简介：《2025年中国网络安全成熟度曲线》是Gartner于2025年7月发布的行业研究报告，面向首席信息安全官、首席信息官及安全与风险管理负责人，帮助其在监管趋严与生成式AI快速落地并行的环境中识别高价值安全技术与实践。报告围绕保护AI、推动业务转型和增强组织韧性展开，给出2027年60%大型组织将采用暴露管理优化安全运营中心事件响应、2028年60%部署AI的企业将采用协作式AI防御等战略假设，并梳理AI TRiSM、AI网关、数据安全态势管理、软件成分分析、对抗暴露验证、数据分类与隐私保护、零信任网络访问等关键方向。压缩包仅含1个PDF文件，大小约1.39MB，便于按需检索与重点研读。已有214人学习，适合作为安全战略规划、技术选型和合规治理的参考底稿。

1. 2025 年中国网络安全成熟度曲线：一个反直觉信号先摆出来

2025 年这份中国网络安全成熟度曲线里，最值得先说的不是新增了哪几项技术，而是一个比例：生成式 AI 在中国企业里的采用率，从 2024 年的 8% 跳到 2025 年的 43%。同一年，数据安全新规从“立规矩”进入“真执行”。一头是自上而下的合规压力，一头是自下而上的技术冲动，两条线同时压过来，整个曲线的节奏被加速了。

这就是为什么今年的重点词从“合规达标”换成了“保护 AI、推动业务转型、增强组织韧性”。安全不再只是踩刹车的角色，它开始被要求“让业务跑得起来”。对 CISO 和 CIO 来说，这份报告的价值不在于告诉你该买什么，而在于告诉你哪些技术正在被高估、哪些被低估、哪些已经悄悄落地。下面把事实、误区和趋势一层层拆开。

2. 曲线本身：五个新面孔和被替换掉的旧名字

这一版曲线最直观的变化，是五个新技术的进入，以及两个老技术的退场。退场不是失败，而是被更贴合现实需求的东西替代了。

2.1 五个新增项各自对应哪一种压力

AI TRiSM被推得最快。报告提到一个细节：2025 年初某个开源推理模型亮相之后，客户关于“AI 对网络安全影响”的咨询量显著上升。企业担心的不是 AI 会不会被攻破，而是三件事——数据被污染、第三方引入的风险、模型输出不准确或不合规。AI TRiSM 的本质是让企业 AI 的行为和意图保持一致，这个诉求把技术直接推向了期望膨胀的顶点。

AI 网关处在触发期。中国企业正从“试一试”走向“规模化用”，一旦规模上去，成本和内容安全就都成了问题：API 密钥谁管、限流怎么设、调用花了多少钱、请求该路由到哪个模型。AI 网关就是那个统一入口，提供密钥管理、限流、用量与成本追踪、跨模型的智能路由。早期咨询反映的需求很集中——运行时的可见性和控制力。

**DSPM（数据安全态势管理）**也在触发期。它的定位是在本地数据中心和云环境里发现“此前不知道的数据”，并对结构化和非结构化数据做刻画分类，然后回答两个问题：谁能访问它，它暴露在什么风险下。混合云、多云环境下，企业最大的痛点是根本不知道敏感数据在哪，合规失败和数据泄露都从这里开始。

**AEV（对抗暴露验证）**替换了 BAS（入侵与攻击模拟）。原因很现实：安全测试的范围变了。企业要的不是“模拟一下攻击看看”，而是自动化、持续地验证暴露是否真实存在，并指出通往关键资产的可利用路径。国内攻防演练这类强制性合规需求，直接把 AEV 推了上来。

**EAP（暴露评估平台）**替换了 ASM（攻击面管理）。ASM 解决的是“看见资产和漏洞”，EAP 往前一步，给的是排好优先级、可直接执行的漏洞与错误配置视图，落到修复效率上。这个承诺让它在曲线上冲到高点。

2.2 两个被替换的旧技术说明了什么

这张表值得多看两眼。它传递的信号是：安全建设的评价标准正在从“我能不能发现”转向“我能不能证明修好了、效率提升了多少”。在预算收紧的大背景下，只提供可见性而不提供处置闭环的工具，会越来越难卖。这也是今年很多安全厂商产品路线图集体右转的原因——从探测类产品往运营类、闭环类产品靠。

