Zscaler雲端安全巨頭，零信任領導者
2021年12月23日 撰文者：言財
導讀：
雲端安全作為2021年美股雲端運算SaaS賽道表現最好的子領域，在雲端運算滲透率不斷提升的當下，雲端安全成為雲端運算眾多子領域中增速最快的，包括Cloudflare、Zscaler、Datadog、SentinelOne、CrowdStrike等都有比較亮眼的成績。近期因為升息預期的干擾，雲端運算板塊整體波動較大，但我們認為在快速大跌消化估值以後，市場終究會逐漸回歸理性，成長性強的板塊最後將走出來，雲端安全SaaS是中長期值得重點關注的區隔賽道。
越來越多的企業、個人、終端接入雲端，雲端安全成為保障資料與業務安全的重要議題。零信任、網路安全、隱私增強運算等，雲端安全領域創新層出不窮，核心重點都在於要提高全雲生態的安全性與可靠度，讓更多組織願意把業務放到雲端上。
根據IBM的一份報告顯示，隨著雲端生態系統日益成熟，這些平台、技術和服務既讓雲端變得更加強大，也成為漏洞的來源，這一趨勢正變得愈加明顯。
安全主管益發擔心一個問題：如何確保在雲端的投資取得成效？IBM商業價值研究院（IBV）在2020年6月進行的一項研究調查發現，近90%的雲端開銷用於公有雲或混合雲，40%的總體工作負載在多雲環境中運作。企業的安全營運方法必須適應這種即時協商安全邊界和信任的新型工作方式。新冠病毒疫情和SolarWinds駭客事件的影響在領導者們的腦海中揮之不去，他們認識到，每一次雲端對話都必須安全可靠。
零信任（Zero Trust）應該是2021年網路安全領域中關注度最高的詞語。從十多年前Forrester Research和John Kindervag首次提出這個概念開始，逐步有企業著手布局，然而真正將其放到聚光燈下，是2021年5月美國拜登政府發布一項行政命令，要求美國聯邦機構遵守NIST 800-207作為零信任實施的必要步驟。NIST 800-207為一項零信任標準，是對供應商最中立、最全面的標準，不僅適用於政府實體，也適用於任何組織。它還包含來自Forrester ZTX和Gartner CARTA等組織的其它元素。
根據Gartner的分析，ZTNA也就是零信任網路架構現已度過泡沫破滅期，正進入快速成長期，對應到拜登政府的行政命令以及Crowdstrike在2021年建立零信任聯盟，確實能感受到目前零信任應用已成熟到快速鋪開提高滲透率的階段，而此時也正是相關公司能夠釋放業績的階段。Gartner預計到2023年，60%的企業將會採用零信任網路存取（ZTNA）方案來替代VPN。Garnet團隊進一步預測，40%的人將採用ZTNA替代VPN之外，還會用來支援第三方存取、多雲存取以及與併購或資產剝離相關的活動。
作為零信任的Leader級別公司，Zscaler使雲端成為開展業務的安全場所並讓使用者感到愉快。社交、行動和雲端的發展產生對不同安全要求和連結的需求。專門建構的安全平台可防禦並控制連結發生的位置（網際網路），所以無論使用者連結的方式或位置，或他們的應用程式駐留何處，每個連結都是快速和安全的。在持續的優秀業績支撐下，Zscaler成為2021年網路安全賽道上的明星股，自2020年熔斷後至今漲幅高達613%，是漲幅最大的雲端運算公司之一。
本文意在透過反思Zscaler的業務與財務狀況，試圖回答下列問題，給投資者呈現不一樣的雲端安全分析：
1. 什麼是零信任？核心重點在哪？
2. Zscaler在零信任賽道中扮演什麼角色？
3. Zscaler的財務狀況如何？
4. Zscaler未來的成長性如何？
什麼是零信任？
零信任是基於一個關鍵原則所建立的架構，這個原則是最小特權存取，它假設沒有使用者和應用程式是天生就應該得到信任。相反，信任是基於使用者身份和上下文（例如使用者的位置、端點的安全狀況以及所請求的應用程式或服務）建立的，而判定是否可行的策略是每一次信任的守門人。隨著雲端運算的趨勢逐步推進，越來越多的使用者經由網際網路將非託管設備連結到業務應用程式及資料，對零信任的需求自然也就水漲船高。
依照Zscaler官方的定義，零信任是一種網路安全策略，其中安全策略的應用不是基於假設的信任，而是基於憑藉最低權限存取控制和嚴格使用者身份驗證所建立的上下文。調整良好的零信任架構可以簡化整體網路基礎設施、提供更好的使用者體驗，並最終提高對網路威脅的保護。
