Net.pointers s.r.o. je na trhu od roku 2010 a zaměřuje se na prevenci úniku citlivých dat, obrany proti sofistikovaným kyberútokům, aktivní ochranu proti útokům DDoS a detekci neznámého malwaru. Zabývá se také integrací bezpečnostních produktů významných amerických a izraelských společností v oblasti kyberbezpečnosti. Zákazníky má i ve státní správě.
„V oblasti bezpečnosti pro státní správu vidíme velký potenciál, byť to není věc která se obchoduje zrovna lehce. Akvizice nám přinesla dost peněz na rozšíření byznysu i další akvizice,“ říká Martin Půlpán z firmy net.pointers. S ním a investorem Tomášem Budníkem jsme mluvili o čerstvé bezpečnostní akvizici investičního fondu J&T Thein SICAV.
Jak dlouho se celá akvizice připravovala?
Martin Půlpán (MP): První myšlenka vznikla na konci minulého roku a postupně jsme ji s Tomášem Budníkem zpracovávali. Od pozdního léta se na ní začalo pomalu pracovat. Mezitím proběhla paralelně ještě spousta dalších věcí – například vznik fondu. Reálný akviziční proces se tak rozběhl až nyní na podzim.
Proč se vlastně J&T Thein SICAV rozhodl zaměřit zrovna na kybernetickou bezpečnost?
Tomáš Budník (TB): Vnímám, že kybernetická bezpečnost je, obzvlášť v dnešní době „covidu“, a tedy práce z domova, distanční výuky, ale i útoků na různé instituce, například nemocnice, průmyslové podniky nebo banky, extrémně důležité a zodpovědné téma. Chceme v této oblasti patřit mezi špičky v oboru a dále posilovat tuto kompetenci.
Tomáš Budník
J&T Thein má za sebou první dvě technologické akvizice. Je možné alespoň řádově naznačit, v jakých se pohybovaly částkách?
TB: Informace o investicích nesdělujeme.
MP: Nejedná se jen o částku. Jde o propojení v rámci akvizičního fondu. Jsou to věci, které souvisí s tím, že se stávám i akcionářem a je to i další krok v mé kariéře.
Budete mít i strategický vliv v rámci fondu, nebo jde jen o to, že máte podíl?
MP: Ano, v rámci fondu nastupuji na pozici ředitele cyber-security pro vlastní, nejen akviziční aktivity. Mám na starosti strategii výběru firem v rámci akvizice fondu a zároveň budu mít na starosti i konsolidaci aktivit v rámci kybernetické bezpečnosti napříč akvírovanými firmami s cílem vytvořit jednotné portfolio a využít synergie jednotlivých firem.
Obrovská výhoda fondu je, že firmy se mohou navzájem doplňovat, sdílet informace a zdroje a celý jejich provoz může být výrazně efektivnější. Vytvoříte si skupiny odborníků na pre-sale, deployment a celou realizaci služeb, dá se sdílet i prodejní know-how a další věci. Nejtěžší je totiž v kybernetické bezpečnosti umět své služby prodat.
Kolik peněz má vlastně fond nyní k dispozici z vlastních zdrojů a kolik z bankovního financování?
TB: V kombinaci vlastních zdrojů a bankovního financování disponujeme hodnotou cca dvě miliardy Kč.
Co akvizice znamená pro business model net.pointers a pro další rozvoj firmy?
MP: Tato akvizice je pro nás zvláštní tím, že já pomáhám Tomášovi vytvářet strategii bezpečnosti v rámci fondu Thein J&T investment. Nejde tedy jen o prodej firmy, ale také o dlouhodobou spolupráci, která se tím mezi námi nastartovala. Akvizice je tedy jednak začátkem nové éry net.pointers, ale také základním stavebním kamenem společenství firem, portfolia služeb, technologií a procesů, kdy se na kybernetickou bezpečnost snažíme dívat jako na ekosystém navázaných služeb.
Chceme zastřešovat kybernetickou bezpečnost na českém a slovenském trhu a později zamířit dále směrem na Balkán. Něco podobného pak plánuje Tomáš i mimo kybernetickou bezpečnost v rámci svých ICT firem. Akvizice net.pointers je tedy první krok. Pro mně to znamená také to, že se stávám akcionářem fondu. Do budoucna se budeme moci soustředit na další akvizice a doplňovat portfolio, které chceme tvořit v rámci jednotné strategie kybernetické bezpečnosti.
Nešlo ale jen o finanční investici. Thein není klasický finanční investor. Rozumí podstatě technologií, businessu i trhu. Má kombinaci znalostí know-how a trhu a také finanční síly, která nám dává možnost rozjet řadu dalších projektů, na které bychom neměli své vlastní prostředky nebo bychom je realizovali velmi dlouho, protože bychom si je museli financovat z vlastních zisků. Takových projektů nyní máme v kapse několik.
