Os CSPs estão medindo a receita de segurança da forma errada

Para os CSPs, a segurança não é uma receita adjacente. É garantia de receita.

Para um provedor de serviços de comunicação, o DDoS costuma aparecer em duas conversas distintas. A primeira ocorre nas operações de rede, onde um ataque é tratado como uma ameaça à infraestrutura, à disponibilidade do serviço e à estabilidade da rede como um todo. A segunda ocorre na organização comercial, onde a proteção contra DDoS é oferecida como um serviço de segurança opcional, atrelado ao produto principal de conectividade. Internamente, separar as duas faz sentido. Para o cliente, no entanto, elas geralmente fazem parte da mesma promessa.

‍

Lembrei-me disso recentemente enquanto trabalhava com um importante CSP que apoiamos há algum tempo. Um de seus grandes clientes corporativos assinava o serviço de conectividade do provedor e também havia adquirido o complemento de proteção contra DDoS existente. A proteção não estava entregando o resultado esperado pelo cliente, e a situação havia se deteriorado a ponto de o cliente considerar cancelar toda a conta. O contrato de conectividade, que valia consideravelmente mais do que o componente de segurança, foi colocado em risco pelo que, no papel, parecia ser um serviço auxiliar.

‍

Uma plataforma alternativa de DDoS já havia sido implantada na rede do CSP, então o cliente teve a oportunidade de experimentar esse serviço. O resultado foi positivo: o problema imediato de proteção foi resolvido, a confiança no provedor foi restaurada e o cliente optou não apenas por manter o relacionamento de conectividade, mas por expandir a parte de segurança do contrato. Seria fácil apresentar isso como uma história sobre uma tecnologia com desempenho superior a outra, mas isso ignoraria a lição mais importante. A menor parte do contrato original quase causou a perda da maior parte e, posteriormente, ajudou a protegê-la e a fazê-la crescer.

‍

A receita está na coluna errada

Os CSPs geralmente medem um serviço de segurança da mesma forma que qualquer outro produto. Eles analisam sua receita, margem, taxa de adesão, pipeline de vendas e número de clientes ativos. Essas são todas medidas necessárias, especialmente quando o provedor precisa justificar o investimento em plataformas especializadas, pessoal e suporte operacional. No entanto, elas capturam apenas a receita gerada diretamente pelo serviço de segurança. Elas não mostram quanta receita de conectividade principal esse serviço influencia ou protege.

‍

Essa distinção é importante porque os clientes não experimentam um provedor através de sua estrutura interna de produtos. Eles não separam a equipe de trânsito IP da equipe de segurança gerenciada quando um serviço protegido fica indisponível. Nem perdem muito tempo decidindo se a falha subjacente pertence a uma rede, a uma plataforma de mitigação, a uma configuração ou a um fornecedor terceirizado. Eles veem que compraram conectividade, pagaram a mais para mantê-la disponível durante um ataque e foram deixados expostos quando a proteção era necessária.

‍

A insatisfação resultante não permanece contida apenas no item de segurança. Ela se espalha por toda a conta. Perguntas sobre um serviço rapidamente se tornam perguntas sobre a competência, o julgamento e a capacidade de resposta do provedor como um todo. No momento da renovação, o cliente não está apenas decidindo se mantém um complemento de DDoS. Ele está decidindo se o CSP ainda pode ser confiável para a conectividade da qual seu próprio negócio depende.

‍

Se a segurança for medida apenas de acordo com sua receita independente, grande parte de sua contribuição comercial é atribuída a outros lugares ou desaparece completamente. Um contrato de conectividade retido é registrado como receita de conectividade. Uma expansão pode ser creditada à equipe de contas. O churn que nunca ocorreu não tem lugar óbvio em um painel de produtos. No entanto, a segurança pode ter influenciado materialmente todos os três resultados.

