企业官网建设流程全解析

简介：高德纳（Gartner）发布的《2025年中国网络安全成熟度曲线》报告，围绕保护人工智能、推动业务转型和增强组织韧性三大重心展开，面向首席信息安全官、首席信息官及安全风险管理者。报告基于2025年中国数据安全法规强化执行与生成式人工智能采纳率从8%跃升至43%的现实，提出到2027年60%大型企业将在安全运营中心采用暴露管理技术、到2028年60%部署人工智能的企业将采用协作式人工智能防御策略等关键预测。内容系统解析了人工智能信任风险安全管理（AI TRiSM）、人工智能网关、数据安全态势管理（DSPM）、软件成分分析（SCA）、对抗暴露验证（AEV）、零信任网络访问（ZTNA）等技术的定位与取舍。资源为1个PDF文件，压缩包整体1.39MB。已有214人学习下载。阅读者可直接获得高德纳完整分析框架、技术成熟度曲线和监管合规建议，用于优化企业安全投资、完善数据分类与隐私保护，并制定面向未来的人工智能安全战略。

1. 2025年中国网络安全成熟度曲线：一份给选型决策者的地图，不是水晶球

2025年这版中国网络安全成熟度曲线，和往年最大的不同是：安全重心从“合规不出事”变成了“安全能不能撑住业务跑得更快”。报告里的数据很直白，生成式AI在企业里的采用率从2024年的8%蹿到2025年的43%，同时数据安全法规从“立规矩”进入“强执行”阶段。上层的法规压力和下层的技术需求叠在一起，整个安全技术的成熟节奏被明显加速了。这份材料和一份普通年度报告不一样的地方在于：它把几十项安全技术按成熟度位置、市场渗透率、效益等级摆成了一张可对比的选型表，对做技术选型和年度安全规划的人价值很高。适合CISO、CIO、安全架构师、数据安全负责人把它当作战术参考，不适合只想知道“哪个产品最火”的人去泛读。

2. 技术曲线全景：哪些在上坡、哪些到顶、哪些已被替代

2.1 五个新面孔：AI TRiSM、AI网关、DSPM、AEV、EAPs

今年报告里新增了五个创新项，每一个都对应一个具体的落地痛点。

AI TRiSM全称是AI信任、风险与安全管理，它解决的是企业把GenAI接入业务后的失控担忧。2025年初某个国产推理模型发布后，大量企业开始认真评估AI带来的数据泄露、第三方风险和错误输出问题，报告把它推到了炒作顶峰附近。实际选型时要注意，AI TRiSM不是一个单点产品，更像一组治理能力的集合，覆盖模型验证、提示注入防护、异常行为检测和输出合规。

AI网关是另一个值得关注的新增项。企业GenAI应用从实验走向规模化之后，费用失控和内容安全成了两个最头疼的事。多个团队各自接大模型API，密钥散落、用量不明、成本没人说得清。AI网关就是在这个背景下出现的，它提供一个统一入口，集中管API密钥、设限流、追踪用量和成本，还能按策略把请求路由到不同模型。报告把它放在触发期，但它的价值其实很直观，适合已经有大模型应用在跑、开始被账单和管控逼着做整合的团队先关注。

DSPM去年就有讨论，今年正式进了曲线。它解决的是一个很基础但很难回答的问题：你的敏感数据到底存放在哪里、谁会访问、用得是否合规。在混合云和多云环境里，数据散落在各种平台上，加上“影子数据”的存在，绝大多数组织其实答不上这个问题。DSPM的价值是自动发现未知数据、分类标记、评估访问权限并暴露配置风险。报告给的效益等级是转型级，市场渗透率还不到1%，属于早期但天花板很高的品类。

