在數字經濟時代的今天，網絡安全已經成為全球企業普遍關注的重點。隨著人工智能尤其是生成式AI技術在不同行業的加速落地，中國網絡安全市場也正在經歷著從“合規驅動”到“業務賦能”的范式轉變。

作為全球領先的研究與咨詢公司，Gartner發布的網絡安全技術成熟度曲線一直是行業發展的風向標。近日，Gartner中國網絡安全團隊的高級研究總監陳延全接受了筆者的采訪，為我們深入解讀了2025年中國網絡安全技術成熟度曲線，并揭示了行業未來的發展趨勢與機遇。

陳延全表示，中國網絡安全技術成熟度曲線旨在為企業提供全面且貼合中國實際的網絡安全技術發展視圖。通過此曲線圖，企業可以清晰地看到各項網絡安全技術所處的發展階段，從而制定出更具前瞻性的戰略規劃。

AI技術崛起，亮點與挑戰并存

生成式AI無疑是今年所有企業最為關注的技術熱點。Gartner的調研數據顯示，2024年8月只有8%的中國企業部署了生成式AI，而到2025年五月，這一數字提升到了43%，增速非常快。

AI的普及化，給企業帶來新的業務機遇的同時，也引發了更多來自應用層、硬件層和基礎測試層的安全挑戰。例如，垂類AI Agent的構建，其自主性高，帶來了新的安全風險。企業需要在創新效率與安全可控性之間尋求平衡，這就催生了對新的網絡安全技術的需求。

在2025年中國網絡安全技術成熟度曲線上，新加入了的技術中大部分與AI的采用和監管合規發展密切相關。AI TRiSM（人工智能信任、風險與安全管理）備受關注。

陳延全指出，AI TRiSM并不是一個單一的產品，而是一個應對AI帶來的安全風險問題的最佳管理實踐或框架。AI TRiSM包含AI治理工作和AI運行、安全檢測與防護的技術能力。隨著AI在企業中的廣泛應用，如何確保AI的信任、風險和安全成為企業面臨的重要問題。AI TRiSM框架為企業提供了全面的解決方案，幫助企業應對AI帶來的挑戰。

作為AI TRiSM的子集，中國AI網關在AI系統運行時的檢測方面發揮著重要作用。據介紹，中國AI網關可以對API密鑰進行管控，管理AI使用，并提供數據保護。國內很多安全廠商基于既有的API安全網關產品或應用防火墻產品，推出了AI安全網關產品，發展迅速。陳延全強調，不同于國外API安全網關，中國AI網關需協助用戶同時滿足《生成式AI服務管理暫行辦法》等本土合規要求，提供密鑰輪換、內容脫敏、成本可視化等特色功能。

除了以上兩項技術之外，數據安全態勢管理（DSPM）也是一項受益頗豐的技術。數據安全態勢管理（DSPM）解決混合云環境下的“數據盲區”問題。DSPM通過機器學習自動發現跨云、跨地域的敏感數據，并生成動態風險圖譜。陳延全表示，DSPM更加關注數據的動態流轉和風險檢測，為企業提供實時的數據風險視圖。隨著AI的發展，數據的動態性增加，DSPM技術能夠幫助企業及時發現和處理數據安全問題。

在技術曲線中，還提到了部分技術存在“虛假成熟”現象，企業應如何規避？陳延全以網絡安全AI助手為例，進行了細致的介紹。他表示，“網絡安全AI助手” (Cybersecurity AI Assistant) 正好處在期望膨脹期的頂峰 。為什么說它有泡沫？報告指出，一方面，用戶對它寄予厚望，希望它能解決安全人才短缺、提升運營效率 。但另一方面，它的“阻礙因素”也很明顯，如：AI的“幻覺”（即輸出不準確的信息）問題可能導致誤判；企業數據隱私和安全保障機制尚不成熟；而且其效果高度依賴于高質量的數據和模型的訓練，很多本土廠商的模型表現還達不到預期 。這些都意味著，雖然很多企業可能在試用，但離真正把它無縫嵌入核心實戰流程、并完全信賴它的決策，還有很長的路要走。這其中的期望與現實差距，就是泡沫。

