Cyberbezpieczeństwo - wielki rynek nie gwarantuje wielkich zysków

Przez wiele lat cyberbezpieczeństwo traktowano jako jeden z technicznych problemów przedsiębiorstwa. Firma potrzebowała komputerów, sieci, serwerów i ludzi odpowiedzialnych za ich utrzymanie, a gdzieś obok znajdowały się program antywirusowy, zapora sieciowa i administrator pilnujący, aby pracownicy nie otwierali podejrzanych załączników. Bezpieczeństwo było częścią informatyki, informatyka zaś jednym z działów przedsiębiorstwa. Taki sposób myślenia coraz słabiej opisuje rzeczywistość. Infrastruktura cyfrowa nie służy już jedynie do przechowywania dokumentów i wysyłania poczty. Przechowuje wiedzę przedsiębiorstwa, obsługuje klientów i płatności, organizuje produkcję i logistykę, łączy firmę z dostawcami oraz umożliwia pracownikom wykonywanie obowiązków. Awaria systemu informatycznego przestała oznaczać niedogodność. W wielu przedsiębiorstwach oznacza zatrzymanie działalności.

Wraz z tą zmianą cyberbezpieczeństwo przestaje być zwykłą pozycją w budżecie informatycznym. Przedsiębiorstwo może odłożyć zakup nowych komputerów, ograniczyć podróże służbowe albo przez kolejny rok korzystać ze starych samochodów. Znacznie trudniej wyobrazić sobie zarząd, który z powodów oszczędnościowych rezygnuje z ochrony poczty, kontroli dostępu, zabezpieczenia urządzeń czy kopii zapasowych. Wydatki na bezpieczeństwo zaczynają przypominać wydatki na księgowość, ubezpieczenie, energię czy konserwację maszyn. Nie tworzą produktu sprzedawanego klientowi, ale są konieczne, aby przedsiębiorstwo mogło ten produkt wytwarzać i sprzedawać.

Cyberbezpieczeństwo staje się jednym z kosztów prowadzenia działalności w cyfrowej gospodarce. Według prognozy Gartnera światowe wydatki użytkowników końcowych na bezpieczeństwo informacji mają w 2026 roku osiągnąć około 244 mld dolarów, a do 2029 roku wzrosnąć do około 322 mld. Na tej podstawie łatwo zbudować niezwykle kuszącą opowieść inwestycyjną. Gospodarka staje się coraz bardziej cyfrowa, zagrożeń przybywa, przedsiębiorstwa muszą się chronić, wydatki rosną, zatem producenci zabezpieczeń powinni przez wiele lat zwiększać przychody i zyski. Problem polega na tym, że niemal wszystkie przesłanki tego rozumowania mogą być prawdziwe, a wynikająca z niego decyzja inwestycyjna mimo to może okazać się błędna.

Bezpieczeństwo jako cena cyfryzacji

Rynek cyberbezpieczeństwa rośnie nie tylko dlatego, że przybywa cyberprzestępców, wyłudzeń, ataków wymuszających okup i prób kradzieży danych. Rośnie również liczba rzeczy, które warto zaatakować. Przedsiębiorstwo przenosi dane do chmury i musi zabezpieczyć nowe środowisko. Pozwala pracownikom pracować z domu i musi chronić urządzenia oraz tożsamość osób łączących się z firmowymi systemami. Udostępnia partnerom interfejsy pozwalające korzystać z własnych zasobów i tworzy kolejne miejsca wymagające ochrony. Łączy fabrykę z siecią i problem informatyczny może zacząć powodować szkody w świecie fizycznym.

Sztuczna inteligencja rozszerza ten problem jeszcze bardziej. Przedsiębiorstwo musi chronić dane wykorzystywane przez modele oraz określać zakres czynności, które mogą wykonywać programy działające w imieniu pracowników. Jeżeli do tego dojdą autonomiczne pojazdy, drony i roboty, granica pomiędzy bezpieczeństwem informacji a bezpieczeństwem fizycznym zacznie się zacierać. Włamanie do systemu nie będzie musiało oznaczać kradzieży dokumentu. Może oznaczać zatrzymanie fabryki albo przejęcie kontroli nad maszyną. Dlatego wielkość rynku cyberbezpieczeństwa nie zależy wyłącznie od liczby ataków. Równie ważna jest wartość działalności gospodarczej uzależnionej od systemów cyfrowych. Im więcej kapitału, informacji i procesów powierzamy systemom, do których można się włamać, tym więcej warto zapłacić za ich ochronę. W tym sensie rozwój cyberbezpieczeństwa jest następstwem sukcesu cyfryzacji. Nie trzeba nawet zakładać, że przestępca przyszłości będzie bardziej utalentowany od dzisiejszego. Wystarczy, że będzie miał więcej wartościowych celów.