Můžete to trošku rozvést?
MP: Z pohledu bezpečnosti se chceme soustředit na pět až šest segmentů. Prvním je bezpečná digitální identita, to znamená pohodlný, bezpečný auditovaný přístup ke kritickým systémům, aplikacím, službám nebo datům. Na to navazuje oblast, která by se dala nazvat „workplace security“, což je vlastně zabezpečení koncových zařízení. Dnes se hodně používá zero-trust model, kdy vlastně řešíte bezpečnost, ať jste na jakémkoliv zařízení (mobilu, počítači, tabletu). To bylo navíc umocněno nárůstem home-office.
Má to jednu velkou výhodu oproti klasickým VPN přístupům v tom, že lze kontrolovat i obsah komunikace a pustit uživatele jen tam, kam mají oprávnění, také to lze řídit z jednoho místa. Klasická VPN má problém v tom, že v okamžiku, kdy máte nakažený počítač, na kterém doma pracujete, jste skrze ni schopni bez jakékoliv kontroly rozšiřovat malware po celé síti společnosti.
Další oblastí jsou věci kolem OT sítí, SCADA a IoT security. Dnes už průmyslové systémy nejsou odděleny, jak tomu bylo dřív, ale propojují se s back-office aplikacemi, s portálovými aplikacemi a je tam přenos dat – minimálně jednosměrně, ale někdy také obousměrně. Těmto sítím musíte zajistit dobrou ochranu, protože na nich závisí průmyslová výroba, řízení výrobních linek nebo řídicí systémy v rámci utilit.
Také IoT zařízení, která jsou dnes už všude, jsou velmi špatně zabezpečená. Jsou to dost často levná zařízení (třeba kamery), která jsou připojená do internetu a kvůli slabému zabezpečení se dají snadno využít například pro mohutné volumetrické DDoS útoky. Potenciálně ohrožené jsou třeba kamerové sítě měst, dohledová zařízení v rámci enterprise společností a podobně a samozřejmě i v domácnosti.
Další oblast můžeme nazvat advanced detection response, tedy detekce sofistikovaných útoků, zpracování bezpečnostních incidentů a dohled nad tím, co v síti vlastně teče. Spousta enterprise zákazníků je takříkajíc slepá a nevidí, co se v jejich sítích ve skutečnosti děje, nebo používají nástroje, které mají jenom omezenou detekci, třeba z netflow nebo z behaviorální analýzy, která nevidí do obsahu.
Dnes máme metamorfní malware, jsou to různé útoky typu APT (Advanced Persistent Threat), kdy nevíte, co máte přesně hledat, a musíte se dívat jen po vnějších projevech malwaru, jenž mění svou strukturu a v rámci svého života se různě šíří. Pak je visibilita, detekce a reakce na tyto hrozby velmi důležitá. Jde o kombinaci know-how, technologií, které vám poskytnou detailní informace o provozu (včetně obsahu), a nástrojů, kterými lze zabránit úniku citlivých dat.
Další oblast, kterou se chceme zabývat, jsou věci kolem cloudu. Jde o klasickou síťovou bezpečnost, bezpečnost v rámci jednotlivých cloudových aplikací a instancí, bezpečnost veřejných cloudů jako Office 365, Google Apps a dalších služeb, kde se na věc musí firma dívat z pohledu bezpečnosti jako na celek. K tomu potřebujete nástroje, tzv. mikrosegmentaci, kde máte jednotlivé malé firewally už v jednotlivých kontejnerech cloudu, kde běží vaše firemní aplikace nebo jiné systémy. Podobným způsobem musíte řešit i situaci v rámci vaší vlastní sítě, kde komunikujete napříč cloudem. Do toho máte různá datová centra, která jsou jak u vás v budově, tak externě nebo někde v cloudu.
Jsme navázáni na technologické výrobce ze Spojených států, kde jsou velmi zajímavé rozvinuté startupy, soustředící se právě na tuto problematiku. To je něco nového, co chceme přinést na místní trh. Pak je tu klasická bezpečnost z pohledu data protection a governance, kde jde o systém ochrany citlivých dat, rizikové analýzy, bezpečnostní politiky a audity, penetrační testování a podobně. Zde musíte řešit, jakým způsobem máte zabezpečená data, jak jsou šifrovaná, kde jsou uložená, abyste vyhovovali jako organizace různým pravidlům, jako třeba GDPR.
U digitální identity jde také o bezpečný přístup k privilegovaným účtům, auditovaný přístup, abyste nahrávali jednotlivé session, věděli, co v rámci vaší sítě dělá který systémový integrátor nebo kontrola administrátorů s kritickými právy.
