Att ge en agent en identitet är den billiga halvan

Fyra dagar, två exits, en kategori

Den 30 juli tecknade Okta ett bindande avtal om att förvärva Permiso Security, ett bolag i Palo Alto som upptäcker hot över mänskliga, icke-mänskliga och agentiska identiteter i molnmiljöer med flera leverantörer. Okta uppgav inga villkor. En person med insyn i affären sade till TechCrunch att det rörde sig om knappt 200 miljoner dollar och nästan uteslutande kontant, med slutförande väntat under Oktas tredje räkenskapskvartal 2027, som löper från augusti till oktober i år.

Tre dagar tidigare kom Keyfactor överens om att köpa Cofide, det brittiska sexpersonersbolag som implementerar arbetslastidentitetsstandarden SPIFFE och SPIRE, samma dag som den standarden blev öppen källkod under Linux Foundation. Två förvärv i samma smala kategori inom fyra dagar är varken en slump eller en budstrid. Det är ljudet av etablerade leverantörer som bestämmer vad agentidentitet ska vara.

Vad knappt 200 miljoner dollar faktiskt köper

Permiso trädde fram ur det tysta 2022, grundat av Paul Nguyen och Jason Martin, båda tidigare chefer på FireEye. Bolaget hade tagit in omkring 29 miljoner dollar, däribland en serie A på 18,5 miljoner i april 2024 med Altimeter Capital i spetsen. En försäljning för knappt 200 miljoner ger tillbaka ungefär sju gånger det insatta kapitalet. För ett fyra år gammalt bolag i årets hetaste säkerhetskategori är det både ett hedersamt och ett måttligt utfall.

Tecknet ligger i Oktas egen formulering. Bolaget uppgav att transaktionen inte väntas påverka den prognos som lämnades den 27 maj. En affär som inte flyttar några siffror bär nästan ingen omsättning med sig. Det är ingen kritik mot Permiso, vars teknik läser över 2 500 forskningsdrivna signaler hos fler än 70 identitetspartner och i realtid flaggar överprivilegierad åtkomst, oanvända rättigheter, avvikande agentbeteende och aktivitet med stor spridningsradie. Det är ett besked om vad köparen tror sig köpa.

Läs priset som en klassificering. Omkring 200 miljoner dollar är vad en etablerad aktör betalar för en förmåga den tänker baka in i ett befintligt abonnemang, inte för en verksamhet den räknar med att sälja separat. Okta har bestämt att agentidentitet är en funktion i den identitetsplattform ni redan har. Om ni i tre månader har utvärderat en fristående produkt på tre år har det beslutet just fattats åt er av någon annan.

Autentiseringen, och allt som händer efteråt

Okta är ett autentiseringsbolag. Permiso gör upptäckt efter autentisering: det bevakar identitetsaktivitet efter att en användare, en tjänst eller en agent redan har släppts in. Plockar man isär affären har Okta betalat ett niosiffrigt belopp för medgivandet att autentisering av en agent nästan ingenting säger om vad agenten sedan gör. Permisos forskargrupp P0 Labs och sandlådan SandyClaw, som letar efter angrepp mot leveranskedjan gömda i agenters färdigheter och instruktioner, ligger båda på den sidan av gränsen.

Det här är den del ni tar med er in i den egna upphandlingen. De flesta erbjudanden om agentidentitet säljer i dag utfärdandehalvan: ge varje agent en verifierbar identitet, rotera dess uppgifter, snäva in dess rättigheter. Det arbetet behövs och det är den billiga halvan. Den dyra halvan är att veta att agent nummer 412 klockan tre på natten läste en kundtabell den aldrig rört under sex månaders drift, och att kunna stoppa den inom samma minut. När ett förslag slutar vid utfärdandet har ni fått pris på en halv kontroll.

Neutralitetslöftet har ett bäst före-datum

Permisos värde uppstår just av att fungera över flera leverantörer. Signalerna spänner över mer än 70 identitetspartner, och därför fungerar det i en systempark som kör flera identitetsleverantörer samtidigt, vilket de flesta europeiska koncerner av någon storlek gör efter ett decennium av förvärv. Grundarna beskrev affären som ett sätt att nå fler organisationer genom det de kallade Oktas neutrala plattform, och Oktas produktchef Ely Kahn placerade den som en utvidgning av bolagets hotupptäckt och respons.

Ta neutralitetslöftet på allvar och skriv sedan ned det. Varje förvärvs kommersiella tyngdkraft drar mot att köparens egen stack blir bäst stödd, inte av ond vilja utan för att det är dit utvecklingsbudgeten går. Kör ni Entra ID, Ping eller en äldre katalog vid sidan av Okta är täckningen av de systemen från och med nu en avtalsfråga och inte en produktegenskap. Begär den vid förnyelsen, med namngivna system och ett supportåtagande, medan affären fortfarande pågår och svaret fortfarande är lätt att ge.

Vad som måste vara klart före slutförandet i oktober

Tre saker hör hemma i er akt detta kvartal. För det första, frys kategoribeslutet: teckna inte ett flerårigt avtal med en fristående leverantör av agentsäkerhet de närmaste två kvartalen om inte leverantören är stor nog att vara köpare i stället för måltavla. För det andra, är ni redan Permiso-kund, skaffa färdplanen och prisbanan för er förnyelse skriftligt nu, eftersom perioden mellan avtal och slutförande är det fönster då de svaren är billigast att få. För det tredje, är ni Okta-kund, budgetera inte den här förmågan som om den vore gratis; det som köps för ett niosiffrigt belopp stannar inte i basnivån.

Det finns också en efterlevnadskant. Enligt NIS2 är leverantörssäkerhet er skyldighet och inte en tjänst från leverantören, och nationella myndigheter från MSB till tyska BSI har varit konsekventa med att plikten följer verksamhetsutövaren. Ett förvärv mitt i ett avtal ändrar vem som behandlar er identitetstelemetri och var. I de flesta välskrivna avtal är det en anmälningspliktig leverantörsändring, och det är värt att bekräfta att ert avtal behandlar ett ägarbyte som en anmälningspliktig händelse och inte som en fotnot.

Läs vidare: 16.000 företag delar leverantörsrisken. Inte du  |  141 006 testkörningar, tre äkta intrång