Bounty в ИТ

— У всех рисков много, но правильнее подумать от обратного — у кого их больше? Самые тяжелые последствия могут наступить от направленных APT-атак. Надо понимать, что такие атаки довольно дорогие и требуют много ресурсов и времени, поэтому осуществляются крупными хакерскими группировками в т.ч. с окологосударственной поддержкой сами знаете кого. В общем чем ближе компания к объектам КИИ, тем для неё рисков больше. Не обязательно объектом атаки будет сам объект КИИ, достаточно взломать поставщика ИТ-решения или какого-нибудь ИТ-подрядчика из цепочки поставок.

— Ничего не понятно, но очень интересно. Как вообще обычный инвестор может эти риски учитывать, например, при принятии решения об инвестировании в ИТ-компанию?

— Загуглить «программа Bug Bounty + имя компании» и прочитать все свежие материалы. Косвенно это будет свидетельствовать о заботе эмитента в части своей кибер-гигиены. К сожалению, другие материалы — отчёты по аудитам, результаты пен-тестов в общем доступе не найти, они конфиденциальны.

— Ок. Короче смотрим архитектуру основных продуктов, конкурентов в области и гуглим батончик баг баунти. Что еще?

— Поменьше читаем аналитиков в телеге и на смарт-лабе.

— А они-то чем не угодили? Вроде есть нормальные ребята, отчёты изучают, на дни инвесторов ходят.

— Ну вот, например, ты знаешь хоть одного аналитика, который большой долг у ИТ-компании запишет в плюс, а не в минус.

— Нет, а какой здесь вообще может быть плюс?

— Если по рыночным (плавающим) ставкам, то плюсов нет, но вот если долг старый и по фиксированным ставкам, то это совсем другая история. Для компании это длинные и дешевые деньги. Любой аналитик, пишущий, что компанию не стоит рассматривать, потому как большой долг наверняка сам имеет пару льготных ипотек, т.е. тоже длинные и дешевые деньги на свою цель — недвижимость. Разве для него это «минус»? А почему тогда для ИТ-компании это плохо? В конечном счете важна именно цель – на что идут деньги, взятые в долг, если конечно они дешевые.

— Какой-то разрыв шаблонов. Получается все мои фавориты ИТ-сектора либо имеют флагманские продукты устаревшей архитектуры, либо большую конкуренцию в отрасли, либо не особо парятся в части кибербеза. А тут еще отсутствие долга в кризис не всегда однозначный «плюс».  

— Да, этот рынок очень сложный. Главное – правильно оценить на какой стадии жизненного цикла находится компания. Для долгосрочного инвестора важно не попасть в стадию «спад/упадок».

— Легко сказать. А как это оценить?

— Ну есть косвенные признаки…