2.3 移动最快的那几项，为什么是它们

报告点名了三项移动最快：网络安全 AI 助手、SCA（软件成分分析）、IoT 身份认证。

AI 助手的逻辑是“省人”。知识总结、脚本生成、跨工具自动化，这些能力直接对应安全团队人手不足的现实。国内生成式 AI 试点铺开，给了它天然的试验场。

SCA 的提速和 AI 系统本身有关。开源模型与第三方组件在 AI 和数字化系统里快速增长，安全和许可证问题发现得越早，返工成本越低。这一项对研发团队的意义，其实大于对安全团队的意义。

IoT 身份认证的推进，来自智能设备在工业和消费场景的规模部署。设备身份和验证机制不牢，物理基础设施和隐私就都悬着。这三项的共同点是：收益近、见效快、不需要重构整个架构。在预算有限的年份，这类技术总是跑得比“大平台”快。

3. 优先级矩阵：哪些两年内落地，哪些要等十年

曲线告诉你技术处在什么阶段，优先级矩阵告诉你它值不值得现在投。这两张图要合起来看，单看曲线很容易被“顶点”误导。

3.1 收益与成熟周期的交叉判断

报告给出的分层很清楚：多数创新，包括 AI 助手和 AI 网关，需要五到十年成熟；只有数据分类和 SIEM 两项预期在两年内达到成熟。

数据分类的成熟路径很有意思。它不再是独立产品，而是作为嵌入式服务，融进 DSP、DSPM、DLP 这些平台里——因为这些平台要发挥作用，前提就是有一致、可靠的数据标签。换句话说，数据分类的价值不是靠单独卖出来的，是靠被别的平台“需要”而兑现的。SIEM 则是产品能力趋同、用户体验成熟，进入平稳期，该买的企业基本都买了。

两到五年这一档更值得盯：SASE 和 SSE 的成熟由安全平台整合的需求驱动，零信任的推进在拉高 ZTNA 的采用。这一档是“近期能拿到收益”的区间，也是预算分配时最容易被争抢的地方。

3.2 平台整合这条暗线

报告里反复出现一个词：整合。企业想用更少的工具、更低的复杂度，把可见性统一起来，让超负荷的团队管得动风险。SASE 从低谷往上走，是因为网络和安全合并的需求在涨；SSE 从顶点往下掉，是因为采用率不及预期；DSP 从触发期往顶点走，是因为数据、分析、AI 管道的保护需求在涨；SIEM 进平台期。

这几条走势拼在一起，是一条很清晰的暗线：单点工具的窗口在关闭，平台的窗口在打开。但这里有个陷阱——整合不等于把所有东西塞进一个采购合同。真正的整合是数据模型统一、策略统一、运营流程统一。很多企业买了一个“平台”，结果里面还是五套互不相通的控制台，这就属于把整合做成了采购行为。

3.3 数据安全仍是咨询量最高的话题

报告明确说，数据安全依然是中国企业咨询最多的话题，驱动力是合规、泄露担忧和 AI 创新。但在这个大类内部，分化很明显：数据分类已经在平台期，而 DSP、DSPM、数据风险评估、数据安全治理这些还在从触发期缓慢爬升。

这个分化说明一件事：企业已经不满足于“知道数据在哪、分好类”，开始追问“态势怎么样、风险有多大、治理怎么落”。从静态标注走向动态评估，这是数据安全这一轮升级的主线。对从业者来说，只会做分类分级工具的实施，天花板已经看得见了；能把分类结果接到态势管理和风险量化上，才是接下来的稀缺能力。

4. 三个容易踩的误判：别把曲线当采购清单

成熟度曲线每年都被大量引用，但被误读的方式年年相似。下面几条是笔者见过最多的。

4.1 误判一：把“顶点”当成“该买了”

