Palo Alto Networks: киберщит хэппенс
Драйверы
О компании
Palo Alto Networks (NASD: PANW) — один из мировых лидеров в сфере кибербезопасности. Компания развивает платформу «всё в одном», которая охватывает три ключевые направления: защиту сети, защиту облака и операции центра безопасности. Благодаря приобретению CyberArk сейчас добавляется четвёртый важный элемент — защита идентичностей (логинов и прав доступа). Это расширяет возможности платформы и увеличивает потенциал допродаж существующим клиентам.
Модель выручки компании в основном подписочная: в 2024 финансовом году подписки и поддержка обеспечили более 80% продаж, тогда как аппаратная часть («железо») принесла около 20%. Такой профиль делает бизнес более предсказуемым и маржинальным.
У Palo Alto Networks сдвинутый финансовый год, который заканчивается 31 июля. Таком образом, FY25 охватывает период с августа 2024 по июль 2025 года, а Q3 FY25 завершился 30 апреля 2025 года.
В чем идея?
- Один поставщик вместо «зоопарка» решений. Клиенты устали склеивать десятки несвязанных продуктов. Платформа Palo Alto Networks закрывает все ключевые направления: сеть, облако, операции безопасности и (после сделки) управление доступами. Это проще, дешевле и надёжнее.
- Повторяющиеся доходы = предсказуемость. Бизнес держится на подписках и долгосрочных контрактах, поэтому выручка видна заранее, а клиентская база менее «скачущая», чем при разовых продажах «железа».
- ИИ-платформа XSIAM как «мозг» центра безопасности. Она автоматизирует рутину, ловит инциденты быстрее и точнее, из-за чего компании готовы консолидировать системы у PANW и платить больше за единый пакет вместо старого «лоскутного» SIEM-подхода.
- Усиление через идентичности (доступы и права). Покупка CyberArk закрывает самый болезненный разрыв — кто к чему и с какими правами имеет доступ. Это обеспечивает значительный потенциал допродаж существующим клиентам.
- Сильный денежный поток и запас кэша. Компания может одновременно развивать продуктовую линейку, покупать активы и сглаживать разводнение акций — без риска «пережать» операционку.
- Что может дать рост в ближайшие 6–12 месяцев: 1) успешная интеграция направления «идентичностей»; 2) новые крупные внедрения XSIAM и переход клиентов на «платформенные» контракты; 3) постепенное улучшение маржи и свободного денежного потока.
- Почему сейчас? Мир ускоренно инвестирует в ИИ и облака — безопасность этой инфраструктуры критически важна. PANW уже участвует в этих процессах и выигрывает от консолидации бюджетов у одного вендора.
Почему нам нравится Palo Alto Networks?
- Причина 1. «Четвёртый столп» — Identity — благодаря покупке CyberArk
Palo Alto Networks делает логичный и сильный шаг: добавить к трём платформам (сеть — Strata, облако — Prisma, операции безопасности — Cortex/XSIAM) четвертый столп — Identity Security. Базой становится приобретение CyberArk — лидера в управлении привилегиями и защите человеческих и машинных идентичностей. Сделка на ~$25 млрд (кэш + акции) объявлена 30 июля 2025 года. Интеграция задумана глубоко: возможности CyberArk встраиваются в Strata и Cortex, чтобы правила доступа и реакция на инциденты учитывали «кто именно» совершает действие — человек, сервис-аккаунт, контейнер или агент ИИ. Закрытие ожидается во 2-й половине FY26 после одобрений регуляторов и акционеров.
Почему это может «подтянуть» акцию? Во-первых, рынок Identity велик и структурно растёт, а CyberArk — признанный лидер. Во-вторых, PANW получает редкую комбинацию: лидерскую технологию в «самом горячем» контуре безопасности + огромный канал кросс-продаж. Наконец, кейс платформенной консолидации (меньше вендоров, ниже TCO, быстрее результаты) сейчас поддерживается клиентами и аналитиками — это не одноразовый тренд «на квартал». Всё вместе повышает вероятность ускорения ARR и расширения мультипликатора по мере закрытия сделки и демонстрации интеграционных вех.
Да, краткосрочно рынок обсуждает цену и разводнение — типичная реакция на крупные M&A. Но инвестиционная суть — в долгосрочной платформе, где Identity становится не надстройкой, а нервной системой всей безопасности предприятия. Именно это PANW и покупает.
- Причина 2. «Мозг SOC» на ИИ: XSIAM вытесняет старые SIEM и раздувает средний чек
Как устроена безопасность у крупной компании сегодня? Часто это мешанина из десятков инструментов. Центр операций безопасности (SOC) получает тысячи алертов в системе SIEM (хранилище и корреляция событий), рядом живут EDR (защита ноутбуков/серверов), NDR (сеть), SOAR (автоматизация), ещё интеграции и скрипты. Дорого, медленно, шумно.