網路安全行業協會等對零信任的討論最終形成NIST 800-207標準，這是對供應商最中立、最全面的標準，不僅適用於政府實體，也適用於任何組織。它還包含來自Forrester ZTX和Gartner CARTA等組織的其它元素。
零信任架構旨在解決NIST指南的一些關鍵原則：
持續驗證。始終驗證所有資源的存取權限。
限制“爆炸半徑”。如果確實發生外部或內部違規，將影響降至最低。
自動化上下文收集和回應。整合行為資料並從整個IT堆疊（身份、端點、工作負載等）獲取上下文，以獲得最準確的回應。
其實可以這麼理解，用簡單的話來講，零信任就是任何存取應用程式和資料的人，都需要透過一道零信任的PaaS或者SaaS驗證身份，證實你的設備和環境是安全的後，該零信任PaaS會直接將你接入到你需要存取的特定應用程式或資料上，而不是讓你能夠在專網或者內網裡自由瀏覽。並且在你使用特定應用程式和資料的過程中，零信任PaaS會持續驗證你的身份，直到你停止使用為止。
· 零信任的基礎
零信任其實並非單一技術，不是說解決了現有網路安全的特定問題例如使用者身份、遠端使用者存取或網路分段的一項技術就能稱之為零信任。零信任是一種策略，是建構網路安全生態系統的基礎。它有三個核心原則：
終止所有連結：
許多技術（例如防火牆）使用“直通”方法，這意味著文件在接受檢查的同時發送給收件人。如果檢測到惡意文件，則會發送警報，但通常為時已晚。相較之下，零信任終止每個連結，於是可以在未知文件到達端點之前保存和檢查它們。零信任建立在代理架構上，線上運作並以線速度檢查所有流量，包括加密流量、執行深度資料和威脅分析。
使用基於上下文的細粒度策略保護資料：
零信任應用使用者身份和設備狀態來驗證存取權限，並使用基於上下文的細粒度業務策略，包括使用者、設備、所請求的應用程式以及內容類型。策略是適應性的，這意指隨著上下文的變化，例如使用者的位置或設備，使用者存取權限會不斷重新評估。
經由消除攻擊面來降低風險：
零信任將使用者直接連結到他們需要的應用程式和資源，而永遠不會將他們連結到網路。憑藉啟用一對一連結（使用者到應用程式和應用程式到應用程式），零信任消除橫向行動的風險，並防止受感染的設備感染其它網路資源。在零信任的情況下，使用者和應用程式對Internet是不可見的，因此無法被發現或攻擊。
· 使用零信任的好處
1. 降低業務和組織的風險
零信任假設所有應用程式和服務都是惡意的，在它們可以透過其身份屬性（滿足預先定義信任原則（例如身份驗證和授權要求）的軟體或服務本身的不可變屬性）得到驗證肯定之前，不允許進行通信。
所以零信任降低風險，因為它揭示網路上的內容以及這些資產的通信方式。此外，隨著底線的設立，零信任策略經由消除過度配置的軟體和服務並持續檢查每個通信資產的“憑證”來降低風險。
2. 提供對雲端和容器環境的存取控制
安全從業人員對遷移到和使用雲端的最大恐懼是失去可見性和存取管理。儘管雲端服務供應商（CSP）安全性有所發展，但工作負載安全仍然是CSP和使用雲端的組織之間的共同責任。也就是說，一個組織在其他人的雲端中可以影響的範圍有限。
憑藉零信任安全架構，安全策略是根據通信工作負載的身份應用，並且直接與工作負載本身相關聯。憑藉這種方式，安全性盡可能接近需要保護的資產，並且不受IP位址、端口和協議等網路結構的影響。於是保護不僅隨它嘗試通信的工作負載一起傳播，而且即使環境發生變化也保持不變。
3. 有助於降低資料洩露的風險
由於零信任基於最小特權原則，故假設每個實體（使用者、設備、工作負載）都是敵對的。因此在授予“信任”之前檢查每個請求、驗證使用者和設備並評估權限，並且隨著任何上下文變化（例如使用者的位置或正在存取的資料）不斷重新評估這種“信任”。
如果攻擊者透過受損設備或其它漏洞在網路或雲實例中立足，則該攻擊者將無法存取或竊取資料，因為不受信任。由於創建“一個的安全部分”的零信任模型，所以無法橫向行動，這意味著攻擊者無處可去。存取始終被鎖定。
4. 支持合規舉措
零信任將所有使用者和工作負載連結與網際網路隔離開來，於是它們不會被暴露或使用。這種不可見性使得證明遵守隱私標準和其它法規變得更簡單，並減少審計中的被發現。
此外，經由實施零信任分段（微分段），組織能夠使用細粒度控制在某些類型的敏感資料（例如PCI或信用卡資料、資料備份）周圍創設邊界，使受監管的資料與其它非監管資料分開。當需要進行審計或發生資料洩露時，零信任分段（微分段）策略對給予過度特權存取的扁平網路架構可提供卓越的可見性和控制。
Zscaler在零信任賽道中扮演什麼角色？
