网络安全商业模式分析

在进入正题之前，我们先来聊聊“创新”。一直以来一谈到创新，我们的第一反应是技术创新，谈及商业模式创新的寥寥无几。美国管理协会的一项研究表明，全球企业在新商业模式的开发上的投入在创新总投资比例不超过10%。一项新技术的经济价值是隐性的，需要通过某种形式的商业化来显现。同样一项技术选择不同的商业化路径，结果可能大相径庭。最近几年，全球网络安全行业高速发展，技术创新成果显著。国内也与国际前沿接轨，新技术的舶来词汇众多。新的初创公司如雨后春笋般生长，几乎每一个新技术领域都有一家或多家企业与之对应。然而国内企业级网络安全市场延续了近二十年的“卖盒子”的商业模式却没有太大改变。今天我们一起来探讨一下网络安全的商业模式。这个话题比较大，我也在琢磨过程中，一点浅薄理解权当抛砖引玉吧。

关于商业模式

    商业模式这个词儿经常被提及，但如果究其定义，大家会发现没那么简单，而且众说纷云。有人把商业模式直观简单的定义为企业赚钱的方式，也有人把商业模式狭义理解为盈利模式。我个人比较认同的一种说法是“商业模式是利益相关者的交易结构”。关于商业模式的分析方法，也是流派众多。我们研究商业模式的目的是深入理解一家企业，所以不必过于纠结定义和流派，可以集众家之所长来为我们分析企业所用。我在做商业模式分析时，经常参考的思考框架有两种：一个是商业画布。这是一款简单便捷的商业模式分析工具，在互联网领域比较流行，能够帮助我们快速梳理企业的商业模式。

    另一个是魏朱商业模式结构，利用这个工具可以从定位、业务系统、盈利模式、关键资源能力、自由现金流结构以及企业价值六个角度来分析企业的商业模式。相比于商业画布，这个分析方法要更理论化一些，好处在于适用范围也更广泛。

一个例子

    十年前，360的商业模式创新一举打败了众多传统的杀毒企业，在改变了行业格局的同时也对中国2C网络安全市场产生了深远的影响。下面是360与瑞星商业模式的简要分析，我们可以感受到商业模式变革的力量。

浅析国内网安企业商业模式

    对于企业级安全市场，商业模式创新也同样重要。过去五年，国内网络安全产业迅猛发展，市场规模快速放大，但很多人却感觉生意越来越难做，这是为什么呢？在市场需求放大的同时，业内企业快速扩大产能规模和营销覆盖，高涨的创业热情让行业玩家也迅速增多，竞争加剧也就不足为奇了。当多家企业在同一块细分市场展开竞争时，价格战在所难免，这就导致了业务利润越来越薄。当低价中标成为常态时，企业的净资产收益率和企业投资价值递减。很多行业内的企业的产品和服务，定位，业务系统，组织结构和功能，投资模式，成本结构以及营销模式趋同，盈利模式几乎无差异。这个问题也是行业内企业面临的共同问题。国内企业级网络安全公司几种常见商业模式比较，请参见下表。

    需要说明的是，以上几种商业模式的界限并不是很清晰，有的产品型公司也会做少量集成与服务业务，服务型的厂商也会有少量的自研产品。按照这种分类方法判断企业业务类型时，毛利率是一项重要指标。综合毛利率越高，自研产品销售越多；反之，综合毛利率越低，自研产品销售越少。目前国内综合型厂商有十家左右，这些营销网络遍布全国，产品领域也几乎全覆盖。加之，在细分领域的也有产品型或服务型厂商参与，每一个细分领域的项目潜在竞争者少则十几家，多则几十家，这可能就是市场竞争激烈的主要原因之一。有意思的是，大家应对这个问题的办法也趋同，就是通过扩大市场覆盖和销售人员规模来挖掘更多的项目机会。国内大多数客户对安全的理解有限，产品或方案的选择能力缺失或只是为了应对监管要求，所以竞争中销售的能力成为了赢单的关键因素。正因如此，各家企业选择通过加强市场营销的策略也就好理解了。只是蛋糕就那么大，虽然蛋糕还在不断的增长，但各家采用同样的方法去抢蛋糕，今天你多抢了点，明天他多抢了点，最后来看其实大家吃到的都差不多，都是行业增长的那部分。这样的市场环境下很容易形成马太效应，创业企业从众多竞争者的夹击中突围还是挺有难度的。对于创业企业来说，只在技术层面上创新是不够的，需要在商业模式创新上也有更多的思考。如果创业方向的技术壁垒不足够高，上市的企业可以通过并购或投入自研的方式快速切入该细分市场，加剧该领域的竞争。对于企业级安全创业企业来说，如果商业模式上没有创新，很难成为高成长性的独角兽。

国内 vs 国际

    为了更好的理解网络安全这门儿生意，我们也要了解一下国际知名网络安全公司的商业模式。然后再尝试与国内企业的商业模式进行对比，找到差异并分析原因，看看有什么值得借鉴的地方。下表为三家国外网络安全公司商业模式的简要分析。

