仅满足用户能使用互联网提供的各种服务的时代已经结束，互联网消费升级时代已经来 临，那就是在满足为用户提供互联网服务的同时一定要重点解决隐私保护问题，让用户 放心使用互联网服务提供商所提供的服务。
离开数据服务谈数据隐私是不完整的，平衡的关键点在于服务所需的数据权利让渡范围。 如何看待打车平台调取用户位置信息的权利和获得的便车服务，便是典型问题。 除互联网厂商外，政务大数据、医疗、金融及其他央企的场景数据安全需求同样旺盛。
没有网络安全就没有国家安全，就没有经济社会稳定运行。“十四五”规划和 2035 年远 景目标纲要明确提出，加强涉及国家利益、商业秘密、个人隐私的数据保护，加快推进 数据安全、个人信息保护等领域基础性立法，强化数据资源全生命周期安全保护。“数字 化时代意味着一切皆可编程，万物均要互联。整个世界将架构在软件之上，有互联网软 件的地方就会存在漏洞，网络基础设施将更加复杂，攻击面将无限扩大。未来的网络安全攻击将呈现高级化、大型化特点，所有的金融战、科技战归根结底都是网络战”。
不论欧盟 GDPR、美国 CCPA 还是国内已经施行的《网络安全法》、《数据安全法》和《个 人信息保护法》，这些立法条文之间至少有两点共通性：
其一，它们均强调隐私保护和数字经济发展兼重、不偏颇一方的观点，也就是明确隐私 权和发展权都极为重要。即便以立法严厉著称的欧盟 GDPR 也在开头专门提到“不得以 保护与处理的个人数据相关的自然人为由，限制或禁止个人数据在欧盟内部的自由流动”；
其二，它们都显示出不能让科技公司以优势地位抢占数据权利定义权的倾向，因为这无 法根除“运动员兼裁判员”的隐患。具体来看，本国的行政和社会力量才是定义本土数 据权利的合适人选：一方面，当数据已然成为数字经济发展的能源时，数据主权的重要 性就不容忽视，无论欧美还是中国的数据权利立法都对数据跨境流通提出了严苛的审批 要求，背后的目的在于确保本国对重要数据的掌握；另一方面，行政和社会力量相较于 商业主体拥有更为超然的地位，它们更有动机和余地从社会整体福利的视角协调隐私保 护和数据使用之间的关系，这样才能确保市场竞争的真正公平和长久发展。
此前已颁布多部法律法规，《个人信息保护法》、《关保条例》、《数据安全法》将一步完善 数据安全要求。如与《网络安全法》相比，仍存在基本法缺位、“数据主权”地位尚未确 立，数据经营难有效监管等问题。“网络安全法”主要是针对网络层面的安全规范，但未 能从数据信息全维度进行规范，相关配套政策文件法律层级低，要求较为分散，难以系 统性解决数据安全保障问题。
《个人信息保护法》围绕规范个人信息处理活动、保障个人信息权益，构建了以“告知 -同意”为核心的个人信息处理规则，亮点如下：
1） 个人信息保护法明确处理个人信息应当在事先充分告知的前提下取得个人同意， 个人信息处理的重要事项发生变更的应当重新向个人告知并取得同意。同时，针 对现实生活中社会反映强烈的一揽子授权、强制同意等问题，个人信息保护法特 别要求，个人信息处理者在处理敏感个人信息、向他人提供或公开个人信息、跨 境转移个人信息等环节应取得个人的单独同意，明确个人信息处理者不得过度收 集个人信息，不得以个人不同意为由拒绝提供产品或者服务，并赋予个人撤回同 意的权利，在个人撤回同意后，个人信息处理者应当停止处理或及时删除其个人 信息。
2） 随着越来越多的企业利用大数据分析、评估消费者的个人特征用于商业营销。有 一些企业通过掌握消费者的经济状况、消费习惯、对价格的敏感程度等信息，对 消费者在交易价格等方面实行歧视性的差别待遇，误导、欺诈消费者。其中，最 典型的就是社会反映突出的“大数据杀熟”“。对此，个人信息保护法明确规定： 个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公 平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。
