要約

  • Infosecurity Ltd は、公開経路や LIR 登録だけで評価すべき通信事業者ではない。AS201144 は存在し、IPv4 と IPv6 の公告も確認できるが、広い相互接続網や下流顧客を示す材料は乏しい。経済的な本体は、SOC、MSSP、DLP、侵入テスト、脆弱性管理、デジタルリスク監視を組み合わせた管理型セキュリティである。
  • 同社の投資仮説は明確だ。規制、国産化、銀行の監査負担、Softline の販路に支えられて需要はある。しかし、三十万ルーブルからの SOC、十二万ルーブルからの CYBERDEF、十万ルーブルからの役員保護といった入口価格は、粗利を保証しない。イベント量、分析者の稼働率、ベンダー原価、事故時の責任範囲を管理できなければ、売上は伸びても利益の質は弱くなる。
  • 最も強い材料は、銀行事例が示す代替比較である。顧客は国産製品の購入、ハイブリッド SOC、自社運用、外部委託を比較し、設備投資と高技能人材の固定費を避けるためにサービスを選んだ。これは Infosecurity に価格の理由を与える。一方で、それは顧客が価格を細かく比較できる市場でもあることを意味する。
  • 見落としてはいけない弱点は、法人境界である。RIPE の組織、ASN、公式要件、公開財務、サービス提供会社、Softline 系の保有構造が完全に一枚岩ではない。ООО「ИС」は小さく見える一方、Infosecurity Service ははるかに大きい。読者は、この会社を単独法人の損益だけで見るのではなく、グループ内の販売、ライセンス、専門人材、ブランド、リスク分担の束として読む必要がある。

判断

Infosecurity Ltd についての私の判断は、強気でも弱気でもない。正確には、同社は「小さなネットワークを持つセキュリティ会社」ではなく、「小さなネットワーク情報を持つ、規制対応型の管理セキュリティ販売会社」である。これは褒め言葉でも警告でもある。通信資源の保有だけでは防衛線にならないが、ロシアの金融、重要情報インフラ、個人データ、国産セキュリティ製品への移行という買い手の事情を読むなら、管理型セキュリティは予算を取りやすい。問題は、その予算のうち何割を Infosecurity が自社の粗利として残せるかだ。

同社は自社サイトで SOC、侵入テスト、DLP、従業員教育、導入、分析、監査を掲げ、Softline グループの一員であることを示している。SOC ページはさらに具体的で、二十四時間三百六十五日の監視、MSSP 型、実際の EPS に基づく支払い、一か月からの接続、三か月以上のイベント保管、五十人超の専門家、七百以上の検知シナリオ、百以上のイベントソース、三十以上の自動対応シナリオ、最大一千万ルーブルのリスク保険、ロシア製 SIEM と IRP の中核を打ち出す。ここには、単なる保守請負を避けたい会社の意志が出ている。価格を「人月」ではなく「監視範囲、イベント量、標準化された手順、リスク移転」で語ろうとしているからだ。

ただし、言い換えれば、同社の勝敗は商品説明の美しさではなく、標準化の深さで決まる。SOC の入口価格が月三十万ルーブルでも、顧客ごとにログ接続、相関ルール、報告様式、規制文書、誤検知の調整がばらばらなら、分析者とエンジニアの時間がすぐに粗利を食う。CYBERDEF が月十二万ルーブルからでも、偽サイト削除、脅威情報、ブランド保護、専門チームの運用が個別対応に寄りすぎれば、SaaS という言葉ほど軽い収益ではない。役員向けの CYBERID が十万ルーブルからでも、危険人物の露出、家族情報、漏えいデータ、なりすましを扱うなら、少額の入口価格と高い説明責任の差が広がる。

このため、Infosecurity を評価する中心軸は売上規模ではなく、管理型サービスの限界費用である。顧客が一社増えたとき、同じ分析基盤、同じ検知シナリオ、同じプレイブック、同じ報告テンプレート、同じ保管基盤でどこまで処理できるのか。追加の顧客ごとに高度な個別調整が必要なら、同社は専門家を売る会社になる。追加の顧客を既存の監視面に載せ、イベント量に応じて価格を上げ、例外対応だけを高単価にできるなら、管理型セキュリティ会社になる。公開材料から見る限り、同社は後者を狙っているが、前者に戻る危険をまだ消せていない。

ネットワーク資源は本丸ではない

RIPE 上の ORG-IL513-RIPE は Infosecurity Ltd として登録され、国は RU、登録番号は一一三七七四六四二三三三〇、LIR 種別、モスクワの住所、電話連絡先を持つ。AS201144 は ISS-AS という名前で二〇一八年七月十日に割り当てられ、同じ組織を参照している。RIPEstat では、観測時点で一四九・二五五・一三二・〇/二二、四つの/二四、二 a 〇七:f 五四〇::/二九が公告されていた。BGP 系の外部データも、五つの IPv4 起源プレフィックス、一つの IPv6 起源プレフィックス、二つの上流、二つのピアを示す。IPinfo は一〇二四個の IPv4 アドレス、事業用ネットワーク、下流ゼロ、モスクワのルータを示す。