对抗暴露验证AEV和暴露评估平台EAPs是一对，分别替代了BAS和ASM。替代逻辑很简单：安全测试行业的范围变了。以前BAS做的是模拟攻击，看看防御会不会响，现在企业要的是能确认暴露面、指出关键资产攻击路径的验证能力。EAPs同理，传统攻击面管理只告诉你有什么资产有什么漏洞，但不会告诉你先修哪个、怎么修最省力。这两个新品类都指向同一个趋势——从“发现问题”走向“验证问题并指导修复”。

2.2 被替代的旧技术：从模拟到验证，从发现到行动

BAS被AEV替代这件事，值得单独说几句。BAS不是不好用了，而是它的输出形态满足不了现在的场景。国内每次攻防演练期间，安全团队被要求的不只是“检测到攻击”，还要能证明“这条路径真的能打到核心资产”，以及“修复后这条路径确实堵住了”。AEV在模拟攻击的基础上增加了暴露确认和路径分析，输出的是一份可执行的验证报告，而不只是一堆告警。从采购角度看，已经在用BAS的组织不用急着推翻，可以先把AEV作为增量能力引入，逐步过渡。

ASM到EAPs的迁移也是同样的逻辑。ASM的产出是资产清单和漏洞列表，但安全团队真正缺的是优先级判断。EAPs在统一平台里把漏洞、错误配置、暴露路径汇总，按可利用性和业务影响排序。报告里提到EAPs已经走到炒作顶峰，这意味着市场预期很高，但实际落地时产品和宣传的差距要仔细验证。选型时重点看它的排序算法是否透明、能否跟你现有的漏洞管理流程打通。

2.3 移动最快的技术：网络安全AI助手和SCA

报告里明确点了两个移动速度最快的技术：网络安全AI助手和软件成分分析SCA。

网络安全AI助手走热的原因很实际。SOC里最耗时的活儿是告警研判和知识检索，AI助手能做知识摘要、辅助告警分析、生成处理脚本，甚至跨工具编排动作。国内GenAI试点已经铺开，安全团队手里有大模型资源可用，这类助手就成了最快能见效的AI落地场景。但注意，目前这类助手多数还是“副驾驶”定位，遇到复杂攻击链还是得靠人兜底，别把它当自动化处置引擎来考核。

SCA的提速则和供应链安全直接挂钩。大模型应用和数字化系统大量引入开源模型、第三方组件，版本迭代快，漏洞和许可证问题都在快速增长。SCA的价值在于把安全检测往前移到开发阶段，让问题在进入生产前就被发现。早期引入SCA的组织，在开发延迟和合规信任上的收益比事后补漏洞明显得多。选型时除了看漏洞库覆盖度，还要看它对AI相关组件（比如Python包、模型依赖库）的识别能力。

2.4 优先级矩阵怎么读：效益等级与成熟年限的交叉判断

报告里的优先级矩阵提供了两个维度的交叉信息：效益等级（转型级、高级、中等级）和预计成熟年限（两到五年、五到十年）。这张表比曲线本身更适合用来做中期规划，因为曲线告诉你的是技术热度，矩阵告诉你的是回报节奏。

读矩阵有几个原则。两到五年内成熟的技术，属于当前就该开始规划和试点的一批，因为它们能在这届任期或本年度预算周期内看到收益，比如隐私保护、AI TRiSM、ZTNA、SASE。五年以上才成熟的，比如部分AI基础设施相关技术，适合放在观察清单里，先保持追踪，不必急着投入资源。2025年这份矩阵里，只有数据分类和SIEM被认为会在两年内达到主流采用，这跟它们已经进入产品能力收敛期直接相关。