3） 个人信息保护法将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪 轨迹等信息列为敏感个人信息。个人信息保护法要求，只有在具有特定的目的和 充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息，同时应 当事前进行影响评估，并向个人告知处理的必要性以及对个人权益的影响。
数据作为新型生产要素，应用过程中更强调效率与监管平衡，数据安全已成为此轮互联 网监管核心。1）监管序幕：自 1994 年《信息安全保护条例》拉开网络立法序幕，互联 网作为市场化程度最高的领域，政府保持最低限度的“不干预”政策和最高程度的支持 性政策（产业、税收减免等）；2）鼓励数字赋能：2015 年《国务院关于积极推进“互联 网+”行动的指导意见》，此后数字产业化不断升级，巨头版图涉足电商、金融、云计算、 物流乃至本地生活、体育文娱，互联网几成“生产效率”代名词；3）兼顾效率与安全： 《反垄断法》将互联网行业纳入考量范围，2020 年中央工作经济会议提出防止资本无序 扩张，《数据安全法》及《隐私法》等政策实施在即，用户隐私安全意识加强，互联网厂 商数据安全自发性需求迫切。
根据中国信通院 2019 年 12 月发布的《移动应用（App）数据安全与个人信息保护白皮 书》，APP 已超过网站成为主要的流量入口，人均安装 APP 数量接近 60 个。因此也带来 诸多安全问题，特别是收集个人信息不合规的情况在增加。用户在安装、使用 App 时都 会发现 APP 请求授权取得对设备的相应权限，并请求获取相关个人资料等信息。App 取 得权限后获得的信息，许多都是用户的个人信息和隐私。APP 用户和 APP 运营者，都面 临着如何处理 APP 收集、使用个人信息的数据合规问题。
数据是国家基础性战略资源，没有数据安全就没有国家安全。6 月 10 日，《中华人民共 和国数据安全法》由中华人民共和国第十三届全国人民代表大会常务委员会第二十九次 会议审议通过，自 2021 年 9 月 1 日起施行。确立了数据分类分级管理，数据安全审查， 数据安全风险评估、监测预警和应急处置等基本制度。
企业各职能部门之间联系薄弱，现阶段数据孤岛效应明显。不管企业使用哪一种组织架 构，数据的冗杂、前台与后台之间的接洽困难、业务与数据的孤立等问题，现阶段企业 内、企业间数据割裂仍然是阻碍数据协作应用的重要障碍。
国内外的大数据安全技术虽然已经取得了一定进步，但是面对层出不穷的新式大数据攻击，防护措施仍然显 得不够充分。其原因是传统的安全防护观念以及技术无法满足大数据安全防护的需求。 其中密文计算技术、数据泄露追踪技术的发展仍无法满足实际的应用需求，难以解决数 据处理过程的机密性保障问题和数据流动路径追踪溯源问题。 根据赛迪咨询的数据，大数据安全市场将会随着大数据运用规模的拓展而高速成长，预 计到 2021 年，大数据安全市场的规模将达到 69.7 亿元。
数据安全将成为数字经济的基础设施，安全漏洞数量逐年增加，数据安全是企业业务开 展的基石。根据国家信息安全漏洞共享平台数据，近三年信息安全漏洞年复合增速达 20%。目前全球网安需求重点客户包括政府、金融、电信运营商及电力能源等信息敏感 行业。基于此，我们梳理了网安重点客群遭受的网安攻击事件，呈现如下特征：
1） 攻击方式变化小，攻击频率有所加快：网安攻击的方式仍然是我们所能看到的病 毒、漏洞、钓鱼等，单纯看攻击形式并无太大变化，但攻击频率呈现增长态势；
2） 攻击的手段由单一变得复杂：随着企事业单位实战攻防能力提升，通过流量监测、 智能预警等技术发展，攻击方法正变得愈加复杂，一次重大攻击往往需要精密的 部署，长期的潜伏，以及多种攻击手段相结合以达到最终目的；
3） 攻击目的多样化：攻击的目标从个人电脑攻击到经济、政治、战争、能源，甚至 各个国家的网安建设已经作为国家战略实力一部分。