これらは偽物ではない。むしろ、同社が机上のコンサルティング会社ではなく、実際にネットワーク資源を扱う主体であることを確認するうえで重要である。しかし、投資判断や競争判断の中心に置くには弱い。PeeringDB に公開ネットワーク記録がなく、取引所、施設、公開ピアリング方針、広い相互接続面が見えない。RIPE オブジェクト上の輸入と輸出も限られている。つまり、Infosecurity のネットワークは、キャリア事業の幅を示すというより、SOC やクラウド型監視、ログ保管、検証環境、顧客接続を支える実務上の足場と読むべきだ。

この点を間違えると、会社の価値を過大評価するか過小評価する。通信会社として見れば小さい。下流を抱える大規模 ASN でも、国際ピアリングで差をつけるネットワークでもない。だが、セキュリティサービス会社として見れば、LIR、ロシア国内の経路、ライセンス、銀行事例、Softline 販路を合わせた足場は意味を持つ。金融機関や重要情報インフラの顧客に対し、単なる遠隔助言ではなく、ログ、監視、対応、保管、規制報告を結び付けて提示できるからだ。

したがって、AS201144 は「成長資産」ではなく「信頼補助資産」である。顧客が同社に大規模なインターネット接続を買うわけではない。顧客が買うのは、監視されているという状態、事故の初動を任せられるという感覚、監査に出せる文書、国産製品を含む運用体制、そして自社で採用できない人材の代替である。ネットワーク資源はその提供の現実味を支えるが、収益力の源泉ではない。

価格は入口であり、利益率ではない

SOC の「三十万ルーブルから」という価格は、Infosecurity の経済を読むうえで便利な数字だ。しかし、それを平均単価と見なすのは危険である。サービスページは、実際の EPS に応じた支払いを強調する。これは合理的だ。ログ量が増え、検知対象が増え、保管量が増え、調査件数が増えるほど、原価も責任も増える。固定月額だけで受ければ、よく設計された顧客ほど損をする。イベント量に連動させれば、顧客側の利用強度と事業者側の負荷を結び付けられる。

だが、EPS 課金には売り手にとっての難しさもある。顧客は予算の予見可能性を求める。セキュリティ責任者は「どれだけ攻撃されたか」で請求額が動く商品を嫌う場合がある。財務部門は監視範囲を広げたいセキュリティ部門にブレーキをかけるかもしれない。すると Infosecurity は、入口価格、上限、段階価格、追加ログ、長期保管、専門調査、規制報告、保険、導入作業を組み合わせ、顧客が納得しやすい価格表を作る必要がある。ここで価格体系を設計できる会社は利益を残し、値引きで契約を取る会社は忙しくなるだけだ。

Cyber-checkup の価格群も示唆的である。管理システム評価は約五十五万ルーブル、技術確認は約九十五万ルーブル、コンプライアンス確認は約三十五万ルーブル、境界確認は約五十万ルーブル、人員確認は約十五万ルーブル、ブランド確認は約四十万ルーブル、全体では割引前に約二百六十万ルーブルという位置付けだ。これは一回限りの診断としては売りやすい。経営層に危機感を与え、短期間で結果を出し、次の予算につなげられる。しかし、一回限りの仕事だけでは評価倍率は上がらない。重要なのは、診断が SOC、DLP、脆弱性管理、CYBERDEF、MSSP、監査支援に連結されるかどうかである。

この連結が強ければ、Infosecurity は入口商品から継続契約へ移行できる。顧客にとっても、診断で見つかった穴を自社で埋めるより、監視、運用、レポート、再評価を一つの契約に束ねたほうが楽だ。逆に、診断が単発で終わるなら、同社は営業費用をかけて短期案件を取り続けることになる。公開されている商品群は、連結の設計を意識している。問題は、実際の顧客契約でどこまで束ねられているかであり、そこは公開資料だけでは測れない。

銀行事例が示す、本当の競争相手

Norvik Bank の事例は、同社の売り文句をよく表している。銀行は Infosecurity の能力と ISOC SIEM を使う SOC-as-a-Service を導入し、設備投資と高資格人材の固定費を避けた。導入は予備監査、接続と設定、本番開始という段階で語られる。この流れは、販売資料としては素直だ。顧客の問題は「SOC が欲しい」ではなく、「SOC を自分で作るための人材、設備、手順、監査対応、時間が足りない」である。Infosecurity はそこを一括で引き受ける。

