RSA 2021创新沙盒｜Apiiro公司缘何一举夺魁？

为什么这么说呢？下面我们来做一个简单分析：

天时：Solarwind事件爆发，供应链安全需求迫切

有一些创新沙盒的获胜者都有“东风”助力，比如2018年BigID和2020年Security.ai因当年GDPR和CCPA法律出台得到了很大的关注度。而2021年的Solarwind供应链污染，导致18000家机构被攻陷，直接影响大家对软件供应链安全风险的关注度大幅提升，包括开源软件和第三方商业软件的安全性。而Apiiro公司开发的代码风险平台，关注开发者的异常行为，可以有效缓解供应链风险。Apiiro在现场介绍中，还专门给出了一个如何抵御Solarwind安全事件中攻击的案例，最好的营销不过如此。

地利：DevSecOps已是重要赛道，云原生浪潮下安全左移已是趋势

随着敏捷开发模式的成熟和云原生的迅猛发展，DevOps已经成为开发团队常态，而从开发到运营如此长的链条中，安全怎么做始终是一个困难问题。其中涉及到多个团队、多种流程、多种软件协同，Gartner也是连续多年在提DevSecOps。2021年创新沙盒中出现了两家从事DevSecOps的公司，可见这个赛道已经有了足够多的玩家，客户认知和接受度也已经相对成熟。

人和：产品关注风险，CEO临场表现不俗

Apiiro虽然关注代码安全，但并不只是从代码本身入手，而是关注其风险，从服务API对外暴露的风险入手分析开发者的各种行为，这样能够聚焦运营时遇到的真实威胁，也能关注全面的风险，而不是检测到一些无关痛痒的代码问题，这才是客户真正想要的。

此外，可能是因为本届创新沙盒在线上发布的原因，大部分讲者没有到最佳状态。往届很多公司演讲者在阐述时不浪费1秒钟时间，但今年好几家公司演讲时和Q&A环节并没有太多令人印象深刻的地方。反观Apiiro公司CEO Iden却截然相反，对公司情况如数家珍，Q&A环节也是干货满满，讲出了其产品的核心价值和创新点，对比其他家加分不少。

关于Apiiro，最后想说的是：虽然艰难，但应用安全俨然成为一条新赛道，国内有一些初创公司在坚持这个方向，希望它们走得更宽、走得更快、走得更好。

最后分享一下参与本届RSA目前观察到的几大趋势。

疫情期间，大量员工无法正常到企业上班，只能在家通过远程连接企业环境办公；此外，许多企业的IT系统上云，或者采用了企业级SaaS服务举办在线会议、进行在线协作等，因而，针对这种情况RSA的CEO Rohit 在Keynote中提到work-from-anywhere-always将成为主流。后疫情时代，企业将越来越多地采用SDWAN和混合云架构，以及使用云原生的基础设施赋能相关业务。

在这种趋势下，安全创新企业应转向零信任解决驱动的身份管理和访问行为管理，以及采用云原生的安全架构或技术对企业客户进行防护或赋能。

Axis Security公司的核心在于使用代理云的技术实现了零信任的应用访问，虽然创新度不高，但却契合了2021年零信任的热潮。抛开零信任，身份管理也成为了本次创新沙盒涉及最多的领域，包括零信任、反欺诈和混合云都涉及到身份管理，可见其是所有安全能力的基石，其重要程度可能会越来越重要。

云原生已经成为云安全发展的必然趋势，无论是利用云原生赋能安全，还是解决云原生自身安全都被各界热切关注。例如Abnormal Security、Axis Security等公司在构建自己的安全能力时都内置了云原生的技术，使得在秒级、分钟级就能弹性部署安全机制。而Wiz公司则是号称全栈多云，覆盖了虚拟化和云原生安全的各个层面。可以预见未来国外安全企业的方案会越来越多地采用云原生架构，提供新的部署模式；或借助公有云无服务的技术，提供新的交付模式。

数据安全在近几年的创新沙盒中始终占1-2家的比例，往年数据安全主要是对标法律法规，解决亟需的合规性要求，如隐私申明、数据遗忘发现、个人数据关联等。今年数据安全则出现了3家，分散在云上数据安全、数据共享、数据访问控制方向，可见在GDPR、CCPA等合规性压力下，数据安全依然是网络安全的大热门，但创新企业需要做深做强，或者开辟新的细分赛道，才能得到认可。

业界提出“安全左移”口号已经有两年多的时间，近年受供应链和上云趋势的影响，DevOps受到重视。Solarwind事件的重大影响范围也直接引发了大家对供应链安全的关注，云原生的快速发展也加快了企业对DevSecOps的需求，如何保证开发安全则是首先要解决的问题。两家代表性公司中，Apiiro公司关注开发侧的各类风险，倡导与开发流程打通；WABBI公司使用自动化、智能化、平台化技术，使得安全、开发和运营流程融合，通过技术流程的合一，使得安全团队、开发团队和运营团队的合作紧密，则是企业安全运营的重要目标。

当前智能化的安全检测和处置已经成为了行业的主流，但从传统的、单一的维度，很难发现攻击者降维或多维度攻击，例如业务层面的异常是无法从网络或终端侧发现的。

2021年，无论是Axis公司的零信任、Apiiro公司的DevSecOps，还是Deduce公司的反欺诈，都需要基于上下文、人员属性对当前的态势进行持续安全评估，从而补全对应方案所需的安全可视度（visibility）。在所需的额外信息基础上，使用人工智能技术进行动态、全栈的安全评估，因而AI成为了自适应安全的内在引擎。