《常见类型移动互联网应用程序必要个人信息范围规定》使得数据安全监管与需求落地 更具确定性。2021 年 3 月 22 日，国家互联网信息办公室、工业和信息化部、公安部、 国家市场监督管理总局四部门联合公开发布《常见类型移动互联网应用程序必要个人信 息范围规定》，正式施行日期为 2021 年 5 月 1 日。明确了“必要个人信息”的定义，即 “保障 App 基本功能服务正常运行所必需的个人信息，缺少该信息 App 即无法实现基本 功能服务”，
百度推出“史宾格”安全和隐私合规平台，基于 AI 检测技术，比照《App 违法违规收集 使用个人信息行为认定方法》《工业和信息化部关于开展 App 侵害用户权益专项整治工 作的通知》《工业和信息化部关于开展纵深推进 APP 侵害用户权益专项整治行动的通知》 《信息安全技术个人信息安全规范》等规范性文件、国家标准，提供隐私风险项检测、 隐私专项检测、场景检测、权限过度收集与使用情况检测等产品服务，助力监管机构、应用市场、大型企业、App 开发者等完成 App 隐私合规自查，发现隐私违规风险。
金融机构在客户所掌握的“个人信息”，依据其获取途径和发挥作用的不同，在《信息保 护法》之下可归于不同的类型，相应地由金融机构进行不同程度的保护。
随着实体医院将诊疗活动延伸至互联网端，数据共享和流通成为刚性业务需求，静态的 隔离保护措施难以控制数据在流动中的风险，关乎患者隐私、种类繁多的医疗数据也迎 来愈加严峻的安全挑战，互联网医院需要通过动态变化的视角分析和判断数据安全风险。
随着智能汽车产业、车联网技术的快速发展，以自动辅助驾驶为代表的人工智能技术日 益普及，汽车数据处理能力日益增强，暴露出的汽车数据安全问题和风险隐患日益突出。 在汽车数据安全管理领域出台有针对性的规章制度，明确汽车数据处理者的责任和义务， 规范汽车数据处理活动，是防范化解汽车数据安全风险、保障汽车数据依法合理有效利 用的需要，也是维护国家安全利益、保护个人合法权益的需要。
《规定》明确，汽车数据处理者应当履行个人信息保护责任，充分保护个人信息安全和 合法权益。开展个人信息处理活动，汽车数据处理者应当通过显著方式告知个人相关信 息，取得个人同意或者符合法律、行政法规规定的其他情形。处理敏感个人信息，汽车 数据处理者还应当取得个人单独同意，满足限定处理目的、提示收集状态、终止收集等 具体要求或者符合法律、行政法规和强制性国家标准等其他要求。汽车数据处理者具有 增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特 征信息。
数据安全市场空间测算，依据大数据市场中 AI 平台收入推算 2023 年有望达百亿，长 期潜在空间有望达千亿。数据安全计算模块常见于大数据服务场景，添加至 AI 计算平 台，并且与 AI 应用同样以数据为基础，进行安全、存储以及计算等服务，故以 AI 平台 收入为隐私计算产值上限，根据 IDC 预测 2020 年我国大数据市场约 104.2 亿美元，其 中软件市场规模为 26.5 亿美元，AI 平台收入约 4 亿美元，IDC 预测 2018 至 2024 年 AI 产业年均复合+39%，则 AI 平台收入 2024 年有望达 15 亿美元，则数据安全方案上限近 百亿人民币。
数据深度价值挖掘过程中需要兼顾数据应用和安全，平衡效率和风险，在保障安全的前 提下发挥数据价值。以多方安全计算（Secure Multi-Party Computation，MPC）、可信执 行环境（Trusted Execution Environment，TEE）、联邦学习（Federated Learning，FL） 等为代表的隐私计算技术为解决了数据流通过程中的“可用不可见”难题，有助于破解 数据保护与利用之间的矛盾，已在金融、医疗、政务等领域开始推广应用：
1） 对于个人消费者，隐私计算应用有助于降低隐私数据在应用过程中的泄密风险； 随着信息化程度不断提高，个人信息被采集和广泛应用，同时也面临着信息泄露 风险，而隐私计算在很多场景的应用，可以提升对个人信息的保护水平，降低个 人信息在应用过程中泄露的风险。