为什么：曲线纵轴是期望值，不是成熟度。处在顶点意味着关注度最高、宣传最响，往往也意味着落地案例最少、踩坑成本最高。AI TRiSM 现在就在这个位置。

怎么看：顶点技术的正确姿势是小范围试点加能力储备，不是全量采购。判断标准应该是“我有没有具体的、可度量的场景”，而不是“别人都在谈”。

4.2 误判二：把“替换”理解成“旧技术没用了”

为什么：AEV 替换 BAS、EAP 替换 ASM，说的是关注重心转移，不是说 BAS 和 ASM 的能力被否定。攻击模拟和攻击面发现依然是基础工作。

怎么看：被替换的技术通常已经沉淀为基线能力，会以模块形式并入新平台。企业要评估的是“新平台有没有把老能力接住”，而不是“老系统是不是可以立刻下线”。

4.3 误判三：把 AI 采用率的跳升当成安全需求同步跳升

为什么：43% 的采用率说明用的人多了，但不说明这些企业都建立了对应的安全能力。报告里另一个数字更能说明问题：到 2028 年，部署 AI 的企业中采用协作式 AI 防御策略的比例要从现在的 5% 升到 60%。

怎么看：5% 这个起点才是真实水位。绝大多数企业的 AI 安全还停留在“出事再说”的阶段。这个落差既是风险，也是接下来两三年安全预算最确定的流向。

4.4 误判四：把本地厂商的优势理解成“选择变简单了”

为什么：报告指出，非本地厂商在认证要求和地缘因素上挑战更多，本地厂商在中国市场的优势在巩固。但这不等于选型变容易——本地供应商数量多、能力差异大，同质化宣传严重。

怎么看：认证合规是入场券，不是能力证明。选型还是要回到具体场景做验证，尤其是 AI 相关品类，产品迭代速度快，去年的评测结论今年很可能已经失效。

5. 隐私、零信任与 AI 防御：三条正在交汇的线

这三块内容在报告里分散在不同章节，但对从业者来说，它们是同一件事的三个侧面。

5.1 隐私处在顶点，但技术路线在分化

隐私这一项因为监管框架持续演进处在上行位置，尤其是跨境数据传输规则落定之后。但底层技术路线在分化：机密计算在缓慢爬升，安全多方计算在下行进入低谷。

这个分化很能说明问题。机密计算解决的是“数据在使用中如何保护”，和云上处理、AI 训练的场景天然契合，随着算力供给改善，它的工程可行性在上升。安全多方计算的落地门槛高、性能代价大，在缺少强驱动场景的情况下，热度退潮是正常的。选型时如果把这两者当成同一类“隐私技术”打包评估，基本一定会翻车。

5.2 零信任：从理念走到具体品类

零信任本身不是一个产品，它落到曲线上是 ZTNA 这个具体品类。报告把 ZTNA 的采用增长归因于对零信任的追求。这个表述背后是行业的一个共识转变：零信任讨论了很多年，现在评估的重点已经不是“要不要做”，而是“先从哪个入口做”。

从实践看，远程接入和第三方协作是最常见的起点，因为它们边界清晰、效果可度量。真正难的是把零信任原则铺到内网东西向流量上，这涉及应用改造和身份体系重构，周期以年计。

5.3 协作式 AI 防御：5% 到 60% 的差距在哪

报告的战略假设里，这一条最值得单独拎出来：到 2028 年，部署 AI 的企业中有 60% 会采用协作式 AI 防御策略，整合跨职能团队来应对 AI 带来的安全风险，而现在只有 5%。

从 5% 到 60%，中间缺的不是工具，是组织机制。AI 风险横跨安全、法务、数据、业务和研发，任何单一部门都接不住。所谓协作式防御，核心是把 AI 系统的风险评估嵌入到 AI 应用的立项和上线流程里，而不是等安全团队事后审计。

