从整个安全行业的层面去观察，从领军人物和精英的眼光去探讨，从前沿技术和发展趋势去分析，我们试图从文字和图像中梳理出，有价值的思想和真实的企业现状，为安全行业带来借鉴和参考，这就是安全牛访谈系列栏目的建立初衷。
本期栏目，安全牛约到了专注工控安全的初创企业，威努特创始人兼CEO龙国东。
龙国东
个人简介
龙国东，北京威努特技术有限公司CEO，硬件工程师出身，具备大型设备电气控制系统、PLC程序和IT硬件防火墙开发经验，曾任华为安全产品线硬件经理、开发代表、渠道经理等职，在防火墙产品开发、安全硬件平台、渠道管理及拓展方面有着丰富的经验。
一、威努特的创业简历
缘起
记者：如何想到要做一家专注工控安全的企业？
龙国东：最早是在2013年4月份，我还在华为的时候。有一次我去客户现场，代表华为安全产品线去解决一个大项目的安全问题。
这是一个地市级的自来水公司，它所有的PLC（可编程逻辑控制器），通过华为的防火墙接入的互联网。现在的问题是很多设备上不了线，无法抓取数据。我们产品线的技术人员一起配合攻关找到了问题所在。很多流量到PLC的时候，PLC发生异常，IO控制虽然没有问题，但是一些畸形或异常的报文引起了TCP/IP传输的崩溃。
我之前是学自动化的，而且也从事过自动化相关的工作，作过DCS组态、PLC编程，实施过具体项目。因此，当我看到这个问题的时候，我就意识到PLC的协议栈有多么脆弱。这是我头一次比较切身体会到工业设备安全方面的脆弱性和现实隐患。
2014年2月份，我从华为离职之后，碰到现在的合伙人也就是威努特的CTO黄敏。他是因为一个机缘巧合的机会，接触到工控安全，然后找到我合作。我觉得这个机会非常不错，自此开始了工控安全的创业。
核心团队
记者：创业成功与否，最重要的就是创业团队，是否能谈一谈你们合伙人或核心人员的情况？
龙国东：可以。首先要重点介绍一下我的搭档CTO黄敏。他比我大几岁，在我刚大学毕业的时候他就已经是中软安全管理线的技术总监，之后在华为担任的是安全产品的架构师。之前我们俩是不认识的，但是通过工控安全这个事情，走到了一起。
公司是在2014年9月18号成立的，然后到现在是一年半的时间，发展到50个人的规模，其中一半的人是研发团队。最核心的人员来自华为赛门铁克安全产品线，和一些专门做工控安全的老牌厂商。
威努特现在是事业合伙人的机制，我跟黄敏是创始人。其他核心人员约在15到20人左右，均持有公司的股份，目前来看，在工控安全的圈子里，我们算是最稳定的团队之一。
持股机制
记者：你之所以说它最稳定，主要从哪些方面考虑？
龙国东：首先我们这个团队已经建立将近一年半，入职最短的人也将近一年。目前这波人稳定下来的相互都比较了解，都是务实的人。大家在对待工作、对待事业的态度上是一致的，即最重要的是把事情做好做扎实，，大家对公司的奋斗者文化是比较认同的，这是我们的向心力和战斗力所在。从人员选择上，我们就有一个很好的基础。
其次是收入层面，保证我们中短期的回报不低于业内的一般水平，甚至会略高。最主要的是，加入我们这个平台未来有非常可观的回报。威努特是奔着上市去的，这一点不用怀疑。但是我们上市的基础是把工控安全的事业做得很好，并得到市场的认可。
在员工的持股这方面，我们在天使轮预留了20%的股份给核心团队。我觉得这个比例属于创业公司里面比较高的，而且未来这个比例对核心人员只会扩大，不会缩小，所以我们会在每一轮融资的时候，都会对核心团队予以鼓励，争取预留更多的股份。
在员工的上升通道方面，我们也有比较完善的机制。我们公司是一切以结果为导向的，也给每个人提供足够施展自己能力的舞台，只要员工有能力、肯奋斗，从技术人员到经理、总监甚至副总，这个通道是开放的，顺畅的。
