Les startups de cybersécurité avaient fait preuve d’une assez grande résilience malgré le ralentissement du financement en capital-risque, mais cette période faste a pris fin ces derniers mois.
Les investissements en capital-risque dans les startups de cybersécurité ont chuté au deuxième trimestre de 63 % à 1,6 milliard de dollars, selon les données de Crunchbase. Le financement a reculé de 40 % par rapport au trimestre précédent et atteint son plus bas niveau depuis le quatrième trimestre 2019. Le financement du premier semestre 2023 a diminué de 60 % par rapport à l’année précédente.
Le nombre de tours de financement de 100 millions de dollars a diminué de 67 % depuis le début de l’année, passant de 33 à 11. Cinq seulement de ces opérations ont eu lieu au deuxième trimestre : Blackpoint Cyber, ID.me, Cyera, Cybereason et Eagle Eye Networks ; la plus importante a été le tour de série C de Blackpoint, d’un montant de 190 millions de dollars. Les opérations spectaculaires qui avaient encore marqué le premier trimestre ont disparu, comme le tour de financement de 500 millions de dollars de SandboxAQ, l’emprunt convertible de 401 millions de dollars de Netskope et le tour de financement de 300 millions de dollars de Wiz.
Dans ce nouvel environnement de financement difficile, les fondateurs cherchent à réduire les coûts et à ralentir la consommation de trésorerie, et certaines startups pourraient n’avoir d’autre choix que de cesser leurs activités.
« Les vents contraires macroéconomiques, les hausses des taux d’intérêt, l’inflation persistante ainsi que l’effondrement de plusieurs banques spécialisées dans les technologies ont indéniablement ralenti le rythme des investissements dans la cybersécurité depuis 2022 », a déclaré Umesh Padval, venture partner chez Thomvest Ventures. « Les fonds de capital-risque se concentrent sur les entreprises déjà présentes dans leur portefeuille, qui sont touchées par le ralentissement des dépenses de leurs clients, et investissent donc moins dans de nouvelles opérations. »
Voir les meilleures startups de cybersécurité
Ce qu’il faut pour réussir sur le marché actuel du capital-risque
Les investisseurs en capital-risque aiment dire qu’ils se concentrent sur le long terme, mais ils ont tendance à se montrer prudents lorsque les marchés baissent. Cette fois ne fait pas exception.
Mais pour les investisseurs en capital-risque disposés à adopter une approche à contre-courant, les opportunités intéressantes ne manquent pas, notamment parce que les valorisations sont devenues plus raisonnables. « Plusieurs grandes entreprises ont été créées pendant des périodes de ralentissement, comme Zscaler, Palo Alto Networks, Fortinet et Cylance », a déclaré Padval.
Voici certains des facteurs que les investisseurs en capital-risque recherchent sur le marché actuel.
IA générative
IA générative peut contribuer à rendre les systèmes de cybersécurité plus conviviaux grâce aux invites en langage naturel. La technologie d’IA générative peut également être utile pour détecter les attaques et les contrecarrer.
« D’après ce que j’ai pu constater, ces opérations se répartissent en trois catégories », a déclaré Seth Spergel, associé gérant chez Merlin Ventures. « Tout d’abord, certaines n’ont pas vraiment de cas d’usage pertinent et tentent simplement de l’intégrer à leurs présentations pour impressionner les investisseurs en capital-risque. Ensuite, certaines opérations l’utilisent de manière valide, mais la technologie ne modifie pas sensiblement la valeur de leur produit. Enfin, certaines sont capables de créer des catégories entièrement nouvelles de solutions en exploitant les capacités de l’IA générative. C’est ce troisième type qui suscite le plus d’intérêt actuellement. »
« Je ne suis pas particulièrement enthousiasmé par les systèmes qui utilisent l’IA générative pour simplement résumer les résultats de manière un peu plus conviviale », a ajouté Spergel. « En revanche, les outils capables d’extraire des informations de sources de données totalement nouvelles et de remplacer des processus manuels d’une manière qui était auparavant impossible à grande échelle sont très intéressants. »
À lire aussi : L’IA sauvera la sécurité — et supprimera des emplois
Faire mieux que ses concurrents
Il existe de nombreuses solutions ponctuelles. Mais les clients cherchent à consolider leurs environnements informatiques. C’est pourquoi une startup doit proposer un produit différencié.
