2026年云原生安全防护现状：全面保护云原生生态系统

云原生安全防护现状 全面保护云原生生态系统 目录 安全事件及其带来的成本 简介 第3页 第8页 新兴投资趋势：聚焦自动化与供应链 云原生安全防护的治理与成熟度 第10页 第14页 新兴风险前沿：AI与云安全防护 第23页结论 第19页 简介 《2026年云原生安全防护现状》报告在之前版本的基础上，将关注点扩展到Kubernetes之外，以反映更广泛的企业安全防护形势。该研究深入探讨了企业组织如何在混合云和多云环境中，将安全防护重点放在代码、基础架构和工作负载上，并特别强调了治理、自动化及AI的影响。 本年度报告基于600份已完成问卷的数据制作而成，这些问卷于2025年8月25日至9月23日期间在线完成，每份问卷耗时约20分钟。受访者包括来自员工规模达100人及以上企业的IT专业人士，职责涵盖应用、安全防护、平台及开发领域，通过专家网络和在线调研小组进行招募。 主要发现 几乎所有企业组织都会受到安全事件的影响，无论其规模大小或所在地区如何 的企业组织至少遇到过一个问题。 报告的事件 安全事件十分常见且代价高昂 安全问题几乎困扰着所有云原生团队。97%的企业组织在过去一年中至少经历过一次云原生安全防护事件。这些事件带来了切实的业务成本，因为74%的企业组织在过去12个月内出于安全考虑而放缓或推迟了应用部署。 97% 的企业组织在过去一年中至少经历过一次云原生安全防护事件。 简而言之，因安全问题而导致的延误、紧急补救和中断已成为常态而非例外情况，这凸显出安全措施不足所带来的高昂成本。 74% 的企业组织在过去12个月内出于安全考虑而放缓或推迟了应用部署。 云原生安全防护是基础，但成熟度不一 尽管云原生安全防护的重要性已获得广泛认可，但各企业组织在成熟度水平上仍存在显著差异。只有39%的企业表示具有明确的云原生安全防护策略，超过一半的企业仍在制定或完善相关计划。与此同时，大多数受访者（56%）表示其日常安全态势具有高度主动性。 这表明实际策略与执行往往落后于企业组织所展现出的信心。 39% 的企业表示拥有明确的云原生安全防护策略，而超过半数的企业仍在制定或完善相关计划。 这种差距凸显出企业组织需要采取更加结构化的方法来加强云安全治理和成熟度建设。 防护措施定义了成熟度，但采用情况并不一致 是否采用防护措施（内置安全控制和最佳实践），这是判定成熟度的一个关键指标，但实施情况仍存在不一致。例如，基本的身份控制几乎已全面普及，大约四分之三的企业组织使用身份和访问权限管理（IAM）工具。然而，只有约一半的企业组织采用容器镜像签名和验证来确保软件完整性。 这包括镜像签名、运行时保护、自动化策略实施和其他措施，导致整个行业的安全基准参差不齐。正如一位安全防护受访者所警告：“一个重大误解是认为云原生安全防护属于一劳永逸的解决方案，却忽视了持续监控与调整的必要性。” 换句话说，许多团队仍在忽视关键的防护措施。 不到7%的受访者表示其安全态势以被动防御为主（评分为0至4分）。 完全被动型 高度主动型（具备战略性、预防性、前瞻性） （问题出现后才做出响应） 投资目标转向自动化和供应链安全防护 60%超过 的受访企业组织计划投资于将安全防护机制自动化整合到CI/CD管道。 展望未来，企业组织正在重新平衡其安全防护投资配置，以弥补这些成熟度上的差距。未来1-2年的首要任务是DevSecOps自动化和软件供应链安全防护。超过60%的受访企业组织计划投资于将安全防护机制自动化整合到持续集成/持续交付（CI/CD）管道（策略自动化、集成等），56%的企业组织计划投资于保障软件供应链安全（从代码到运行时的完整性管理）。紧随其后的是强调扩展运行时保护（54%的受访企业组织计划投资于该领域），以在部署阶段嵌入持续性的防御机制。这标志着各企业组织正将投资重点集中于自动化与内置安全防护机制，使投资方向与定义成熟、有韧性的云原生计划的领域相契合。 