Cuando se observa la estructura del sector de las TI, se pone en evidencia que existen, a la sombra – o en la órbita – de los grandes de la industria, constelaciones de empresas que compiten en dominios adyacentes, con tecnologías complementarias de las de aquellos, y que se apoyan en una trama de alianzas. Son, por lo general, medianas, de un tamaño insuficiente como amenaza pero disuasorio para los candidatos a comprarlas. Esta descripción encaja con el perfil de F5 Networks, nacida en 1996 como especialista de nicho – la optimización de workloads – para luego evolucionar con una estrategia más compleja que a continuación explica el director general de su filial ibérica, Ricardo Maté.

Ricardo Maté

Tengo mucho que aprender sobre F5 Networks, ¿por qué no empieza por definir su espacio en el mercado?

En primer lugar, somos una compañía de talla media que factura casi 1.800 millones de dólares, lo que quiere decir que tenemos un tamaño interesante y una capitalización bursátil muy interesante, de 9.000 millones. Ahora bien, nuestro negocio principal consiste en dar disponibilidad, seguridad y rapidez en el acceso a las aplicaciones, de tal manera que un usuario en cualquier lugar del mundo puede acceder a las aplicaciones desde cualquier dispositivo inteligente.

¿No es un mercado del que se ha retirado Cisco?

En efecto, Cisco competía con F5 en el mercado de ADC (application delivery controller) pero se retiró hace un par de años; por otro lado nosotros hemos avanzado en esa tecnología facilitando la migración hacia cloud, la automatización y la orquestación inteligente. Desde hace tiempo, nuestra estrategia ha estado orientada principalmente a crecer en ADC, y somos el número uno según Gartner, con una cuota del 56%, por delante de Citrix y dos o tres compañías más. Lógicamente queremos seguir creciendo y ganando cuota…

Eso está bien, pero ¿el mercado crece?

Está creciendo un 5 o un 6% anual. No es mucho, pero F5 está por encima de lo que crece el mercado, y en parte se lo debemos al reemplazo de la base instalada que tenía Cisco. A escala global, damos cifras de un millar de clientes que han hecho esa sustitución.

¿Lo han hecho mediante un acuerdo con Cisco?

No, no. Hemos ido a los clientes a plantearles nuestra alternativa.

Aunque no corresponda a usted decirlo, ¿por qué se retiró Cisco?

No sólo no me corresponde, sino que lo desconozco. Pero imagino que, como toda compañía, habrá puesto el acento en su business core, y ciertas tecnologías han dejado de interesarle […] para dar la prioridad a otras, es lo normal. A lo que iba: la segunda área estratégica para F5 es la seguridad, y de hecho es el 30% de nuestro negocio. Un 30% de 1.800 millones de dólares son 600 millones, y sinceramente no muchas de las compañías que se ven líderes en seguridad facturan 600 millones.

¿También crecen en ese mercado?

Sí, pero de manera diferente. Por un lado, adquiriendo compañías cuya tecnología integramos en nuestra plataforma de base. Hace unos diez años, compramos una compañía que tenía un web application firewall, y ahora somos líderes en ese mercado concreto. Hace poco más de un año, integramos una compañía israelí, Versafe, que hizo posible el lanzamiento de un producto llamado WebSafe y luego MobileSafe, para proteger a los usuarios contra ataques de phishing o de malware, y que tiene gran aceptación entre entidades financieras y empresas de comercio online o en administraciones. Sin poner un solo agente en ningún dispositivo, somos capaces de detectar si ha habido phishing sobre la página y avisar al centro de seguridad de la entidad, apagar la fuente de hackeo… es algo que tiene mucho éxito. Hay otras adquisiciones que reseñar…

¿Por ejemplo?

Una reciente es Defense Net, que aporta una solución en la nube ante ataques de denegación de servicio. Hemos montado cuatro datacenter – uno en Europa, dos en Estados Unidos y uno en Singapur – para dotar un servicio de protección contra DDoS, que ya está disponible para ataques volumétricos, de un ancho de banda muy elevado, pero evolucionará hacia nuevos servicios. Como digo, tenemos uno de los portfolios de seguridad más completos del mercado, y podemos consolidar distintas soluciones en nuestra plataforma Silverline.

¿En la misma arquitectura?

En la misma arquitectura, y nos da igual que sea hardware o software. Estamos yendo hacia el concepto software-defined, y nuestras soluciones también están en un formato software puro, pudiendo montarse sobre cualquier hipervisor. La ventaja es que los despliegues son mucho más rápidos, igual que la forma de provisionar, la manera de licenciar… Pero determinadas prestaciones no se podrán tener en modelo software: si requieren encriptado,van a necesitar procesadores dedicados, o sea que hará falta hardware.

Si el 30% de los ingresos es seguridad, el resto ¿sería ADC?

La mayor parte sigue siendo ADC, pero lógicamente crece más la parte de seguridad. El componente emergente es cloud, en el que nuestra estrategia son los servicios bajo suscripción, como es el caso de la protección contra ataques DDoS. Se acaban de lanzar, y es lógico esperar que irán creciendo, pero de momento representan un volumen pequeño de la facturación.

¿Quiénes son los clientes de F5 Networks?

