解读IDaaS:云原生时代下的百亿美元市场

关注
随着业务上云、生态协作、多云混合等场景涌现,过往以防火墙为边界的身份与访问控制遭遇了新的挑战。

编者按:本文为专栏作者云岫资本企业服务组授权创业邦发表,作者吴晓婷,关若琳。版权归原作者所有。

万豪酒店客户信息泄露、微盟系统数据遭破坏……近年来,大型企业的数字安全事故频发,企业对于信息安全也越来越重视,甚至纷纷设立首席信息安全官(CISO)。然而,随着业务上云、生态协作、多云混合等场景涌现,过往以防火墙为边界的身份与访问控制遭遇了新的挑战。

如何打通云上与本地系统的身份体系,对内部员工和外部合作伙伴的账号、权限、行为进行统一管控?如何打破企业多个业务应用的数据孤岛,建立全面的身份画像,为用户提供更为顺畅和精准的服务?这些将成为新的安全需求。

本期「云岫研究」,我们总结分析了身份即服务(Identity as Service,简称IDaaS)的市场潜力、竞争格局,探究云原生时代下,身份安全管理的趋势与前景。

行业概览

(一)诞生背景:IT整体环境的变化,催生了基于云原生安全的统一身份管理需求

1)IT架构发生根源性的变化,本地化的身份管理与访问控制(Identity and Access Management,简称IAM)方案已难以满足当前需求:

随着移动互联、IOT设备的普及,大量的设备接入让企业的身份信任边界外扩,传统的内外网分离。

2)随着企业SaaS服务的发展,大量服务认证凭据无法得到统一、有效的管理:

企业网盘、钉钉等企业SaaS服务的发力,意味着越来越多的企业工作流、数据流和身份都到了外部,而非固定在原本的隔离环境中。

3)多云进一步深化,降本增效需求迫切:

企业数据库从IDC迁移到云上,导致防护环境发生变化。云计算的浪潮下,越来越多的企业选择全站上云50%业务上云。多应用、混合云的环境,给企业带来沉重的管理负担——企业IT管理员需要维护每个员工在不同系统之间的账号信息,并做日志审计和授权管理。当使用企业内部AD域账号访问外部系统,以及外部系统需要通过VPN登录到内部AD域的时候,员工需要维护复杂的账户密码体系。

(二)行业属性:通过对人、终端和系统都进行识别、访问控制、跟踪,实现全面的身份化

IAM:IAM是一个企业内部身份权限的管理方案,核心思想是以人的数字身份(如账号)为切入点,打通信息孤岛,连接各种应用,对用户访问不同类型的应用系统的行为和权限进行账号管理(Account)、认证管理(Authentication)、授权管理(Authorization)和审计管理(Audit)。

IDaaS:IDaaS是将身份管理作为一项专门服务,基于云端的IAM能够同时管理SaaS应用和内部应用。

与传统IAM相比,IDaaS的重要性体现在:

1)适配性更强:部署方式上,传统IAM仅支持私有化部署,而IDaaS支持混合云部署;租户模式上,传统IAM仅支持单租户模式,而IDaaS在此基础上增加了多租户模式;

2)性能更强:可处理更大规模、更复杂的数据;

3)安全性更强:能保护企业及其用户免受数据泄露风险。

(三)选择IDaaS解决方案的八个核心要素

IDaaS解决方案使得客户可以集中化访问所有重要业务,但任何停机/掉线都将导致组织的重大业务中断,因此企业需根据特定维度谨慎评估与选择合适的IDaaS产品。

判断一款好的IDaaS产品,主要在于八个核心要素:

1) 足够安全:安全是所有因素的核心,具有最高的优先级别;

2)具备良好的“开箱即用”能力:IDaaS解决方案在前瞻性方面应该具有灵活性,以应用到任何类型的IT基础设施;同时IDaaS需提供良好的开发/集成模式,便于与任意的其他应用程序及解决方案进行集成;