56% 的企业组织计划投资于保障软件供应链安全（从代码到运行时的完整性管理）。 治理机制难以跟上AI风险的演变步伐 的受访者认为，生成式AI正在为其云环境带来新的安全挑战。79% 随着开发和DevOps领域迅速采用AI，这项技术引入新风险的速度超出了治理机制的应对能力。79%的受访者认为，生成式AI正在为其云环境带来新的安全挑战。然而，正式政策仍显滞后，因为59%的企业组织尚未制定任何书面化的内部AI使用政策或治理框架。 这种差异表明，AI相关风险（从数据泄露到不安全的AI工具）正在不断增长，而相应的监管措施却未能跟上，导致企业组织处于风险之中。 59% 的企业组织尚未制定任何书面化的内部AI使用政策或治理框架。 安全事件及其带来的成本 安全事件在云原生环境中仍是现实存在的问题，相关数据显示此类事件发生概率不低，且可能造成运营中断。 云原生安全防护事件的影响 在过去一年中，我们调查的几乎所有企业组织（97%）都至少遇到过一次云原生安全防护问题。错误配置和已知漏洞等事件并非罕见的异常状况，而是几乎已成为常态。事实上，云基础架构配置错误和检测到已知漏洞是最为常见的事件类型。这意味着日常失误（例如，使S3存储桶处于开放状态或部署未修补的容器）造成的麻烦远超复杂攻击。 这些事件对业务造成了重大影响。 的企业组织在过去12个月内出于安全考虑而延缓或推迟了云原生应用部署。74% 高达74%的受访企业组织表示，他们在过去12个月内出于安全考虑而延缓或推迟了应用发布。换言之，四分之三的团队由于安全问题的出现而不得不放慢部署速度，这直接影响了敏捷性和上市速度。此类延迟不仅会造成不便，更会导致创收机会流失、错过最后期限，并使团队成员倍感沮丧。 云原生安全防护事件带来的其他常见后果包括：计划外工作量增加和客户信任度受损。根据调查，92%的企业组织因安全事件至少遭受过一次重大影响，导致其交付软件或实现业务目标的能力受到损害。报告的影响类型多种多样，例如： 应用发布延迟。 团队必须推迟部署或功能发布，同时解决安全问题。 开发人员生产力降低。 开发人员需耗费大量时间修复漏洞或处理配置错误问题。 错过内部或客户规定的截止日期。 安全问题导致无法实现交付承诺。 失去利益相关者或客户的信任。 重大的安全疏失会削弱管理层与客户的信心。 声誉受损，甚至业务流失。 在最严重的情况下，安全失误甚至会引发公众监督，或导致客户流失。 显而易见的是，薄弱的云安全防护机制会直接给企业组织带来时间和金钱上的损失。延误会导致工程团队的生产力下降，并对业务产生连锁反应，导致错失市场机会并造成潜在的收入损失。高达四分之三的团队放慢部署速度，这表明此类阻碍极为普遍，也突显云安全防护不仅是技术问题，更是重大的业务风险。 配置错误的发生率很高（78%的受访者在过去12个月内曾报告过此类问题），这表明配置管理和漏洞修复等基础工作亟待改进。每个企业组织都应认识到，如果没有更强大的防护措施和流程，他们将会持续面临事件频发及由此衍生的各种延误问题。相关数据清楚表明，投资于预防性的安全防护措施，可有效避免应对重复问题所带来的高昂成本。 要解决这些事件所带来的成本问题，需采取更积极主动的措施。 云原生安全防护的治理和成熟度 要实现强大的云原生安全态势，既关乎治理与流程的成熟度，也离不开工具的支持。在此方面，研究结果揭示了一个悖论：许多企业组织自认表现良好，但实际上仅有少数企业组织真正建立了能够界定成熟安全防护计划的正式策略与控制措施。 主动防御姿态 一方面，大多数受访团队宣称具备主动防御姿态，其中56%的团队将其日常安全防护方法评为“高度主动”。此外，只有不到7%的企业组织自认其安全防护方法以被动防御为主，这表明大多数企业组织都希望采取具有前瞻性的做法。 团队显然希望确保安全。但另一方面，具备基础治理机制来支撑此目标的企业组织却明显较少。 只有39%的企业制定了明确的云原生安全防护策略。