Cztery dni, dwa wyjścia, jedna kategoria

30 lipca Okta podpisała wiążącą umowę przejęcia Permiso Security, firmy z Palo Alto wykrywającej zagrożenia w tożsamościach ludzkich, nieludzkich i agentowych w środowiskach wielochmurowych. Okta nie ujawniła warunków. Osoba znająca sprawę powiedziała serwisowi TechCrunch, że chodziło o nieco poniżej 200 milionów dolarów, niemal w całości gotówką, a zamknięcie przewidziano na trzeci kwartał obrotowy 2027 Okty, który trwa od sierpnia do października tego roku.

Trzy dni wcześniej Keyfactor uzgodnił zakup Cofide, sześcioosobowej brytyjskiej firmy wdrażającej standard tożsamości obciążeń SPIFFE i SPIRE, tego samego dnia, w którym standard ten trafił do otwartego kodu pod skrzydłami Linux Foundation. Dwa przejęcia w tej samej wąskiej kategorii w cztery dni to nie przypadek i nie wojna ofert. To odgłos uznanych dostawców rozstrzygających, czym ma być tożsamość agentów.

Co naprawdę kupuje nieco poniżej 200 milionów dolarów

Permiso wyszło z ukrycia w 2022 roku, założone przez Paula Nguyena i Jasona Martina, obu byłych menedżerów FireEye. Zebrało około 29 milionów dolarów, w tym rundę serii A na 18,5 miliona w kwietniu 2024 roku pod przewodnictwem Altimeter Capital. Wyjście przy niecałych 200 milionach zwraca około siedmiokrotności włożonego kapitału. Dla czteroletniej firmy w najgorętszej kategorii bezpieczeństwa tego roku to wynik zarazem godny i umiarkowany.

Wskazówka tkwi w języku samej Okty. Spółka podała, że transakcja nie powinna wpłynąć na prognozę opublikowaną 27 maja. Umowa, która nie rusza żadnych liczb, nie niesie ze sobą prawie żadnych przychodów. To nie jest zarzut wobec Permiso, którego technologia czyta ponad 2500 sygnałów badawczych u ponad 70 partnerów tożsamościowych i w czasie rzeczywistym oznacza nadmiarowe uprawnienia, nieużywane zezwolenia, nietypowe zachowania agentów oraz działania o dużym promieniu rażenia. To wypowiedź o tym, co nabywca sądzi, że kupuje.

Czytajcie cenę jako klasyfikację. Około 200 milionów dolarów to tyle, ile uznany dostawca płaci za funkcję, którą zamierza wpiąć w istniejącą subskrypcję, a nie za biznes, który spodziewa się sprzedawać osobno. Okta uznała, że tożsamość agentów jest funkcją platformy tożsamościowej, którą już macie. Jeśli od trzech miesięcy oceniacie samodzielny produkt na trzyletni okres, tę decyzję właśnie podjął za was ktoś inny.

Uwierzytelnienie i wszystko, co dzieje się potem

Okta jest firmą od uwierzytelniania. Permiso zajmuje się wykrywaniem po uwierzytelnieniu: obserwuje aktywność tożsamości już po tym, jak użytkownik, usługa albo agent został wpuszczony. Rozłóżcie tę transakcję na części, a zobaczycie, że Okta zapłaciła dziewięciocyfrową kwotę za przyznanie, że uwierzytelnienie agenta niemal nic nie mówi o tym, co ten agent potem robi. Zespół badawczy P0 Labs firmy Permiso i jej piaskownica SandyClaw, szukająca ataków na łańcuch dostaw ukrytych w umiejętnościach i poleceniach agentów, leżą po tej samej stronie granicy.

To jest ta część, którą przenosicie do własnych zakupów. Większość dzisiejszych ofert tożsamości agentowej sprzedaje połowę dotyczącą wydawania: nadaj każdemu agentowi weryfikowalną tożsamość, rotuj jego poświadczenia, zawęź uprawnienia. Ta praca jest konieczna i jest tańszą połową. Droższa połowa polega na tym, by wiedzieć, że agent numer 412 o trzeciej w nocy odczytał tabelę klientów, której nie tknął przez sześć miesięcy pracy, i móc go zatrzymać w tej samej minucie. Gdy oferta kończy się na wydaniu, wyceniono wam połowę zabezpieczenia.

Obietnica neutralności ma termin przydatności

Wartość Permiso bierze się właśnie z niezależności od dostawcy. Jego sygnały obejmują ponad 70 partnerów tożsamościowych i dlatego działa w środowisku, w którym pracuje kilku dostawców tożsamości naraz, jak w większości europejskich grup o pewnej skali po dekadzie przejęć. Założyciele przedstawili umowę jako sposób dotarcia do większej liczby organizacji przez to, co nazwali neutralną platformą Okty, a dyrektor produktu Okty, Ely Kahn, umieścił ją jako rozszerzenie wykrywania zagrożeń i reagowania na nie.

Potraktujcie obietnicę neutralności poważnie, a potem ją spiszcie. Handlowa grawitacja każdego przejęcia ciągnie ku temu, by najlepiej wspierany był własny stos nabywcy, nie ze złej woli, lecz dlatego, że tam trafia budżet inżynierski. Jeśli obok Okty prowadzicie Entra ID, Ping albo starszy katalog, obsługa tych systemów staje się od teraz kwestią umowną, a nie cechą produktu. Zażądajcie jej przy odnowieniu, z wymienionymi systemami i zobowiązaniem wsparcia, dopóki transakcja jest w toku, a odpowiedź jest jeszcze łatwa do udzielenia.

Co domknąć przed zamknięciem transakcji w październiku

Trzy rzeczy należą w tym kwartale do waszych akt. Po pierwsze, zamroźcie decyzję kategorialną: przez najbliższe dwa kwartały nie podpisujcie wieloletniej umowy z samodzielnym dostawcą bezpieczeństwa agentów, chyba że jest on dość duży, by być nabywcą, a nie celem. Po drugie, jeśli jesteście już klientem Permiso, uzyskajcie teraz na piśmie mapę drogową i ścieżkę cenową odnowienia, bo okres między podpisem a zamknięciem to okno, w którym takie odpowiedzi kosztują najmniej. Po trzecie, jeśli jesteście klientem Okty, nie planujcie tej funkcji jako darmowej; to, co kupuje się za dziewięciocyfrową kwotę, nie zostaje w pakiecie podstawowym.

Jest też wątek zgodności. Zgodnie z NIS2 bezpieczeństwo dostawcy jest waszym obowiązkiem, a nie jego uprzejmością, a organy krajowe, od NASK po niemiecki BSI, konsekwentnie wskazują, że obowiązek idzie za operatorem. Przejęcie w trakcie umowy zmienia to, kto przetwarza waszą telemetrię tożsamości i gdzie. W większości dobrze napisanych umów jest to zgłaszalna zmiana dostawcy i warto potwierdzić, że wasza traktuje zmianę kontroli jako zdarzenie podlegające zgłoszeniu, a nie jako przypis.

Czytaj dalej: 16.000 firm łączy ryzyko dostawców. Ty nie  |  141 006 testów, trzy prawdziwe włamania