通过以上三个方面的措施，我们公司建立了一个稳定的团队。它稳定不是说它不变，而是说它有核心，有凝聚力，有上升机制，有淘汰机制，是活的，健康的，有生命力的。
技术产品市场
记者：公司目前的技术产品和市场情况是怎样的？
龙国东：我们的产品可以分为两大类，防护和检测。产品是在2015年6月份面市的，现在还不到一年的时间。在这10个月的时间里，我们已经做了将近十个工控安全的现场实施项目。这十个项目分布在石油、电力、煤炭、化工等行业，还有市政燃气这一块。
防护类产品，现场应用的工控防火墙在100台左右，应用白名单部署了两百多个点在现场，尤其是在电力和石油。所以说我们在工控安全防护这一块，目前还是处于业内比较前沿的位置。其次是检测类产品，如工控漏洞的挖掘产品，有三个以上的测评机构使用我们的产品，而且是国内影响力比较大的测评机构。
这两大类产品是一个相辅相成的关系，想要去卖防护类产品，就需要检测类产品来做一些调研评估或分析研究。因为首先是要发现问题，才能解决问题。另外，工控安全这个领域还处于非常早期的阶段，因此工控攻防实验室的需求量确实比较多。目前我们已经做了四五个左右，但今年估计这一块的项目仍然会有一个大幅度提升。最后还有一块，就是攻防技术研究，但是这一方面的人才非常稀缺，希望能借助安全牛的各种平台，帮我们聚集一些专门研究工控安全攻防的人才。
记者：具体一些的技术研究领域是什么？
龙国东：比如挖掘PLC漏洞，还有对可能驻留到PLC控制器中的工业病毒的研究等。因为以后随着PLC和DCS（分布式控制系统）的智能化，新操作系统的引入，肯定会带来安全性的隐患，所以我们希望把这个研究做在前面。实际上，现在国内和国外很多厂商都在研究下一代的DCS，智能化的DCS。
投融资
记者：投资这一块能介绍一下吗？
龙国东：公司拿到的第一笔投资款来自于360，而且投资过程很有意思，比较戏剧化。
我有一次半夜刷微博的时候，关注了一个安全领域的大牛叫赵武。他的微博说已经帮十个创业团队融到资，大家有安全方面创业的可以找他，可以帮忙推荐。我于是就很冒昧的发了一个私信过去，之后过了几天，我们就建立了联系，并进行了后续的深度勾通，交流工控安全方面的东西。最后到了360那儿，一点没含糊，直接给投了500万，我们很顺利的拿到了这笔投资。
所以到现在，我还是一直很感谢赵武对我们公司的帮助。赵武现在也从360出来创业了，他的公司做威胁情报，叫白帽汇。
二、工控安全行业现状
意识提升
记者：你认为工控安全领域的现状是怎样的？
龙国东：有几个方面，第一个是意识方面，我们做到现在将近两年的时间，客户的对工控安全意识的提升确实比较明显。这种情况得益于厂商、科研机构和监管部门多管齐下，形成的氛围。
例如4月19号，工信部刚发布的“两化深度融合创新推进2016专项行动”通知里重点工作中的第6条–提升工业信息安全技术支撑和保障能力，对工控安全有一个非常明确的指导性意见，这是对整个市场非常好的一个推动。工控意识这一块，已经得到普遍关注，尤其是在一些重点的能源行业。
落实偏弱
第二是工控系统的部署方面，目前主要还是以大型集成商或者大型工控厂商为主构建的。工业控制系统整体解决方案中，国际上的知名工控厂商是把信息安全考虑在内的，上项目的时候必须有这一块的投入，但是国内厂商对这一块的重视还是普遍偏弱。比如，我们跟很多设计院打交道，他们基本不考虑安全这方面的东西，这也是现状。
记者：为什么不考虑？
