS订阅服务化也一直在进行引导，但从实际的落地层面，用户的采购意图却不强。根据《2022 中国SaaS市场研究及选型评估报告》显示，2022年，我国信息安全类SaaS市场规模在40亿元左右，相较于网络安全千亿市场，仅占比不到5%。这个原因可以从外部环境、用户需求、产业能力和技术现状四个维度进行分析。

从外部环境看，SaaS模式在中国部署实施程度较低。

从企业管理、对SaaS认知、SaaS产品本身等多方面因素让国内外的SaaS发展走了两条截然不同的路线。通过对比中美之间SaaS在所有云服务中的占比可以发现，美国对SaaS服务的使用程度远高过中国。艾瑞咨询数据显示，2021年中国企业级SaaS市场规模为728亿元，同比增速由2020年的48.7%下降到35.2%，预计2022年，SaaS行业的增速将首次下滑至10%以下。

首先从企业管理上，我国信息化需求的集中在政府、央企、国企等大型机构中，他们在考虑信息化建设时，成本意识低于私有企业。他们更考虑系统的稳定性、安全性，以及对采购产品的管理。而美国的信息化需求多为私有企业，这些企业会将控制成为作为信息化考量的重要依据。

其次，从对SaaS的认知上，国内外对“服务”模式的理解不同。国外用户不注重获取的产品的形态，可以是硬件，也可以是软件，还可以是一种服务。而在国内，用户更喜欢将产品具象成一个有形的东西，因此硬件能够获得更多的青睐。

最后，从产品上看，国内SaaS产品鲜少能够满足用户的需求。在国外SaaS这一产品是需求催生的产物，因此能紧跟用户需求的变化。而在国内，SaaS则是理念跟随和资本推动的产物。在产品设计脱离了用户，而转向迎合资本后，直接导致市场不认可，订单数量和跟单数量远不如国外。

因此在当前阶段，SaaS能力部署程度还有待提高。

从需求方角度看，SaaS服务的需求方与安全需求方不符。

具备安全意识和安全投入能力的客户通常为中大型信息系统运营者，而SaaS模式的受众通常为基础投入不足的小型信息系统运营者，这两种客户之间存在着代沟。

SaaS化的出现为中小型企业的快速信息化提供了可能，这些企业更愿意将投入放在能够直接提升自己的业务营收的工作上。对于这些企业来讲，将钱投入信息化也是为了提高管理效率上。这些中小型企业甚至可能没有合规需求，更不会有安全投入意识。

而安全的甲方还集中于中大型政企客户中，这些企业通常会有专门的安全预算。由于甲方理念或者管理要求大多还停留在“盒子”时代，对于甲方的安全人员来讲，以SaaS订阅模式的安全项目很难成功立项，或者需要较大的时间成本去跟领导解释沟通为什么需要采用SaaS化赋能，这让SaaS这一模式在甲方内部难以落地。因此这些甲方用户依旧选择部署硬件的方式，而非选择以服务的方式购买。

SaaS化定位的目标群体和安全厂商的目标用户之间的错位导致了这一模式市场需求的局限。

       从供方角度看，能够提供优质SaaS订阅模式安全赋能的厂商数量有限。

SaaS化安全服务供应商门槛高，其直接原因就是成本问题。虽然SaaS化安全赋能能够减少用户的成本，但SaaS供应商在进行SaaS平台建设时，需要高昂的建设成本。对于安全企业，这一模式是早期投入大，回报周期长的一项工作。因此在信息安全领域，SaaS订阅模式的供给者可分为两大类：云基础设施提供者和传统信息安全大厂。

云基础设施提供者本身就具备云平台，因此只将安全作为一个能力输出点。但相较于更赚钱的其它SaaS服务领域，信息安全类服务盈利能力小，因此这些基础设施提供企业不会将安全服务作为重要发展方向。

传统信息安全大厂几乎都涉猎了SaaS订阅服务平台，也有自身的基础设施，但额外建设云平台的成本高昂，固有监管、政府、金融等大客户又难以转型成为SaaS化服务的采购者，因此在收入上也并不理想。

新兴的信息安全厂商没有足够的资金构建自己的SaaS平台和云OS，只能借助于云基础设施厂商进行销售。而这些云基础设施厂商本身也是安全能力的输出者，如果这些新兴厂商的能力云基础设施厂商具备，那这种竞品关系很难让有能力的新兴信息安全厂商获得支持；如果这些新兴厂商的能力云基础设施厂商不具备，那这些新兴厂商终究难逃被并购或能力被复刻的命运。

无论云基础设施提供者、传统信息安全大厂亦或是新兴的信息安全厂商，都没有或者不能将SaaS订阅模式的安全赋能作为发展的主要方向。而供方的紧缩也无法支撑大规模的SaaS订阅模式的安全赋能市场增长。

从技术角度看，SaaS化安全服务不适用于所有的安全产品。

WAF、抗D等安全产品或技术与流量监测分析、云有着天然千丝万缕的关系。这些产品与外网有直接联系，因此在大部分情况下，仅需要进行网络牵引就可以通过云化进行交付形态的改变。另一类产品例如SWG、CASB等，为云应用提供了安全防护，这类产品天然适用于以SaaS化服务形态进行交付。还有一类产品例如威胁情报，其本身提供知识支撑，也较易于云化部署。

而当前，网络安全市场中重要的阻断类产品、审计类产品、终端安全类产品则难以通过云化的方式部署。一方面，这些产品如果通过云化的方式部署需要大量的带宽，造成成本的增加。而另一方面这些产品是针对物理设备防护的，对部署的物理位置要求较高，本地化部署既简单也便捷。

现阶段，网络安全市场中针对物理设备防护的产品还占据主流，短期内也无法改变这一现象，因此从技术角度看，能够以SaaS化交付安全产品无法占到高份额。

从宏观、中观、微观的角度进行分析后可以看出，在现阶段的客观形势下，SaaS订阅模式的安全赋能在我国发展受阻。特别是疫情影响下，网络安全行业还需要找到快速获得营收增长的方式，因此在短期内布局还要以优势产品、能够形成大订单大合同的产品为主。在网络安全已经从单点化向体系化转变的前提下，以SaaS订阅模式的安全赋能在能力联动上并不具备优势，在快速变现中也并不占优势。

信息技术的发展为这个社会的发展带来新的变革和不确定性，而网络安全作为一种伴生需求，也在顺应着信息化的潮流。根据客观形势分析，我们可以看到当下的五年、十年SaaS订阅模式的安全赋能还荆棘密布。而未来，谁知道呢？

作者：安全牛分析师 王剑桥