Rule of 40（40法则）是一种常用来衡量软件和互联网公司综合绩效的指标，通过将公司的增长率和利润率相加来评估其整体表现。如果这个总和达到或超过40%，则被认为是良好的绩效标准。这个规则提供了一个简单的框架，帮助投资者和管理者衡量公司在增长和盈利性之间的平衡。

这是全球第二大网络安全公司 Fortinet 自 2009 年 IPO 以来的历年40 法则数据。 40 法则中增长率指标比较统一，均采用营业收入的同比增长率，但利润率的指标会有些差别，在这里 Fortinet 用的是非通用会计准则的营业利润率，下面对国内网络安全上市公司的分析我们使用“经营活动产生的现金流量净额/营业收入”，更能反映公司的经营质量。

图表的横坐标是“营业收入同比增速”，纵坐标是“经营活动产生的现金流量净额/营业收入”，对角线以上的区域高于 40 法则，以下的区域低于 40 法则。

我们可以用 30%收入增速的竖线进一步将图表分割为四个区域：

• 右上角的绿色：高于 40 法则，收入增速大于 30%；

• 右下角的黄色：低于 40 法则，收入增速大于 30%；

• 左上角的白色：高于 40 法则，收入增速小于 30%；

• 左下角的棕色：低于 40 法则，收入增速小于 30%。

通常来说，年轻、增长较快的公司位于黄区，而一流的公司位于绿区。表现出色的老牌公司占据白区，而那些不符合“40规则”且增长缓慢的公司则会降至棕区。

ok，我们上数据！

先从 2020 年开始，符合“40 规则”的网络安全上市公司有 11 家。

• 右上角的绿区 6 家，按指标排列依次是永信至诚、中孚信息、 盛邦安全、安恒信息、信安世纪和三未信安，表现最为优异。

• 左上角的白区有 5 家公司，分别是格尔软件、迪普科技、绿盟科技、深信服、英方软件，发展较为稳健。

• 右下角的黄区仅有 1 家公司——奇安信，符合“不计代价追求增长”的逻辑。

到 2021 年，数据点的整体分布向左下压缩，符合“40 法则”的网络安全上市公司减少到 8 家。

• 右上角的绿区 5 家，安博通、吉大正元、盛邦安全、三未信安、纬德信息。

• 左上角的白区有 3 家公司，迪普科技、电科网安和信安世纪。

• 右下角的黄区增加到 4 家公司，依次是奇安信、山石网科、安恒信息和格尔软件。

其中安恒信息和格尔软件追求规模增速从 40 法则线上掉到了线下。

到了 2022 年，图表就很难看了，所有公司都落到了 40 法则以下，且全部处于左下角的棕区。

离 40 法则线最近的 7 家公司依次是信安世纪、电科网安、三未信安、盛邦安全、英方软件、深信服和迪普科技。

回看 2020 年图表，仅有奇安信和北信源位于图表的下半部分，整个行业经营现金流充沛，欣欣向荣。之后这两年所有数据点都在往左下方移动。

等到 4 月底我们再更新 2023 年的数据，期望能有些亮点。

整体数据集如下：