« Votre produit est-il 10 fois meilleur que celui de vos concurrents ? » a demandé Deepak Jeevankumar, directeur général chez Dell Technologies Capital. « Comment pouvez-vous ajuster votre feuille de route produit pour vous assurer de consolider votre position en tant que composant essentiel de la pile de cybersécurité de vos clients ? Ce sont les questions que les fondateurs doivent se poser et les domaines dans lesquels ils doivent investir pour survivre sur le marché actuel. »
Marchés négligés
Avec moins de financements disponibles, il peut être plus facile de se concentrer sur des marchés négligés. La concurrence est moins forte dans certaines catégories. Mais il faut également s’attaquer à de véritables problèmes.
« Nous étudions l’impact de l’IA générative sur le secteur de la cybersécurité, l’intersection entre développement et sécurité, ainsi que le renforcement de la cybersécurité dans les zones géographiques mal desservies et auprès des PME et des entreprises de taille intermédiaire », a déclaré Jeevankumar.
Voir les 20 principaux fonds de capital-risque (VC) dans la cybersécurité
Les startups de cybersécurité qui obtiennent des financements
Voici quatre startups de cybersécurité qui ont réussi à obtenir des financements dans cet environnement difficile.
Protect AI
Date du financement : juillet 2023
Montant : 35 millions de dollars
Avant de fonder Protect AI en 2022, Ian Swanson et Daryan Dehghanpisheh ont travaillé sur de vastes systèmes de science des données chez AWS et Oracle.
« Nous avons très clairement constaté que même les utilisateurs, déployeurs et concepteurs les plus sophistiqués d’applications d’intelligence artificielle et de systèmes d’apprentissage automatique présentaient d’importantes vulnérabilités de sécurité qui n’étaient pas prises en compte par l’écosystème de sécurité existant, ni par les fournisseurs existants de solutions de ML et de MLOps », a déclaré Dehghanpisheh.
Dans un cas, Swanson et lui ont constaté qu’une fuite de données sur un système d’apprentissage automatique avait eu un impact négatif sur trois clients du même secteur d’activité. Après enquête, ils ont compris que les politiques existantes ne prenaient pas le problème en compte et n’étaient pas capables de le détecter.
Ils ont ensuite cherché des solutions pour y remédier, mais il n’y en avait aucune sur le marché. « C’était notre moment “Eurêka” », a déclaré Dehghanpisheh. « Nous savions que ces risques et vulnérabilités étaient réels et qu’il fallait aller au-delà du MLOps pour y intégrer la sécurité, ce qui nous a conduits aux opérations de sécurité du ML, ou MLSecOps. »
La plateforme de Protect AI s’appelle AI Radar. Elle s’adresse aux développeurs d’IA, aux ingénieurs ML et aux professionnels de la sécurité des applications (AppSec). Cette technologie permet d’identifier et de corriger les risques de sécurité — comme les fuites de données et l’empoisonnement des modèles — dans les pipelines de ML.
Compte tenu du fort intérêt pour l’IA, le processus de financement de Protect AI s’est déroulé relativement facilement. « De nombreuses sociétés de capital-risque sont venues frapper à notre porte, si bien que nous étions en position de choisir avec qui nous voulions travailler », a déclaré Swanson.
SAVVY
Date du financement : juillet 2023
Montant : 30 millions de dollars
SAVVY s’attaque aux défis croissants de la sécurité des entreprises liés à l’adoption des applications SaaS. Le système peut intervenir auprès de l’utilisateur au moment où une action risquée est sur le point d’être effectuée — et recommander une alternative plus sûre.