MS Bank Rus の事例はさらに重要だ。同銀行は IBM QRadar を置き換え、ロシア製品の購入、ハイブリッド SOC、外部 SOC という代替を比較したうえで、Infosecurity のサービスを選んだ。これは制裁や調達制約の時代における、きわめて現実的な意思決定である。顧客は抽象的な先進性を買っているのではない。外国製基盤をどう置き換えるか、国内で認められやすい運用をどう作るか、熟練人材をどう確保するか、監査と金融セクターの要求にどう耐えるかを買っている。

ここから見える競争相手は、ほかの SOC 会社だけではない。第一の相手は、顧客の内部採用である。第二の相手は、国産 SIEM や IRP を買って自社で運用する案である。第三の相手は、既存ベンダーや大手通信、銀行系システム会社、クラウド事業者が提供する監視サービスである。第四の相手は、何もしないという予算上の先送りである。Infosecurity が勝つには、外部委託の月額費用が、自社採用と設備投資と事故対応の合計より安く見えなければならない。

その意味で、同社の価格決定力は「安い」ことからは生まれない。むしろ、安さだけで勝つと危ない。二十四時間運用、L1 から L3 の対応、プライベートクラウドでのログ保管、FinCERT や GosSOPKA/NKTsKI との協力を掲げるなら、安売りは品質事故の種になる。Infosecurity が価格を守るための物語は、銀行事例にある。顧客は機器購入を避け、人材不足を避け、国産化の移行リスクを避け、監査負担を避ける。その避けられた費用の一部を同社が受け取る。これが成立すれば収益は強い。成立しなければ、同社は入札で比較される一業者になる。

労働力が最大の原価である

管理型セキュリティはソフトウェアの顔をしているが、原価の芯には人がいる。Infosecurity はページによって五十人超の専門家、二百五十人超のエンジニア、三百人超の認定エンジニア、七百以上のプロジェクト、二十万人ではなく二万人の訓練実績、五百以上の保護ブランドといった数字を掲げる。これらは営業上の信頼材料である。同時に、規模の錯覚も生む。どの法人に何人が所属し、どのチームが SOC、監査、DLP、侵入テスト、脆弱性管理、デジタルリスク監視を担い、どれだけが常時稼働なのかは、公開資料だけでは一線を引けない。

ООО「ИС」については、公開企業情報が二〇二四年売上約六億一七九七万三千ルーブル、利益約六千七百三十九万ルーブル、売上原価約二億六千七百三十万五千ルーブル、粗利約三億五千六十六万八千ルーブル、平均従業員一四人を示す。別の公開ミラーは二〇二五年売上約六億一千四百万ルーブル、純利益約七千二百十万ルーブル、固定資産約五千九百五十万ルーブル、無形資産約六千百二十万ルーブル、納税約六千五百十万ルーブル、平均従業員六人、小企業扱いを示す。この人数で全サービスを直接担うとは考えにくい。

一方、Infosecurity Service は規模が違う。二〇二四年売上約九億二千二十三万七千ルーブル、利益約一千七百十五万五千ルーブル、売上原価約五億五千三百九十九万ルーブル、粗利約三億六千六百二十四万七千ルーブルが示され、別資料では二〇二五年収入一十四億ルーブル、純利益五千九百万ルーブル、従業員二七九人、Softline Security による大半保有が示される。この差は重要である。RIPE 上の会社とサービス提供の人的基盤が完全に同じ財布ではない可能性があるからだ。

投資家や顧客は、この法人境界を欠点としてだけ読むべきではない。グループ構造は、販売網、調達、ライセンス、人材配置、契約分担を柔軟にする。一方で、単体の財務から実際のサービス粗利を読むのを難しくする。利益率が高く見えても、人件費や開発費が別法人に乗っているかもしれない。逆に、サービス会社の利益率が薄く見えても、販売や製品の価値が別の場所に残っているかもしれない。Infosecurity の本当の単位経済は、法人ごとの決算ではなく、顧客一社当たりの監視負荷、初期導入工数、更新率、追加モジュール率、夜間対応の頻度で決まる。

半公開の採用情報も、この読みを支える。SOC 関連の職務には、クラウド SIEM、高いイベント負荷、Hadoop 系、正規化、相関ルール、SQL、Linux、文書化といった実務要件が並ぶ。モスクワの SOC 分析者給与には、他社で月十二万から十八万ルーブルの手取り目安が見える。Infosecurity の学生分析者訓練枠は二十五時間で三万ルーブルの手取りとされる。これは完全な賃金表ではないが、人的原価の方向を示す。安い入口価格の商品を熟練者で回すと、すぐに苦しくなる。未経験者を増やしすぎると、品質事故とエスカレーションが増える。ここが管理型セキュリティの古典的な板挟みである。

