隐私保护成RSA创新沙盒最大焦点，十大新创多聚焦应用程序安全与SaaS安全

了解资安产业的新风向，从新创公司选择切入的产品或技术面来观察，是不错的出发点之一，或许也能从中得到启发。日前全球资安盛会RSA大会（RSAC）登场，而每年举办的创新沙盒（Innovation Sandbox）竞赛活动，也是大会的重头戏之一，不仅给予每年资安新创业者大显身手的舞台，同时也让关心资安领域发展的人，不论是资安技术人员或是投资者，能够观察市场风向与挖掘新的潮流。

事实上，国内研究机构与资安新创公司，如资策会与奥义智慧也都关切此一发展，近年都持续亲自前往RSA大会，就近观察产业、商业的趋势与交流，而创新沙盒也是他们关注的焦点之一。

从入围十大资安新创，捕捉资安解决方案新风向

RSA大会这项资安创新计划已迈入第15年，今年持续选出十大资安新创公司，而从这些业者发展的解决方案，将能反映今年资安技术创新的焦点。

整体而言，这次大部分是美国新创公司，也有来自法国，像是Sqreen，以及以色列的Vulcan Cyber，而Blubracket成立时间最短，是2019年才设立的公司。

以专攻的领域而言，有两家新创公司是发展SaaS云端安全的解决方案，例如，AppOmni与Obsidian Security；有两家是发展DevSecOps安全开发相关，分别是BluBracket与ForAllSecure，前者聚焦程式码安全，后者聚焦模糊测试。

至于其他入选的业者，包括：资安意识培训的Elevate Security，邮件诈骗防护的INKY Technology，还有主打隐私合规解决方案的SECURITI.ai、应用程序安全管理的Sqreen、网站诈欺预防的Tala Security，以及弱点管理与自动化修补的Vulcan Cyber。

显然，这些领域或技术发展就是当今市场关注的焦点。毕竟，资安领域相当广，不论是这些新创针对的面向，与采用的技术，以及对应新资安议题所提出的解决方案，都将成为资安产业挖掘下一个机会的参考。

重点一：解决隐私权与法遵问题，预料是企业新兴需求

该如何看待今年这些资安新创的发展趋势，与往年有何不同之处？

首先，就是隐私保护，今年夺下这项竞赛最佳创新奖的SECURITI.ai，可谓重要指标。在该公司推出的PrivacyOps的解决方案，利用AI与自动化，搭配自家的People Data Graph技术，可以快速检视企业的隐私状况与合规风险，帮助因应相关法遵面的需求。同时，产品本身还结合了自然语言（NLP）处理能力，让使用者可直接在产品界面上，能以普通对话的方式，获得各式资料与拥有者的资讯。

值得注意的是，两年前2018年这项活动的冠军BigID，也是致力于隐私保护方案，显然这方面的安全技术发展，持续受到重视。

对于这样的趋势，台湾资安业界也同样关注。奥义智慧共同创办人丛培侃表示，资料保护与法规遵循还是受评审青睐，云端上个人资料的自动化盘点、追踪与授权，就是重点。

事实上，近年隐私保护解决方案持续受重视。毕竟全球对隐私管理的要求愈来愈高，在欧盟，有GDPR，美国的加州消费者隐私法（California Consumer Privacy Act，CCPA）今年正式生效，企业若违反法规将会被罚。

面对全球隐私法规与个别资安要求，资策会资安所副所长吴建兴也提出见解。他说，这方面的法规细节其实相当多，若只靠顾问或人工方式来处理，即时性与完整性都不够，因此，如果利用AI将法规要求结合起来，能协助企业做好即时的隐私保护把关。

他认为，SECURITI.ai获得首选的重大意义在于，他们已经跳出软件生命周期的概念，将隐私、资料的生命周期结合，成为“Privacy Ops”，这是市场新机会。

再从产业发展角度来看，台湾是否也有可以借镜的部分？对此，吴建兴表示，对于台湾而言，整体市场需求尚未浮现，他坦言，国内隐私法规的落实，除了金融业较为彻底、医疗业开始重视，以及少数科技公司被业者要求，其他领域则还在观望，因此，若新创产业要投入这个领域，需特别留意切入的时间点。