注意：曲线上的位置不代表技术好坏，只代表市场预期和采用节奏。被动在炒作顶峰的技术，短期炒作和短期采购都要谨慎，别把曲线的纵坐标直接当采购优先级。

3. 两个战略假设：2027年和2028年的安全路线图信号

3.1 假设一：60%大型组织2027年将采用暴露管理

报告给出的第一条战略规划假设是：到2027年，60%的中国大型组织会在安全运营中心采用暴露管理来优化事件响应效率并减少破坏。这个假设里有两个关键词需要拆开理解。

第一个是“暴露管理”而不是“漏洞管理”。漏洞管理关注单个弱点，暴露管理关注攻击者实际可以利用的路径组合。两者最直观的差别是：一个有漏洞列表不等于暴露面可控，攻击者往往通过几个低危漏洞的串联打到核心资产，暴露管理处理的就是这种组合风险。

第二个是“安全运营中心”。这意味着暴露管理不是另起炉灶的新平台，而是要嵌进现有的SIEM和SOC流程里。落地时常见做法是，在SOC里加一条暴露管理流水线：从EAPs持续接收暴露数据，和现有告警关联，按资产重要性做优先级排序，再输出到工单系统。这个链条里，关键不只是买一个平台，而是要把暴露数据变成SOC日常运作的一部分，否则就只是一个躺在角落里的新系统。

对大型组织来说，这条假设的实操含义是：2025到2027年是暴露管理从“可选”到“标配”的过渡窗口。如果所在组织的SOC还在用传统漏洞扫描和人工研判，那么现在开始试点EAPs产品、梳理核心资产攻击路径，是比较合理的节奏。

3.2 假设二：2028年60%AI部署企业采用协作式AI防御

第二条假设更有意思：到2028年，60%在中国部署AI技术的组织会采用协作式AI防御策略，通过整合跨职能团队来应对AI相关的网络安全风险，而当前这个比例只有5%。

5%到60%的差距，说明AI安全目前还处在各自为战的状态。大多数组织的现状是：算法团队管模型，安全团队管网络，合规团队管数据，AI出了安全问题就互相甩锅。协作式AI防御要做的是打破这个隔离，把算法、安全、数据、业务四个角色拉到同一个框架下，共同定义AI系统的风险边界和响应机制。

落地路径可以从一个最小可行的AI安全治理小组开始，小组里至少要有模型开发负责人、应用安全负责人、数据治理负责人各一名。这个小组的第一个任务不是买工具，而是盘点现有AI系统的数据流：训练数据从哪来、模型部署在哪、推理接口向谁开放、输出内容由谁负责审核。把这几条线理清楚，AI安全风险就自然浮出来了。

报告里额外提到，AI TRiSM的采用也受到“企业AI行为和动作是否符合企业意图”这一需求的推动。这句话翻译过来就是：模型能力再强，也不能保证模型的输出和操作始终符合公司的边界。协作式AI防御的本质，就是给AI配一套“组织级的监督机制”，不是纯技术方案，更接近制度设计和流程再造。

3.3 成熟周期里的机会窗：两到五年优先，五到十年跟踪

报告把大部分安全创新技术的成熟周期定在五到十年，包括网络安全AI助手和AI网关。这个判断比较务实。AI助手目前的能力边界很清晰，做辅助可以，做自动处置还不行；AI网关的市场教育也还在早期，多数企业还没被API成本逼到必须上网关的程度。

真正需要重点跟踪的是那些“两到五年成熟”的技术。除了前面提到的暴露管理相关技术，报告中还点到了SASE和SSE。SASE已经在从低谷期往上走，国内企业网络和安全整合的需求在增加，尤其是有分支机构、混合办公场景的组织，网络和安全一体化了以后，运维压力会小很多。SSE则是从顶峰往下走，采用率低于预期，这个参考很重要，它说明光有概念还不够，落地时要看到具体场景才算数。

ZTNA还在加速爬坡，这和零信任架构的整体推进节奏一致。如果你所在组织正在做零信任改造，ZTNA是最容易先落地的部分，优先于微隔离和统一身份治理。零信任强调的是先验证再访问，ZTNA解决的就是这个入口问题。

提示：五年到十年的成熟周期不代表现在什么都不做。正确姿势是：对短期成熟的技术做试点，对长期成熟的技术保持追踪和选型预研，每年复评一次曲线位置，再决定是否升级投入。