仕入れ先と製品依存

Infosecurity の SOC は、ロシア製の Security Vision IRP と KUMA SIEM を中核として掲げる。これは市場環境に合っている。金融機関や重要情報インフラの顧客は、外国製セキュリティ基盤の継続使用に不安を持ち、国産製品、国内保管、国内サポート、認証やライセンスの説明を求める。Infosecurity はそこに、FSTEC と FSB のライセンス、Sber 方式の監査支援、GosSOPKA/NKTsKI や FinCERT への接続感を重ねる。

ただし、国産中核は差別化であると同時に仕入れリスクでもある。SOC、MSSP、DLP、脆弱性管理は、ソフトウェア製品、ライセンス、更新、検知ロジック、連携コネクタ、サポート条件に依存する。製品ベンダーが値上げすれば、Infosecurity の粗利は削られる。ベンダーが直接販売を強めれば、同社は実装と運用の下請けに寄る。製品ロードマップが遅れれば、同社のサービス品質が傷む。認証や規制上の位置付けが変われば、販売資料の説得力も変わる。

CYBERDEF は、同社にとってこの問題への一つの答えである。ロシアのコードとチーム、ソフトウェア登録、月一万件超のフィッシング資源ブロック、月平均四十五万件超のデジタル脅威発見、三分以内の対応、DRP、脅威情報、専門チームを掲げる。これが本当に自社で管理する高再利用の商品であれば、Infosecurity は単なる販売代理から一歩離れられる。月十二万ルーブルからの価格は、少額のデジタルリスク契約を積み上げるための入口にもなる。

だが、ここでも限界費用が問われる。ブランド保護、フィッシング削除、偽アカウント対応、漏えい情報の調査は、自動化できる部分と人が判断する部分の差が大きい。件数が増えても人手が比例して増えない設計なら、良い商品になる。顧客ごとの要望、削除交渉、報告、例外判断が多いなら、結局は運用チームの稼働を売ることになる。Infosecurity の課題は、ロシア製品への依存を国産対応の強みに変えつつ、自社の監視、検知、報告、削除、保険、契約管理を再利用可能な運用部品にすることだ。

リスク移転は売れるが、無限ではない

SOC ページにある最大一千万ルーブルのリスク保険は、単なる飾りではない。顧客にとって、セキュリティ投資の弱点は成果の見えにくさである。侵害が起きなければ「何も起きなかった」だけに見え、侵害が起きれば「なぜ防げなかったのか」と問われる。保険を含む提案は、この曖昧さを金銭的な枠に変える。Infosecurity は、監視、対応、報告だけでなく、一定の損害吸収の物語を売れる。

しかし、一千万ルーブルは大企業の本格的なサイバー事故に対しては小さい。銀行、通信、製造、公共部門でシステム停止、情報流出、罰金、調査、顧客対応、復旧が重なれば、この額は心理的な安心材料であっても、全面的な補償ではない。むしろ重要なのは、どの事故が補償対象で、どの条件で支払われ、どの顧客行為が免責となり、どの範囲まで Infosecurity の責任になるかである。公開情報はそこまで示さない。

それでも、リスク移転の言葉は価格を守るために有効だ。単なる監視だけなら、顧客は安い MDR や内製チームと比較する。監査、規制、国産化、ログ保管、事故対応、保険を束ねると、比較軸が変わる。顧客は「一番安い分析者」ではなく、「責任を説明できる運用体制」を買う。これは Infosecurity にとって重要な逃げ道である。人月価格から離れ、経営者や監査担当者が理解しやすい価値に変えられるからだ。

同時に、リスク移転は逆回転も速い。重大事故、対応遅延、誤検知の放置、規制報告の不備、顧客との責任範囲の争いが公になれば、同社の商品は一気に弱くなる。事故をゼロにできない業種で、保険と二十四時間対応を掲げる会社は、期待値を自ら上げている。だからこそ、Infosecurity が本当に守るべき資産は、検知シナリオの数ではなく、責任範囲を管理する契約、顧客のログ品質を確認する導入手順、誤検知を減らす運用知、そして事故後に説明できる証跡である。

顧客集中と需要の質

公開事例には銀行が目立つ。Norvik Bank、MS Bank Rus の二つは、規制、国産化、監査、重要システム、ログ監視の需要が強い買い手である。これは良いニュースだ。銀行はセキュリティ予算を取りやすく、外部監査や当局対応の理由もある。自社で二十四時間 SOC を作る負担も大きい。Infosecurity のような会社にとって、銀行の導入事例は信頼の信用状として働く。