Myslíte si, že se tímto zaměřením nějak dramaticky mění skladba vašich současných zákazníků?
MP: Naši současní zákazníci jsou service provideři, enterprise společnosti, utility a v menší míře státní správa. Já vidím například velký potenciál v rámci státní správy, i když z pohledu obchodu se to velmi těžko obchoduje a ty dohody jsou běh na dlouhou trať. Jinak se chceme zaměřovat na top 100 firem Česka a Slovenska a pak expandovat do východní Evropy, to je asi klíčový segment.
Tradičně silní jsme u service providerů, ale vidíme velký potenciál v governmentu, který bude muset digitalizovat svoje služby. I díky tomu, jak jsme na tom špatně s naším státním rozpočtem, je zde velká motivace pro to, aby tato digitalizace rychle proběhla. Půjde o služby, které poběží v cloudu, a o nástroje na zabezpečení jejich dat, protože stát samozřejmě potřebuje shromažďovat spoustu citlivých dat, která je třeba zabezpečit a dohlížet na ně. Je to součást služeb, které chceme nabízet.
Chceme také vybudovat vlastní moderní Security Operation Centrum (SOC). Nejde nám přitom jen o outsourcing, ale i o určité služby s přidanou hodnotou nebo know-how, které jsme schopni nabízet v rámci jejich existujícího SOC a dodávat tak jenom určité specifické služby.
Chceme se zde soustředit i na „data science“, tedy modely toho, jak má organizace fungovat, které porovnáváte se skutečností a hledáte místa, kde lezou z modelu ven. To lze aplikovat jak na kybernetickou bezpečnost, tak na firemní procesy a na další disciplíny, kde máte velké množství dat.
Kde se bude vaše nové bezpečnostní centrum nacházet a kolik v něm zaměstnáte lidí?
MP: Centrála bude pravděpodobně v Praze, ale budeme mít víc pracovišť rozprostřených v Česku i na Slovensku. Zdroje budeme sdílet, a až expandujeme do zahraničí, budeme si moci sáhnout i na zdroje tam.
Co se týče náboru lidí, na jaře postupně plánujeme nabírat lidi na pozice 1. Level, 2. Level a 3. Level. Část těchto lidí už máme, hlavně na třetí úrovni, ale budeme postupně nabírat hlavně schopné zaměstnance, kteří již budou požadované věci umět, což není v dnešní době úplně jednoduché. Proto plánujeme aktivní spolupráci s vysokými školami a s organizacemi, které se bezpečností zabývají, a chceme si tyto lidi do budoucna vychovat. Centrum poběží v náběhovém módu, kde počítáme s desítkami lidí, ale naše plány počítají v SOCu až se stovkami lidí.
Máte se získanými penězi hned také nějaké akviziční plány?
MP: Ano, plánujeme je. Chceme růst jak nákupem know-how, tak akvizičně. Ne vše se ale dá vyřešit akvizicemi, jsou například určité projekty, které si investičně budeme řídit a rozjíždět sami nebo na nich spolupracovat s partnery.
S jakým obratem budete končit letošní rok a jakou máte vizi pro ten nadcházející?
MP: Ono se to těžko říká, protože v rámci nadcházejícího roku máme připravené a naplánované investiční a akviziční strategie, což se samozřejmě na obratu negativně projeví. Ale řekněme, že příští rok by to mohlo být přes sto milionů korun v rámci čistých security služeb. V rámci skupiny to bude samozřejmě víc, protože postupně se tyto služby budou konsolidovat. Potom se to nedá dost dobře poměřit, nepůjde o výkon jedné firmy, ale bude to závislé na výkonu celé skupiny.
A pro letošní rok?
MP: Tak je to někde lehce pod sto milionů, možná více.
Nemáte strach, že s tím, jak se rozšiřuje záběr vašeho businessu, začnete konkurovat některým svým současným klientům?
MP: Klientům úplně ne, ale samozřejmě budeme asi konkurovat firmám, které se zabývají bezpečností na poli systémové integrace. Je to hodně o tom, že spoustu služeb plánujeme nabídnout i formou white-labelu. Takže bych řekl, že některé ze služeb v rámci různých synergií budou moci prodávat i naši současní zákazníci ve svých barvách.
Do budoucna počítáme s tím, že bychom spolupracovali se service providery napříč regionem v určitých částech kybernetické bezpečnosti tak, aby oni měli ve své nabídce pro zákazníky velmi zajímavé portfolio a my někde na pozadí budeme dělat tu expertní část.
Šlo by trochu více přiblížit několikrát zmiňovanou expanzi do zahraničí?