XSIAM — это ИИ-платформа, которая заменяет такой разнобой: она собирает телеметрию из сети, облака и конечных устройств, «понимает» контекст (кто/что/где) и сама доводит инцидент до действия — изоляции хоста, урезания прав, блокировки токена. Проще: вместо «панели с лампочками» — система принятия решений. Именно так PANW модернизирует рынок и подменяет классические SIEM.
Что говорят факты — и почему это важно для бизнеса:
- Масштаб спроса. XSIAM уже у ~270 клиентов; средний ARR на такого клиента — > $1 млн; рост ARR XSIAM >200% г/г; за 12 мес. — ~$1 млрд букингов. Это продукт не «в пилоте», а на потоке у энтерпрайз-заказчиков. Для модели это означает крупные стартовые чеки + длинный хвост подписок.
- Платформенные сделки. Когда XSIAM ставят как «мозг», клиенты часто консолидируют в одного вендора (PANW) и заменяют несколько прежних продуктов — отсюда реальные сделки на десятки миллионов долларов. Это поднимает NRR (клиент тратит больше год от года) и валовую маржу (меньше интеграций и «прослоек»).
- Ширина охвата растёт. Стратегия Platformization ускоряется: менеджмент прямо подчёркивал ускорение конверсии клиентов на единый стек PANW.
Источник: квартальные отчеты Компании.
Соседние драйверы подкармливают XSIAM. Для SASE/Prisma: облачный защищённый доступ растёт — Prisma Access +36% ARR г/г; браузер Prisma Access Browser — ~3 млн лицензий (рост >10× за год). Больше точек контроля → богаче сигналы для XSIAM и больше рычагов для авто-реакции. Для AI-безопасности: покупка Protect AI усилила Prisma AIRS — защиту ИИ-жизненного цикла (скан моделей, posture, runtime, красные команды для ИИ), что старым SIEM просто недоступно.
Как это трансформируется в цену акций? Во-первых отражает выручку и видимость. Замены SIEM — это крупные одномоментные контракты плюс «дорожная карта» апселлов на 12–24 месяцев через подписки (ARR). Это делает траекторию роста более предсказуемой; общий NGS-ARR PANW уже $5,1 млрд, RPO $13,5 млрд. Во-вторых влияет на маржинальность и кэш. Консолидация у одного вендора повышает валовую маржу и упрощает поддержку; на уровне группы это поддерживает высокую маржу операционного и свободного денежных потоков, что рынок обычно «награждает» мультипликатором. Ну и происходит ререйтинг платформы. Инвесторы платят за измеримые security outcomes (меньше инцидентов, быстрее реакция) и денежную конверсию. XSIAM — редкий случай, когда и технологическое преимущество, и P&L улучшаются одновременно. По мере накопления кейсов замен SIEM мультипликатор, как правило, расширяется.
- Причина №3. «Видимость на год вперёд»: крупная подписочная база (ARR) и бэклог (RPO)
Платформа PANW уже «едет на подписках», а не на разовых поставках. На конец Q3 FY25 NGS ARR = $5,09 млрд (+34% г/г) — это годовой «ритм» повторяющейся выручки от облачных и ИИ-сервисов (Prisma, Strata/SASE, Cortex/XSIAM и др.). Одновременно RPO = $13,5 млрд (+19% г/г) — объём уже подписанных контрактов, которые компания будет признавать в выручке в будущем. Проще: ARR — это скорость, RPO — это запас топлива. Вместе они делают P&L предсказуемым и снижают зависимость от разовых сделок.
Источник: квартальные отчеты Компании.
Чтобы показать «качество» этой базы, менеджмент раскрыл глубину крупных клиентов: 130 компаний уже тратят >$5 млн в год на NGS, из них 44 — >$10 млн. Это признак прочного «lock-in»: такие клиенты интегрировали PANW в процессы и с высокой вероятностью расширяют чек (апселл) год за годом. Для инвестора это означает более высокий LTV (пожизненная ценность клиента) и устойчивую динамику NRR (клиентских трат г/г).
Как это работает в цифрах. Гайд компании на FY25 — выручка $9,17–$9,19 млрд (+14%), NGS ARR $5,52–$5,57 млрд (+31%–32%), non-GAAP op-маржа 28,2%–28,5%. На ближайший квартал (Q4’25) — выручка $2,49–$2,51 млрд и EPS $0,87–$0,89. То есть менеджмент подтверждает, что уже подписанные и идущие по расписанию контракты перекрывают план по росту без «подвигов» в продажах «с нуля».