    大家注意一下“订阅（subscrpition）”这一项业务，这项在国外网络安全厂商营收构成中占重要位置，但在国内安全厂商的财务报表中很少被提及。订阅服务是什么？PaloAlto Networks的订阅服务包括：Threat Prevention Subscription、URL Filtering Subscription和WildFire Subscription等。这一项在国内通常被称为升级服务，但普遍占比较低，多数厂商将这项收入计算到对应的产品收入中。这就是国内外网络安全公司盈利模式的最大差异。国外这种“产品+订阅”的模式是典型的“剃须刀+刀片”模型，通过降低主业利润锁定客户，使新的竞争者无法轻易进入，再关联产品、衍生品和延伸服务赚取利润。这样能够有效避免恶性竞争，获得可持续增长的稳定收入。而国内厂商多数还维持着“卖盒子”这种传统的产品销售模式，虽然产品中也有对应功能模块的升级服务。“剃须刀+刀片”模式不难理解，其实大家也都想效仿国外厂商的这种盈利模式，要么也不会在报价表中列出升级服务这一项。但这招儿在国内似乎不太管用，我认为有几个原因：一是与客户的购买习惯，预算机制，采购模式有很大关系。二是低价竞争的结果。A将升级服务单独报价，B则免费赠送升级服务且总价也低。三是升级服务的价值没有体现，一开启这类升级功能后，on-line部署时可能会导致设备性能骤降，网络不可用。久而久之客户就会认为升级服务这项功能就算白送也不会用，更不要说还要收费了。那么升级服务是否有用呢？笔者的回答是肯定的。对于网络安全很多需要升级服务的产品来说，不升级的网络安全产品等同与废铁一块，几乎起不到安全防护的作用。我在选购网络安全产品之前，会到公司的官网上去看看，看看升级服务的更新频率和更新说明，长时间不更新规则库的产品就不会考虑了。

    在国内还停留在传统商业模式的时候，国外的安全厂商已经从“产品+订阅”模式逐渐向“Security-as-a-Service”的云服务模式迁移。我们可以看到PaloAlto Networks去年发布的GlobleProtect是一种云服务，Fireeye的ETP和Fireeye-as-a-Sevice也是云服务。Qualys的所有业务都在云平台上，将各个功能模块以云服务方式提供给客户。这里需要注意，并不是说“云服务”就比“产品+订阅”更高级，这种迁移也是有原因的。在国外公有云市场快速发展，很多企业将业务迁移到云端，传统的on-premise部署方式的应用场景越来越少。在可预见的未来，硬件形态的产品销量下降几乎是确定性事件，所以很多企业提供了能在云上部署的安全产品或提供安全云服务。企业只是根据自己的客户特点和业务迁移上云的方式来提供不同形态的产品或服务，并定义对应的商业模式。在国内云安全也是热点领域，很多创业企业选择了这条跑道，希望在云计算市场的快速发展过程中取得高速增长。目前国内以云服务形式交付的厂商也比较多，主要集中在DDoS防御、WAF、身份认证和日志这几个细分领域。在云基础设施安全方面，有CWPP、Micro-segmentation、CASB等热点创业领域。我比较看好云安全的发展前景，只是需要根据中国云计算市场发展特点和发展节奏，结合自身的技术和资源积累来找到合适的商业模式。简单的复制国际上对标公司的商业模式效果可能不会很好，而且可能会带来非常大的商业风险。

    大家需要注意的另一个词是“全球”，这反映了一个定位问题。我们可以看到，例子中的三家国际化公司几乎是面向全球客户提供产品和服务，在一个八九百亿美金规模的大市场中竞争。反观国内网络安全很少有企业定位在全球市场，几乎所有企业都扎堆儿在400亿人民币规模的小市场中展开竞争，拥挤和踩踏在所难免。定位全球还是全国？这一字之差就失去了一个价值5000亿人民币规模的潜在市场。这两年，国内也有几家企业在年报的战略分析章节提到了要开拓国际市场，我们能够看到这些企业的国际化的视野和走出去的意愿。16年绿盟海外收入9300万人民币，深信服3700万人民币。由于文化差异、商业习惯、市场环境和竞争对手能力等多方面差异，网络安全企业海外市场拓展工作确实很有难度的。目前，海外收入的规模还比较小，说明国内网络安全企业普遍缺少全球化经营的能力。简单难以体现价值，能做别人做不了的工作是一家企业的最大价值。从另一角度来说，在相对开放的市场环境中参与竞争能有机会深入了解国际领先的产品技术，当我们发展和赶超国际友商的时候，中国整体网络安全能力和技术也就领先全球了。当视野开阔，产品技术能力提升，整个行业的商业环境必然会得到改善。竞争中就不会再使用“拼关系、拼资质、拼接口”这样低级的商业竞争手段，而是把关注的重心网络安全产品、技术和服务的价值。

总结

看懂一家公司最重要的就是理解他们的商业模式。看了这么多国内网络安全企业，始终感觉大家在商业模式上缺少一些思考和创新。可能是这个生意大家都这么做，那我也这么做，这样的风险更小或是不愿意走出舒适区来革自己的命。上面的商业模式分析比较浅层，其实商业模式中包含的关键要素有很多，只要改变其中的任何一个环节，商业模式就会产生变化或升级。云大移物智的快速发展，不但让网络安全技术的应用场景变得更加丰富，放大网络安全市场，同时也在悄然的孕育着新的商业模式。网络安全保险、管理安全服务和威胁情报等概念在商业模式上就显著有别于行业内传统的商业模式，至于能不能成功还要看落地与执行。最后，希望企业能够在网络安全行业高速发展的今天找到适合自己商业模式，好好享受产业发展所带来的红利。

结束语：

有魅力，因为与众不同，思考商业模式可以发现企业独特的美。