Quatro dias, duas saídas, uma categoria

A 30 de julho a Okta assinou um acordo definitivo para adquirir a Permiso Security, uma empresa de Palo Alto que deteta ameaças em identidades humanas, não humanas e agênticas em ambientes multinuvem. A Okta não divulgou as condições. Uma pessoa com conhecimento do negócio disse à TechCrunch que se tratava de pouco menos de 200 milhões de dólares, quase inteiramente em numerário, com fecho previsto no terceiro trimestre fiscal de 2027 da Okta, que decorre de agosto a outubro deste ano.

Três dias antes, a Keyfactor acordara comprar a Cofide, a empresa britânica de seis pessoas que implementa a norma de identidade de cargas de trabalho SPIFFE e SPIRE, no mesmo dia em que essa norma passou a código aberto sob a Linux Foundation. Duas aquisições na mesma categoria estreita em quatro dias não são coincidência nem guerra de licitações. É o ruído dos fornecedores instalados a decidir o que a identidade de agentes vai ser.

O que compram realmente pouco menos de 200 milhões de dólares

A Permiso saiu do sigilo em 2022, fundada por Paul Nguyen e Jason Martin, ambos antigos quadros da FireEye. Tinha angariado cerca de 29 milhões de dólares, incluindo uma série A de 18,5 milhões em abril de 2024 liderada pela Altimeter Capital. Uma saída por pouco menos de 200 milhões devolve cerca de sete vezes o capital investido. Para uma empresa com quatro anos, na categoria de segurança mais procurada do ano, é um resultado digno e ao mesmo tempo comedido.

O sinal está na própria linguagem da Okta. A empresa disse que a transação não deverá ter impacto na previsão publicada a 27 de maio. Um negócio que não mexe em nenhum número traz consigo quase nenhuma receita. Não é uma crítica à Permiso, cuja tecnologia lê mais de 2.500 sinais de investigação junto de mais de 70 parceiros de identidade e assinala em tempo real acessos com privilégios excessivos, permissões não usadas, comportamento anómalo de agentes e atividade de grande raio de impacto. É uma declaração sobre o que o comprador julga estar a comprar.

Leia o preço como uma classificação. Cerca de 200 milhões de dólares é o que um fornecedor instalado paga por uma capacidade que tenciona incorporar numa subscrição existente, não por um negócio que espera vender à parte. A Okta decidiu que a identidade de agentes é uma funcionalidade da plataforma de identidade que já tem. Se está há três meses a avaliar um produto independente a três anos, essa decisão acabou de ser tomada por outra pessoa em seu nome.

A autenticação, e tudo o que acontece depois

A Okta é uma empresa de autenticação. A Permiso faz deteção posterior à autenticação: observa a atividade de identidade depois de um utilizador, um serviço ou um agente já ter sido admitido. Desmonte o negócio e a Okta pagou uma quantia de nove dígitos pela admissão de que autenticar um agente não diz quase nada sobre o que esse agente faz a seguir. A equipa de investigação P0 Labs da Permiso e o seu ambiente isolado SandyClaw, que procura ataques à cadeia de abastecimento escondidos em competências e instruções de agentes, estão ambos desse lado da linha.

Esta é a parte a levar para a sua própria aquisição. A maioria das propostas de identidade de agentes vende hoje a metade da emissão: dar a cada agente uma identidade verificável, rodar as suas credenciais, restringir as suas permissões. Esse trabalho é necessário e é a metade barata. A metade cara consiste em saber que o agente número 412 leu às três da manhã uma tabela de clientes em que nunca tinha tocado em seis meses de operação, e conseguir pará-lo dentro do mesmo minuto. Quando uma proposta termina na emissão, orçamentaram-lhe metade de um controlo.

A promessa de neutralidade tem prazo de validade

O valor da Permiso nasce precisamente de ser multifornecedor. Os seus sinais abrangem mais de 70 parceiros de identidade, e é por isso que funciona num parque que corre vários fornecedores de identidade em simultâneo, como fazem quase todos os grupos europeus de alguma dimensão após uma década de compras. Os fundadores enquadraram o acordo em chegar a mais organizações através daquilo a que chamaram a plataforma neutra da Okta, e o diretor de produto da Okta, Ely Kahn, situou-o como uma extensão da sua deteção e resposta a ameaças.

Leve a promessa de neutralidade a sério e depois escreva-a. A gravidade comercial de qualquer aquisição puxa para que a pilha do comprador seja a melhor suportada, não por má-fé mas porque é para aí que vai o orçamento de engenharia. Se corre o Entra ID, o Ping ou um diretório antigo ao lado da Okta, a cobertura desses sistemas passa a ser uma questão contratual e não um facto do produto. Peça-a na renovação, com sistemas nomeados e um compromisso de suporte, enquanto o negócio ainda está pendente e a resposta ainda é fácil de dar.

O que deixar fechado antes do fecho de outubro

Três coisas pertencem ao seu processo neste trimestre. Primeira, congele a decisão de categoria: não assine nos próximos dois trimestres um contrato plurianual com um fornecedor independente de segurança de agentes, a menos que ele seja suficientemente grande para comprar em vez de ser comprado. Segunda, se já é cliente da Permiso, obtenha agora por escrito o roteiro e o percurso de preços da sua renovação, porque o período entre a assinatura e o fecho é a janela em que essas respostas saem mais baratas. Terceira, se é cliente da Okta, não orçamente esta capacidade como se fosse gratuita; o que se compra por nove dígitos não fica no escalão base.

Há ainda uma aresta de conformidade. Ao abrigo da NIS2, a segurança do fornecedor é uma obrigação sua e não um favor dele, e as autoridades nacionais, do CNCS português à ANSSI francesa, têm sido consistentes ao dizer que o dever segue o operador. Uma aquisição a meio do contrato muda quem trata a sua telemetria de identidade e onde. Na maioria dos acordos bem redigidos isso é uma notificação de mudança de fornecedor, e vale a pena confirmar que o seu trata a mudança de controlo como um facto notificável e não como uma nota de rodapé.

Leia a seguir: 16.000 empresas juntam o risco de fornecedor. Você não  |  141 006 testes, três invasões reais