龙国东：因为业主没有这个需求，或是没有提出来。以前的工业控制系统整个组网比较简单，工业上的应用也非常少，各种现场各种组线基本都是私有协议，不通用，自成一套。导致做工控的人主要考虑的是系统的连通，功能的实现，并没有考虑安全问题，这是国内工控系统的通病。
蓝海市场
第三从市场上需求来看，工控系统现场有一些比较通用的隔离防护类设备，分两大类，一类在电力电网行业，单向隔离的设备比较多。第二在一些石化领域，它的通用方案用的比较多，工业防火墙很少。除此之外，更高级的安全设备，像安全审计、入侵检测等基本是空白，因此说这是一个蓝海市场，没有任何问题。
三、工控安全实例
记者：一般大家都会知道，工控系统出了问题会造成很严重的后果，但你能具体谈一谈都遇到过哪些情况吗？
龙国东：这半年来，我们帮助客户解决了现场实际发生的一些问题。比如，西部的某油田，监控系统中心被病毒感染，大量主机操作非常缓慢，导致很多工控系统的监控画面和数据传不上来，因为被病毒流量占据了太多带宽，整个监控系统基本处于半瘫痪状态。
再比如华北某热电厂，它的DCS系统设备后发现故障率明显比正常的要高，这还是一家业内很知名的大厂商做的DCS设备，半年之内故障出了四五次，这种故障率是极其不正常的。我们在现场分析时发现，把DCS和安全监控系统断开之后就好多了。这样找到了原因，即网络里面异常流量太多，占据带宽，导致一些关键线路的堵塞，严重时会直接导致生产流程的中断。这已经影响到生产安全，是非常严重的。
这两个实际案例就是工控系统发生安全问题的典型后果，可以分成三个级别。第一级是阻碍生产效率，第二级是中断生产流程，最后一级是引发事故。上面的案例，就包括了卡间的故障、刀闸的拥阻，都属于很严重的生产事故了，所幸没有造成人员伤亡。
另外，像石化这样的工厂，如果管子在内化的时候生产中断，管道里面所有的原材料都要烧掉，烧掉之后还要等一两个星期再检修，检修之后才能重新开工，这种损失都是千万元级别的。类似的还有钢厂的炼钢炉，它一停整个钢炉都毁了。
四、工控安全未来的态势
记者：从现在往后看，工控安全可能会面临一个什么样的态势呢？
龙国东：我觉得有三个主要趋势。第一就是攻击行为会明显增多，目的性会更强，即所谓的APT攻击。比如，窃取企业的生产工艺，设备产量数据等商业机密或国防机密。这种情况，针对军工企业的国家行为较多。
第二是攻击手段会更加复杂，方式多样化。现在的攻击主要还是运用上位机组的软件，去更改系统中的代码。但正如刚才所讲的，随着PLC和DCS的智能化程度提高，攻击者真得能够把病毒放在控制器里面去。
最后，我认为在未来五年左右的时间，工控安全问题会成为一个普遍性的社会问题，而不光是被我们安全圈所关注。因为城市的供水、供气、供电、交通，这些系统与每个人的生活都息息相关。这些系统组成的网络，或说智慧城市令生活越来越便捷，反过来看就越容易被攻击。而且后果已经不只是经济损失了，几乎就是世界末日。
记者：是啊，前两年美国一本名叫“CyberStorm”的书中，就极为细致地描绘了这种末日景象。由于城市网络瘫痪，大都市断水断电，冷库中的食品全部腐烂，到了冬天又冻死人，整个城市地区的人口大批死亡。
龙国东：所以我觉得整个它会成为一个社会公众普遍关注的问题，而不仅限于我们几个专业厂商。所以我觉得未雨绸缪，在工控安全没有大规模的成为社会问题之前，我们要有足够的技术储备，足够的实战经验，以较好地应对即将来临的问题。
五、工控安全的技术应用
防护与检测
记者：您认为目前工控安全主流的防护技术有哪些？
龙国东：我认为总体可以分防护和检测两大类。我们目前比较重视的，也是目前主要的工作，是检测类技术产品。
首先我们要解决的是工控系统协议的安全问题，在做工控系统的协议实现时，之前大家没有关注到安全性，存在很多的漏洞。因此需要从测试的角度去发现这些漏洞，然后推动厂商去解决漏洞。