Sukcesem jest brak zdarzenia

Cyberbezpieczeństwo tworzy pod tym względem osobliwy rynek. Nabywca ciężarówki może policzyć ilość przewiezionych towarów. Kupujący maszynę zna liczbę wyprodukowanych elementów. Właściciel elektrowni słonecznej może zmierzyć ilość wytworzonej energii. W cyberbezpieczeństwie dobrym wynikiem jest natomiast brak zdarzenia. Dane nie zostały wykradzione, serwer nie został zaszyfrowany, pracownik nie utracił dostępu do systemu, produkcja nie stanęła. Przedsiębiorstwo wydało milion dolarów i na koniec roku może powiedzieć przede wszystkim, że nic złego się nie wydarzyło. Trudno jednoznacznie ustalić, jaka część tego spokoju wynikała z dobrej ochrony, a jaka ze zwyczajnego szczęścia.

Ma to poważne znaczenie dla konkurencji. Jeżeli jakości produktu nie można łatwo ocenić, rośnie znaczenie reputacji, zaufania i dotychczasowej niezawodności. Nabywca programu graficznego może przez kilka dni wypróbować rozwiązanie konkurenta. Dyrektor odpowiedzialny za bezpieczeństwo wielkiego banku nie ma podobnego komfortu. Jeżeli nowy dostawca okaże się niewiarygodny, ceną błędu mogą być milionowe straty. W branży, w której klient kupuje przede wszystkim zmniejszenie prawdopodobieństwa katastrofy, zaufanie samo staje się wartością gospodarczą.

Coraz więcej tożsamości

Rozwój sztucznej inteligencji może zasadniczo zmienić jeszcze jeden element tego rynku. Dotychczas liczba cyfrowych tożsamości była w pewnym stopniu związana z liczbą ludzi. Przedsiębiorstwo zatrudniające dziesięć tysięcy pracowników posiadało oczywiście znacznie więcej kont, urządzeń i usług, ale człowiek pozostawał podstawowym użytkownikiem systemu.

Programy wykorzystujące sztuczną inteligencję mogą tę zależność zerwać. Dziesięć tysięcy pracowników może kiedyś korzystać z dziesiątek tysięcy programów mających dostęp do poczty, dokumentów, systemów finansowych, baz danych i narzędzi programistycznych. Każdy z nich będzie musiał otrzymać określone uprawnienia. Każdy będzie również możliwym źródłem błędu albo celem ataku. Rynek bezpieczeństwa może więc rosnąć szybciej niż zatrudnienie, ponieważ liczba programów zdolnych samodzielnie wykonywać czynności przestanie być ograniczona liczbą pracowników.

Sztuczna inteligencja działa jednak po obu stronach. Według raportu IBM Cost of a Data Breach 2026 przeciętny światowy koszt naruszenia danych wyniósł 4,99 mln dolarów. IBM wskazuje jednocześnie zarówno na rosnące wykorzystanie sztucznej inteligencji przez napastników, jak i na znaczne oszczędności osiągane przez organizacje stosujące ją do ochrony własnych systemów. Nie mamy zatem do czynienia z prostą sytuacją, w której nowa technologia uzbroiła przestępcę. Uzbroiła obie strony.

Dla przyszłości branży najważniejsze będzie nie tylko to, czy sztuczna inteligencja zwiększy możliwości ataku i obrony, lecz także po której stronie bardziej obniży koszt wykonywanej pracy. Jeżeli pozwoli jednemu przestępcy przeprowadzać tysiące starannie przygotowanych prób oszustwa, zwiększy jego możliwości. Jeżeli jednocześnie pozwoli jednemu specjaliście nadzorować milion urządzeń i automatycznie rozwiązywać większość incydentów, jeszcze bardziej może zwiększyć możliwości obrony.

Liczba prób włamania może gwałtownie rosnąć, a koszt ochrony jednego urządzenia jednocześnie spadać. Dla gospodarki byłby to znakomity rezultat. Nie musi jednak oznaczać równie szybkiego wzrostu przychodów producentów zabezpieczeń.