其余企业仍在采取临时应对措施――超过半数的企业仍在制定、完善策略，甚至是刚开始探索如何创建安全策略。部分企业（约占22%）甚至尚未建立任何云安全防护策略，这明显反映出成熟度上的重大差距。 实际上，这意味着许多企业组织可能高估了自身的准备就绪程度。 如果企业组织缺乏可落实执行的策略与结构，那么仅宣称具备主动防御姿态，并不等同于真正准备就绪。真正成熟的云原生安全防护机制，需具备明确的目标、跨团队协调能力及嵌入式控制措施。而这正是许多安全防护计划的短板所在。 的企业组织具有定义明确且成熟的云原生安全防护策略。39% 安全防护措施 衡量成熟度的一个关键指标是安全防护措施的采用情况：即旨在确保云环境安全的内置控制和实践（从访问管理到持续监控）。调查显示，不同企业组织在防护措施的采用方面存在显著差异。 一些基本措施已得到广泛实施。例如，大约四分之三的受访者已部署IAM解决方案，这反映出大多数受访者已认识到具备强大的身份与授权控制机制的必要性。然而，较为先进或新兴的最佳实践，采用率仍明显偏低。 的成熟企业组织对于保护其软体供应链安全非常有信心，而成熟度较低的企业组织则明显信心不足。 只有大约一半的企业组织实施了容器镜像签名和验证来管理代码完整性；同样地，许多企业组织还未部署运行时保护或自动化策略实施等机制。 换句话说，防护措施的覆盖广度与实施一致性尚未达到应有水平。 许多团队仅填补了部分缺口，却让其他隐患大门洞开。如果缺乏全面且有意识的治理机制，团队可能会因默认设置或临时做法而陷入虚假的安全感。 值得注意的是，研究发现，具备明确安全防护策略的企业组织，通常会一致地采用防护措施，且对自身安全状况也展现出更高的信心。成熟计划会将安全防护视为平台和管道的一部分，而非事后补救措施。 例如，与仍在制定策略的团队相比，具有明确策略的团队更有可能采用软件供应链安全防护工具和自动化策略实施等控制措施。 具有明确策略的企业组织在供应链保护等领域的信心也明显更高――61%的成熟企业组织对于保护其软体供应链安全非常有信心，而成熟度较低的企业组织信心则明显不足。 简而言之，如果企业组织具备较高的成熟度，将会获得切实的安全优势：更一致的安全防护措施、更高的可见性以及更强大的整体安全态势。 法规遵循 深层含义显而易见：及早与通用安全框架保持一致，可获得显著回报。 如今，云治理的另一个关键方面是合规性与法规要求一致性。企业感受到来自内部与外部合规要求的双重压力，亟需将安全防护措施制度化。报告指出，新的法规正在“将治理转变为一项要求”。例如，64%的受访者预计新的《欧盟网络弹性法案》（CRA）将在未来一年内影响其云原生安全防护投资。同样，行业框架和标准也发挥着广泛的影响力。无论是ISO/IEC 27000系列标准、SOC 2、美国国家标准与技术研究院（NIST）网络安全框架、支付卡行业数据安全标准（PCI-DSS），还是通用数据保护条例（GDPR），全球各地的大多数企业组织都表示，这些标准对其安全策略和工具选择均会产生重大影响。 正如报告所指出的，那些尽早采用共享标准的企业组织，很可能在合规方面“降低未来的成本与复杂性”。实际上，这意味着治理已不再是可选项或可忽略的事项；它正迅速成为云端业务运营的基本要求。 许多团队具备正确的安全意识，并认识到安全防护的重要性，但能将其转化为结构化策略和全方位控制措施的团队却寥寥无几。数据表明，更多企业组织亟需将云安全防护计划制度化，即定义明确的策略、实施统一的防护措施并采用框架，确保做好切实准备，实现主动防御。若这些治理措施能够落实到位，企业组织韧性将会得到显著提升。 新兴投资趋势：聚焦自动化与供应链 鉴于前两章中所述的各项挑战，企业组织正调整其安全投资方向以弥补这些差距，这实属意料之中。调查结果揭示了一个明确趋势：云原生领域的安全工作正进入整合与自动化阶段。企业组织不再将资源分散投入到过多零散工具或零碎的修复上，而是