4. 数据安全与合规落地：从数据分类到DSPM的实践路径

4.1 数据分类是地基：不懂数据在哪，一切数据安全都是空谈

报告里有一个容易被忽略但非常重要的判断：数据分类已经进入高原期，意思是这项技术已经足够成熟，开始成为安全架构里的一个嵌入式服务，而不是一个独立采购项。数据分类的价值正在通过和DSP、DSPM、DLP这些平台的紧密集成来实现，因为后面这些平台都必须靠持续一致的数据打标才能有效工作。

落地时最常见的错误，是把数据分类当成一次性项目，做完分类打标就结束了。实际运行中，数据是持续产生的，新系统上线、新员工入职、新API接入，都在不断产生新数据。数据分类必须做成持续运行的服务，而不是交给一个独立系统定期扫一次。报告里提到数据分类对合规审计和AI治理的支撑作用，本质上就是因为它提供了数据标签的一致性和可追溯性。

动手实践时，建议从以下三个步骤起步：

• 盘点核心业务系统的数据资产，按敏感等级打标，先做数据库和数据湖里的结构化数据，再做文档和邮件这些非结构化数据。
• 把打标规则和DSP、DLP平台对齐，确保一套标签规则处处生效，避免自建系统的标签规则与平台不一致，导致后续追踪失效。
• 将分类结果纳入定期审计范围，新系统上线时必须走数据分类检查，否则不允许接入生产环境。

注意：2025年1月起生效的《网络数据安全管理条例》对数据分类分级有明确要求，数据分类不再只是技术问题，也是法规遵从的硬性前提。

4.2 DSPM选型：四个必须验的能力维度

DSPM市场还处于胚胎期，产品成熟度参差不齐。选型时建议重点验证四个维度，缺一个都可能在落地时出问题。

数据发现能力。能不能自动发现此前未知的数据资产，尤其是混合云和多云环境里的数据孤岛，以及备份数据、临时文件这类影子数据。让供应商用你们真实的测试环境跑一轮，看它到底能发现多少现有工具没看到的数据。

分类和打标能力。DSPM的分类不能只靠正则表达式匹配关键词，要看它对上下文的理解能力。比如一个包含手机号的字段，在数据库里是明文，在日志文件里是脱敏之后的值，正确的DSPM应该能识别出后者的敏感度低于前者。

访问权限分析能力。报告里特别强调DSPM要评估“谁有访问权”，也就是访问行为追踪。如果一个普通开发账号能访问高敏感性的财务表，DSPM应该能把这个风险暴露出来，而不是只报告数据的存放位置。

与现有流程的集成能力。DSPM发现的配置错误和权限问题，最终要通过工单系统和修复流程去处理。如果它只是一个独立的风险报告工具，不能和SOC和ITSM打通，价值会大打折扣。

我一般会建议把DSPM候选产品放进一个固定的小批量测试：挑一个包含结构化数据和非结构化数据的业务部门，跑两个真实场景，一个是新数据源接入后的自动发现，一个是权限变更后的风险重新评估。这两个场景跑通了，再考虑全量部署。

4.3 零信任架构落地：ZTNA与SASE/SSE的整合节奏

零信任架构在2025年的曲线里依然是推进行列。报告特别指出“对零信任的追求正在增加ZTNA的采用”，另一方面网络安全与网络架构的整合也在明显推进，SASE从低谷往上移动，而SSE因为采用率低于预期正在从顶峰下行。

实际项目里，零信任改造的顺序很容易踩坑。最常见的问题是组织一上来就搞微隔离，把网络切成碎片，结果运维负担剧增，安全收益却不明显。更务实的落地顺序是：先解决远程访问的入口问题，也就是上ZTNA，把内部应用从公网暴露中收回去；然后再做身份治理，统一身份认证和权限管理；最后才考虑微隔离和数据流控制这类精细化管控。

