“信息安全产业是一个巨大的市场，但该产业的推动力不在供给侧，而是需求侧。”3月17日上午，在2017中国IT市场年会的间隙，中国计算机学会常务理事、启明星辰首席战略官潘柱廷（cso）在接受记者采访时这样说道。
他认为，信息安全产业属于中观产业，区域性特点弱，行业性特点明显，采用宏观的供给侧改革方式进行调控并不合适。
业内普遍认为，在网络强国战略写入“十三五”规划这一大背景下，随着我国首部网络安全法规的出台，将加速网络安全产业的发展。
据了解，2015年，仅各地公安部门破获的相关案件就超过千起，涉案金额超过10亿元。360、阿里、腾讯、百度等公司监测数据显示，网络犯罪黑色产业规模远超外界想象，保守估计整个产业链从业人员超过百万。
但值得注意的是，当前我国在网络安全方面的投入占整个IT产业比重仅为2右，远低于欧美国家10右的水平，意味着这一产业的潜在发展空间将达千亿级别。
“安全产业不是一个低效产能的行业，应该是要被加强的产业。信息安全产业很热闹，但真正的问题，也就是需求侧却没有真正被关注到。监管部门现在应该把注意力放在需求侧，也就是推动模拟威胁，来提升需求，进而带动供给侧的发展。希望大型的基础设施企业、以及像BAT为代表大型企业，能够把模拟性威胁作为常规的产品来采购。”潘柱廷表示，2003年，国务院出台的第27号文件确立了等级保护、风险评估等要求，确立了企业操作系统的安全在行业中的重要地位，这是我国过去在网络信息安全产业上的一次进步，但目前对着互联网的发展，形态已经发生了变化，过去的要求已经无法应付当前的威胁。
“从外部来看，云是不可逆的趋势，内部的服务还涉及SaaS这样的形态，这与2003年时的封闭系统相比，已经有了非常大的变化。”潘柱廷介绍说，“按照2003年提出的合规性要求，只是企业有没有采购某一类的安全产品，有没有安装、是否在运行，而现在的安全威胁，安全体系的部署和投入，都是处于静态的、被动的、老旧的状态下，漏洞百出。”
潘柱廷认为，现在甲方岗位上的人，安全岗位的人数不足，对产品的要求、部署等方面都做不到。所以，现在就需要让整个系统运转起来，但原来的安全检查已经不适用，模拟攻击的方式才能提早完成有效性反馈。
“应该加强攻击性监测成为常态下的对抗检验，这样一来，当真正的共计来临时，已经完成了多轮的防备。信心安全产业的价值来自于需求和攻击，尽早模拟出需求能够有效保证供给侧做出合理的调整。”潘柱廷建议，结构性需求的主力应该是大型企业和基础设施机构，这就会带动中小型企业通过接受相关服务服务参与进来，在其中，监管部门应发挥带头鼓励、明令要求的作用。
“网络安全聚集于北上广的形态，当需求侧提升时，相关的人才就会逐渐涌向中部、西部的二三线城市，也会从乙方单位逐渐向甲方单位扩散，增加的就业的同时，带动经济增长。”潘柱廷说。
