后量子迁移将延长防火墙升级周期，PANW的平台与变现路径最清晰

概览

报告讨论后量子世界下加密技术迁移对网络安全行业的影响。量子计算机尚未达到可破解主流密码的水平，但攻击者可提前收集长期敏感的加密数据，待未来具备能力后解密；而网络、应用、终端和身份系统的密码迁移需要多年，因此客户正在提前投入。

核心观点

防火墙和网络安全平台位于加密连接的执行、检查与策略控制节点，将首先受益于密码资产发现、量子安全连接和加密流量检查需求。PANW覆盖能力最广且已有直接付费产品；CSCO具备评估和硬件更新收入机会，后续产品路线图较完整。其他厂商的近期价值主要体现为留存、平台附加销售、合规竞争力和设备刷新，而非单独披露的量子安全收入。

分析框架

报告按厂商比较密码资产盘点、量子安全连接、后量子流量检查、密码敏捷性与遗留系统桥接、机器身份及证书生命周期管理等能力，并评估当前产品成熟度、变现时点和后续验证指标。

方法论与常识提炼

• 竞争定位比较后量子迁移能力矩阵

  比较厂商在关键迁移功能上的公开能力覆盖度。

  以密码资产盘点、量子安全连接、流量检查、遗留系统兼容和机器身份/证书管理为维度，识别PANW和CSCO的相对领先地位。

• 商业化评估产品成熟度与变现路径

  区分现有付费产品、内嵌能力、路线图和测试阶段能力。

  重点判断收入是直接来自许可证、评估和服务，还是主要通过续约、附加销售及硬件刷新间接体现。

标的映射与对比

研报将主题/逻辑映射到具体标的时的结构化摘要（优势、劣势、对比与风险）。

• Palo Alto Networks (PANW)

  首选受益者

  优势

  能力覆盖最广；已有付费Quantum-Safe Security；PAN-OS 12.1支持后量子流量检查和密码转换，并通过CyberArk与Venafi延伸至证书和机器身份。

  劣势

  未披露付费客户数、扫描资产数、续约率或量子相关收入。

  对比

  相较同业拥有最完整的公开迁移能力组合和最清晰的直接变现路径。

  风险

  客户需求、检查性能、硬件升级规模及平台化采购转化不及预期。

• Cisco (CSCO)

  第二梯队领先者

  优势

  Cisco IQ可评估量子脆弱加密并提出升级建议；可通过评估、专业服务和现代硬件变现，产品扩展路线图广泛。

  劣势

  部分关键功能仍待2026年末至2027年实现普遍可用。

  对比

  路线图广度仅次于PANW，但当前直接产品覆盖和即时变现清晰度较低。

  风险

  路线图延期、存量设备替换比例偏低、软件与服务附加销售有限。

• Fortinet (FTNT)

  间接受益者

  优势

  FortiOS支持混合后量子密钥交换、量子安全私网连接和加密流量检查；ASIC可能有利于性能敏感客户。

  劣势

  管理层称相关能力内嵌于FortiOS且不额外收费。

  对比

  技术部署较成熟，但直接量子安全收入潜力弱于PANW和CSCO。

  风险

  实际吞吐表现、支持的FortiGate代际及量子驱动刷新需求存在不确定性。

• Zscaler (ZS)

  云检查控制点受益者

  优势

  可使用混合后量子加密解密、检查并重新加密流量，且支持部分私网隧道保护。

  劣势

  能力当前内嵌于Zscaler Internet Access，未单独定价或披露采用情况。

  对比

  在云端流量检查上具竞争力，但密码资产盘点和直接变现能力较PANW有限。

  风险

  延迟、计算成本、协议覆盖度和私有应用支持可能限制大规模部署。

• Check Point (CHKP)

  有限受益者

  优势

  R82支持量子安全站点到站点VPN密钥交换，R82.10增加部分后量子TLS会话检查。

  劣势

  迁移角色较窄，缺少已披露的增量定价、客户采用和性能数据。

  对比

  具备VPN与检查能力，但整体覆盖度低于PANW、CSCO、FTNT和ZS。

  风险

  若未扩展至密码发现、迁移报告和证书管理，商业机会可能受限。

• Netskope (NTSK)