SASE和ZTNA有一个天然的结合点：SASE提供了网络和安全融合的底座，ZTNA是跑在底座上的关键服务之一。如果组织已经有SD-WAN或者正在做网络改造，把ZTNA作为SASE的一个模块引入，比单独部署一套独立的零信任网关要省力得多。但注意国内很多SASE产品在不同区域的接入质量差异较大，样板间环境验证时要把分支节点和海外节点的接入质量分别测一遍。

4.4 合规驱动的数据治理：从法规遵从到AI安全前置

这份曲线报告里反复出现一个因果关系：法规推动数据安全技术采用，AI采用则推动数据安全技术升级。两条线汇聚点就是数据安全平台DSP和DSPM。报告提到，数据安全平台正在从触发期向顶峰移动，原因是数据和AI管线的保护需求在增加。

合规视角下的数据治理落地，要从风险评估开始。按照网络数据安全管理条例的要求，数据处理活动包括向第三方共享数据，都要做风险评估。用DSPM把数据资产的敏感度、位置、访问权限自动映射出来之后，风险评估就不需要靠人工去翻文档了，直接基于DSPM的持续数据输出做判断。这里有一个实践技巧：把DSPM的评估节奏和合规周期绑在一起，每个季度固定出一份数据安全态势报告，年终需要提交合规材料时，直接基于这四份报告汇总，省去临时抱佛脚的痛苦。

AI安全前置是下一阶段的重点。企业要把数据投喂给大模型做训练或者推理时，必须先回答：这批数据是否包含个人信息、商业秘密，是否有权用于模型训练，模型的输出是否会反向泄露训练数据。DSPM提供的数据资产地图可以直接支撑这个评估过程。把AI相关数据使用场景纳入DSPM的监控范围，才能在模型上线前发现数据合规风险，而不是等AI应用跑起来了再补救。

5. 避坑指南：解读曲线报告与落地选型的五个常见问题

5.1 把曲线位置当采购信号：热门技术直接上生产

现象：看到某项技术被评价为高效益或转型级，就急着一到两个季度内采购落地，结果产品能力和预期差距很大，项目烂尾。特别是当技术处于曲线顶峰附近的时期，此时市场预期最高，产品成熟度往往跟不上。

原因：成熟度曲线描述的是市场整体预期，不是单一产品的可用性评估。顶峰位置说明炒作热度高，不代表拿出来就能用于生产。报告本身也在提醒，很多技术要五到十年才成熟。

解决：把曲线位置当作“进入观察清单”的信号，而不是采购指令。技术进入曲线的前两年，先做概念验证和厂商能力评估。第二年根据验证结果决定是否安排预算。对照优先级矩阵，优先处理那些两到五年内会成熟的品类。

5.2 只盯技术趋势，忽略合规触发条件

现象：在做数据安全建设规划时，只按技术热度排序，先上DSPM，再上数据分类，却把法规要求的风险评估放到了最后，导致合规审查时拿不出完整的评估记录。

原因：国内这几年法规密集出台，做技术规划的人往往把合规当成“已有之物”，没有意识到新法规对数据处理活动提出的是持续性的流程要求，而不是一次性的制度文件。

解决：每次安全技术选型之前，先做一轮法规适用性自查，确认组织是否在《网络数据安全管理条例》的适用范围内，是否有跨省数据传输行为，是否涉及个人信息处理。把合规要求作为选型的功能验收项，例如DSPM必须支持按法规要求输出数据资产地图和访问权限报告。

5.3 AI TRiSM的理解范围过窄

现象：团队把AI TRiSM等同于提示注入攻击防护，采购了一个模型防火墙就觉得AI安全做完了，结果数据泄露风险、模型输出偏差、第三方供应链风险依然没人管。

原因：AI TRiSM是个组合概念，覆盖模型生命周期里的信任、风险和治理问题。单点产品只能解决其中一段，比如输入输出过滤，但模型行为是否和公司意图对齐、训练数据是否有权限问题，这些超出单个防护工具的能力范围。