然后是对流量和网络传输数据的行为审计，因为工控系统中之前没有这样的设备。所以无论发生问题或没有发生问题，都无从知晓系统的安全状况，这也是我们在做现场调研和测评时，遇到的最大问题。要想全方位的了解网络安全现状，流量和行为审计之类的技术产品应用是必需的。
防护类主流的技术有两块，第一块是应用白名单，主要用于主机防护。工控网络相对来讲还是一个专业性较强的网络，它应用的领域是固定的，它的行为是可以预期的，用白名单的方式进行防护，效果非常明显，效率也很高。
第二块是针对网络的防护，我们采用的核心技术是工业协议的深度解析。通过了解传输行为或命令字，来定义哪些操作是合法的，这里采用的也是白名单的方式，操作如果不合法，直接予以拦截，甚至可以做到操作值域的防护。
这里面是三个层次，第一就是命令字或功能码，第二是值域，最后一个是行为判断。有些行为即便合法，但也可能是异常行为。这三个层面，就是防护的逐渐深入过程。我们目前在技术上做到了值域，在现场实施只做到功能层面，第三层的技术实现应该是一个比较漫长的过程。
高大上的技术不适用
记者：刚才谈的是工控安全的主流技术或说是技术应用现状，有没有哪些比较先进的防护技术或发展方向？
龙国东：刚才讲的这些技术手段，在业内是被业者或者工控专家比较认可的技术。因为工控安全的严肃性或说重要性，其实跟传统的信息安全不在一个层面上。它要求非常严谨的技术手段来保证安全，所以我觉得那些追最新的漏洞、最新的攻击方式，或者最炫的威胁情报技术应用等传统网络安全的模式，在工控安全领域中可能是不适用的。
工控系统最重要的是安全性和确定性，流程能不能跑通，工艺是不是正常，一定得是确定的，而不能说上了某个安全设备之后，你告诉我说我可能会拦截哪些攻击，可能会给你多少报警。这样的话不是在增强它的安全性，而是在削弱它。因为确定性和安全性是一个正比例关系，越确定越安全，刚才讲的这几类技术其实都在帮助工业网络、工业设备、工业系统去增强它的确定性，哪些功能能做，哪些不能做。工控厂商的技术和防护策略要非常明确，这样才能让客户相信你的东西是在增强工控系统的确定性、安全性，而不是相反。
所以那些最新的、高大上之类的东西，什么 APT 2.0、蜜罐诱捕，什么人工智能、深度机器学习等，是不适用于工控安全的，说得过一点儿，我觉得这是在降低我们这个行业的严肃性。
确定的安全
我们公司一直坚持围绕着三个核心技术理念，来做相关产品和解决方案。一是在工控网里只有可信任的设备才能接入，二是只有可信任的流量才能在网络中传输，三是只有可信任的应用才能够被执行。
这三点我们在成立公司的时候就反复讨论过，是深入理解之后确定下来的理念，也可以说是威努特做工控安全的特点。这里我要提出一个概念来，也是最近刚刚总结出来的，就是我们做的是确定的安全，这一点上，以后希望能够和所有一般意义上的网络安全公司区分开来。
确定的安全，强调的是防护动作的可预期性，产生效果的可预知性，作为用户可以完全预期到我的设备可能实施的防护动作，我能够明确的告诉用户，用户也能确定的知道，设备上去之后能做什么事情。
这种模式，我把它总结为五个字，即“确定的安全”。工控系统来不得半点虚假或是或然性的东西，它不是炒概念的领域，要谈工控安全，一定得是确定的安全。
六、工控安全的难点与痛点
难点与挑战
记者：你认为目前工控安全的难点和挑战在哪里，如何解决？
龙国东：有两大难点吧，第一整个行业是封闭的。进入这样封闭的行业是非常困难的。比如说像核电，它的设备型号通过公开途径是查不到的，而且就算你知道你也买不到、买不起，稍有不慎还可能涉及高级机密泄露。针对这种情况，只能跟它的工控系统厂商深度绑定才可以做安全工作。