  早期潜在受益者

  优势

  围绕ML-KEM 768推进平台更新，可支持留存、数据安全交叉销售及受监管行业需求。

  劣势

  平台仍在开发阶段，计划开展客户沙箱测试，尚未广泛生产可用。

  对比

  架构相关性存在，但产品成熟度和直接变现确定性低于已部署同业。

  风险

  普遍可用时间、性能、封装方式和客户需求尚未明确。

• Okta (OKTA)

  身份安全间接受益者

  优势

  现有平台可治理非人类身份；计划分两阶段在边缘、联邦层及管理工具引入后量子能力。

  劣势

  当前收入机会主要仍来自既有身份产品，直接后量子产品尚待路线图兑现。

  对比

  身份层相关性较强，但证书和密码迁移的直接敞口弱于PANW旗下CyberArk与Venafi。

  风险

  交付节奏、认证协议支持、租户迁移控制和产品打包不确定。

• SailPoint (SAIL)

  治理层间接受益者

  优势

  机器身份和代理身份安全产品可发现非人类身份、分配所有权并管理访问生命周期。

  劣势

  不直接实施后量子密码，尚未公布专门路线图。

  对比

  更偏向迁移前的身份发现与治理，而非直接加密技术替换。

  风险

  客户附加购买和与证书、PKI、密码发现厂商的集成深度不足。

• CrowdStrike (CRWD)

  合作伙伴驱动的潜在受益者

  优势

  可通过Falcon生态分发Keyfactor AgileSec，用于发现算法、证书、密钥和机器身份。

  劣势

  专门的密码资产盘点和后量子准备能力由Keyfactor主导，CrowdStrike经济收益未披露。

  对比

  目前更像渠道与平台黏性受益者，而非迁移主导者。

  风险

  若合作发现结果不能进入原生Falcon付费修复或风险暴露工作流，直接变现空间有限。

关键数据

• TLS证书最长有效期2029年3月降至47天CA/Browser Forum批准分阶段缩短，强化证书签发、续期和替换自动化需求。
• 潜在硬件更新窗口2026年至2027年报告认为老旧、尤其使用超过5年的防火墙可能缺乏支持后量子密码和全量检查所需性能。
• Cisco产品路线图2026年末至2027年更广泛能力拟覆盖路由、交换、防火墙、身份、可观测性和协作产品。
• PANW直接变现方式Quantum-Safe Security许可证及Secure-Flex积分计费能力与已扫描密码资产数量相关。

影响与含义

后量子迁移将把网络安全采购从单点加密升级扩展至密码资产发现、加密流量可视化、证书生命周期、机器身份治理及设备性能更新。短期内，网络安全厂商最可能通过存量客户续约、平台附加销售和硬件刷新受益；能够将网络控制点与身份、证书管理整合的平台更可能获得直接且可见的商业化机会。

风险

• 具备密码学意义的量子计算机尚未出现，客户投入节奏可能慢于预期。
• 多数厂商尚未披露独立量子安全收入、定价、采用率或续约数据，商业影响可见度有限。
• 大量能力仍处于路线图、测试或有限支持阶段，产品交付和性能可能不达预期。
• 后量子能力可能被作为现有平台的免费或内嵌功能提供，难以形成独立收入。
• 报告涉及多家与Morgan Stanley存在投资银行、服务关系或持股披露的公司，需关注利益冲突披露。

后续跟踪

• PANW的付费客户、Secure-Flex使用、密码资产扫描量、续约率及防火墙升级需求。
• CSCO在2026年末至2027年的产品路线图交付、Cisco IQ采用和硬件替换比例。
• FTNT、ZS、CHKP的全量检查性能、客户启用率、支持设备范围及量子驱动刷新。
• NTSK从沙箱测试转向普遍可用的时间与商业化方案。
• OKTA、SAIL和CRWD能否将身份治理、证书管理或合作伙伴能力转化为可量化的附加销售。
• 政府和高监管行业是否成为后量子迁移的首批大规模采购者。