Security start-ups zijn hot

Jawel, er is duidelijk ruimte voor innovatieve security starters naast de gevestigde waarden als Symantec, Kaspersky Lab en andere G Data’s. Met ruggensteun van risicokapitaal en de beurs, althans in de VS.

Jawel, er is duidelijk ruimte voor innovatieve security starters naast de gevestigde waarden als Symantec, Kaspersky Lab en andere G Data’s. Met ruggensteun van risicokapitaal en de beurs, althans in de VS. In de voorbije decennia hebben bedrijven als Symantec, Check Point, ISS (IBM) en vele andere een reuzengroei doorgemaakt door de strijd aan te gaan met steeds weer nieuwe bedreigingen tegen bedrijfs- en consumentensystemen. Is er dan geen ruimte meer voor kleinere bedrijfjes en nieuwkomers in die markt? Toch wel, zo blijkt vandaag in de VS. Daar doen innovatieve securitybedrijfjes het erg goed bij hun beursintroductie, of worden ze gretig opgekocht door derden. Tegelijk is er ook heel wat risicokapitaal beschikbaar voor starters.

De cijfers liegen er niet om. Imperva – een bedrijf dat zich toelegt op databescherming – kende vorig jaar een voortreffelijke beursintroductie en staat momenteel 37 procent boven de introductieprijs (een resultaat dat makkelijk de prestaties van meer blitse ‘socialmedia’-beursintroducties overklast). Een ander bedrijfje, NetWitness, werd dan weer door EMC opgekocht voor naar verluidt 400 miljoen dollar, of ca. 10 maal zijn jaaromzet. Andere bedrijfjes kunnen rekenen op vlotte financieringsrondes bij gereputeerde risicokapitaalbedrijven (zoals Andreesen Horowitz en Sequoia Capital), goed voor tientallen miljoenen dollars.

Nieuwe uitdagingen

Eén en ander betekent niet dat de traditionele securitybedrijven voor hun omzet en toekomst moeten vrezen. De security-productsector is een van de weinige ict-sectoren waar nog een stevige groei wordt genoteerd. Zo zullen grote bedrijven dit jaar ca. 32,8 miljard dollar aan security besteden, goed voor een groei met 9 procent, en gaan volgens IDC ook kmo’s in de volgende drie jaar hun uitgaven voor security-technologie opvoeren. Klassieke producten zoals firewalls, anti-virus/malware/etc. en dies meer, worden immers best niet meteen aan de deur gezet.

Duidelijk is evenwel dat de klassieke producten, die reactief en adhoc zijn en een ‘perimeter’-bescherming bieden, slechts moeizaam het hoofd bieden aan de nieuwe uitdagingen. En die zijn onderhand wel gekend: meer mobiele systemen met belangrijke bedrijfsdata en -toepassingen, meer consumentenproducten in bedrijfsomgevingen door het ‘bring your own device’-fenomeen, meer heimelijke en gerichte inbraken/datalekken, authenticatie- en toegangsproblemen en de bescherming van grote datasets (big data).

Deze nieuwe ontwikkelingen, gekoppeld aan de noodzaak om securityinspanningen beter te verantwoorden (onder meer om te bewijzen dat aan reglementaire en wettelijke verplichtingen wordt voldaan), maken dat binnen bedrijven de belangstelling voor nieuwe toepassingen groeit. Bedrijven willen een afdoende beveiliging (lees: een zinvol kosten/baten evenwicht biedt), die meetbaar en verifieerbaar is, en op een geïntegreerde wijze beschermt wat echt moet worden beschermd, waar en wanneer dat nodig is.

Het is de combinatie van die nieuwe uitdagingen, nieuwe technologische mogelijkheden om die het hoofd te beiden en beschikbaar kapitaal, dat nieuwe bedrijfjes inspireert. Zo hoorden we onlangs in Londen een bedrijfje als Hoverkey aan het woord, dat de security van mobiele toestellen met behulp van ‘near field communication’ technologie aanpakt.

Vandaag worden legale hackers nog het vaakst in de bloemetjes gezet als ze een nieuwe zwakheid of lacune in een product hebben gevonden. Maar steeds vaker wordt hen gesuggereerd dat innovatieve securityaanpakken, een betere samenwerking tussen verdedigers (inclusief een betere studie van en inzicht in de geest van de aanvallers) en een meer proactief (in plaats van reactief) securitybeleid ook ‘sexy’ en fascinerend kan zijn. Dat is de boodschap die op ‘hacker’-events als Black Hat etc. nu echt wel actief wordt uitgedragen.

En in België?

Het enthousiasme dat onder meer in de VS opborrelt, lijkt niet meteen in ons land een tegenhanger te kennen. Marc Vael, voorzitter van de Belgische afdeling van Isaca (de internationale vereniging van ict-auditors en securityspecialisten), ziet wel initiatieven rond security consulting, maar niet meteen bedrijfjes die nieuwe producten aanbrengen.

Ooit was dat anders. Zo biedt Vasco Data Security vandaag nog producten aan als DigiPass (van het eertijds gelijknamige bedrijf) en AxsGuard (eertijds ontwikkeld door Able). En bij Sophos treft men allicht nog meer dan wat sporen aan van de encryptieproducten van Utimaco Safeware (dat nog steunde op de ontwikkelingen bij Cryptech). En dan zijn er de ontwikkelingen rond de smartcard, met Zetes als boegbeeld.

Ook vandaag zijn er nog centra in ons land, onder meer rond de universiteiten in Leuven (KULeuven met o.a. Cosic, en Louvain-La-Neuve) en Brussel (VUB en ULB), waar heel wat onderzoek rond security-gerelateerde onderwerpen wordt gedaan, weet Marc Vael. Maar zoals wel vaker is ook hier het gebrek aan risicokapitaal een obstakel, zodat “iemand met een goed idee misschien beter naar de VS trekt,” klinkt het droogjes.

Bovendien moet men tegenwoordig zich ook zorgen maken over mogelijke problemen rond patenten en octrooien, die de uitwerking en commercialisering van ideeën kunnen bemoeilijken (en duurder maken). Kortom, de mogelijke renaissance van security zal allicht niet met Belgische bedrijfjes worden verwezenlijkt.