2） 对于 B 端企业，隐私计算兼顾数据协作过程中的安全性与效率性，监督企业履 行数据保护义务。企业内部借助隐私计算，能够切实保护企业在采集、存储、分 析等过程中的关键信息。另一方面，隐私计算能够促进企业的跨界数据合作，由 于隐私计算能够实现数据可用不可见，能够帮助不同企业和机构与产业链上下游 的主体进行联合分析。
3） 对于 G 端政府、社会机构，隐私计算可促进数据价值和社会福利最大化。一是 借助隐私计算能够在政府数据开放过程中，在采集、存储、协作等方面提升数据 安全和隐私保护水平，在保障数据安全的同时增强全社会的数据协作，通过数据 的应用最大化社会福利。二是借助隐私计算推动数据要素赋能产业升级。
隐私计算（Privacy Computing）是一种由两个或多个参与方联合计算的技术和系统， 参与方在不泄露各自数据的前提下通过协作对他们的数据进行联合机器学习和联合分析。
多方安全计算技术的核心思想是设计特殊的加密算法和协议，基于密码学原理实现在无 可信第三方的情况下，在多个参与方输入的加密数据之上直接进行计算。多方安全计算 由姚期智等人于 20 世纪 80 年代提出，以交互不可逆的密文数据的方式实现了对数据的 安全保护，每个参与方不能得到其他参与方的任何输入信息，只能得到计算结果。
可信执行环境的核心思想是构建一个独立于操作系统而存在的可信的、隔离的机密空间， 数据计算仅在该安全环境内进行，通过依赖可信硬件来保障其安全。
可信执行环境的最本质属性是隔离，通过芯片等硬件技术并与上层软件协同对数据进行 保护，且同时保留与系统运行环境之间的算力共享。目前，可信执行环境的代表性硬件 产品主要有 Intel 的 SGX、ARM 的 TrustZone 等，由此也诞生了很多基于以上产品的商业化实现方案，如百度 MesaTEE、华为 iTrustee 等。
除上述可信计算环境、多方安全计算技术外，还比较常见为联邦学习算法，其本质是分 布式的机器学习，在保证数据隐私安全的基础上，实现共同建模，提升模型的效果。联 邦学习的目标是在不聚合参与方原始数据的前提下，实现保护终端数据隐私的联合建模。 根据数据集的不同类型，联邦学习分为横向联邦学习、纵向联邦学习与联邦迁移学习。
联邦学习应用于银行联合建模，提升反欺诈模型水平，降低资产不良率。传统上，银行 都是基于收入水平、征信数据、还款履约情况等变量分来做贷前反欺诈建模，但仍存在 数据维度缺乏、数据量较少等情况，需要融合多方数据联合建模才能构建更加精准的反 欺诈模型，联邦学习可以有效解决合作中数据隐私与特征变量融合矛盾，保障特征变量 交换时的信息安全。
随 IT 架构上云，长期数据安全 SaaS 运营收入有望达千亿，商业模式改善带来估值提 升机遇。以消费贷款场景为例，假设 2030 年金融机构信用风险建模使用联邦学习渗透 率达 60%，服务费率为 1%，国内短期消费信贷市场 2019 年已达 9.92 万亿元，假设直 到 2030 年年化复合增速为 8%，则 2030 年市场有望达 21.42 万亿元，数据安全收入有 望达 1285 千亿元，考虑互联网、医疗及政务大数据等场景，空间巨大。
平台经济垄断本质是数据垄断，通过数据协作运用打破垄断过程中的安全性愈发重要， 未来隐私计算领军企业除具备完备隐私计算服务能力外，还将具备 “Snowflake+CrowdStrike”特征，即同时具备“DaaS+SECaaS”能力。
Snowflake 提出
Data-Warehouse-as-a-Service（DaaS）概念，即云原生并专注于分析型 数据仓库的 SaaS 服务。Snowflake 将各类客户的各类数据整合至云数据平台，方便用户 进行数据分析，简化了数据共享，还能够将数据管理和合规问题的风险降到最低。 Snowflake 可以解决的痛点包括：数据孤岛、数据更高效的搜索和维护、数据分析的速 度和成本。相较于传统的硬件服务器存储传输、单一 IaaS 厂商而言，其优势在于：可伸 缩性、易操作、SaaS 订阅模式、多云架构，商业模式天然具备网络效应等。