しかし、銀行事例があることと、収益が分散していることは違う。公開企業情報では、ООО「ИС」に公共調達契約九十五件、総額約一億五千五百五十万ルーブルの実績が示される。これは公共・準公共の需要を示すが、継続課金の厚みを証明しない。CNews の集約ページには、食品産業企業へのプロジェクト、CYBERDEF の脅威分析、Beeline Cloud の ISO 認証支援など、二〇二五年の周辺活動も見える。これらは市場横断性を示すが、顧客上位数社への依存度は見えない。

顧客集中が怖いのは、売上変動だけではない。大口顧客ほど個別要求が多い。銀行は報告、監査、保管、連携、証跡、夜間連絡、権限分離、承認手順を細かく求める。公共部門や規制産業も同じだ。大口を取れば売上は増えるが、標準商品から遠ざかることがある。管理型サービス会社にとって、大口契約の利益率は契約書に書かれた月額より、例外対応の多さで決まる。

Infosecurity が顧客集中リスクを下げる方法は二つある。第一に、同じ監視基盤と報告形式を複数顧客に使い回し、規制産業向けの標準パッケージを作ること。第二に、Cyber-checkup や CYBERDEF のような入口商品で中堅顧客を広く取り、必要な顧客だけを SOC や DLP、脆弱性管理に上げることだ。Softline の販路はこの二つを助ける。ただし、Softline の営業力に頼りすぎれば、グループ内の販売条件、手数料、優先順位に左右される。販路は資産であると同時に、価格の取り分を分け合う相手でもある。

Softline の傘は盾にも重りにもなる

Softline は二〇一八年に Infosecurity の支配的持分を取得し、ブランドを残しながらセキュリティサービスを拡大すると報じられた。これは自然な組み合わせである。Softline は販売網、企業顧客、調達能力、導入支援、クラウドや自社ソリューションの接点を持つ。Infosecurity は専門性、ライセンス、SOC、監査、侵入テスト、インシデント対応の物語を持つ。親会社が広い顧客接点を持つことは、管理型サービスにとって大きい。顧客獲得費用を下げ、既存の IT 予算にセキュリティを差し込めるからだ。

Softline の二〇二五年実績は、グループの規模を示す。売上高ではなく総取扱高に近い指標で一千三百二十一億ルーブル、粗利四百六十九億ルーブル、調整 EBITDA 八十二億ルーブルが示され、自社ソリューションやクラウド、サービスの粗利も大きい。これは Infosecurity 単体では得にくい調達と販売の厚みである。顧客が「この会社は長く残るか」と考えるとき、親会社の規模は安心材料になる。

一方で、Softline の傘は常に良いとは限らない。グループの営業戦略が変われば、Infosecurity の優先順位も変わる。親会社の賃金上昇、顧客予算の締まり、サービスやクラウドへの資源配分は、同社の採用費と販売条件に影響する。CNews が報じた所有権やオプション構造、暗号関連ライセンスを持つ会社への外資規制の論点も、単なる企業小話ではない。セキュリティ会社はライセンスと所有構造が信用に直結するため、親会社の資本政策が顧客の調達審査に入る可能性がある。

したがって、Softline は Infosecurity にとって、顧客を運ぶ列車であると同時に、乗り換え自由な資産ではない。販売網、調達、ブランド、監査対応は助けになる。だが、グループ内で価格や粗利をどう分けるか、どの法人が契約し、どの法人が人を持ち、どの法人がライセンスを持ち、どの法人に損益が残るかは、外からは見えにくい。この不透明さは割引要因である。良い会社かもしれないが、単体の価値をきれいに切り出すには材料が足りない。

法務と規制は需要を作り、同時に摩擦を作る

Infosecurity の事業は、規制なしにはここまで売りやすくならない。FSTEC と FSB のライセンス、金融分野、個人データ、重要情報インフラ、Sber 方式の監査、GosSOPKA/NKTsKI、FinCERT という言葉は、顧客の予算理由そのものだ。経営者は、単に「安全になりたい」だけでは予算を出しにくい。しかし「規制、監査、国内要件、事故時報告に耐える必要がある」となれば、外部サービスを買う理由が立つ。

この規制需要は、価格にも影響する。監査に使える報告書、ログ保管、対応証跡、契約上の責任範囲、ライセンス番号、国内製品の採用は、単なるツール運用より高く売れる。特に外国製品から国産製品へ移る銀行や企業にとって、Infosecurity は技術支援だけでなく、移行の言い訳と文書を提供する。ここに同社の商機がある。

だが、規制は摩擦でもある。ライセンスは取得すれば終わりではない。所有構造、暗号関連業務、外国投資規制、公共調達、補助金、労働安全、顧客情報の扱い、事故対応の記録などが常に付いて回る。ABN の報道では、Minpromtorg が監視・対応サービス基盤に関する補助金をめぐりООО「ИС」に八千七百十二万ルーブルの請求をしたが、裁判所は時効と主張立証の問題から認めなかったとされる。これは同社に有利な結果として読める一方、補助金、開発、成果物、期限、国との契約が収益に絡むと、後で争点化することを示している。

