Cybersecurity: A demanda por cibersegurança acelera, mas Bernstein vê o setor plenamente avaliado

Visão geral

A atualização avalia se a demanda por cibersegurança, o gasto ligado a AI e licenças Flex justificam a forte reprecificação do setor. A Bernstein reconhece o cenário favorável e eleva múltiplos, mas vê a maioria dos papéis precificando crescimento difícil de sustentar; Zscaler é a principal exceção.

Visões principais

A Bernstein afirma que sua tese positiva para cibersegurança no início de 2026 se confirmou: pesquisas com CISO e CIO continuaram a mostrar melhora na demanda ligada a AI, diminuíram os receios sobre ofertas de cibersegurança de laboratórios de AI e o risco cibernético como possível freio ao progresso desses laboratórios reforçou a demanda. Muitas ações cobertas subiram ~100%+ desde o início de 2026 e o posicionamento ficou mais congestionado. A demanda é real, mas o setor está amplamente plenamente avaliado. Os contratos Flex são uma fonte de crescimento incremental. Eles funcionam como licenças de site que permitem ao cliente usar produtos e serviços até o valor contratado. A Bernstein argumenta que reduzem a ansiedade da compra inicial, podem acelerar a venda e facilitam upsell e cross-sell. Para CrowdStrike, estima que os upsells re-Flex adicionaram ~$30-40MM de ARR incremental no último trimestre além da capacidade comercial. Ainda assim, a venda inicial exige esforço normal e oportunidades futuras de re-Flex são limitadas pela base instalada. A cibersegurança não é software de infraestrutura por consumo. SSE/SASE, segurança de endpoint, observabilidade e segurança de e-mail tendem a escalar com endpoints ou funcionários, impondo limites naturais. Mesmo a CrowdStrike teria crescimento “real” normalizado de ARR líquido novo na faixa superior de 20%. Com ~100% do ARR líquido novo em Flex e re-Flex começando a entrar na base comparativa, a Bernstein vê crescimento tendendo à faixa superior de 20%, e não aos 40%+ implícitos na avaliação. A avaliação é a principal tensão. Há forte correlação entre Rule of 40 dos próximos doze meses e EV/Sales, mas a maior parte dos nomes cobertos negocia perto ou acima do valor justo da regressão, mesmo com estimativas próprias superiores ao consenso. Os modelos de receita superam o sell-side, mas só Zscaler mantém alta. A Bernstein ainda eleva a regressão e os múltiplos por demanda real, maior alcance do Flex e uma possível persistência do halo de avaliação. Os alvos atualizados superam o prêmio habitual de 25-35% sobre DCF de crescimento, que deverá fechar, possivelmente em mais de um ano. O método mistura 50/50 P/NTM Sales e DCF inalterado: CrowdStrike $132 a 20x; Palo Alto Networks $351 a 21x; Okta $174 a 11x; Fortinet $145 a 15x; Cloudflare $181 a 17x; SentinelOne $25 a 7x; Zscaler $298 a 14x. O DCF mantém WACC de 10%-12% e crescimento terminal de 3%. Apenas Palo Alto ajustou o modelo, redistribuindo receita de firewall de software entre Product, Subscription e NGS ARR, acrescentando alguns milhões de dólares de receita por trimestre. Palo Alto Networks, Okta e SentinelOne foram rebaixadas para Market-Perform por negociarem perto do valor justo. Okta pode surpreender pela infraestrutura de agentes de AI, mas momento, precificação e escala da demanda são incertos. SentinelOne é o alvo estratégico mais atraente, mas sua prima típica de aquisição de ~30% sobre o DCF de crescimento fica abaixo do alvo de $25. CrowdStrike é tecnicamente e comercialmente forte, mas negocia acima da regressão; uma reprecificação, com capital mantido no setor, poderia beneficiar Palo Alto. Zscaler é o único nome com alta material e mantém Outperform. A desaceleração decorre principalmente da mudança de vendas transacionais para vendas baseadas em relacionamento. A transição de três anos começou em FY25; em FY26, NRR ficou em 115% e o pipeline apoia 115% em FY27. FY27 foca ampliar vendas para novos clientes. A contribuição de novos clientes parou de cair em FQ4'26, e a Bernstein espera ao menos estabilização. Cloudflare aumentou a competição, mas Palo Alto, Microsoft e Fortinet visam principalmente segmentos diferentes, enquanto há amplo espaço para migração de grandes empresas de segurança web e VPN legadas para SSE/SASE.

Estrutura de análise

A Bernstein combina pesquisas de demanda com CISO e CIO, modelos operacionais, mecânica dos contratos Flex e regressões de valuation. Compara EV/Sales com Rule of 40 dos próximos doze meses e combina múltiplos P/NTM Sales revisados com DCF de crescimento para definir alvos e avaliar valor relativo.

Notas metodológicas

• Métodos de avaliaçãoDCF (fluxo de caixa descontado)

  Valuation por DCF de crescimento

  Mantém premissas de DCF por companhia, incluindo WACC de 10%-12% e crescimento terminal de 3%, combinadas em partes iguais à avaliação por múltiplo de vendas.

• Métodos de avaliaçãoAvaliação por P/Vendas

  Valuation por P/NTM Sales

  A Bernstein eleva múltiplos de vendas dos próximos doze meses por uma regressão setorial.

• Teoria quantitativa, de fatores e de portfóliosOutro

  Regressão EV/Sales versus NTM Rule of 40

  Compara múltiplos de valor da empresa sobre vendas com o Rule of 40 projetado para avaliar valor relativo.