为了帮助企业检视隐私状况与合规风险，SECURITI.ai提出Privacy Ops的解决方案，可运用其People Data Graph技术，强调透过AI与自动化来做到隐私权资料的管理。在今年RSA大会的Innovation Sandbox竞赛活动上，SECURITI.ai拿下年度最佳创新奖

重点二：SaaS云端安全防护与资安即服务都成趋势

SaaS云端安全也是一大重点，RSA大会创新沙盒十强今年有两家新创聚焦于此，这主要也是美国市场对公有云应用接受度高，相关资安需求也较多，这几年来，针对企业采用SaaS而提供的专属防护方案，也正持续发展。

对此，丛培侃表示，对于SaaS服务的管理，已是现今企业的重要课题，当服务都搬到云端上后，要如何协助企业云端的IT管理就是重点，包括弱点、稽核与权限等，今年确实也见到一些新创公司朝此发展。

至于另一面向，是资安新创公司将服务或产品云端化的趋势。吴建兴指出，今年的SaaS应用比过去更多见，Security as a Service已是美国当地重要的趋势，许多新创团队在此发展商业的解决方案。

他认为，公有云的好处在于能够快速整合相关资源，包括资安纵深防御（Defense-in-Depth）、资安治理等环节，也能一起提出解决方案。

然而，对于台湾环境而言，他认为，目前国内各行各业对于投入公有云市场，还是保持着较为保守的态度，再加上大众型公有云市场已被Amazon、脸书、Google与微软所把持，从产业发展来看，若是台湾要创造出独特优势与市场机会，结合制造业等主流产业来发展应用也是一条路。他提到，像是这次国内艾讯科技也参展RSA大会，就是发展硬件产品结合云服务的策略，试图提升产品竞争力。

重点三：软件安全渐受重视，精准高效的模糊测试发展受关切

在RSA大会创新沙盒十强中，还有那些新创公司的发展值得重视？我们认为，还有安全开发相关的DevSecOps、应用程序安全管理，以及漏洞修补自动化等不同面向。

对此，丛培侃特别强调，应用程序安全仍是很多企业面临的问题，今年有半数厂商聚焦于此，发展相应的解决方案；吴建兴则是对于检测面向的新创ForAllSecure，非常关注。

关于ForAllSecure，它是来自美国卡内基美隆大学的团队，过去曾拿下美国国防部国防高等研究计划署（DARPA）举办的自动网络攻防竞赛Cyber Grand Challenge冠军。

基本上，他们所发展出的DevSecOps解决方案，强项是利用模糊测试（Fuzzing Test）的机制，找到软件漏洞，提供安全开发。吴建兴指出，这样的检测技术，等于是将红队演练做到自动化，虽然目前该应用主力还不是企业资安，但未来有机会在工业与国防领域成为黑马。

同时他也说明，模糊测试是项高挑战的技术，要做到好需要非常的精准，该公司的技术能有效整合专家知识，做到高效率的精准判断，而不是用穷举法来找漏洞，这部分将是台湾值得学习之处，并期望能将这样的技术引进台湾，或是建立合作关系。

另外，吴建兴也提到，对于员工行为风险，以及开放源代码安全的检查，这些资安产品所要解决的资安风险面，也将是国内可以注意的趋势与机会。

RSA大会2020年资安十大新创公司 　 公司名称 聚焦资安领域 成立时间 国家   AppOmni SaaS安全管控 2018年 美国   Blubracket DevSecOps／程式码安全 2019年 美国   Elevate Security 资安意识培训 2017年 美国   ForAllSecure DevSecOps／模糊测试 2012年 美国   INKY Technology 邮件安全／钓鱼诈骗邮件防护 2008年 美国   Obsidian Security SaaS安全管控 2017年 美国   SECURITI.ai 隐私保护合规 2018年 美国   Sqreen 应用程序安全管理 2015年 法国   Tala Security 网站安全／网站诈欺预防 2016年 美国   Vulcan Cyber 弱点管理／漏洞修补自动化 2018年 以色列

资料来源：各公司，iThome整理，2020年3月