Wyścig, który nie ma mety

Cyberbezpieczeństwo należy do tych dziedzin, w których sukces jednej strony nie kończy rywalizacji, lecz zmienia jej przedmiot. Kiedy hasła stają się trudniejsze do złamania, przestępca próbuje je wyłudzić. Kiedy pojawia się dodatkowe potwierdzanie tożsamości, próbuje przejąć już rozpoczętą sesję albo oszukać użytkownika. Kiedy dobrze zabezpieczony zostaje komputer pracownika, większego znaczenia nabierają chmura, tożsamość użytkownika, dostawcy oprogramowania albo inne elementy otoczenia przedsiębiorstwa. W przyszłości, kiedy lepiej chroniony będzie człowiek, atrakcyjnym celem może stać się program działający w jego imieniu. Każda skuteczna obrona zwiększa koszt jednego rodzaju ataku i kieruje uwagę napastnika w miejsce, w którym spodziewana korzyść pozostaje większa.

Nie istnieje zatem stan końcowy, który można nazwać bezpieczną gospodarką cyfrową. Istnieje ciągły proces odkrywania słabości i sposobów ich zabezpieczania. Obrońca inwestuje tam, gdzie możliwa strata uzasadnia koszt ochrony. Napastnik kieruje wysiłek tam, gdzie koszt przełamania zabezpieczeń jest niski w stosunku do możliwej korzyści. To jeden z powodów, dla których popyt na cyberbezpieczeństwo może być wyjątkowo trwały. Nie trzeba zakładać nieustannego wzrostu przestępczości. Wystarczy, że gospodarka pozostanie cyfrowa, a obie strony będą dostosowywały swoje postępowanie do działań przeciwnika.

Rosnący rynek nie gwarantuje rosnących zysków

W tym miejscu obraz cyberbezpieczeństwa zaczyna wyglądać niemal zbyt dobrze. Rynek jest wart setki miliardów dolarów, jego znaczenie rośnie wraz z cyfryzacją gospodarki, klient coraz trudniej może zrezygnować z ochrony, a sztuczna inteligencja, chmura, robotyka i automatyzacja tworzą kolejne obszary wymagające zabezpieczenia. Przychody producentów oprogramowania często mają charakter powtarzalny, a koszt obsługi kolejnego klienta może być stosunkowo niewielki.

Właśnie tutaj inwestor powinien stać się szczególnie ostrożny. Rosnący popyt nie istnieje w próżni. Informacja o atrakcyjności rynku dociera również do przedsiębiorców, inwestorów i wielkich producentów oprogramowania. Wysokie marże przyciągają kapitał. Powstają nowe przedsiębiorstwa, konkurenci rozwijają podobne rozwiązania, a wielcy dostawcy wykorzystują istniejące stosunki z klientami, aby wejść do kolejnych części rynku.

To, co dla klienta jest rosnącą potrzebą, dla producentów stanowi zachętę do zwiększenia podaży. Nie istnieje żadna gospodarcza konieczność, aby wzrost wydatków klientów zamienił się w równie szybki wzrost zysków obecnych producentów.

CrowdStrike dobrze pokazuje atrakcyjność tej działalności. W roku obrachunkowym 2026 spółka osiągnęła 4,81 mld dolarów przychodów, z czego 4,56 mld pochodziło z abonamentów. Roczna wartość powtarzalnych przychodów wynosiła pod koniec stycznia 5,25 mld dolarów, a marża brutto na usługach abonamentowych sięgała 78 proc. Taki model ma oczywiste zalety. Produkt cyfrowy można dostarczać ogromnej liczbie klientów, przychody powtarzają się, a koszty nie muszą rosnąć proporcjonalnie do sprzedaży. Wysoka marża nie jest jednak tym samym co trwała przewaga. Jeżeli nie chroni jej coś trudnego do odtworzenia, staje się przede wszystkim wiadomością dla konkurentów - tutaj można dobrze zarobić. Trzeba więc zawsze zapytać, dlaczego właśnie to przedsiębiorstwo miałoby zachować ponadprzeciętną część wartości tworzonej na tym rynku, skoro dziesiątki innych próbują osiągnąć dokładnie to samo.