说个题外话，工控行业之所以封闭，是因为之前大家都认为封闭的才是安全的。但其实我觉得在目前情况下，在网络连接一切的大背景下，一个封闭的系统其实是最不安全的。因为你的脆弱点在哪里都没有测试过，有多少攻击面或入侵途径都不知道，随便开个小口子就是灾难性的。所以我觉得封闭的系统并不安全。
第二个难点就是工业系统的标准化和规范化程度很差，各家厂商自成体系，就算遵循同一个国际规范，也能带出一堆变种来，比如 IEC 6185 协议。好多号称是6185的系统，在协议实施的时候，会加上自己的很多变种，故意把预留功能码改得不一样，因为他们一直在抵制互联互通。而做安全厂商是希望它的产品可以适配很多业务领域的，这种不规范会导致安全的成本极高。
这些问题需要整个社会发展的大趋势，才能推动和改变的，我觉得现在这个趋势已经很明显。比如说电网，现在也不敢做到百分百的封闭了。拿分布式电网来说，人人在用电的同时，也同样可能成为供电的一方。所以解决这些难点需要大的产业变革，目前我们只能更多深入到行业里面去，做定制化的安全管理。
新建系统与存量系统
记者：还有一个难题，就是由于工控系统关系重大，无法深入触碰，打补丁都不敢，只能在外围部署，比如装个防火墙之类的。这一点你怎么看？
龙国东：我觉得这个不是问题，安全和投入从来就是相伴的。传统的信息安全，现在的互联网安全，也是一样的。只要你做安全，这些问题就绕不开，但的确在工控安全这个领域可能考虑的更多一些，壁垒会更大。
工控系统可以分为新建和存量两大类。对于后者，就是已经运行的系统，我们会通过目前已有的检测手段，发现网络当中存在的最薄弱点，然后想办法去解决。
工控系统关系重大，存量类的系统不可能在网络架构上做根本的改变，因此我觉得存量市场主要还是从它的薄弱点进行加固，更新和加强它的检测手段，在保证现有运行效率的情况下增强安全性。
另外，从目前我们所做的现场项目来看，客户的抵触也没有想象的那么大。只要你给客户讲清楚，我的设备可能会有哪些动作，使用的是哪些防护手段，是“确定的安全”，客户还是能够接受的，起码在非关键性领域。
这也是一个循序渐进的过程，先进入这种非关键性领域，实际运行几年之后，大家逐渐看到效果，慢慢的也就接受了。所以这个事情我认为急不得，首先需要在很多领域去证明你的技术方案，证明你产品的稳定性、可靠性和有效性，才能让让客户接受你，然后才会慢慢地进入到核心位置。
而且工控领域整体面临的危险也在与日俱增，现在可能觉得无所谓，不上安全防护也能接受，但再过三五年呢？到时，用户会主动地去做，而不是被推着去做，我觉得这个不是太大的问题。
至于新建的工控系统，我们希望从方案设计开始，就把安全作为优先考虑贯彻到整个流程的实施中去。这是我们最更希望做到的一点，而且目前在某些行业里面，我们确实也已经做到了这一点。比如，从设计院开始就已经把安全这一块加进去了。这对于后面整个的项目推进来说，甚至是行业发展，都是一个非常好的方式。
融合度是痛点
龙国东：目前来讲，为什么工控安全的推广遇到一些困难呢？我觉得最主要的问题，是大家的产品更像一个安全产品，不像一个工控安全产品。也就是说，产品在与工控制系统的融合度上比较低，虽然威努特已经跟五家以上的工控系统厂商合作，进行深度对接，但是这种融合还是非常不够的。最后到了用户这一端，他可能还是觉得你的设备跟他的需求匹配度不是很好。因此，我觉得融合度在目前来讲，是全行业的一个痛点。