別の法務資料では、ООО「Инфосекьюрити」と Business Complex on Rusakovskaya の間で、一七四万四千ルーブルの賃貸保証金をめぐる訴訟が扱われている。金額としては会社価値を変えるほどではないが、法人名の似た会社や契約主体の識別には注意がいる。さらに、同名に近い別会社のサイトも存在し、INN、住所、連絡先が違う。読者は「Infosecurity」という名前だけで資料を混ぜてはいけない。これは調査上の細部ではなく、セキュリティ会社の信用を読む基本である。

国際的な信頼シグナルの弱さ

Infosecurity Incident Response Team、つまり IN4-CERT は FIRST のチーム一覧に載るが、状態は停止扱いである。これは決定的な悪材料ではない。FIRST の表示には事務手続き、会員状態、資格、名称利用、更新の問題が絡むことがある。CMU SEI の CERT 標章に関する説明も、CERT 名の使用には資格確認、審査、法的合意、現地確認、署名が関わることを示す。したがって、一覧上の状態だけで技術力を断定すべきではない。

それでも、国際的な事故対応の信頼を売る会社にとって、停止表示は気持ちの良い材料ではない。ロシア国内の顧客だけを相手にするなら、FSTEC、FSB、GosSOPKA、FinCERT、Softline のほうが実務上は重いかもしれない。しかし、銀行、クラウド、国際取引を持つ企業、海外拠点を持つ顧客にとって、国際的なインシデント対応コミュニティとの関係は安心材料になる。そこが弱い、または少なくとも公開上は弱く見えることは、差別化を少し削る。

この問題は、Infosecurity の市場位置をよく表す。同社は国際セキュリティのブランドで勝つ会社ではなく、ロシア国内の規制、製品、顧客事情、Softline の販路で勝つ会社である。制裁と国産化の時代には、それで十分な需要がある。だが、国内需要に寄るほど、製品選択、顧客予算、規制言語、人材市場、公共部門の調達に事業が縛られる。国内特化は守りになるが、成長の天井にもなる。

もし FIRST の状態が今後明確に活動中へ戻り、国際的な事故対応協力の実績が増えるなら、同社の信頼面は上向く。逆に、停止状態が長引き、国際的な連携を語る材料が乏しいままなら、同社は国内規制対応会社としての性格を強める。どちらが悪いというより、価格の付け方が変わる。国際信頼を売れないなら、国内の実務と規制文書で価格を守るしかない。

市場は伸びるが、競争も太い

ロシアの SOC 監視サービス市場について、BI.ZONE の推計として二〇二五年三月時点で約二百四十億から二百五十億ルーブル、年三〇％前後の成長という数字が報じられている。この規模感は、Infosecurity の売上水準から見れば十分に大きい。もし同社が数％のシェアを安定的に取れれば、現在の公開財務を超える成長余地がある。

しかし、市場が伸びることは、個別会社の利益を保証しない。Anti-Malware の市場レビューが示すように、SOC/MDR には多くの商用事業者がいる。侵入テスト市場でも、インテグレーター、専門会社、大手 IT グループが自動・手動、ブラックボックス・グレーボックス、PTES、OWASP、改善計画を競う。Infosecurity が「トップ十のロシアペンテスター」や八年以上の経験を掲げても、買い手は複数の見積もりを取れる。セキュリティは専門性が高いようで、調達の場では意外に比較されやすい。

競争が太い市場で同社が守れるのは、三つの面である。第一に、Softline 経由の顧客接点。第二に、銀行や規制産業での導入事例。第三に、診断、SOC、DLP、脆弱性管理、デジタルリスク、MSSP を連結する幅である。単独の侵入テストや単独の監視なら、より安い事業者に負けやすい。複数の不安をまとめて処理するなら、同社は交渉力を得る。

ただし、幅は集中力を奪う。広い商品棚を持つ会社は、営業資料では大きく見えるが、現場では優先順位に苦しむ。SOC の自動化、DLP の日次レビュー、CYBERDEF の削除対応、監査文書、侵入テスト、脆弱性管理、教育、導入支援をすべて高品質に保つには、相当な管理能力が必要だ。Infosecurity の経営上の課題は、サービスを増やすことではない。採算の良い組み合わせに絞り、入口価格の商品を低粗利の作業地獄にしないことである。