今天要討論的公司，是一家成立於2008年，並於2018年3月在納斯達克上市的雲端安全獨角獸。Zscaler的使命也很直接乾脆，Make the cloud a safe place to do business and enjoyable for users（使雲端成為開展業務的安全場所並讓使用者感到愉快）。
Zscaler是ZTNA的堅定支持者，該技術也稱為軟體定義邊界（SDP），公司被Gartner選入2019年“零信任網路存取市場指南“ZTNA即服務廠商名單。憑藉建構Zero Trust Exchange，保護使用者和資料而不是網路，從而實現任意二者之間的安全連結，如使用者到應用程式（APP）、應用程式到應用程式、IoT之間的鏈結。
目前Zscaler擁有逾5,600名客戶，其中500名以上的客戶是Forbes Global 2000企業。這5,600名客戶貢獻超過2600萬個使用者在使用Zscaler的產品。現在該平台已經部署在全球150多個資料中心，每日透過的流量比10倍谷歌流量還多。因此實現了71%的訂單增長、62%的營運收入年增、125%的Dollar-based NRR，以及在雲端運算行業裡算是比較高的10%營運利潤率。
而Zscaler的技術能力也不斷受到專業評選機構的認可，連續10年獲得Gartner評選在Web安全門戶魔力象限的Leader位置，並且是唯一獲得Leader的公司。
Zscaler目前服務的客戶覆蓋幾乎所有行業，並且都是各行各業的龍頭公司，例如保護DHL在186個國家的訊息安全、保護西門子在使用Office 365過程中的資料安全等。
從技術面來看，依照Zscaler官方說法，主要產品Zero Trust Exchange和傳統解決方案存在根本上的不同。Zscaler的產品是以雲端為首要基礎來開發設計，亦或稱為雲端原生的網路安全產品。傳統的產品都是拓展網路到應用程式和使用者上，使得應用程式和使用者能夠在內網環境下被發現和使用，因此傳統結構上需要在每處入口節點安裝防火牆保護內網環境的絕對乾淨。而Zscaler產品保護的並不是網路，而是應用程式和資料，將應用程式定位為目標點，流量經由Zero Trust Exchange後直接引導到相對應的特定目標點上。下圖能直觀的目睹二者差異。
就像討論其它SaaS公司一樣，每家都有專屬的Go-to-Market方式，組成自身的業務增長飛輪。對於Zscaler而言，飛輪由三方面組成，分別是ZTNA的思想領導者公司產品持續領先市場、卓越的落地解決方案、在客戶滿意的情況下不斷擴張。這個飛輪的基礎在於Zscaler的戰略導向、資料導向、信任導向和諮詢化的方式來做業務，因此客戶滿意度評價取得76的NPS分數。
因為雲端安全服務即使稱為雲端原生，公司的商業模式都基於雲端，但這項業務並非那麼軟，需要在各地的資料中心裡進行部署。Zscaler 10年以上的經驗讓業務覆蓋全球150多個資料中心，所需要的時間成本和財務成本都是堅固的壁壘。這些累積我們可以類比成CDN的機房數量，並非新進玩家短期內能快速解決。
所以概括來看，Zscaler歸納了幾點能在零信任時代勝出的理由：
市場開始向零信任遷移
與全球最大機構之間建立的信任夥伴關係
Zscaler的戰略定位 - 處理和保護公司級別的流量安全
多租戶雲端的靈活性和雲端效應
傑出的Go-to-Market策略
經驗豐富的團隊驅動出色的企業文化
財務報表非常良好使其邊際效益很高
財務表現良好，雲端運算指標優秀
對於一家雲端運算公司來說，特別是次級市場投資者關注的焦點，我們期待其財務上的表現，可綜合以下幾點：
收入增速保持高水準，增速可以下滑，但是幅度千萬不能太大
NRR能夠提升最好，無法提升的話千萬不能降低
營運虧損要逐年逐季收窄至開始盈利，其中各項成本中銷售費用所占的比例下降應該為主要貢獻
自由現金流為正，並且逐季逐年改善
這四項條件分別對應基於雲端運算商業模式的一系列思考。從上述幾個角度看來，Zscaler的財務狀況非常好，下面我們逐一剖析。
首先確認收入及收入增速，按年度來看，收入的絕對值持續增加，收入增速也能常年保持55%左右，除了2020年比較特別之外。
我們檢查最近兩年按季度的收入以及收入增速，收入增速不斷提高，相當驚人。綜合上述分析，2021年是零信任被放到聚光燈下的一年，以拜登政府的行政命令作為代表。在最新季度，營運收入增速達到62%，創下自2019年4月以來新高。