3)支持与现有用户目录存储的集成:无论是在内部部署还是在云端,IDaaS解决方案都需要以“最小中断的目标”去支持员工的信息记录系统,例如人力资源系统或活动目录,这样才能确保该解决方案的快速部署和在时间方面的优势价值;

4)提供单点登录(Single Sign On,简称SSO)的体验和关键用户接入的管理能力:IDaaS解决方案应该对广泛的SSO技术提供灵活的支持,例如安全声明标记语言(SAML)、OpenID连接、活动目录联合服务(ADFS)及其它技术,这将保证能与各类企业级应用的集成;

5)支持智能的安全认证策略:IDaaS解决方案应该提供一种智能化认证机制,以应对各种应用的风险状况,并可以检测到各种可疑的访问情况;此外,IDaaS解决方案应支持多种安全认证方式,包括但不限于软件和硬件令牌、终端证书、生物识别等;

6)提供自动化的用户行为跟踪和审计:IDaaS是否能够实现全面的行为审计,跟踪用户的每一次登录和访问行为,是我们要考察的另外一个重要因素。因为对企业管理者而言,审计永远是安全的最后一道屏障,无法审计的访问,永远不是真正的安全;

7)提供一种统一且集中化的体验:对用户来说,一个统一且易用的门户将极大地提升使用体验;对管理员来说,一个统一集中化的身份管理平台,能节约大量时间,成倍提高效率;

8)使用成本低:IDaaS解决方案的成本,需要被通过一种灵活且简单的授权模式来予以合理的定价。

(四)市场潜力:全球身份安全市场将超百亿美元,数据安全领域迎来爆发

1)云基础设施的投资推动云安全市场的增长。

据Million Insights最新报告显示,2020-2027年全球云安全市场预计将保持14.6%的复合年增长率,2027年全球云安全市场规模或将达到209亿美元。身份和访问管理市场全球安全支出也呈现出逐年增长的趋势。据Gartner数据显示,2017-2019年身份和访问管理安全全球市场支出分别为88.2亿美元、97.7亿美元、105.8亿美元。

图片

2)隐私授权政策加速落地,助推身份安全管理海量需求。

2016年,快速身份在线联盟(FIDO)发布了第二代认证规范,启动了网络身份认证领域的全新标准。我国在《网络安全法》中明确了国家实施网络可信身份战略,支持研究开发安全、方便的电子身份认证技术。2019年,欧盟修订了《通用数据保护条例》(GDPR),对未能保护个人数据安全的组织加大了罚款数额。2020年,作为全球第五大经济体的加州颁布了消费者隐私法案(CCPA)。

图片

竞争格局

国内IDaaS玩家主要分为两类:云计算背景成熟企业,以及云安全创业服务商。

云计算背景成熟企业在IDaaS领域的部署主要聚焦在身份认证环节。其竞争优势为更有力的资源支撑、更丰富的运营经验和更高的知名度。

图片

云安全创业服务商主要是聚焦于IDaaS领域的创业公司,产品实现从云身份的认证管理全场景、全流程打通。其竞争优势为平台的灵活性、独立性与可扩展性。

图片

国外对标公司:

Okta,全球在线身份与访问管理领导者

Okta为美国多云部署及SaaS时代的身份认证管理服务商,成立于2019年。Okta通过兼收并购,快速获得核心技术和人才,将业务由最初的单点登录(SSO)逐渐扩张至IAM全领域,并同时服务于B2E、B2C、B2B全场景与全生命周期。

图片

图片

Okta客户以行业中大型企业为主,收费方式以订阅费为主,近年营收成长性较高。Okta收获了大量客户,渗透至多个垂直化行业中,致力于付费全球大中型客户,包括Adobe、Colorx、MGM Resorts、American Express、Magellan Health等,目前在全球财富2000客户中渗透率超过20%。

