网络安全市场可谓是乱相丛生，前纽约市长鲁迪乔兰尼将网络安全问题比喻成无可医治的癌症，而问题重重、备受争议的 Norse Corporation 却拿到了1140万美元的风险投资。

尽管现在我们说网络安全是泡沫还为时过早，但可信赖的内部技术、铺天盖地的专家营销以及让人感到恐惧、不确定和怀疑的策略，已经让人越来越难以区分哪些是真正的安全公司。这也使得网络安全项目的采购过程对于各种规模的组织来说，都变得更加复杂和具有挑战性的。

身在安全圈的朋友，或多或少地都听到过不同组织的安全专家和管理者，抱怨他们在采购各种网络安全产品或服务方面的失望。开放和透明的报价模式可能是在公开市场中得到高性价比产品和服务的最有效的方法之一。然而，由于网络安全市场的复杂性和动态变化的环境，那只“看不见的手”可能并不总能正常运作。不过，如果我们考虑一些基础的重要规则的话，网络安全采购还是可以取得成功的：

确保该项采购符合公司的风险管理策略

在购买任何安全产品、系统或服务之前，确认新的安全控制是否可以在一定程度上减轻亟待解决的安全风险。网络安全市场时常出现新的趋势，而通常企业投资新的产品、系统或服务只是为了赶时髦。如果您的企业中最重要的风险是驻留在企业内部的威胁，在没有确认已经拥有适当可行的数据防泄露系统(DLP)以应对风险之前，把钱花在外部威胁情报上就是错误的。……