Od wielu programów do kilku dostawców

Przez lata cyberbezpieczeństwo rozwijało się przez powstawanie coraz bardziej wyspecjalizowanych produktów. Przedsiębiorstwo kupowało osobne rozwiązania do ochrony urządzeń, tożsamości użytkowników, chmury, poczty, sieci i danych. Każdy nowy rodzaj zagrożenia mógł stworzyć miejsce dla kolejnego dostawcy. Z czasem sam ten model zaczął być problemem. Klient nie chce zarządzać dziesiątkami programów, licencji, sposobów obsługi i źródeł alarmów. Złożoność również kosztuje. Dlatego najwięksi dostawcy próbują łączyć coraz więcej funkcji w jednym środowisku. Palo Alto Networks rozwija rozwiązania obejmujące między innymi sieci, chmurę, urządzenia, aplikacje sztucznej inteligencji i zarządzanie tożsamością. CrowdStrike również daleko wyszedł poza pierwotną ochronę komputerów, w połowie 2026 roku ponad połowa jego klientów abonamentowych korzystała z co najmniej sześciu modułów.

Jeżeli ten kierunek się utrzyma, rozwój branży nie musi oznaczać równoległego rozkwitu setek wyspecjalizowanych producentów. Coraz większa część rynku może zostać podzielona między znacznie mniejszą liczbę dużych dostawców. Szczególnie groźnym konkurentem dla specjalistycznego przedsiębiorstwa może być firma, która nie musi sprzedawać bezpieczeństwa jako osobnej usługi. Microsoft posiada system operacyjny, pakiet biurowy, chmurę, system zarządzania tożsamością i istniejące stosunki z ogromną liczbą klientów. Specjalista musi przekonać przedsiębiorstwo, aby kupiło dodatkową usługę, wdrożyło ją i nauczyło pracowników jej obsługi. Wielki dostawca może część zabezpieczeń dołączyć do usług, za które klient już płaci. Nie musi oferować rozwiązania najlepszego pod każdym względem. Wystarczy, że będzie ono dostatecznie dobre, łatwe do wdrożenia i korzystne cenowo jako część większej całości. Najlepszy produkt nie zawsze zwycięża. Musi być lepszy o tyle, aby różnica uzasadniała wszystkie dodatkowe koszty jego wyboru.

Korzyści i niebezpieczeństwa koncentracji

Łączenie wielu usług u jednego dostawcy ma jednak swoje granice. W bezpieczeństwie koncentracja sama może stać się źródłem ryzyka. Im więcej przedsiębiorstw korzysta z tej samej infrastruktury, tym poważniejsze są skutki błędu jednego dostawcy. Awaria spowodowana wadliwą aktualizacją CrowdStrike w lipcu 2024 roku nie była cyberatakiem, lecz pokazała skalę zależności współczesnej gospodarki od kilku wspólnych elementów infrastruktury informatycznej. Powstaje paradoks. Wielka skala pozwala gromadzić więcej informacji o zagrożeniach, finansować badania i rozkładać koszty technologii na większą liczbę klientów. Ta sama skala sprawia jednak, że pojedyncza awaria może mieć znacznie poważniejsze następstwa.

Może to ograniczać naturalną skłonność rynku do koncentracji. Klient chce uprościć swoje systemy, ale niekoniecznie chce powierzyć jednej firmie wszystko. Chce korzystać z korzyści dużej skali, lecz może obawiać się uzależnienia od jednego dostawcy. Chce ograniczyć liczbę programów, ale nie chce utracić możliwości zmiany. Przyszłość rynku może więc zależeć od nieustannego napięcia pomiędzy korzyściami dużej skali a wartością różnorodności, między wygodą jednego dostawcy a przewagą specjalisty.

Czego nie da się łatwo odtworzyć?

Jeżeli chcemy zrozumieć, gdzie w tej branży może powstać trwała wartość, nie powinniśmy zaczynać od pytania, czego będzie potrzeba najwięcej. Należy zapytać, czego nie będzie można łatwo dostarczyć więcej. Jeżeli pisanie kodu staje się tańsze, sama umiejętność stworzenia kolejnego programu nie zapewnia trwałej przewagi. Jeżeli te same modele sztucznej inteligencji są dostępne dla wielu przedsiębiorstw, dodanie ich do produktu również nie tworzy czegoś rzadkiego. Rosnący rynek będzie przyciągał nowych producentów właśnie tam, gdzie wejście jest najłatwiejsze.

Znacznie trudniej odtworzyć wieloletnią wiarygodność, miliony działających instalacji, głębokie powiązania z systemami klientów albo zasób informacji o zagrożeniach gromadzony przez wiele lat. Atak wykryty u jednego klienta może pomóc zabezpieczyć pozostałych. Jeżeli większa liczba klientów rzeczywiście poprawia skuteczność ochrony całej grupy, powstaje przewaga, której nowy konkurent nie odtworzy samym zatrudnieniem dobrych programistów. Nie każda wielka baza danych daje oczywiście taką korzyść. Dane mogą być powtarzalne, mało wartościowe albo łatwo dostępne. Liczy się rzeczywisty mechanizm, dzięki któremu kolejny klient poprawia produkt dla pozostałych.