‍

A conectividade só é uma commodity enquanto funciona

Existe um argumento familiar de que a conectividade se tornou uma commodity. A concorrência de preços é intensa, o serviço subjacente pode ser difícil de diferenciar para os clientes, e os provedores buscam cada vez mais a nuvem, serviços gerenciados, cibersegurança e outras ofertas adjacentes para crescer. A pesquisa atual da GSMA Intelligence reflete essa direção: serviços além das telecomunicações principais tradicionais representaram uma média de 28% da receita entre as principais operadoras até 2024, enquanto o relatório da GSMA Relatório Mobile Economy 2026 identifica a cibersegurança como mais de 20% da oportunidade endereçável de serviços de tecnologia B2B além da conectividade principal.

‍

A tentação é interpretar isso inteiramente como uma história de diversificação. Nesse modelo, a conectividade fornece o relacionamento com o cliente e serviços adicionais aumentam a receita por conta. A segurança torna-se mais um item em um catálogo em expansão, competindo com outros produtos pela atenção de vendas e investimento. Isso pode ser comercialmente conveniente, mas subestima o papel específico que a segurança de rede desempenha.

‍

Nem todo serviço adjacente reforça o produto principal da mesma forma. Um cliente geralmente pode substituir ou remover um aplicativo não relacionado sem concluir que seu provedor de rede falhou. A proteção contra DDoS é diferente porque existe para preservar a usabilidade da conexão sob condições hostis. É vendida separadamente, mas seu resultado é inseparável da disponibilidade do serviço subjacente.

‍

Isso é especialmente evidente com clientes corporativos cujos serviços públicos, aplicativos ou transações digitais dependem de conectividade contínua. Em condições normais, os provedores podem parecer amplamente intercambiáveis e as conversas de compra podem girar em torno de preço, capacidade e termos contratuais. Durante um ataque, a distinção torna-se muito mais clara. O cliente descobre se comprou largura de banda ou se comprou um provedor capaz de manter seu negócio acessível.

‍

A conectividade pode ser precificada como uma commodity, mas sua falha é vivenciada como uma promessa quebrada. Por esse motivo, a importância comercial da proteção contra DDoS pode ser muito maior do que sua contribuição percentual na fatura.

‍

O DDoS tem um raio de impacto comercial

O problema é agravado pela forma como a responsabilidade é dividida dentro de muitos CSPs. As operações de rede podem ver o DDoS principalmente pelo efeito que ele tem na capacidade do backbone, na infraestrutura e nos clientes a jusante. A equipe de produto pode focar em saber se o serviço de proteção contratado atende às suas especificações. As equipes de vendas e contas encontram o problema mais tarde, quando o cliente já está insatisfeito e a renovação está em risco. Cada equipe vê uma parte legítima do problema, mas o raio de impacto comercial atravessa todas elas.

‍

Um serviço de mitigação pode, portanto, ter sucesso de acordo com uma métrica interna e ainda falhar de acordo com outra. A rede mais ampla do provedor pode permanecer estável enquanto o cliente alvo continua a sofrer interrupções. O tráfego de ataque pode ser detectado e descartado enquanto transações legítimas sofrem latência inaceitável ou falsos positivos. Um painel pode demonstrar que uma grande quantidade de tráfego foi bloqueada, mas o cliente julgará o resultado usando um teste mais direto: os usuários ainda conseguiam acessar o serviço?

‍

É por isso que a proteção contra DDoS não pode ser gerenciada apenas como um recurso anexado a um circuito. Ela afeta as operações de rede, a experiência do cliente e a retenção de contas simultaneamente. As métricas relevantes devem refletir esse papel mais amplo. Juntamente com a receita direta de segurança e a margem do produto, os CSPs devem perguntar como a segurança afeta as taxas de renovação, o risco de churn, o valor do tempo de vida do cliente, a expansão do serviço e a retenção de contas estrategicamente importantes.