而收入穩定增長的原因乃Billings和NRR二者的傑出貢獻。NRR方面，Zscaler和大部分PLG（Product-Led Growth）公司相比，並沒有特別出色，尤其是一些Usage-Based Compensation公司大部分都有130%~140%的DBNRR。但很少能看到一家公司的DBNRR持續提升，而且近幾年還在加速，這就非常神奇。另外，Billings增速基本上和營運收入同步，但是2021年財年Billings的增速創下歷史記錄。
毛利率維持優秀水準，對於這類相對比較硬的雲端運算公司而言，GAAP毛利率在穩定期間能維持77%已相當傑出。另一家比較硬的雲端運算公司Cloudflare的毛利率亦在77%±2%波動。而non-GAAP毛利率和GAAP毛利率之間的差距擴大主要是股權激勵費用作為員工薪酬派發變多，於是節省了自由現金流。
從各項營運費用和營運利潤來看，Zscaler一直呈現營運虧損的狀態。隨著收入增加，各項費用皆有增加，增加最多的還是銷售費用和研發費用。這其實可以理解，為了拓展規模就擴增銷售費用，保持技術領先得擴增研發費用，所以我們更應該關注這二者占收入的比例和營運利潤率。
具體觀察所占的比例，銷售費用保持不變，體現了拓展規模過程中持續的高投入；研發費用保持不變，Zscaler在研發上也是高投入。因此從GAAP營運利潤率來看，虧損程度沒怎麼改善。但是我們注意到non-GAAP營運利潤率在2018年開始轉正，並且有上升的趨勢。Non-GAAP營運利潤率和GAAP營運利潤率之間的差值主要來自股權激勵費用，以及一部分非實物資產的攤銷。這些都是成本，但不影響營運現金流以及自由現金流，所以我們更關注non-GAAP營運利潤率。
最後，依照評判雲端運算公司的通用法則〈Rule of 40〉。收入增速如上所提，Zscaler收入增速一向出色。而FCF margin是我們最驚喜的部分，自由現金流處於不斷變好的階段，現金流相當健康。這與先前所見幾個成本項中的股權激勵有比較大關係，同時也是雲端運算商業模式精彩之處。在自由現金流的卓越表現下，Rule of 40計算結果非常漂亮，最新季度的收入增速+FCF margin達到97.84%。
未來展望
估值情況
那麼這樣一家公司的估值如何？和自身相比，Zscaler的估值位於高點，超過歷史均值的2倍標準差。經歷前段時間的下跌後依舊在2倍標準差之上。
考量網路安全行業的特殊性，近期被關注的程度太高，可能整體估值偏貴，所以我們看看網路安全賽道上其它公司的估值如何。比較其它三家同賽道公司的估值水準，只能說現在Zscaler的估值還是比較昂貴。
放到整個行業裡對比，以PSG的角度，Zscaler處於行業均線的上緣，目前估值倍數為0.88的PSG，遠高於行業平均的0.51倍PSG。
市場空間與未來機會
就投資者日公布的資料顯示，Zscaler處在市場區隔賽道的空間高達720億美元，行業的整體潛在市場（TAM）夠大。720億美元的核心服務機會包括：
• 490億美元的使用者SAM（Serviceable Addressable Market）專注於企業，擁有2k+名員工
• 230億美元的工作負載SAM，用於頂尖公有雲中的工作負載
日益增加的IoT設備包括5G等上雲端，SaaS應用場景會越來越多。Zscaler Cloud每日交易量按月峰值每隔20個月翻倍，這表明Zscaler的應用場景在不斷擴展。
因此對於Zscaler而言，主要看點包含以下方面：
1. 行業TAM大
目前網路、應用程式和安全轉型的早期階段。每年TAM機會高達720億美元。
2. 先鋒和市場領導者
擁有逾5,600名客戶的大型安全平台。一直被Forrester和Gartner公認為領導者。收入每年增長約50%。
3. 經過驗證的差異化雲端架構
超過275項已發布和正在申請的專利。全球150多個資料中心。獨特的多租戶架構，在客戶的資料路徑中。
4. 強大的財務模型
高成長的SaaS模式。借助更高價值的產品、ZPA、ZDX和工作負載保護進行驗證和擴展。獨特的多維市場進入模型（Multidimensional Go-to-Market Models）。
總結來說，Zscaler現在估值較高，和同業的估值比，與行業整體的PSG比，都較為昂貴。但鑑於位處最優質的雲端運算賽道以及相當漂亮的財務成績，我們認為目前估值屬合理偏貴，值得密切關注。
~ data from 云安全巨头，零信任领导者，Zscaler千亿市值可期？
留言列表
健力重訓 (17)