Primero, las operadoras telefónicas, prácticamente todas las grandes son clientes en diferentes productos y áreas; luego está la banca, entre el 30 y el 40 por ciento del sector dependiendo de los trimestres. Y luego, el comercio electrónico, sin olvidar la gran empresa y las AAPP. En la región Iberia tenemos unos 500 clientes en total; el último año hemos hecho 100 nuevos. Estamos cada vez en más empresas, y nuestro objetivo para 2015 es hacer 200 nuevos clientes. Nuestra red de partners tiene mucho papel en ese objetivo.

¿Qué partners?

Por un lado, partners globales como IBM, HP, Dell o Dimension Data,y luego los locales, entre los cuales en España destacan Telefónica, Indra, Unitronics, Tecnocom, Logicals, y así hasta una treintena. Nuestro modelo de negocio es 100% a través de partners, con dos niveles: mayoristas como Westcon y Arrows, y debajo el canal. .

Entre los partners globales no ha nombrado a Cisco. ¿Cuál es la relación?

Con Cisco tenemos una alianza. No revende nuestra tecnología ni nosotros vendemos la suya, pero integramos la tecnología de F5 en su modelo ACI application center.

¿Cuál de esas tres capas de partners genera más negocio para F5?

Muy fácil: como todo pasa por los mayoristas, el 100% de nuestro negocio, porque incluso los partners globales nos compran a través de mayoristas. O sea que no hay ningún conflicto. A diferencia de otras compañías que tienen un Tier 1 y un Tier 2, y sólo el Tier 2 pasa por los mayoristas. Por cierto, el negocio que hacemos con los partners locales es tanto o más importante que el que hacemos con los globales.

¿Cómo definiría la situación actual del mercado?

Creo que está yendo hacia un entorno en el que las empresas buscan la consolidación, es decir que buscan soluciones no sólo de ADC sino que quieren ver cómo resolver el firewall de su datacenter o el de sus aplicaciones web, como asegurar la protección de su DNS, o la federación de identidades en el cloud, cómo integrarse en un entorno definido por software y cómo hablar con los grandes orquestadores del mercado… con Cisco, VMware, Microsoft, Openstack. Digamos que el ecosistema que ha montado F5 es muy potente, y permite a las empresas hacer todo eso. Se nos abren muchas oportunidades en el movimiento hacia cloud, que plantea una serie de problemas en los que podemos ayudar.

¿Por ejemplo…?

Por ejemplo, la autentificación avanzada, sobre todo cuando trabajan con diferentes proveedores de SaaS o de IaaS […] lo que las empresas quieren es autentificación en un sistema único y federar las identidades con los proveedores. Les generamos un canuto seguro hacia…, da igual que sea Salesforce que el SAP, Office 365 o Google Mail. Lo que importa es que la identificación se controla en el centro de datos, con posibilidad de migrar hacia cloud.

¿Se ven como un facilitador para entrar en el modelo cloud?

Puede decirse así. Lo que pasa es que todo el mundo piensa en modelos híbridos, que una serie de aplicaciones van a estar on-premise y otras en la nube. Lo que nosotros hacemos es facilitar que una parte esté corriendo on-premise y otra en modo cloud, y lo hacemos de manera transparente: de hecho, tenemos acuerdos con Amazon y con VMware que responden a esa tipología. Se trata de garantizar que las mismas políticas valen para los dos entornos.

Volvamos a la seguridad. F5 ocupa un espacio en un mercado proteico y en el que nadie tiene una solución total. ¿Hacia dónde va ese mercado?

Es bueno que sea así, que haya entornos confluyentes. Pero es muy cierto que hay cierta confusión; lo que vemos es que la seguridad preocupa a todo el mundo, porque todo el mundo es susceptible de ser atacado.

[…] a veces puede parecer que los menos preocupados son los usuarios finales.

Curiosamente son el eslabón más débil, porque es a ellos a quienes les roban sus datos bancarios, los historiales médicos o la declaración de la renta. Lo que las grandes empresas y las administraciones están haciendo relativamente bien es proteger sus centros de datos y aplicaciones. Como estamos hablando de entornos híbridos, las aplicaciones están distribuidas y en muchos casos, la verdad es que ni los departamentos de TI ni los responsables de seguridad saben qué aplicaciones están corriendo en la nube, porque hay unidades de negocio que contratan directamente…

Eso pasa por darles tarjetas de crédito…

[risas] al final, pasa que hay aplicaciones fuera del control de seguridad, y esto es peligroso, muy grave. Conozco casos en los que se han sacado a la nube aplicaciones con políticas que no son las mismas que las vigentes on-premise.

Según eso, lo que habría que proteger por encima de todo son las aplicaciones.

Sin duda. Lo que hace F5 es proteger las aplicaciones con independencia de dónde estén […]

Según su experiencia, ¿hay un ciclo específico de inversión en seguridad?

La respuesta fácil es que, realmente, las empresas tienen un presupuesto para seguridad, pero en la práctica se generan presupuestos adicionales como consecuencia de ataques específicos, o siguiendo tendencias de las que se habla, o como reacción ante campañas de sensibilización… con lo que se toman decisiones con urgencia, se improvisan proyectos a corto plazo. Siendo sincero, creo que hay mucho oscurantismo: muy a menudo, cuando hablamos con los departamentos de seguridad con la intención de detectar sus necesidades, nos vamos con poco más que una sonrisa […] casi todo el mundo dice tenerlo resuelto, y eso habría que verlo.

¿Quiere decir que hay una inversión fija y otra variable que se decide según los acontecimientos?

Quiero decir que en materia de seguridad no se puede pensar en términos de ROI.