‍

Isso não significa atribuir cada renovação bem-sucedida à equipe de segurança ou inventar números inflados para fazer um portfólio auxiliar parecer mais valioso. Significa reconhecer a influência comercial que os relatórios de produtos convencionais ignoram. Se um serviço de segurança relativamente pequeno determina se uma conta de conectividade muito maior permanece ou sai, tratar seu valor apenas como o montante cobrado por esse serviço dá à gestão uma visão incompleta.

‍

Da receita adicional à garantia de receita

O setor de telecomunicações já compreende o princípio da garantia de receita: proteger os rendimentos que a empresa conquistou, mas que, de outra forma, poderiam ser perdidos devido a vazamentos, falhas de processo ou outras vulnerabilidades. A segurança faz parte de uma conversa estratégica semelhante, ainda que o mecanismo seja diferente. Ela protege a receita ao manter a confiança e a disponibilidade do serviço, pilares sobre os quais se sustenta o relacionamento com o cliente.

‍

Essa mudança de perspectiva altera a questão do investimento. Em vez de perguntar apenas se o portfólio de segurança pode se tornar um negócio independente de grande porte, uma CSP também pode questionar quais partes de sua receita principal seriam mais difíceis de manter sem uma proteção confiável. Um serviço de DDoS pode nunca rivalizar com a conectividade em receita total, mas esse não é o teste adequado se a sua presença melhora a retenção, diferencia o provedor e dá aos clientes um motivo para expandir, em vez de reconsiderar o relacionamento.

‍

Isso também muda a forma como os provedores devem abordar a entrega. As CSPs possuem uma vantagem estrutural em segurança de rede, pois já transportam o tráfego e operam próximas ao ponto onde os ataques podem ser identificados e mitigados. Isso não significa que todo provedor deva desenvolver todas as capacidades internamente ou tentar se transformar da noite para o dia em um fornecedor de segurança completo. Parceiros especializados podem fornecer tecnologia e expertise, mas a CSP ainda deve ser responsável pelo resultado do serviço. Os clientes raramente aceitam uma barreira interna entre fornecedores como justificativa para a falha de sua proteção.

‍

A credibilidade, portanto, depende de algo mais do que apenas adicionar um SKU de segurança ao catálogo. O serviço precisa estar integrado às operações, testado em condições realistas e apoiado por pessoas que saibam como reagir quando o tráfego do cliente não se comporta como o esperado. As equipes de conta também precisam entender o que o serviço protege e como escalar problemas antes que a insatisfação se transforme em uma discussão sobre cancelamento. A promessa comercial e a capacidade operacional devem descrever a mesma coisa.

‍

A parte do contrato que mantém o restante vendido

No caso que descrevi, o serviço de segurança não se tornou subitamente a maior fonte de receita da conta. Ele fez algo mais importante: ajudou a preservar o contrato principal de conectividade, restaurou a confiança do cliente e criou espaço para o relacionamento crescer. O valor apareceu em parte como receita de segurança, mas grande parte dele permaneceu registrada sob a conectividade.

‍

À medida que as CSPs buscam além de seus serviços principais por crescimento, elas devem evitar tratar cada oferta adicional como uma ilha comercial separada. Alguns serviços fazem mais do que adicionar receita. Eles tornam o produto principal mais confiável, mais resiliente e mais difícil de ser substituído pelo cliente. A proteção contra DDoS é um deles, pois aborda o momento em que o valor da conectividade é testado de forma mais severa.

‍

A segurança pode estar ao lado da conectividade no catálogo de produtos, mas não está ao lado dela na experiência do cliente. Quando a proteção falha, toda a conta pode ser colocada em risco. Quando funciona, o benefício se estende muito além da cobrança de segurança na fatura. As CSPs que medem apenas a receita direta continuarão a subestimar o que seus serviços de segurança estão realmente fazendo pelo negócio.

‍

Para as CSPs, a segurança não é uma receita adjacente. É garantia de receita.