Cuatro días, dos salidas, una categoría

El 30 de julio Okta firmó un acuerdo definitivo para adquirir Permiso Security, una compañía de Palo Alto que detecta amenazas en identidades humanas, no humanas y agénticas dentro de entornos multinube. Okta no reveló las condiciones. Una persona conocedora de la operación dijo a TechCrunch que fueron algo menos de 200 millones de dólares y casi todo en efectivo, con cierre previsto en el tercer trimestre fiscal de 2027 de Okta, que va de agosto a octubre de este año.

Tres días antes, Keyfactor acordó comprar Cofide, la firma británica de seis personas que implementa el estándar de identidad de cargas de trabajo SPIFFE y SPIRE, el mismo día en que ese estándar pasó a código abierto bajo la Linux Foundation. Dos adquisiciones en la misma categoría estrecha en cuatro días no son una casualidad ni una guerra de pujas. Es el ruido de los proveedores establecidos decidiendo qué va a ser la identidad de agentes.

Qué compran realmente algo menos de 200 millones de dólares

Permiso salió del sigilo en 2022, fundada por Paul Nguyen y Jason Martin, ambos antiguos directivos de FireEye. Había levantado unos 29 millones de dólares, incluida una serie A de 18,5 millones en abril de 2024 liderada por Altimeter Capital. Una salida por algo menos de 200 millones devuelve cerca de siete veces el capital invertido. Para una compañía de cuatro años en la categoría de seguridad más caliente del año, es un resultado digno y a la vez modesto.

La señal está en el propio lenguaje de Okta. La compañía dijo que la operación no tendrá impacto en la previsión publicada el 27 de mayo. Un acuerdo que no mueve ninguna cifra apenas lleva ingresos consigo. No es una crítica a Permiso, cuya tecnología lee más de 2.500 señales de investigación en más de 70 socios de identidad y detecta en tiempo real accesos con privilegios excesivos, permisos sin usar, comportamiento anómalo de agentes y actividades de gran radio de impacto. Es una declaración sobre lo que el comprador cree estar comprando.

Lea el precio como una clasificación. Unos 200 millones de dólares es lo que un actor establecido paga por una capacidad que piensa integrar en una suscripción existente, no por un negocio que espera vender por separado. Okta ha decidido que la identidad de agentes es una funcionalidad de la plataforma de identidad que usted ya tiene. Si lleva tres meses evaluando un producto independiente a tres años, esa decisión acaba de tomarla otro por usted.

La autenticación, y todo lo que ocurre después

Okta es una compañía de autenticación. Permiso es detección posterior a la autenticación: vigila la actividad de identidad después de que un usuario, un servicio o un agente ya ha sido admitido. Desmonte la operación y verá que Okta ha pagado una cifra de nueve dígitos por admitir que autenticar a un agente no dice casi nada sobre lo que ese agente hace después. El equipo de investigación P0 Labs de Permiso y su entorno aislado SandyClaw, que busca ataques a la cadena de suministro escondidos en habilidades y prompts de agentes, están los dos a ese lado de la línea.

Esta es la parte que conviene llevarse a su propia compra. La mayoría de las propuestas de identidad de agentes venden hoy la mitad de la emisión: dar a cada agente una identidad verificable, rotar sus credenciales, acotar sus permisos. Ese trabajo es necesario y es la mitad barata. La mitad cara consiste en saber que el agente número 412 leyó a las tres de la madrugada una tabla de clientes que no había tocado en seis meses de operación, y poder detenerlo en ese mismo minuto. Cuando una propuesta termina en la emisión, le han presupuestado medio control.

La promesa de neutralidad tiene fecha de caducidad

El valor de Permiso nace justamente de ser multiproveedor. Sus señales abarcan más de 70 socios de identidad, y por eso funciona en un parque que opera varios proveedores de identidad a la vez, como hacen la mayoría de los grupos europeos de cierto tamaño tras una década de compras. Los fundadores enmarcaron el acuerdo en llegar a más organizaciones a través de lo que llamaron la plataforma neutral de Okta, y el director de producto de Okta, Ely Kahn, lo situó como una extensión de su detección y respuesta ante amenazas.

Tome en serio la promesa de neutralidad y después póngala por escrito. La gravedad comercial de cualquier adquisición empuja a que la propia pila del comprador sea la mejor soportada, no por mala fe sino porque ahí va el presupuesto de ingeniería. Si junto a Okta opera Entra ID, Ping o un directorio heredado, la cobertura de esos sistemas pasa a ser una cuestión contractual y no un hecho del producto. Pídala en la renovación, con sistemas nombrados y un compromiso de soporte, mientras la operación sigue pendiente y la respuesta todavía es fácil de dar.

Qué dejar cerrado antes del cierre de octubre

Tres cosas deben entrar en su expediente este trimestre. Primera, congele la decisión de categoría: no firme un contrato plurianual de seguridad de agentes con un proveedor independiente en los próximos dos trimestres salvo que sea lo bastante grande para comprar en vez de ser comprado. Segunda, si ya es cliente de Permiso, obtenga ahora por escrito la hoja de ruta y la senda de precios de su renovación, porque el periodo entre la firma y el cierre es la ventana en la que esas respuestas salen más baratas. Tercera, si es cliente de Okta, no presupueste esta capacidad como si fuera gratis; lo que se compra por nueve dígitos no permanece en el nivel básico.

Hay además una arista de cumplimiento. Bajo la NIS2, la seguridad del proveedor es su obligación y no un favor de su proveedor, y las autoridades nacionales, del CCN español a la ANSSI francesa, han sido constantes en que el deber sigue al operador. Una adquisición a mitad de contrato cambia quién procesa su telemetría de identidad y dónde. En la mayoría de los acuerdos bien redactados eso es una notificación de cambio de proveedor, y merece la pena confirmar que el suyo trata el cambio de control como un hecho notificable y no como una nota al pie.

Leer a continuación: 16.000 firmas comparten su riesgo de proveedor. Usted no lo hace  |  141.006 pruebas, tres intrusiones reales