A segurança do email como questão de jurisdição

Uma ronda de 5 milhões de euros com um discurso pouco habitual

A xorlab, empresa de segurança de email sediada em Zurique, fechou uma ronda Série A+ de 5 milhões de euros destinada à expansão pela região DACH, pelo Benelux e pelos países nórdicos. A empresa vende deteção de ameaças para phishing, comprometimento de email empresarial e apropriação de contas, os ataques do dia a dia que fazem do email um dos canais mais explorados para entrar na rede de uma empresa.

A Spicehaus Partners liderou a ronda enquanto investidora já existente, acompanhada pelos investidores que continuam a apoiar a empresa, Grapha Holding, EquityPitcher Ventures e ZKB Start-up Finance. O anúncio surgiu a 1 de setembro, e cinco milhões de euros é um valor modesto face ao que as startups de segurança e inteligência artificial em fases avançadas costumam angariar no resto da Europa. O facto de o mesmo grupo de investidores ter optado por investir de novo, em vez de um novo consórcio vir redefinir a avaliação, lê-se mais como um voto de continuidade do que como um resgate.

Esta ronda importa menos pelo montante do que por aquilo a que o dinheiro se destina: alargar um produto construído em torno de uma única decisão de conceção que a maioria dos fornecedores de segurança de email não oferece como escolha real, deixar o cliente decidir em que jurisdição o seu correio é efetivamente processado. O email continua também a ser uma das portas de entrada mais comuns para os incidentes que a DORA e a NIS2 procuram reduzir, o que explica porque um fornecedor de nicho a crescer precisamente nesta categoria merece atenção para além do seu balanço. Uma ronda de 5 milhões de euros não compra tecnologia nova, compra sobretudo capacidade comercial, equipa local e o trabalho de conformidade necessário para vender a um novo conjunto de reguladores nacionais, um trabalho pouco vistoso que determina se o discurso chega mesmo às equipas de compras.

A lista de clientes é o verdadeiro sinal

A carteira de clientes da xorlab já se lê como uma lista de verificação da Europa regulada: o banco privado Julius Baer, a operadora Swisscom, a gestora de património Vontobel, o grupo de tecnologia de moeda e segurança Giesecke+Devrient, e a organização de investigação CERN. Juntos, abrangem exatamente a combinação de setores para os quais a DORA, a NIS2 e o RGPD foram, cada um, escritos: serviços financeiros, infraestrutura crítica e organizações cuja perda de dados teria consequências verdadeiramente graves.

Nenhum destes é um cliente especulativo. Um banco cai diretamente no âmbito da DORA. Uma operadora cai no âmbito da NIS2. Uma empresa como a Giesecke+Devrient trabalha com tecnologia de moeda, identidade e segurança, onde a resiliência operacional e o controlo dos dados já são preocupações ao nível da administração, e o CERN gere comunicações de investigação internacional sensíveis que muitos governos preferem não ver a passar por infraestrutura que não controlam. Os reguladores que redigiram a DORA e a NIS2 não inventaram esta preocupação do nada: puseram-na por escrito porque empresas como estas já estavam inquietas com o risco de concentração num número reduzido de fornecedores fora da UE, e esse risco não é abstrato para nenhum destes cinco clientes, já que um banco, uma operadora, um fabricante ligado à segurança e um laboratório de física dependem todos os dias de um email a funcionar de forma correta e confidencial.

O produto está construído para responder a essa preocupação em vez de a desvalorizar: os clientes escolhem entre uma implementação totalmente local com processamento e armazenamento locais, uma configuração híbrida ou uma opção na nuvem, e em qualquer um destes modos os centros de dados situam-se na UE e a equipa que gere o serviço está baseada na Europa. Este leque de opções importa porque as equipas de conformidade precisam cada vez mais de documentar não só que os dados estão cifrados, mas também de que país, com os seus tribunais e serviços de informações, poderia em teoria obrigar ao acesso.

O que mudou esta semana para quem compra conformidade na UE

Antes desta semana, uma equipa de conformidade na UE a avaliar segurança de email podia razoavelmente tratar a jurisdição do fornecedor como uma nota de rodapé, atrás da comparação de funcionalidades e do preço. Uma alternativa financiada e já apoiada por clientes reais, construída precisamente em torno dessa nota de rodapé, torna mais difícil deixá-la de fora da grelha de avaliação. Esta mudança conta mesmo com um montante de financiamento pequeno, porque altera aquilo que uma equipa comercial pode prometer com credibilidade num questionário de due diligence, e dá a fornecedores mais pequenos um modelo para conquistar clientes regulados apenas pela jurisdição, não só por travarem mais phishing do que o fornecedor estabelecido.

A xorlab constrói o seu discurso explicitamente em torno do cumprimento da DORA, da NIS2 e do RGPD, e em torno da redução da dependência de infraestrutura e fornecedores de segurança controlados pelos EUA, um enquadramento que a empresa e os seus investidores classificam de soberano. O seu diretor executivo resumiu o argumento de fundo sem rodeios: a Europa precisa de campeões próprios em cibersegurança, não de cópias europeias dos líderes de mercado norte-americanos, uma frase que atinge uma ansiedade já presente em muitos conselhos de administração europeus, a de que decisões sobre infraestrutura crítica tomadas em Bruxelas ou Berlim continuem a ser moldadas por decisões tomadas em Washington.

Nada disto faz da xorlab uma vencedora garantida, e cinco milhões de euros não compram domínio de mercado numa categoria com líderes estabelecidos e bem financiados. Mas confirma que a jurisdição se tornou um item que as empresas estão dispostas a pagar para controlar, e não apenas uma preocupação de conformidade que se regista e se deixa para trás, e para um setor construído sobre convencer compradores de que a próxima funcionalidade é o que mais importa, essa é uma conversa de vendas genuinamente diferente.

Porque fazemos isto

Fazemos isto por todos os que tentam acompanhar aquilo que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem e as pessoas a quem acontece. O Servola Journal existe para que aquilo que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem publicidade, sem barreira de pagamento, gratuito para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um gosto ou escreva um comentário positivo. Lemos todos, e são eles que nos mantêm em marcha.

Leia a seguir: Uma falha que o registo do DORA não explica  |  A Hugging Face teve de pedir os próprios registos