伴随 IT 结构云化程度不断提高，Snowflake 凭借云计算方式摆脱底层引擎的限制，最大 程度利用现成的数据资源。同时，Snowflake 的定价方式与典型的 SaaS 公司按月按年 订阅不同，它的收入和定价模型是基于使用量的，存储、计算和数据转移都单独定价。
Snowflake 的 LTV/CAC 比率历史数据均在 3.0 以上（假设客户留存率在 97%以上），说 明在获取新客户方面实力较强，毛利率约 60%多，SaaS 公司中并不算很高，主要是向三家公有云公司支付基础设施费用，Snowflake 尚未参与云基础设施建设，未来毛利率 提升空间或主要来自自建基础设施。
CrowdStrike 的发展路径，以平台形式不断扩充功能模块，客户粘性与单价不断提升， 营收及估值天花板不断抬高。以 CrowdStrike 为代表，成立于 2011 年，分别在 2012、 2013 年发布威胁情报服务 Falcon X 及终端检测与响应产品 Falcon OverWatch、Falcon Insight 等。2017 年，公司迅速丰富基于 SaaS 模式的终端安全产品线，公司已构建 SaaS+PaaS 的安全生态，在第三方安全厂商中处于领先地位。Falcon 终端安全平台提供 的云安全服务模块完全基于 SaaS 模式，具备敏捷性易用、可拓展性强、持续迭代优化等 优点，且于 2020 年推出 PaaS 安全平台 CrowdStrike Store，构建了终端安全产品+威胁 情报服务+专家服务，SaaS+PaaS 的完整安全生态。
竞争格局：典型的数据安全应用场景通常包含三类参与方，互联网作为使用方，未来国 内或由网信办等监管单位牵头平台建设，具备国资股东背景、技术储备的第三方企业提 供技术及运营：（1）数据的使用方，需考虑业务特征与支付能力，互联网厂商合规需求 迫切，包括数据“最小化采集、避免滥用”，此外如联合建模下的银行业、医疗机构；（2） 作为数据的提供方，做到原始数据不出本地，将加密后的信息发送至中间方；（3）隐私 计算技术服务商，为客户搭建计算系统，包括在业务方、数据方以及可信第三方部署服 务节点。考虑国内实际，有可能是由网信办等监管单位牵头平台建设，相关技术储备的 第三方企业提供技术及运营。
产业机遇：卫士通将成为数据安全市场最核心标的。1）数据安全监管政策持续加码，公 司具备领先解决方案与技术实力，有能力作为核心公司直接受益于数据安全订单落地； 2）基本加密业务信创在手订单充裕，安全芯片等产品军工需求高景气，且成本有望在研 究所和上市公司再平衡，净利率预计将显著改善；3）互联网厂商数据安全安全需求迫切， 平台经济垄断的背后是数据，监管与民众担忧进一步促使互联网巨头加大隐私保护支出， 互联网厂商极愿意采购规范化方案实现合规（厂商合计市值已回落明显）；4）公司作为 电科旗下网安版图唯一控股上市公司，具有天然股东优势与监管公信力。数据安全类似 于公共资源管理，是未来的石油、稀土，必须掌握在国家手中，多因素共振驱动卫士通 成为核心标的。
奇安信进度领先，数据要想真正成为新型生产要素，数据安全是重要前提，数据安全是 重要使能器。作为当今互联网时代的新型生产要素，在大数据、人工智能等新兴技术的 加持下，数据流动愈加频繁、数据价值日益凸显，已经成为各行业科技转型的核心推动 力。奇安信基于“数据不动程序动，数据可用不可见”的技术理念，在国内率先兼顾数 据隐私安全与商业价值挖掘的隐私卫士产品。
奇安信网神隐私卫士检测系统包括沙箱、隐私协议分析仪、应用行为检测模块、合规评 估模块、系统管理模块组成。被检测的安卓或 iOS 应用上传到检测系统后，系统利用真 机沙箱或模拟器沙箱对应用进行运行检测，并通过隐私协议分析仪对其隐私政策协议进 行自动化分析。应用行为检测和隐私政策检测采用可扩展的检测插件方式进行检测，包 括隐私政策完整性检测、与应用行为的实质符合检测、非必要信息收集检测、数据出境、 第三方收集、隐私泄漏风险、使用权限检测等。