• Marco de análise setorialMarco de oferta e demanda

  Análise de demanda e crescimento comercial em cibersegurança

  Relaciona gasto em segurança ligado a AI, adoção, Flex e limites de escala dos clientes à trajetória de receita.

Mapeamento e comparação de ativos

Mapeamento estruturado da tese para ativos nomeados (pontos fortes, pontos fracos, pares e riscos).

• Zscaler (ZS)

  Único nome coberto com alta material, mantendo Outperform.

  Pontos fortes

  Possível estabilização ou melhora do crescimento líquido novo, NRR de 115%, oportunidade SSE/SASE e transição comercial.

  Pontos fracos

  Novos clientes passaram a representar uma pequena minoria do crescimento.

  Comparação

  Cloudflare é pressão competitiva; Palo Alto, Microsoft e Fortinet atendem principalmente segmentos distintos.

  Riscos

  A recuperação da confiança pode levar vários trimestres e depende da estabilização do crescimento.

• Palo Alto Networks (PANW)

  Rebaixada para Market-Perform por se aproximar do valor justo.

  Pontos fortes

  NGS ARR maior que o ARR da CrowdStrike, com ventos favoráveis de AI semelhantes.

  Pontos fracos

  Alta de valuation limitada.

  Comparação

  A Bernstein espera convergência dos múltiplos com CrowdStrike e possível benefício de fluxos.

  Riscos

  O apoio relativo de fluxos pode depender de reprecificação da CrowdStrike.

• CrowdStrike (CRWD)

  Caso de estudo de Flex, mas negociando acima da regressão setorial.

  Pontos fortes

  Execução técnica e comercial forte; re-Flex teria acrescentado ~$30-40MM de ARR.

  Pontos fracos

  Cotação difícil de justificar frente ao potencial de crescimento.

  Comparação

  Acima da regressão, enquanto Palo Alto parece mais alinhada.

  Riscos

  Crescimento pode convergir para a faixa superior de 20%, e não 40%+.

• Okta (OKTA)

  Rebaixada para Market-Perform ao alcançar valor justo.

  Pontos fortes

  Possível surpresa positiva pela infraestrutura de agentes de AI.

  Pontos fracos

  Momento, precificação e escala da demanda são incertos.

  Riscos

  Os benefícios comerciais podem não superar o modelo atual.

• SentinelOne (S)

  Rebaixada para Market-Perform apesar de ser o alvo estratégico mais atraente.

  Pontos fortes

  Possível encaixe para laboratório de AI, hyperscaler ou par de cibersegurança.

  Pontos fracos

  Prêmio de aquisição estimado abaixo do alvo de $25.

  Comparação

  Possíveis compradores incluem Anthropic, Google e Palo Alto Networks.

  Riscos

  O potencial estratégico não sustenta alta acima do alvo revisado.

• Fortinet (FTNT)

  Empresa coberta com múltiplo maior e alvo de $145.

  Pontos fracos

  A Bernstein considera a maioria dos nomes, inclusive Fortinet, amplamente adequada após a reprecificação.

  Comparação

  Atende segmentos distintos da oportunidade principal da Zscaler.

• Cloudflare (NET)

  Empresa coberta com múltiplo maior e alvo de $181.

  Comparação

  Fonte de maior pressão competitiva para Zscaler.

Dados principais

• Desempenho das ações cobertas~100%+Muitas ações cobertas subiram nessa magnitude desde o início de 2026.
• ARR incremental re-Flex da CrowdStrike~$30-40MMEstimativa de ARR incremental adicional no último trimestre.
• Crescimento normalizado de ARR líquido novo da CrowdStrikeUpper 20%Estimativa após ajuste para comparáveis interanuais mais fáceis.
• Taxa de retenção líquida da Zscaler115%Permaneceu forte em FY26 e o pipeline apoia 115% em FY27.
• Preço-alvo da Zscaler$298Mistura 50/50 de 14x P/NTM Sales e DCF; múltiplo sobe de 9x.
• Preço-alvo da Palo Alto Networks$351Mistura 50/50 de 21x P/NTM Sales e DCF; múltiplo sobe de 14x.
• Prêmio típico de aquisição da SentinelOne~30%Sobre o DCF de crescimento; abaixo do alvo atualizado de $25.

Impacto e implicações

A demanda de cibersegurança impulsionada por AI e melhor execução comercial sustentam múltiplos maiores no curto prazo, mas não justificam a aceleração implícita na maioria das ações. A Bernstein identifica Zscaler como a principal oportunidade restante e considera a maioria das demais adequadamente avaliada.

Riscos

• O crescimento pode ser limitado por tetos de gasto ligados a endpoints e funcionários.
• Flex reduz fricção, mas exige esforço normal na venda inicial e depende da base instalada.
• A transformação da Zscaler pode levar vários trimestres para restaurar confiança.
• A oportunidade de agentes de AI da Okta tem incerteza de momento, preço e escala de demanda.

Pontos a observar

• Pesquisas de CISO e CIO sobre gasto em cibersegurança e prioridades ligadas a AI.
• Se contratos Flex continuam adicionando ARR incremental, sobretudo na CrowdStrike.
• Se o crescimento normalizado de ARR líquido novo da CrowdStrike permanece na faixa superior de 20% ou acelera.
• Execução da Zscaler em FY27 para reconstruir novos clientes e manter 115% NRR.
• Persistência ou fechamento da prima de valuation frente ao DCF de crescimento da Bernstein.