在这里，我公开呼吁希望更多地企业跟威努特合作，我们在一些工控领域的行业资源比较少，因此希望具备行业优势的公司能够跟我们一起来做这个事情，这样会把整个的行业发展推动得更快一些。
七、工控安全的未来
安全是基本需求
记者：如何看待工控安全市场的发展？有没有具体的预期？
龙国东：我觉得从事安全行业是一个比较有前途的行业，因为这是人类的基本需求。
马斯洛的需求层次理论，把安全放在第二位，第一位是生存。安全这个东西未来一定会引领各行业的需求，不管是什么事物，先是有无问题，然后就是安全问题。工业领域也是一样的，人类从农业社会发展到工业社会，这个阶段已经告一段落，全行业的安全是下一步要做的事情。
现在虽然和工控系统厂商的关系是推着它走，但我觉得再过一两年，应该是我们会互相拉着配合着走，再到最后安全就会走在前面了。
政策与事件驱动
记者：工控安全市场会爆发吗？如果会的话，预计是什么时候？
龙国东：安全很大程度上是靠政策导向的，工控安全更是需要政策引导。我们目前的很多市场工作就是配合有行业监管职能的部门，首先是一些行业大规模的测评调研，然后是助推一些相关政策的出台。在销售层面则通过主动挖掘客户目前面临的安全问题，去尽快地做行业一些推广，我们在项目推动这块做得是比较多的，可以说在整个行业也是领先的。
工控安全市场如果能够爆发的话，需要大事件的驱动。这个东西是可遇不可求的，它跟大环境息息相关。当环境或者形势发展到一定阶段，必然会从刚开始的零星安全事件，走到成规模爆发阶段。
练好内功 等待拐点来临
360是我们的投资方，因此我关注了周鸿祎的微博。他前两天在微博上就谈到了这种市场指数级增长。他说指数级的爆发式增长有三个特点，第一个是早期很长时间的缓慢增长，第二个是公司寿命足够长，才能熬到可见的拐点。第三个就是目标市场要有足够大的增长空间。
我拿周总的微博举例是想说，爆发式增长一定是基于你内功的积累，对我们来讲，我现在并不考虑市场到底哪一年爆发，但我们会坚定地按照自己的技术路线走下去，在这个过程中要非常重视客户需求，需求是引领市场发展的原动力。我们还要重视客户体验，包括产品体验，合作是否顺畅，公司给人的整体形象等，这都是客户体验的一部分。在做好这些工作的前提下，该来的一定会来。预测这种事不是说不可以，只是没有什么意义，早一年晚一年又如何，方向是绝对没有错的。
记者：作为威努特的创始人和CEO，有没有对本公司比较具体一些的预期？
龙国东：首先我希望在未来三到五年，我们的解决方案能够覆盖十个以上的主要行业，包括所有的能源行业，如电力、石油、核电等，也包括轨道交通水电气，实际上就是整个工控行业的全覆盖。
其次，在公司的发展过程中，我希望工控安全这个领域能够成为安全领域中的一个独立学科。因为我觉得工控安全领域的研究内容，安全技术要求，以及整体的安全技术导向，跟其他安全领域有着非常明确的区分。网络空间安全已经被列为一级学科，工控安全要成为一个独立的子学科。
工控安全成为普遍性的社会关注点，或者说工控安全在整个工业企业的渗透率超过50%，可能需要三到五年吧，这是整体的预期。公司在这个大环境下面发展壮大是毋庸置疑的。总的来讲，工控安全会从一个特别细小的安全分支慢慢地发展出自己的支撑体系，有自己的根、干、叶，就是一个二级学科。在这个空间里，出现一个绿盟、启明这种规模的厂商，也是完全没有任何问题的。
记者：你认为工控安全的市场有多大？
龙国东：五年以内，我觉得它在整个信息安全的市场份额中可能超不过10%，但是五到十年绝对会超过15%到20%，这个是必然的，是随着万物互联的大环境如智慧城市的推进演变而成的。我们说2025建设制造强国，安全不先行怎么行！
八、对安全行业现状的一些看法
苦逼的安全行业