« Cette approche innovante a trouvé un écho auprès des investisseurs, qui ont reconnu l’importance de s’attaquer à la surface d’attaque “humaine”, toujours présente, et de protéger les entreprises sur les navigateurs et les applications professionnelles comme Slack et Teams », a déclaré Guy Guzner, PDG et cofondateur de SAVVY.
C’est un entrepreneur qui en est à sa deuxième entreprise, ce qui l’a aidé à développer et à faire évoluer SAVVY.
En ce qui concerne le processus de financement, son expérience s’est révélée déterminante et il a pu tirer parti de son solide réseau.
« Cela ne signifiait toutefois pas qu’il y aurait des raccourcis ou des compromis dans l’évaluation de notre entreprise », a déclaré Guzner. « Nous avons dû démontrer de manière approfondie la valeur et le potentiel de notre plateforme d’automatisation de la sécurité des effectifs. Le processus a été méthodique : les investisseurs en capital-risque ont soigneusement évalué notre entreprise par consensus au sein de comités d’investissement réunissant les associés. Il était évident qu’ils tenaient à sélectionner les investissements les plus prometteurs et les véritables gagnants du marché. Ce niveau d’examen et de réflexion contrastait avec la ruée dictée par la FOMO que nous avions connue lors de notre précédente levée de fonds d’amorçage de SAVVY, largement représentative du monde des affaires à l’époque. »
PingSafe
Date du financement : juillet 2023
Montant : 3,3 millions de dollars
Anand Prakash est l’un des hackers white hat les mieux classés au monde. Au fil des ans, il a détecté de graves vulnérabilités dans les systèmes d’entreprises comme Twitter, Meta et Uber.
« En participant à des programmes de bug bounty, je découvrais constamment différents ensembles de bugs exploitables dans les environnements cloud des entreprises, même sans avoir accès à leur infrastructure cloud », a déclaré Prakash. « Cela a prouvé que les outils traditionnels de sécurité du cloud déployés par ces organisations ne fonctionnaient pas et ne leur donnaient pas de visibilité sur les véritables menaces. Pour se protéger, les organisations ont besoin d’une solution qui adopte le point de vue de l’attaquant et communique immédiatement les principales mesures à prendre. C’est pour cela que nous avons créé PingSafe. »
Au cœur de l’entreprise se trouve une plateforme sophistiquée de protection des applications cloud natives (CNAPP). Elle traite de nombreuses menaces à grande vitesse et à grande échelle.
« Je pense que nous nous sommes démarqués grâce à notre produit et à notre forte croissance au cours de l’année passée », a déclaré Prakash. « Nous avons connu une croissance de plus de 10 fois et quadruplé notre base de clients, qui comprend de grandes marques comme Flipkart, Razorpay et Near Intelligence. Notre “renseignement sur les attaquants” constitue également un puissant facteur de différenciation dans notre catégorie, et nous remportions constamment des contrats face à certains acteurs historiques de plus grande taille. »
PrivacyHawk
Date du financement : juin 2023
Montant : 2,7 millions de dollars
Lorsque le California Consumer Privacy Act (CCPA) a commencé à être appliqué en 2020, Aaron Mendes et Justin Wright ont compris qu’il serait difficile pour les consommateurs de savoir où seraient stockées toutes leurs données personnelles. Il leur serait difficile d’exercer leurs droits en matière de confidentialité.
Cela a finalement inspiré la création de PrivacyHawk. L’entreprise a conçu un système qui permet à chacun de protéger facilement ses données personnelles.
Pourtant, le processus de financement a été loin d’être facile. « Il a fallu beaucoup de réseautage, d’efforts et des centaines de présentations. Cela exige un optimisme et une persévérance à toute épreuve », a déclaré Mendes, PDG de PrivacyHawk. « Il faut avoir les nerfs solides, car qui que vous soyez et quel que soit votre projet, la plupart des investisseurs refusent 99 % des opportunités qui leur sont présentées. »