Rapid7：Kenzo買収でMDRのTAM上限を撤廃、一方で非中核事業が短期成長の重石に
J.P. Morgan 第54回年次グローバル・テクノロジー・カンファレンス（2026年5月20日）
Rapid7のCEOであるCorey Thomas氏と、新たに就任したCFOのRafe Brown氏は、J.P. Morgan主催の年次テクノロジー・カンファレンスに登壇し、機会と率直さの両面を強調するメッセージを発信した。今回最も重要な開示は、先ごろ完了したKenzo買収の戦略的意義である。Thomas氏はこれを単なる製品強化ではなく、同社の主力であるMDR（マネージド・ディテクション・アンド・レスポンス）事業において、自ら課していたTAM（獲得可能な最大市場規模）の上限を構造的に撤廃するものだと位置づけた。その一方で、同社はより厳しい現実も突きつけられた。ARR（年間経常収益）の20%弱を占める非中核セグメントが、ARRの順次減少を招く要因となっており、経営陣は各製品の処遇について現在も検討中であるという。
KenzoがMDRの売上総利益率の上限を撤廃 — 最も重要な新事実
Thomas氏は、これまで明示されていなかった制約について異例の率直さで語った。Rapid7はこれまで、顧客環境の監視範囲を意図的に制限してきた。特定のワークロードを超えて監視を拡大すれば、売上総利益率が許容できない水準まで低下するためだ。「我々は本質的に、MDRのTAMを、我々の売上総利益率のプロファイルに収まる範囲に限定していた」とThomas氏は述べた。KenzoのAIベースの監視プラットフォームは、セキュリティアラートやテレメトリを高い精度と効率で大規模に処理できる。同氏は、これが二つの方向から制約を排除すると説明した。一つは、これまで断らざるを得なかった案件を引き受けられるようになることで、より広範な市場を開拓できること。もう一つは、人間のアナリストをより価値の高い業務に充てることで、SOC（セキュリティ・オペレーション・センター）の運用コストを削減できることだ。「TAMを拡大し、同時に売上総利益率のプロファイルを改善できるのであれば、それは非常に大きな意味を持つ」とThomas氏は強調した。統合は進行中であり、同社は2026年末を目標に、案件の獲得範囲拡大とユニットエコノミクスの改善という両方の効果が本格的に現れると見込んでいる。Thomas氏は営業組織の反応について、「私だけでなく、営業チームも『いつから制限なしで販売できるのか』と期待を寄せている」と明かした。
非中核事業が当面の財務上の懸念材料
Brown氏は、Rapid7の直近のガイダンスで示されたARRの順次減少が、ほぼ完全に非中核セグメントに集中していることを明言した。事業の80%以上を占める「検知・対応」および「エクスポージャー管理」の中核事業に対し、残る20%未満のバケットには複数の製品が含まれており、それぞれについて戦略的な判断が求められている。Brown氏は作業が未完了であることを認め、「非中核またはその他のバケットに分類された製品については、それぞれ明確な戦略を持たなければならない」と述べた。同社は現在、各製品の貢献利益、顧客の重複、社内リソースの消費状況を評価している。営業インセンティブはすでに非中核から中核へとシフトしているが、合理化が完了するにはさらに数四半期を要する見通しだ。Brown氏は、このセグメントが小規模とはいえ「ARRにおいて無視できない規模である」と認め、個別の製品判断が下され公表されるまで、業績の重石として残ることを投資家は覚悟すべきだと語った。
「脆弱性ルネサンス」がもたらす確実だが不透明な需要のカタリスト
Thomas氏は、AI主導の脆弱性発見の加速（同氏とJPMorganのアナリストBrian Essex氏が「脆弱性ルネサンス」と呼ぶ現象）が、エクスポージャー管理を衰退しつつある優先事項から戦略的緊急課題へと押し戻していると強く主張した。Anthropicのモデルなどが大規模な脆弱性発見に利用され始めていることが契機となっており、同社への問い合わせは「驚異的」なレベルに達しているという。Essex氏は、このテーマが会議期間中を通じて他の企業でも繰り返されており、Cognizant、Check Point、Tenableも同様の動向を指摘していると補足した。Rapid7にとってこれが重要なのは、エクスポージャー管理がこれまで中核セグメントにおける逆風となっていたからだ。成長意欲の低い中堅企業顧客層や、脆弱性プログラムに対する予算の優先順位低下がその要因だった。Thomas氏は現在、この事業を「潜在的なアップサイド」と表現するが、短期的な収益への影響については過大評価を避ける慎重さを見せた。「人々はまだ、その重要性と影響を理解しようとしている段階にある」と述べ、これが次四半期にすぐ反映されるような事象ではないことを明言した。