単位経済を試算する視点

公開資料だけで Infosecurity の正確な粗利を分解することはできない。それでも、単位経済の読み方は立てられる。SOC の月額が三十万ルーブルからで、分析者の市場給与が手取り十二万から十八万ルーブル程度の目安を持つなら、少額顧客を高度人材で個別対応する余裕はない。夜間を含む二十四時間体制では、単純に一人の給与だけでなく、交代制、L2/L3 の待機、管理者、エンジニア、報告、営業、ベンダーライセンス、クラウド保管、保険、税金が乗る。

したがって、入口契約は入口でしかない。三十万ルーブルの顧客を採算化するには、ログ量が少なく、検知シナリオが標準で、報告が簡潔で、導入が速く、誤検知が少なく、エスカレーションが少ない必要がある。これが満たされるなら、入口価格でも顧客数を広げられる。満たされないなら、三十万ルーブルは営業上の見せ値で、実際には追加料金や上位プランで採算を合わせるしかない。

Cyber-checkup のような一回限りの診断は、営業の燃料として使える。例えば、境界確認、ブランド確認、人員確認を組み合わせれば、顧客の弱点を短期間で見せられる。そこから CYBERDEF、SOC、DLP、脆弱性管理に移せれば、獲得費用を回収しやすい。反対に、診断だけで終わると、毎回新しい顧客を探す必要がある。診断事業の価値は、診断の粗利ではなく、継続サービスへの転換率にある。

DLP と脆弱性管理は、別の形で単位経済を試す。DLP は導入、保守、日次イベント確認、ベンダー管理、SLA、五百人から二万五千人超の顧客規模を掲げる。これは顧客が大きいほど単価を上げられるが、個別運用も重くなる。脆弱性管理は、プロセス設計、実装、自動化、外部委託を打ち出す。ここで自動化が本当に進めば良い粗利になる。手作業のチケット整理に落ちれば、また人月に戻る。Infosecurity のすべての商品は、この同じ分岐に立っている。

資本と資産の読み方

公開ミラーが示す固定資産約五千九百五十万ルーブル、無形資産約六千百二十万ルーブルという数字は、少なくともООО「ИС」単体が重い設備会社ではないことを示す。これは自然である。SOC や監査は、巨大な物理インフラより、人材、ライセンス、手順、ソフトウェア、顧客関係、認証、ブランド、販路に価値がある。AS201144 のネットワーク資源も、資本集約的なキャリア事業を示すほど大きくはない。

資本の軽さは良い面もある。設備投資が重くなければ、需要が伸びたときに売上を増やしやすい。顧客は自前で機器を買う代わりに、Infosecurity のサービスを買う。Norvik Bank の事例が示すように、顧客側の設備投資回避はサービス事業者にとって販売理由になる。MS Bank Rus のように、既存の外国製基盤を置き換える文脈では、顧客は新しい機器購入だけでなく、運用移行の失敗も避けたい。

しかし、資本の軽さは参入障壁の低さにもつながる。高額なネットワーク設備や独自データセンターだけで守られている事業ではない。競合もロシア製 SIEM、IRP、監視運用、人材、規制文書を組み合わせられる。Infosecurity が守れる資産は、顧客ごとに蓄積した検知知識、導入手順、対応プレイブック、銀行や公共部門での信用、Softline の顧客接点、そして製品を束ねる実装力である。これらは貸借対照表にきれいに出にくいが、実務上は最も大切だ。

資本の論点でさらに注意すべきなのは、補助金や公的支援の扱いである。監視・対応基盤に関する裁判報道は、補助金を使った開発や成果物の説明が後で争点になりうることを示した。裁判所が請求を認めなかったとしても、こうした取引は管理費用を生む。セキュリティ会社は、顧客だけでなく国家の要件にも応える。資本が軽い会社ほど、契約管理、証跡、成果物の範囲、知的財産、利用権を明確にしなければならない。

どこで価格を上げられるか

Infosecurity が価格を上げられる領域は、単純な監視時間ではない。顧客は二十四時間監視という言葉だけなら、複数の会社から買える。価格を上げられるのは、第一に規制証跡が必要な業界、第二に外国製品からロシア製基盤へ移る業界、第三にブランド偽装やフィッシング被害が直接売上や信用を傷つける企業、第四に内部採用が難しい中堅企業、第五に Softline の既存顧客で追加予算を取りやすい企業である。

この中で最も魅力的なのは、規制と人材不足が同時にある顧客だ。規制だけなら、顧客は最低限の監査対応で済ませようとする。人材不足だけなら、安い外部運用を探す。規制と人材不足が重なると、外部委託の理由が強くなる。銀行事例はこの重なりを示す。さらに国産化が加わると、既存基盤の置き換えという一回限りの大型作業と、その後の継続監視の両方を取れる。