Почему ARR и RPO важнее разовой «хорошей новости». ARR (повторяющийся годовой доход на конец периода) и RPO (подписанный, но ещё не признанный бэклог) показывают не разовый всплеск, а видимость денежного потока. Подписки часто оплачиваются авансом, значимая часть RPO с высокой вероятностью превращается в выручку, что стабилизирует OCF/FCF и сглаживает квартальную волатильность. Имея «законтрактованное будущее», компания может увереннее финансировать R&D и продажи, делать M&A и нейтрализовать разводнение — не полагаясь на удачу отдельных релизов.
Кроме того, высокий ARR/RPO фиксирует платформизацию: после перехода клиента на единый стек (SASE/Prisma/XSIAM) апселл упрощается, NRR устойчиво >100%, растёт LTV и улучшается валовая маржа за счёт отказа от «зоопарка» вендоров. Разовая продуктовая новость даёт краткосрочный импульс, а подписочный фундамент (ARR+RPO) формирует «пол» под выручкой на 12–24 месяца и поддерживает мультипликатор даже в стрессовой внешней среде.
Для котировки это означает следующее: подписочная база (ARR/RPO) — несущая конструкция мультипликатора компании, которая сглаживает внешнюю волатильность и поддерживает премию к оценке при подтверждённой операционной марже и стабильном свободном денежном потоке (FCF). Платформизация ускоряет апселл: XSIAM-замены классических SIEM и SASE-добавки увеличивают средний чек и удержание, что делает рост «полуавтоматическим» и видимым на 12–24 месяца вперёд. Потенциал апсайда — в ускорении: если XSIAM-свайпы и кросс-селл по идентичностям после интеграции CyberArk пойдут быстрее гайда, NGS ARR сможет опережать план, а RPO — расти быстрее выручки, формируя подушку на будущие периоды и снижая риск отчётных кварталов. В таком сценарии вероятен ререйтинг за счёт расширения мультипликатора
- Причина №4. Качество прибыли + дисциплина кэша = потенциал ре-рейтинга
Качество прибыли здесь — не бухгалтерская красивость, а денежная опора для EPS: высокая доля подписок, стабильная валовая маржа и сильная конверсия прибыли в кэш (FCF). У Palo Alto Networks это уже норма, а не обещание. Компания отчиталась о 12-м подряд квартале положительного GAAP-EPS и одновременно ведёт бизнес с двузначной операционной маржей; менеджмент подтверждает ориентир на Adjusted FCF-маржу 37,5%–38% в FY25 (и около 37%+ дальше). Для инвестора это означает, что рост прибыли подкреплён «живыми» деньгами, а не разовыми эффектами.
Второй столп — дисциплина кэша и де-рискинг баланса. Ключевой шаг последних кварталов — ускоренное погашение/конвертация конвертируемых облигаций-2025; проценты уже заметно снизились. В то же время кредитная линия пуста, а под выкуп акций доступно $1 млрд — то есть компания сохраняет гибкость: может одновременно инвестировать в продукт, закрывать M&A и нейтрализовать SBC (stock-based compensation, выплату акциями) точечными байбэками без риска «перетянуть одеяло» с операционки. К примеру, по FY24 SBC около $1,08 млрд (≈13% выручки того года). Для кибербеза это распространённый инструмент удержания инженеров, но важно, чем компания его «прикрывает». У PANW есть и кэш-генерация, и авторизованный buyback — значит, разводнение можно сглаживать без ущерба для R&D и продаж. В сочетании с уже идущим погашением конвертов это снижает риск «размывания» акционеров на горизонте.
Третий элемент — структурный микс в пользу софта/сервиса. В FY24 подписки и поддержка дали 80%+ выручки (Subscription около 52%, Support в районе 28%), продукт («железо») порядка 20%. Такой профиль естественно поддерживает высокую валовую маржу и менее цикличен: апгрейды и расширения подключаются как модули к уже установленной платформе.
Наконец, оценка. На текущем уровне рынок платит за PANW ~45–46× forward P/E — заметно ниже, чем за более «узких» пиров: CRWD ~120×, ZS ~73×. При этом у PANW шире платформа (сеть+облако+SOC+Identity после сделки с CyberArk) и лучше видимость благодаря большому ARR/RPO. Это создаёт потенциальный «коридор» для ре-рейтинга: по мере подтверждения траектории EPS и демонстрации синергий мультипликатор может подтягиваться к верхней границе софта безопасности — не обязательно до уровней CRWD/ZS, но достаточно, чтобы добавлять к доходности ещё несколько оборотов P/E.