今年的RSA Conference 2017上，云訪問安全代理（CASB）無疑成為了整個行業關注的焦點，Skyhigh、Netskope、360等全球多家企業都展示了CASB產品和方案。隨著企業上云熱潮興起，加上一些相關企業借助CASB產品融資成功，CASB逐漸變為數據安全領域的新寵。

那么，什么是CASB？CASB概念在2012年由 Gartner 提出，定義了在新的云計算時代，企業或用戶掌控云上數據安全的解決方案模型。CASB產品有兩種工作模式：一種是Proxy模式，另一鐘是API模式。

在Proxy模式下，CASB要處理企業上傳到云應用的全部流量，重要數據采用加密等安全策略處理后再上傳到云服務商；

在API模式中，企業數據直接傳給云服務商，CASB通過利用云應用的API，對用戶進行訪問控制以及執行企業的安全策略。

Gartner 預測從2012年不到1%的企業使用CASB，到2020年會有85%的大型企業會使用 CASB。CASB 模型已成為第三方安全服務商的指導標準，其主要從四個方向進行了產品定義：

1. 可視化

CASB提供針對企業內部使用的云服務、影子服務的自動發現支持，以及集中化的視圖展示，包括用戶行為、客戶端設備的統計支持；對異常行為進行檢測、阻斷和記錄。

2. 合規性

CASB幫助企業 IT 系統往云上遷移后，仍能滿足合規性要求，并對云服務商進行信任評級、提供內容監控、審計日志功能。

3. 數據安全

CASB結合人員、設備、內容和應用等多個維度，提供 DLP、Encryption、Tokenization 等數據安全保護，防止云端數據泄露。

4. 威脅防護

CASB監控云端數據、用戶資源使用狀態，及時發現威脅并且做出防御。

通過對CASB基本功能，我們可以了解到以下幾點：

CASB部署于企業網絡邊界，位于企業網絡和云服務廠商之間；

CASB主要場景是針對企業內部用戶訪問各種SAAS服務或者PAAS服務；

CASB主要防止企業內部核心數據被存儲到不可控的云服務。

隨著云技術和虛擬化技術的普及，越來越多的企業已經沒有傳統意義上的數據中心機房了，各種業務系統遷移到云上，包括企業郵箱、企業網盤、CRM、ERP、OA、HR等各類業務系統均托管給云服務商，計算資源規模化、集約化使辦公效率取得大幅度提升。在這種情況下存儲資源變為共享式，企業隨之失去了對應用及數據的安全控制權。

既要享受便捷的云端服務，又不能失去對自身數據的控制權，基于這個預期，CASB的需求是非常明確的的。這也是目前業界的主流聲音。

但CASB的提出是基于美國的云服務現狀的，對比中美兩國云服務發展程度的不同，仍要從不同的視角看待CASB在中國的落地。

美國的云服務現狀是，各種SaaS或者PaaS大行其道，如Office365、Dropbox等云服務已經很成熟甚至成為企業的主流。但對比來看，國內SaaS的發展還與美國有較大差距。

舉例來說，Salesforce在2004年就在美國上市，而國內做類似服務的企業，例如紛享銷客等，最近幾年才開始冒尖。基于這個現狀，CASB市場短時間內不會爆發。

此外，美國很多企業服務公司的主要客戶為大型民營企業，而中國的大企業較多是國企或央企，業務拓展成本高，銷售難度較大。相反，中國中小企業的數量更大，更活躍，所以后續中小型企業會是SaaS的主流用戶群體。出于成本的考慮，作為CASB潛在客戶的中小型企業會有多少動力再額外采購專門的CASB設備，這個是CASB廠商需要考慮的。

這也就意味著，盲目的追逐熱點，完全照搬美國的一套是不可取的，必須摸索出一套適合中國市場的CASB產品服務模式。