CYBERDEF や CYBERID は、別の価格上昇余地を持つ。経営者、ブランド、フィッシング、漏えい情報は、技術部門だけでなく広報、法務、経営管理に響く。ここでは、単なるログ監視より心理的な価値が高い。月十二万ルーブルや十万ルーブルからの入口価格は、大企業にとっては小さい。そこで成果を示し、SOC や DLP、監査へつなげられれば、低い入口が高い顧客生涯価値につながる。

逆に、価格を上げにくい領域は標準的な侵入テストと汎用監査である。方法論が PTES や OWASP として共有され、複数の専門会社が見積もれる仕事は、評判と人材で差は付くが、価格比較も受けやすい。Infosecurity がそこで勝つには、単発報告で終わらせず、改善計画、再検査、脆弱性管理、SOC 検知ロジックへの反映、経営報告へつなげる必要がある。単独商品ではなく、継続運用への導入口にすることが価格を守る道だ。

反転材料

この会社への見方を変える材料は、いくつか明確にある。第一に、SOC 契約の大規模な解約や更新失敗が確認されれば、管理型サービスの粘着性に疑問が出る。第二に、FSTEC や FSB のライセンス喪失、停止、重大な制限が公開されれば、規制対応の売り文句が傷む。第三に、月三十万ルーブルの SOC 価格が実際には多くの顧客で主価格帯であり、上位単価や追加モジュールが伸びていないと分かれば、粗利仮説は弱くなる。

第四に、主要ベンダーの条件悪化、直接販売強化、製品認証の問題が出れば、Infosecurity の仕入れ原価と差別化が同時に傷む。第五に、補助金や開発成果、契約履行をめぐる不利な最終判断が出れば、公共・準公共向けの信用に影を落とす。第六に、FIRST 上の停止状態が解消され、国際的な事故対応の実績が明確に増えれば、逆に信頼面は上振れする。第七に、グループ連結や事業別の監査済み数字で、継続サービスの粗利が公開ミラーから推測されるより高いと分かれば、同社への評価は上がる。

顧客集中についても、反転材料ははっきりしている。上位顧客への依存が低く、中堅企業への横展開が進み、Cyber-checkup から SOC や CYBERDEF への転換率が高いと示されれば、営業棚の幅は本物になる。反対に、銀行や公共案件への依存が高く、少数案件の入札で売上が振れるなら、同社は成長市場にいても収益の安定性に欠ける。

人材面では、採用が最も早い警告になる。SOC 分析者、SIEM エンジニア、相関ルール設計者、脆弱性管理者、DLP 運用者を安定して採れなければ、契約を増やしても品質が追いつかない。低賃金の訓練枠だけで二十四時間監視を拡大することはできない。逆に、ジュニアを育て、L1 を標準化し、L2/L3 を少数精鋭で回し、自動対応シナリオを増やせるなら、人材不足の市場で利益を残せる。

結論

Infosecurity Ltd の投資論点は、ネットワーク資源の保有ではなく、管理型セキュリティをどこまで商品化できるかである。AS201144、LIR 登録、IPv4 と IPv6 の公告は、会社が実体を持つことを示すが、広い通信事業の証明ではない。売上と利益を動かすのは、SOC、CYBERDEF、DLP、脆弱性管理、監査、侵入テスト、MSSP、Softline 販路、ライセンス、規制需要、人材運用である。

同社の良い点は、買い手の痛みが現実的なことだ。銀行は外国製基盤を置き換えたい。企業は SOC を自前で作る人材を持たない。規制産業は監査と証跡を必要とする。ブランドはフィッシングやなりすましに弱い。これらは景気の良い宣伝文句ではなく、予算に変わる問題である。Infosecurity はその問題を、入口診断、月額監視、国産基盤、保険、報告、Softline の販売網で束ねようとしている。

悪い点は、その束ね方が人と仕入れ先に重く依存することだ。管理型セキュリティは、標準化に失敗するとすぐに人月産業になる。価格を上げるには、顧客の例外要求を抑え、イベント量を適切に課金し、検知と対応を再利用し、事故時の責任範囲を明確にし、ベンダー条件を管理しなければならない。公開財務は、法人境界のために読みづらい。小さなООО「ИС」だけを見ても、二七九人規模の Infosecurity Service だけを見ても、全体像はつかめない。

最終的な評価はこうだ。Infosecurity は、ロシアの規制対応型セキュリティ市場で、需要のある場所に立っている。Softline の傘、銀行事例、ライセンス、サービス棚、公開価格の存在は、同社に商業的な骨格を与える。だが、優れた会社になるには、監視と対応を労働時間ではなく、繰り返し使える運用資産として売らなければならない。利益を守れるかどうかは、三十万ルーブルからの SOC をどれだけ上位契約へ育て、十二万ルーブルからの CYBERDEF をどれだけ低い限界費用で運用し、顧客が避けたい資本、人材、規制、事故責任の費用をどれだけ価格に転嫁できるかで決まる。

参考資料