安全行业与销售保险类似，你怎么看？

一般服务集群，和数据不出现安全事件，一般企业不会去注重安全，感觉安全就是买份保险，有可能一年到头也不出安全事件，大家怎么看？国家最近几年很注重网络安全，安全市场行业前景如何？

首先安全市场很大，如你所说。
这是一个蓝海市场，而且会一直是蓝海市场，因为安全技术和安全思路是不断变化的，市场也是不断变化的，15年互联网金融爆发，18年区块链项目四处开花，你能跟上新形势、新思路、新技术，在你眼里市场就永远是蓝海。
至于甲方如何想安全，无非是roi的问题。近几年网络环境恶化，攻击事件频发，另外我们自身的技术增长也让我们看到了更高维度的安全思路（例如米国网络空间掌控能力）。安全分事前事中事后，这样的大环境下很明显我们需要投入更多的资本和人力到事前安全上去，因为事中和事后阶段，你的企业已经死了。所以必然在某些安全细分领域就像买保险一样，买了东西，是个保障，但是有攻击吗？什么时候来，这是个未知数。
从另一个思路来说是建议和倡导协同防御，cso的工作是为企业减少管理成本、构建安全体系。现在的安全思路要求我们“未知攻，焉知防”安全的本身也融入了监测体系，比如黑客攻击，一般的流程是先起ddos试探，配合dns海啸和cc继续ddos，下一步夹杂恶意扫描、跨站脚本、sql注入等手段。那么在第一步ddos时监测体系需要捕获并溯源黑客ip，从大数据的思路定位攻击者，摸清他的性质（个人or组织or政治行为），找出的他的目的（原来发动攻击的时候最终是搞破坏or薅羊毛or脱裤），看看他的一般攻击方式（擅长ddos攻击orcc攻击or篡改）。基于这些因素实时告警，相关高防协同重点关注，waf自动调整策略，反欺诈系统重点规避，安全监测系统针对该地址段进入重保等。
安全本身就存在着认知问题，构建内网会有企业不买堡垒机和防火墙吗？可又有多少企业主动去构建态势感知？原来的安全：买台设备放在那，不知道未来会怎样，丢了什么东西，不知道。现在的安全：谁要打你你知道，拿没拿东西你也知道，今年一年你的安全体系帮你规避了多少风险你也知道，一年的投入实际上为你带回了多少资本回报你也清楚，如果cso的思路是这样，企业会不主动构建安全体系吗？
cso第一阶段，对下救火、对中构建团队、对上要洗脑；第二阶段构建基本安全体系，尽量避免救火常态化；第三阶段根据企业业务和风险构建纵深防御。目前市场上合格的cso是很匮乏的，很多企业年薪两百万也找不到一个真正懂安全懂管理的人，也有很多企业找了个相关领域的菜鸡，然后告诉他“你来搞安全吧”，这种人你和他怎么谈安全？