采訪過程中，陳延全從三個方面出發，詳細介紹了破局的關鍵之道

首先，謹慎挑選首批應用場景。與更加成熟的現有技術相比，新技術的首批部署可能出現更高的錯誤率。在獲得可量化成果前，不要支付費用。

其次，評估隱私功能和模型架構，確保對共享給生成式AI助手的數據類型進行控制。

最后，建立并強制執行“人機協同”的驗證流程 。從政策層面明確，所有由AI助手生成的內容，無論是代碼、腳本還是配置建議，在最終部署前都必須經過有經驗的安全分析師進行同行評審和充分測試 。應始終將AI的輸出視為“僅為草稿狀態”，而不是可以直接執行的最終指令 。這道“人工防火墻”是現階段防范AI幻覺風險、確保安全操作準確性的關鍵保障。

從安全左移到業務融合，推動業務轉型

安全與敏捷的平衡，是企業數字化轉型中永恒的課題。2025年中國網絡安全技術成熟度曲線報告的開篇就強調，CIO們需要“在保障安全的同時保持敏捷性” 。曲線上確實有一些技術正在破解這個難題。核心思路是：將安全能力“左移”和“自動化”，使其成為業務流程的內在組成部分，而不是事后的“剎車”。

一個典型的例子是“對抗性暴露面驗證” (Adversarial Exposure Validation, AEV)。

它如何平衡安全與敏捷？ 傳統的安全測試，比如滲透測試，通常是周期性的、手動的，非常慢，跟不上現在DevOps的敏捷開發速度。AEV提供的是“自動化、持續性的驗證機制” 。它可以像流水線上的質量檢測員一樣，持續不斷地模擬攻擊，驗證你的防御是否有效。

如何同時服務于治理和轉型？

服務嚴格治理：報告提到，中國企業需要應對“國家級攻防演練”等關鍵合規要求 。AEV通過持續的自動化測試，可以確保企業的安全態勢始終滿足這些嚴格的合規標準，為治理提供了可靠的技術支撐。

服務業務轉型：在業務快速轉型時，新的應用、新的云服務不斷上線，攻擊面也在動態變化。對抗性暴露面驗證能夠敏捷地適應這種變化，快速驗證新上線的系統是否存在可被利用的攻擊路徑 。這使得業務團隊可以放心地進行創新和擴張，因為安全驗證是同步進行的，而不是一個滯后的瓶頸。它讓安全從“阻礙者”變成了業務轉型的“護航者”。

另一個例子是“數據安全平臺” (Data Security Platforms, DSPs) 。它通過統一的平臺來集中部署數據安全策略 ，避免了過去多種工具策略不一、管理混亂的局面。這既簡化了管理（敏捷），又確保了跨云、跨本地數據存儲的一致性保護（治理），從而安全地釋放數據在AI和分析項目中的價值，推動業務轉型。

技術優先級矩陣：助力企業決策

除了解讀Gartner中國網絡安全技術成熟度曲線之外，采訪中陳延全還分享了2025年中國網張安全技術優先級矩陣。

安全技術優先級矩陣從兩個維度對企業關注的網絡安全技術及最佳實踐進行評估。縱軸表示技術及最佳實踐對甲方企業業務的影響級別，從低到高；橫軸表示技術距離被絕大部分企業采用所需的時間，從最短兩年以內到十年以上。

陳延全表示，企業可以根據這個矩陣，結合自身需求和發展戰略，選擇適合的技術進行投資和部署。對于追求短期成果、解決合規問題或關鍵安全問題的企業，可以關注兩年以內的技術；而對于愿意長期投入、關注行業顛覆性技術的企業，則可以關注5 - 10年才會成熟的技術。

筆者發現，在矩陣中，數據的分類、安全服務訪問邊緣、AI信任風險和安全管理、中國的隱私保護以及安全服務邊緣等技術受到了企業的重點關注。

陳延全指出，這些技術相對成熟，市場上有很多廠商能夠提供解決方案，且對企業業務的影響較大。以數據的分類為例，受國內監管推動，大部分企業已經采用技術手段進行數據分類分級。

“這不僅有助于企業滿足合規要求，還能為后續的數據安全保護和業務發展提供基礎支持。” 陳延全如是說。

總結：

隨著行業的不斷發展，新的網絡安全技術將不斷涌現。Gartner的中國網絡安全技術成熟度曲線，則為企業提供了清晰的行業發展視圖和技術評估框架。企業在選擇網絡安全技術時，應結合自身的業務需求和發展戰略。不同行業、不同規模的企業對網絡安全的需求各不相同。

筆者認為，企業應充分利用這一工具，把握行業發展趨勢，在保障安全的同時實現業務的敏捷創新，在數字化浪潮中贏得競爭優勢。