具备较强产品竞争力，按照《App 违法违规收集使用个人信息行为认定方法》描述的 6 大类 31 项收集行为进行检测项拆解，按照全自动检测、半自动检测和人工检测的分类要 求进行全面的、深度的隐私合规检测。
核心功能包括：
1）应用行为检测，通过真机和模拟器对移动应用进行各类触发操作检测各类隐私行为， 深度发现 APP 以及 SDK 获取、存储和上传的各类个人信息，综合其中的明文存储、明文 传输、信息出境等行为进行全方位的应用行为检测。
2）隐私政策检测，通过分析应用收集的各类个人信息，与隐私政策中描述的个人信息进 行一一比对，结合法律法规要求给出具体不合规项及法律法规适用条款，最终给出针对 隐私政策的规范性、完整性和一致性的检测。
3）法规对齐分析，隐私卫士系统对各类精细化的检测内容可依据《App 违法违规收集使 用个人信息行为认定方法》进行回归分析，将各类检测结果与《认定方法》等多项法律 法规进行对齐分析，更利于企业对通报问题的分析。 数据安全法的最大特点是在鼓励数据流动、共享，乃至交易的情况下确保数据的安全。
数据这一新的资源，必须在交换流动中才能被释放出更大的价值，这已经逐步成为各行 业的基本共识。而如何对重要数据进行有效保护，就成为了整个共享交换场景中的关键 点。
数据脱敏，是指对某些敏感信息通过脱敏规则进行数据的变形，实现敏感隐私数据的可 靠保护。在涉及客户安全数据或者一些商业性敏感数据的时，在不违反系统规则条件下 对真实数据进行改造并提供测试使用，如身份证号、手机号、卡号和客户号等重要个人 信息都需要进行数据脱敏。
深信服率先在智能数据分类分级上进行了探索，目前国内大部分的数据分类分级依旧停 留在基础层面，且大部分以人力为主，导致一方面会比较耗时，成本较高，另一方面， 由于受到人力因素的影响，传统的以正则表达式为主的工具识别准确率非常低。深信服 智能数据分类分级平台率先引入了人工智能与机器学习算法，相较于传统数据分类分级 做法，采用机器学习技术，大大提升了准确率，进一步提升了工作效率，减少了人力成 本，在数据分类分级上作了一次有效实践。
安恒信息定增募投数据安全岛项目，公司可利用自身在大数据安全领域的技术积累，丰 富网络信息安全平台产品线，提升整体盈利能力。根据赛迪顾问的预测，2019-2021 年， 大数据安全市场规模年均增长率为 35.3%，2017-2019 年，公司大数据安全产品收入年 复合增长率达到 100.2%，随着《个人信息保护法法》、《数据安全法(草案)》相继公布， 政策规范有望驱动数据交易平台及相关技术服务需求增长。
天融信作为国内最早发布数据安全防护体系的网络安全企业，依托数据安全多年的经验， 构建了以行业特征为基础，通过数据安全治理、数据安全防护、数据安全监管、数据安 全运营赋能，实现数据全生命周期的安全防护整体解决方案，目前已在运营商、金融、 政府、能源、卫生、海关等行业领域得到广泛应用。 同时，天融信是中国信息安全测评中心授权的注册数据安全治理专业人员（CISP-DSG） 运营机构，是首家且目前唯一一家运营机构，负责注册数据安全治理专业人员（CISP-DSG） 专项证书的知识体系研发和维护、考题研发、考试服务、授权培训机构管理及市场推广 等内容，助力国家培养数据安全专业人才。
行业竞争加剧风险：网络安全行业竞争较为激励，如果行业行业竞争进一步加剧，或对 毛利率产生不利影响。
政策力度不及预期风险：等保 2.0、护网行动等合规政策执行力度若不及预期，将影响企事业单位对于网安产品及服务的需求。
宏观经济风险：疫情影响下，宏观经济面临下行风险，可能导致各行业企业网安支出受 到影响。
测算可能与实际存在误差：目前隐私计算仍处于初始发展期，存在落地节奏及渗透不及 预期风险。
（本文仅供参考，不代表我们的任何投资建议。如需使用相关信息，请参阅报告原文。）