AIが脆弱性管理を代替するとの懸念にThomas氏が反論
Essex氏は、AIモデルが脆弱性を特定・悪用・修正する能力を持つことで、従来の脆弱性管理ベンダーが根本的に不要になるのではないかという投資家の懸念を提示した。これに対し、Thomas氏は鋭く反論した。汎用的な最先端AIモデルを本番環境で自律的に実行することは、安全ではなく、モデル提供元自体も推奨していない。「Claudeにログインすれば、『すべての指示を自動実行してはならない』と明記されている。これはすぐに変わることはない。わずかなエラーでも壊滅的な損害を引き起こす可能性があるからだ」。同氏は、この弱気な見方を「鏡を見ない推論」と評した。技術的には興味深いが、企業が実際に責任を持って導入できる現実とは乖離しているという指摘だ。同氏が主張するRapid7の強固な参入障壁は、深いサービス専門知識とAIインフラを融合させ、アウトソーシングされたセキュリティ成果を大規模に提供できる点にある。これは、最先端AIプロバイダーがコスト効率よく複製できるモデルではない。
セキュリティ予算環境：成長は止まり、横ばいへ
Thomas氏は、より強気な業界の見方とは対照的に、支出環境について冷静な見方を示した。セキュリティ予算は縮小していないが、もはや拡大もしていない。「セキュリティチームは、任務の多くが未対応だったため、予算拡大に慣れていた。しかし現在は、より少ないリソースでより多くの成果を求められている」。追加支出の最も可能性が高い源泉は、Thomas氏とEssex氏が「インシデント予算」と呼ぶ、緊急事態や危機に対応するための枠組みだ。Thomas氏は、一部のCISOがMekhos（AI技術）による脆弱性の急増を、通常のトレードオフプロセス外で追加予算を獲得するための「公的な危機」として積極的に位置づけていることを認めたが、これが信頼できる収益ドライバーになるとまでは言い切らなかった。「それがうまくいくかどうかは、これから見極める必要がある」
営業とカスタマーサクセスの刷新：営業はほぼ完了、サービスは継続中
Thomas氏は、顧客対応部門における二つの組織改革の現状について明確な違いを指摘した。営業責任者のAllan氏は、2025年第4四半期に管理チーム、報酬プラン、理想的な顧客プロファイルのターゲティングを再構築し、2026年に入って体制はほぼ整った。Thomas氏は、この変革を「実質的に完了」と表現した。一方、カスタマーサクセス責任者のJulian氏の任務はより複雑で、完了には至っていない。同氏は、サービス品質の向上、テクノロジー支援によるユニットコストの削減、そしてRapid7が検知・対応だけでなく、コンプライアンスやエクスポージャー管理といったワークロード全体でAIセキュリティサービスをアウトソーシング提供する未来に向けた構築を同時に進めている。Thomas氏は、コンプライアンスとエクスポージャー／脆弱性管理を次に拡大する二つのワークロードとして挙げ、顧客需要はすでに確認済みであるとした。これらの収益への寄与は2027年を見込んでいる。
バランスシートは短期の債務には十分だが、それ以降はタイト
Brown氏は、債務構成について明快な説明を行った。6億ドルの転換社債が2027年3月に満期を迎えるが、同社は四半期末時点で6億7,000万ドルの現金を保有しており、この満期は十分にカバー可能である。さらに2億ドルの未利用の回転信用枠がバッファーとなる。2029年に満期を迎える3億ドルの第2次転換社債についても、Brown氏は現在のフリーキャッシュフロー創出能力で十分に対処可能であり、Kenzoのような小規模な買収を行う余力も残されていると述べた。バランスシートは管理可能だが、余裕があるわけではない。資本調達や困難なトレードオフなしに、短期間で大規模な戦略的取引を行う余地は限られている。
中核事業は2%成長、目標は加速