# 协作式 AI 防御的最小落地检查项（示意，非具体产品实现） ai_risk_gates = { "data_source": "训练与推理数据来源是否登记、是否含敏感数据", "model_supply": "第三方模型/组件是否有来源与许可证记录", "access_control": "API 密钥是否集中管理，是否有限流与用量上限", "output_review": "高风险场景的输出是否有人工复核或规则拦截", "audit_trail": "调用日志是否留存，能否支撑事后追溯" } def pre_launch_check(project, gates=ai_risk_gates): # 立项与上线前逐项确认，缺项即阻断，不做"先上线后补" missing = [k for k in gates if not project.get(k)] return {"pass": not missing, "blocking_items": missing}

这段示意代码的重点不在实现，而在那个blocking_items返回值：AI 项目的安全评估要有阻断能力，否则就只是走流程。参数上，五个检查项对应数据、供应链、访问、输出、审计五个方向，每一项都应该能对应到一个具体的责任人和一份可查的记录。失败时看什么？看缺的是哪一项——缺data_source通常是数据治理没跟上，缺audit_trail往往是日志体系压根没建。这两项的修复周期完全不同，不能用同一个节奏推。

6. 接下来两三年，判断落在哪里

把这份报告从头到尾读下来，真正值钱的判断其实没几条，但每一条都足够改变预算的流向。

第一，暴露管理会成为一个独立的预算科目。报告给了一个明确的时间点：到 2027 年，60% 的大型组织会在安全运营中心里采用暴露管理，用来优化事件响应效率、减少泄露。注意这里的措辞——不是“建设暴露管理平台”，而是“在 SOC 里采用”。这意味着暴露管理最终要长在运营流程上，而不是作为又一个孤立系统存在。AEV 和 EAP 之所以能替换掉 BAS 和 ASM，根本原因就在这里：它们从设计上就偏向“可执行、可闭环”。

第二，AI 安全的重心会从“保护 AI”扩展到“用 AI 保护”。这两件事在报告里是并行出现的，但节奏不同。前者由合规和风险驱动，落地更慢、更谨慎；后者由效率驱动，落地更快、更容易看到效果。AI 助手移动得快就是这个道理。对厂商来说，只讲“我能保护你的大模型”很难持续，能讲清楚“我怎么帮你把安全运营的人效提上去”才走得远。

第三，合规的重心在从“有没有制度”转向“能不能证明执行”。数据安全新规进入强执行阶段，风险评估要覆盖第三方共享这类具体环节。这会直接抬高对数据可见性的要求，也是 DSPM 从不到 1% 渗透率起步却备受关注的原因。渗透率低不是坏事，它说明增量空间还在，但也说明现在的落地案例少，选型时能参考的样本有限，血泪经验基本得自己攒。

第四，本地化是一条确定但不轻松的路径。非本地厂商在认证和外部环境上的挑战在增加，本地厂商的优势在巩固。这对国内从业者是好消息，但也意味着竞争会更集中在同质化的品类里。差异化不会来自“我也有这个功能”，而会来自“我在你的场景里验证过”。

从行业角度看，这一轮曲线最本质的变化，是安全的评价体系在换挡。过去几年，安全的价值靠“合规通过”来证明；接下来几年，它会越来越多地靠“业务能不能放心地跑 AI”来证明。这个换挡对从业者的要求很具体：既要懂数据在哪、怎么分类，又要懂模型怎么用、风险怎么控，还要能把这两件事接到运营流程上。能力缺口最大的位置，往往也是机会最集中的位置。

我自己有个习惯，每次看完这类曲线报告，都会强制走一遍同一个动作：把里面所有“未来两到三年要达到多少百分比”的假设单独抄出来，逐条问一句“如果这个假设不成立，我的方案还成不成立”。这个问题问下来，往往会砍掉一半看起来很美的东西。去年有一次就是靠这一步，把一个原本准备大干快上的项目按了回去，改成小范围验证，后来证明那个场景的实际成熟度比曲线显示的低了不止一个档位。从那以后我每次做技术选型都强制走一遍这个动作，省下的不只是预算，还有团队的时间。

这份报告完整版本里还有优先级矩阵的详细表格、每项技术的收益评级与渗透率数据，以及各品类的驱动因素拆解，需要逐项对照自己业务场景的，可以拿去细读。希望帮到你。

本文还有配套的精品资源，点击获取