RSAC创新沙盒2019：云、身份、应用安全成为焦点

 

一、前言

在下个月即将举行的RSA Conference（RSAC）上，企业家、网络从业人员以及一些“邋里邋遢的”安全从业者将在旧金山一展拳脚，通过激烈竞赛争夺最终大奖。这些Shark Tank（鲨鱼坦克）式竞赛是安全初创公司中类似于超级碗（Super Bowl）的一项赛事。

可想而知，我们在今年RSAC展会大厅上感受到的趋势将会影响我们的日常工作、安全工具以及业内流行词。当然，我们看到的新技术实际上已经经过几年的准备，如果大家想进一步了解未来趋势，观看业内杰出人才的辩论及对未来大事的构思，可以提前一天来观看Innovation Sandbox（创新沙盒）。

 

二、2019创新沙盒决赛入围名单

几个月之前，许多参赛厂商提交了宣传视频，并与评委大咖一一会面，希望自己较为成熟的产品能够成功跻身top10。事实证明这种入围方式非常可靠，创新沙盒已经有15年历史，在前10年中，高达42%的决赛入围者已被成功收购。在过去5年中，决赛入围厂商已经获得了15亿美元的融资。目前为止，95%的决赛入围厂商依然正常运营。

这些历史统计数据对入围2019年决赛名单的厂商来说是非常不错的兆头，这些厂商包括：

• Arkose Labs：通过全球感知数据避免欺诈及滥用行为
• Axonius：网络安全资产管理
• Capsule8：Linux漏洞利用实时检测
• CloudKnox Security：身份及权限管理
• DisruptOps, Inc.：云基础架构检测及修复
• Duality Technologies：加密资产分析及协作
• Eclypsium, Inc.：硬件及固件威胁防护
• Salt Security：云API保护平台
• ShiftLeft Inc.：保护并审计软件代码
• WireWheel：隐私管理技术

这10家公司的创始人将现身RSAC舞台，在众多观众及充满活力的评委们面前激烈竞争。每位创始人都有3分钟的展示时间，然后再回答评委提出的各种棘手问题。这种来回交互环节正是RSAC最有趣的部分之一。最终RSAC会选出两名决赛选手，而最终获胜者将载誉而归。

RSAC也引入了一种新的竞赛机制：LaunchPad，这种机制适用于初创公司，将于第二天举行。这是一种纯粹的Shark Tank型比赛，三位创始人将在风投（VC）小组前逐鹿中原。如果VC都看中了某款产品，则会反过来相互竞争，确保能成功投资这个潜力股。

CSO会与三名创新沙盒评委讨论，了解评委对未来技术的看法及选择。

 

三、洞察未来

关注当前及未来的监管政策正是风险投资的魅力所在。对于VC而言，他们需要思考类似欧盟的通用数据保护条例（GDPR）以及加州消费者隐私法案（CCPA）等政策，以及这些政策对投资策略的影响。与普通人士不同，VC可能更关注如何预测即将落地的监管政策（如针对IoT的监管政策），并预测这些政策可能会带来的影响。

作为一名网络安全战略家及企业家，Niloofar Razi Howe思考的是IoT与隐私权及政策方面的冲突问题。“数据隐私及监管政策非常有趣，因为它们关注的是人们没有考虑到的方面。大家都知道IoT并不安全……但目前我们并没有考虑到一些问题，比如当这些设备产生的所有数据流经企业网络时，隐私政策会对这些数据带来哪些影响”。Howe提到：“当我们迈入智能城市、乘坐自动驾驶汽车、无人驾驶飞机，使用智能家居中的私人助理时，我们将如何应对这些数据隐私监管政策？”

漏洞管理是安全的基石，作为风投公司ClearSky的运营合作伙伴及CISO，Patrick Heim看到了IoT会带来哪些问题：“从历史上看，我们认为这些设备都是耐用品，能够使用10年以上（比如冰箱）。当我们往其中添加了一个计算组件时，我们仍希望这些组件能够使用10~30年，或者越久越好。但到那个时候，厂商可能无法提供足够的支持”。

与其他人一样，VC也会关注新漏洞、新攻击方法，研究漏洞报告。Patrick Heim表示：“即使最近彭博社关于硬件后门的报道有点难以令人信服，但如果我们认真分析，会发现这种攻击方法还是可能存在，这与针对BIOS的攻击技术类似”。

VC正处在科技与企业购买文化的交叉口，这也是他们取得投资回报的方法。对企业家而言，有时候改变世界最简单的方法就是在现有的投资范围内进行创新。虽然长远思考非常有用，但Howe认为我们不能忽视“现有的一些投资类别”。Howe补充到：“重新审视和重塑人们熟知的细分市场有可能实现创新”。比如，评委及CSO将前面提到的DLP（数据丢失防护）全都归为已成熟市场的再发明类别，考虑到当前的监管环境，这一点并不奇怪。

 

四、构建未来

LaunchPad的企业家及评委倾向于为早期技术提供资金支持，他们正在构建尚未存在的未来市场，也采取初步措施解决新出现的问题。贝恩资本风险投资公司的合伙人Enrique Salem认为这需要独特的观察眼光，也需要与许多不同且有趣的人会面及交谈。

“我看到了哪些问题？这需要花费大量时间，与这些技术的相关用户进行交流才能理出具体问题。哪些办法行之有效，哪些办法无法解决问题，这些人面临的新问题是什么？”

新技术也能让黑客们构建下一代网络武器。Salem关注的是从根本上改变计算架构的技术，他表示：“如果量子计算能在短期内实现，那么今天我们熟知的安全性都会受到影响”。

 

五、如何给VC留下深刻印象

不论我们是在RSAC走廊中与VC偶遇交谈，还是想提交视频入围创新沙盒决赛，沟通技巧都是王道。对Salem而言，他“关注的是对问题的清晰描述。这并不意味着相关市场已经存在，而是这些参赛者能够以简洁的方式阐述‘这是我们已经解决的一个问题’”。然而对于这一点，Howe的观点是：“参赛者必须要讲好他们的故事。我认为故事讲述是不容忽视的一点”。

Howe寻找的是“针对有趣问题能够提出新颖方法的一个公司，拥有可观的大型市场以及能够执行未来规划的团队”，她对依赖于不完整的想法或功能的公司持谨慎态度。Heim对此补充道，假如某个功能性企业“解决了一个非常小或适用范围非常狭隘的问题，并在这方面做得尽善尽美”，那么这类企业并不能高枕无忧。“如果市场上有个大型厂商认为这个非常功能好，准备在他们产品的下一个版本中添加该功能”，那这对功能性企业来说可能是极大的阻碍。