记者：作为CEO，你更关注安全行业的哪些方面？
龙国东：我可能更关注的是一些整体运营数据，我会经常去看启明、绿盟、蓝盾这些公司的财报，然后去推算一些数据。通过之前的一些调研，我对这个行业有几个看法。
第一，国内安全企业最大的问题就是人均产出非常低，启明、绿盟算不错的了，但也就四五十万（元）。整体效率太低，，对这个行业的高估值更多的是基于对未来的一种奢望。因为在中国目前的环境下，想让一些企业大规模地增加安全投入真的是一个奢望。
记者：是啊，前两天360的谭总（谭晓生）在演讲中说，安全个苦逼的行业，如果安全厂商像互联网公司一样给员工开工资的话，有谁能活下来？
龙国东：我觉得业内有几家公司以高薪养团队的方式完全不可取，违背市场规律，作为投资或作为商业行为，这是完全不合理的。因为绝大多数的企业还是对安全的投入太低，整体市场偏小，安全厂商只好去直接卖设备，间接导致了第二个问题，国内的安全企业，产品收入占到90%，服务只占到10%左右。
理论上来讲服务越来越多才合理，就因为国内不愿意投入，在有限的投入里面他希望得到看得见的东西，他觉得服务不值钱。收入水平偏低和安全服务占比太少这两个相辅相成的问题，这是我认为安全行业的最大两个问题。作为初始公司的CEO，我做了很多努力都是为了跳开这个怪圈。
记者：这个怪圈怎么破？
龙国东：拿威努特来说，等有朝一日我们的人均产出超过100万，我再过来讲。（笑）从大环境来讲，第一就是政策的执行力度，政策导向是非常重要。第二才是全行业对安全的需求，比如金融行业，它的需求是实实在在的，而且非常迫切。但是我发现，工控安全是在此之外的，我们做的工作，更多还是对工业企业未来在安全方面的投资增长预期，就像刚才说的智能制造和智慧城市的整体大战略推进。安全本来就是朝阳产业了，工控安全是朝阳中的朝阳，意味着你要付出更多的时间。
技术炒作大于实际
还有一点，我觉得安全圈内的技术炒作远大于实际，实在是有点过了。三分之二以上的公司都存在这种类似的问题，大家都在卖概念，云、APT、威胁情报，包括工控，但安全其实是一个需要实践操作的东西，走秀或者是表演怎么能做好安全呢？
我对安全的理解，安全应该是一种科学，作为科学的话首先要有一个完整的方法论，从逻辑上有很严密的方法论指导。第二要有一系列具体的技术手段来辅助方法论的实现，技术手段是明确的，而不是说可能是这样或是那样，不确定性太多是不能成科学的。第三，科学必须要有可量化的评测指标。
应该从这三个层面来完善安全这门学科，来完善不同的细分领域的内容，而不是一味地向公众宣传黑客有多么了不起。把安全当作一门科学来看，让大众觉得安全也是一门学科，这样才更有利于大的行业发展。
网络安全本身就是有点看不见摸不着的意思，要让用户认可在安全方面的投入就要跟他讲清楚你的价值，具体能解决什么事情。而不是从销售的角度忽悠客户，甚至恐吓客户，把它搞得很玄或很炫，深不见底。安全是一门科学，我们要用对待科学的态度来做这个事情，这就是我核心的想法。
记者：如何看待友商？
龙国东：工控安全这个行业的友商主要有种，一类是从工控系统的维保或者是项目实施延伸出来的，明确地发现了这块的安全需求，对于这类友商我们非常尊重他们在工控系统方面的积累和在工控安全项目实施上的底蕴，希望跟他们更多地合作
另一类是直接从别的行业切入到工控安全这个领域，这一类公司我更看中的是它在推动本行业方面的努力，任何一个行业都需要大家共同去推动的，因此我们也是乐见其成。
真正的安全企业做起来难度确实挺大，因此要很明确的知道自己的能力，短期内能做多大的规模，困难有多大，一个企业不管你活得好不好，首先得把自己养活了再去想怎么样活得更好。