解决：先把AI TRiSM拆成四个域分别评估：模型验证与测试、运行时防护、数据合规校验、组织治理流程。每个域指定负责人，再判断哪些域需要采购工具、哪些域用流程和控制措施解决。建议由安全负责人牵头组一个跨算法与合规的虚拟小组，把这个框架跑起来。

5.4 DSPM选型只看发现能力，不看权限分析

现象：DSPM项目采购完成后，系统确实发现了一批影子数据和未分类的敏感信息，但访问权限分析维度很弱，回答不了“谁能访问这些数据”的问题。结果合规评审时，最关键的访问风险部分还是靠人工补材料。

原因：部分DSPM产品的核心能力停留在数据发现和分类，访问权限分析需要和数据源、身份系统的深度集成，实现成本高，所以有些产品做得浅。

解决：选型时把“访问权限分析”作为独立验收项，要求供应商演示从某个敏感数据源出发，追踪到具体用户和角色的完整路径。如果产品这个环节没做扎实，即使发现能力很强也建议放弃，因为在数据资产地图之后，权限分析和修复指导才是DSPM的核心价值。

5.5 重复建设数据分类系统，标签规则各行其是

现象：不同部门为了解决自己的问题，各自建设了数据分类系统，有的按法规分类、有的按业务分类，结果标签体系不统一，多个平台的分类结果互相矛盾，数据资产地图拼不起来。

原因：数据分类从单点工具变成了被DSP、DSPM、DLP共同依赖的基础服务，但组织没有在早期意识到这一点，让各部门自由建设，导致规则和标准分裂。

解决：把数据分类收敛成一个组织级统一服务。定义一套唯一的分类分级标准，所有平台通过接口调用这套标准，禁止下游平台各自维护一套分类规则。组织层面指定数据治理负责人作为标准唯一所有者，任何新系统接入前都必须通过统一分类服务完成打标。

提示：这五条坑的共同根源都是“把技术当目的，而不是把要解决的问题当目的”。读曲线报告时，先圈出自己要解决的业务问题，再去找对应的技术位置，顺序不要反。

6. 把曲线报告翻译成自家安全路线图：一张三列映射表的用法

报告读完之后最麻烦的一件事，就是怎么把它变成自己组织的年度规划。直接照着优先级矩阵做一份采购清单，颗粒度太粗，因为矩阵里出来的是行业平均水平，不是你的组织现状。我习惯用一张三列映射表，把报告里的技术映射到自己组织的能力差距上。

第一列是技术名称，按报告优先级矩阵里的效益等级排序。第二列是贵组织当前状态，分三层：未使用、试点中、已规模应用。第三列是下一步动作，分四类：观察、验证、试点、扩展。这张表的逻辑很简单：效益等级决定“值不值得做”，当前状态决定“现在该做到哪一步”。对于未使用且效益等级高的技术，比如DSPM，放在“验证”栏；对试点中的技术，比如ZTNA，放在“扩展”栏；对效益中等但成熟周期长的，比如某些AI安全技术，放在“观察”栏，每年复评一次。

动作节奏上，我的习惯是每季度按这张表过一遍，把“验证”里跑出结果的技术升级到“试点”，“试点”里效果明确的升级到“扩展”。去年有一个模拟项目X就是这样做的：年初表里有三项技术处于“验证”状态，到第三季度跑完了两项概念验证，其中一项转入试点，那一次的教训让我意识到，没有哪份报告能替代组织自身的节奏判断，报告给的只有行业信号，自己的业务约束决定最终选择。从那以后我每次拿到新的行业曲线报告，第一周就强制走一遍这张映射表，再进入任何技术讨论。希望帮到你。

本文还有配套的精品资源，点击获取