Brown氏は、検知・対応の成長とエクスポージャー管理の逆風を相殺すると、中核事業のARR成長率は約2%で推移していることを認めた。これが同社が加速させようとしているベースラインであり、投資家が経営陣を評価する際の指標となる数字である。Brown氏は優先順位を明確にした。第一に中核事業の成長、第二に利益率の拡大、第三に債務返済と機会的な投資を賄うためのキャッシュ創出である。利益率改善の具体的な目標値については言及を避けたが、通期ガイダンスには2026年を通じて順次改善していくことが織り込まれており、単一四半期の成果よりも複数年にわたるランレートの管理に注力していると強調した。
Rapid7深掘り分析
ビジネスモデル：セキュリティオペレーションセンターの統合
Rapid7は、サブスクリプション型のSaaS（Software as a Service）モデルを通じてサイバーセキュリティ事業を展開しており、中堅から大企業までのセキュリティオペレーションセンター（SOC）を主要ターゲットとしている。同社は長年、脆弱性管理分野におけるトップベンダーとしての地位を確立してきたが、現在は包括的なセキュリティオペレーションのアーキテクチャへと着実に軸足を移している。現在の収益の柱は、同社の主要なスタンドアロン製品を統合したクラウドネイティブなプラットフォーム「Rapid7 Command Platform」である。主な製品には、継続的な脆弱性管理を行う「InsightVM」、次世代のSIEM（セキュリティ情報イベント管理）である「InsightIDR」、そして手厚いマネージド検知・対応（MDR）サービスである「Managed Threat Complete」がある。収益は年間経常収益（ARR）として計上され、価格設定は主に資産数やデータ取り込み量に基づいている。2026年度第1四半期時点で、Rapid7は世界で1万1,500社以上の顧客を抱え、約8億3,200万ドルのARRを計上している。脆弱性スキャナーの単体販売から統合型の検知・対応プラットフォームへの転換という戦略的方針は、社内の「ランド・アンド・エクスパンド（導入後の拡大）」メカニズムを促進する狙いがあり、顧客1社あたりの平均ARRを約7万2,000ドルまで引き上げる要因となっている。収益面では、新規顧客獲得一辺倒から既存顧客の生涯価値（LTV）最大化へと焦点を移したことで、高いキャッシュ創出力を証明している。
市場シェアと競争環境
Rapid7は、191億ドル規模のグローバルなセキュリティ・脆弱性管理市場で事業を展開している。この市場は断片化しているものの、急速に統合が進んでいる。脆弱性管理の基盤セグメントにおいて、Rapid7はTenableやQualysといった主要なレガシー企業と並び、約14%の市場シェアを誇るティア1ベンダーとしての地位を確立している。この3社の競争力は明確に分かれている。Tenableは広範なハイブリッドIT資産の網羅性とコンプライアンス追跡で競合をリードし、Qualysはネイティブなパッチ管理と広範なクラウドネイティブ統合で差別化を図っている。一方、Rapid7はJiraなどの開発者ワークフローやチケット管理システムとの深い統合を強みとしており、監査コンプライアンスよりも迅速な修復を優先するDevOps重視の組織から高い支持を得ている。しかし、競争の主戦場は脆弱性スキャン単体から包括的なセキュリティオペレーションへと根本的にシフトしている。拡大する検知・対応分野では、ハイパースケールなプラットフォームベンダーからの激しい圧力にさらされている。現在、セキュリティ管理市場全体ではMicrosoftが約16%、CrowdStrikeが約13%のシェアを握る。Rapid7の顧客層は中堅企業からFortune 500に名を連ねる医療・金融機関まで多岐にわたり、いずれもAmazon Web Services（AWS）などのインフラ基盤上でRapid7のクラウドネイティブなスタックを運用・拡張している。
競争優位性：協調型セキュリティとワークフロー統合