MP: Začátkem příštího roku přijde rychlá expanze na slovenský trh, dále nás zajímá region klasického „Rakouska-Uherska“, tedy směrem Maďarsko, Srbsko, Slovinsko a Černá hora. Je to trh hodně podobný tomu našemu a bude se dynamicky rozvíjet. Je to směrem z Čech přirozená cesta. Na Západ expandovat nechceme, to jsou specifické a hodně obsazené trhy a jsou závislé na dlouhodobých vztazích. Navíc tam může být i jazyková bariéra.
Zmiňoval jste, že první akvizice jsou poměrně blízko, šlo by alespoň naznačit, z jakých sub-oblastí budou?
MP: O tom se dá mluvit až v určité fázi a se souhlasem majitelů původních firem. Oblast je ale jasná, jsou to věci, které nám pomohou dát know-how a inteligenci do SOCu, věci, které se zabývají penetračními testy a celou oblastí auditování bezpečnosti. Dále jsou to firmy s know-how určitých pokročilých technologií, které nám do portfolia zapadají jako puzzle. Ty nemusí být nutně velké, spíš nám jde o samotné know-how. Existuje mnoho malých a středních firem s expertní znalostí, pro které je velmi těžké své znalosti prodat a neumí komunikovat s korporátními zákazníky. My takovým firmám nabídneme platformu, se kterou jsme schopni oslovit i velmi významné zákazníky, kteří nás berou vážně, a zároveň maximálně využít jejich expertní znalost. Jsme schopni se takto dostat k zajímavým zákazníkům z bank, automotive, ze státní správy nebo z obranných složek.
Shánějí se zaměstnanci na odborné pozice lépe než před rokem, kdy vrcholila ekonomická konjunktura?
MP: Krize v IT obecně není příliš vidět a bezpečnosti se to nedotklo. Těch lidí je tak málo, že je po nich neustále obrovská poptávka. My se s výhodou snažíme využít akvizičního procesu, protože nám to přinese nejen know-how a zákazníky té firmy, ale právě zaměstnance. V kybernetické bezpečnosti na lidech opravdu hodně závisí celý byznys a je to pro nás tedy důležitý zdroj odborníků.
Umožňujete u pozic, kde je to možné, dlouhodobou práci z domova?
MP: Jsme v tomto velmi flexibilní a začali jsme ještě před příchodem covidu. Pracujeme totiž i s kolegy, kteří nejsou z Prahy, ale jsou kvalitativně dobří a je pro ně velmi stresující a komplikované dojíždět denně do práce. Začali jsme tedy už před 4–5 lety používat velmi benevolentní režim home-workingu. Samozřejmě ale sledujeme, co na něm ti lidé dělají. Ne všem to navíc vyhovuje, například v okamžiku, kdy máte doma malé děti a nemáte prostor na práci, kde se můžete zavřít, raději jdete do kanceláře.
O fondu: Fond J&T Thein SICAV
Fond vznikl v říjnu 2020 a zaměřuje se na investice do technologických společností v oblasti ICT infrastruktury, kyberbezpečnosti a vývoje aplikací pro cloudová řešení v České a Slovenské republice. Fond vznikl partnerstvím technologického experta Tomáše Budníka, který je s 65% majoritním vlastníkem fondu, a J&T Private Equity Group Ltd., která vlastní 35%.
Kolik lidí pro vás v současné chvíli pracuje?
MP: V net.pointers je nás v současnosti včetně externistů zhruba kolem dvaceti, plus máme další externí spolupracující subjekty, které využíváme na určité projekty. Jádro Thein tvoří zhruba 15 lidí, ale neustále se to zvětšuje, protože nabíráme lidi na různé pozice a v rámci akviziční strategie.
Než přišla nabídka na akvizici od Theinu, neuvažovali jste o možnosti získat peníze vstupem na burzu?
MP: To je velmi složitá věc, která má ještě navíc poměrně diskutabilní výsledek, může se to povést nebo nemusí. Je to spíš pro velké společnosti, které mají obraty řádově v několika miliardách. Jednak je vstup na burzu drahá záležitost, jednak to má smysl v okamžiku, kdy chcete expandovat s nějakými službami globálně. Jinak je výrazně lepší využít nějakého investičního kapitálu.
Na počátku byl podíl ve fondu rozdělen mezi vás a skupinu J&T, je (nebo bude) ale fond otevřený i dalším investorům zvenku? Pokud ano, jaký je minimální potřebný kapitál pro vstup?
TB: Fond J&T Thein SICAV je otevřený i dalším kvalifikovaným investorům, distribuci zajišťuje J&T banka. Do investičních akcií již investovali i oba akcionáři fondu. Minimální potřebný kapitál jsou 4 miliony Kč.
Kolik dalších akvizičních příležitostí se v Theinu momentálně řeší?
TB: Pracujeme na několika dalších transakcích, které jsou v různé fázi jednání.