Jeszcze ważniejsze może być zaufanie. Dostawca zabezpieczeń otrzymuje niezwykle szeroki dostęp do przedsiębiorstwa klienta. Jego oprogramowanie obserwuje urządzenia, ruch sieciowy, pliki, tożsamości i zachowanie użytkowników. Często może blokować działania, odcinać urządzenia albo automatycznie reagować na zagrożenie. Klient oddaje mu zatem część kontroli nad własną organizacją po to, aby nie stracić jej na rzecz kogoś innego. Takiego zaufania nie można szybko wyprodukować. Nowa firma może w ciągu roku stworzyć znakomity program. Nie może w ciągu roku zdobyć dwudziestoletniej historii niezawodnego działania. Może obniżyć cenę, zatrudnić świetnych inżynierów i pozyskać kapitał, ale nie może kupić przeszłości. Jeżeli reputacja rzeczywiście wpływa na decyzje klientów, czas sam staje się przeszkodą chroniącą istniejące przedsiębiorstwo przed konkurencją.

Bezpieczeństwo coraz częściej oznacza prawo do działania

Szczególnie ważna może okazać się tożsamość. Tradycyjne wyobrażenie bezpieczeństwa jako muru otaczającego firmową sieć coraz słabiej odpowiada rzeczywistości. Pracownik może znajdować się w domu, aplikacja w jednej chmurze, baza danych w drugiej, klient na innym kontynencie, a program wykorzystujący sztuczną inteligencję może wykonywać czynności jednocześnie w kilku systemach.

W takim świecie coraz mniej istotne staje się pytanie, czy ktoś znajduje się „wewnątrz” firmowej sieci. Znacznie ważniejsze jest ustalenie, kim jest i co wolno mu zrobić. Dotyczy to nie tylko człowieka. Serwer, aplikacja, robot, samochód, dron i program działający samodzielnie również będą musiały zostać rozpoznane i otrzymać odpowiednie uprawnienia. Wraz z rozwojem autonomii problem stanie się jeszcze trudniejszy, ponieważ system nie będzie już jedynie odpowiadał na pytania człowieka. Będzie podejmował działania w jego imieniu.

Na końcu trzeba wrócić do najprostszego pytania: co właściwie kupuje klient? Nie chce zapory sieciowej, systemu wykrywania zagrożeń ani kolejnego programu tylko dlatego, że istnieją. Chce prowadzić działalność bez utraty kontroli nad własnymi zasobami. Chce, aby fabryka produkowała, pracownicy mogli pracować, klienci mieli dostęp do usług, pieniądze trafiały do właściwych odbiorców, a poufne informacje pozostawały poufne. Wszystkie produkty cyberbezpieczeństwa są jedynie środkami prowadzącymi do tego celu.

Jeżeli ktoś zapewni ten sam rezultat za jedną dziesiątą obecnej ceny, klient nie będzie bronił dotychczasowej struktury rynku. Wybierze tańsze rozwiązanie i zachowa różnicę. Dla inwestora ma to zasadnicze znaczenie. Łatwo zainteresować się wielkością problemu i uznać ją za dowód atrakcyjności przedsiębiorstw, które próbują go rozwiązać. Tymczasem ogromne znaczenie cyberzagrożeń może współistnieć z tak intensywną konkurencją między producentami zabezpieczeń, że znaczna część korzyści przypadnie klientom w postaci coraz lepszych i tańszych produktów. Stwierdzenie, że cyberbezpieczeństwo będzie jednym z najważniejszych rynków następnych kilkunastu lat, nie jest zatem jeszcze tezą inwestycyjną. Możemy poprawnie przewidzieć dalszą cyfryzację gospodarki, wzrost liczby urządzeń, gwałtowny rozwój programów wykorzystujących sztuczną inteligencję i zwiększenie wydatków przedsiębiorstw na bezpieczeństwo, a mimo to kupić niewłaściwe akcje albo zapłacić zbyt wysoką cenę za właściwe przedsiębiorstwo. Dobra technologia, dobre przedsiębiorstwo i dobra inwestycja pozostają trzema różnymi rzeczami.