公司按照产品数量和终端用户数量向客户收取订阅费,其收入的85%来自于美国本土市场。FY2021 Q2,公司实现收入2亿美元,同比增长43%,客户数量达8,950家。目前,公司市值接近300亿美元,股价自上市以来累计上涨近9倍。

总结与展望

综上,我们对国内IDaaS行业现状及发展前景给出以下观点:

第一,伴随着云计算市场的快速发展及云原生技术的广泛应用,云安全市场正快速增长:

目前,云安全支出占云计算支出比例尚处于较低水平,2020年约为1%,长期来看该比例将提升至5%左右。至2023年,全球市场规模将超百亿美元。此外,国内云安全市场需求旺盛,在新兴云安全技术应用上不断追赶,高速发展可期,疫情也使得企业对云身份管理服务的需求延续。

随着客户需求升温、用户单价提升以及规模效应带来的利润改善,预计国内IDaaS创业企业中独角兽公司的中长期成长性突出。

第二,中国云计算的发展与海外市场还有一定差距,基于云原生的身份认证与管理尚未得到重视。主要原因有两点:

1)中国私有云市场比公有云市场发展更为突出,对安全资源池等私有化部署的安全机制需求较大:

中国的云计算发展是从虚拟化起步,从私有云到公有行业云。通常商用私有云系统是封闭的,缺乏对网络流量按需控制的应用接口。因而,针对这类私有云的安全机制多为基于本地部署的安全资源池;

2)从技术应用上来说,中国对于新兴云安全技术尚处于早期阶段:

一方面,国内缺乏重量级的企业级SaaS,导致市场较小;另一方面,国内的公有云相比私有云、行业云仍较少,因此基于云原生的身份认证与管理尚未得到重视。

第三,对于国内IDaaS创业公司而言,中小企业客群的商业机会较大:

1)从需求角度来看,中小企业对云原生身份管理技术的需求更急迫:

国外云计算基因厂商IDaaS产品的目标客户以行业中大型企业为主,但国内大B过去的业务目前仍多基于私有云部署,预计部署方式的转型时间较长,实施云原生安全的急迫性低。在此背景下,传统IAM产品更加有优势。而反观中小企业,业务上云导致其对IDaaS的潜在需求更大;

2)从供给角度来看,创业基因使得年轻IDaaS服务商更易抢占中小客群市场。

老牌厂商拥有更强大的资源整合能力以及更高的知名度,且可以基于已有产品线增加IDaaS分支,更加容易在IDaaS领域快速获取已有的大B客群。但IDaaS创业服务商拥有模式轻、创新能力强的独特优势,使得企业在快速变化的底层技术大环境中占据主动权,年轻的团队能快适应技术发展的趋势。

第四,产品体验、使用成本是中小企业客群的主要考量因素:

1)产品层面,保证良好用户体验是关键,服务商需要从顾客角度出发,考虑产品的性能、易用性以及服务能力。

产品设计应遵循奥卡姆剃刀原则。身份验证必须让用户易于执行,让IT部门易于部署,因此,IDaaS厂商应关注客户核心诉求,仅保留必要的关键功能,增强产品的易用性;服务模式应以顾问模式为主,持续服务客户从筹备、设计、实施、应用的全流程;

2)收费方式层面,国内IDaaS产品更适用于弹性收费模式。

中小企业对成本敏感,照搬国外主流的订阅模式收费可能会导致客户付费意愿不强,从而引起获客难、客户黏性降低。国内厂商可按照客户的调用次数进行弹性收费。

部分参考资料

[1] 天风证券, 计算机行业专题研究:Okta,三年十倍,美国最大网络安全公司.

[2] 开源证券, 云安全专题报告:网络安全的未来在云端.

本文为专栏作者授权创业邦发表,版权归原作者所有。文章系作者个人观点,不代表创业邦立场,转载请联系原作者。如有任何疑问,请联系editor@cyzone.cn。

反馈
联系我们
推荐订阅