Rapid7の構造的な強みは、エクスポージャー管理と能動的な脅威検知をアーキテクチャ上で統合した点にある。多くの企業がこれまで、サイロ化した脆弱性スキャナー、ログ管理プラットフォーム、外部の脅威インテリジェンスフィードを継ぎ接ぎして運用せざるを得なかったのに対し、Rapid7 Command Platformは「ネットワーク上の欠陥の特定」と「その欠陥に対するリアルタイムの監視」というギャップを本質的に埋めるものとなっている。さらに、同社のマネージド検知・対応サービスは、この分野の主要プレーヤーとは異なる哲学に基づいている。CrowdStrikeのような競合が、エンドポイントの隔離や悪意あるプロセスの停止を高度に自動化する「ブラックボックス」的なアプローチを好むのに対し、Rapid7はアナリストによるポッドベースの協調型モデルを採用している。これにはChatOpsやVelociraptorのようなアクティブな対応フレームワークが組み込まれており、企業内のセキュリティチームがRapid7のアナリストと対話しながら、ネットワークへの影響を考慮した修復アクションを実行できる。また、同社は透明性が高く予測可能な価格設定（主要な脆弱性ツールで年間1資産あたり25～35ドル程度）を強みとしている。この価格の透明性と、最大13カ月分のテレメトリを保持しながら高額なデータ転送コストを課さない統合データレイクは、エンタープライズ限定のベンダーから価格面で締め出されつつある中堅企業にとって非常に魅力的である。
業界動向：ベンダー統合の圧力
世界のサイバーセキュリティ業界は現在、激しいベンダー統合の局面を迎えている。長年、最高情報セキュリティ責任者（CISO）は脅威が出現するたびに最適なポイントソリューションを購入してきたが、その結果、ツールが乱立し、アラート疲れや運用負荷の増大を招いた。現在、企業には「プラットフォーム化」という強力な方針が求められている。このマクロ環境は、Rapid7にとって構造的な好機であると同時に、存続を脅かす深刻なリスクでもある。機会の面では、サイバー脅威の速度が加速している点が挙げられる。Rapid7自身の2026年度第1四半期の脅威ランドスケープ・レポートによると、脆弱性の悪用がソーシャルエンジニアリングを抜き、侵害の初期アクセス手法として最多となり、全インシデント対応事例の38%を占めている。脅威アクターが生成AIを活用してゼロデイ脆弱性を公開後数日で武器化する中、継続的かつ自動化されたエクスポージャー管理への需要はかつてないほど高まっている。一方で、マクロな統合の脅威は切迫している。Palo Alto Networks、Microsoft、CrowdStrikeといった業界の巨人は、クラウドセキュリティ、エンドポイント保護、ID管理を巨大かつ大幅に割引されたエンタープライズ契約にまとめ上げている。これらのハイパープラットフォームが隣接するセキュリティカテゴリーを吸収するにつれ、スタンドアロンの脆弱性管理プロバイダーや中堅の分析プラットフォームは、エンタープライズのソフトウェアスタックから完全に排除されるという差し迫ったリスクに直面している。
イノベーションと破壊的参入者
プラットフォームの巨人に対抗するため、Rapid7はCommand Platformの強化を続けており、最近ではAI主導の自動修復機能や外部攻撃対象領域管理（EASM）機能をスイートに組み込んでいる。2026年3月のサンフランシスコのKenzo Securityの買収は、重要な技術的加速装置となった。Kenzoの統合により、Rapid7は専門的なエンジニアリング人材を獲得し、自律的なAI主導の脅威検知を強化するための高度な分析エンジンを手に入れた。このインオーガニックなイノベーションは、実際に悪用されている脆弱性を自動的に優先順位付けし、対応ワークフローをシームレスにオーケストレーションすることで、セキュリティアナリストの運用負荷を軽減することを明確な目的としている。しかし、業界は同時に、クラウドネイティブなアプリケーション保護プラットフォーム（CNAPP）という新たな波によって、トップダウンで破壊されつつある。WizやOrca Securityのようなスタートアップは、煩雑なソフトウェアエージェントを導入することなく、クラウド環境全体の設定ミス、ネットワーク露出、IDの欠陥といった「有害な組み合わせ」をマッピングすることで、脆弱性管理のパラダイムを根本から変えた。このグラフベースのエージェントレスなアプローチは、クラウドセキュリティ予算の大部分を急速に奪っており、Rapid7のようなエージェント依存型のレガシーベンダーに対し、構造的な陳腐化を避けるためのエージェントレススキャン機能の拡充を強く迫っている。
経営実績：成長から収益性への転換
最高経営責任者（CEO）のCorey Thomas氏は、オンプレミス型のソフトウェア展開からクラウドファーストの経常収益モデルへと、数年にわたる複雑な事業転換を指揮してきた。かつて経営陣は市場シェア獲得のための積極的なトップライン拡大を優先していたが、過去3年間で、収益性維持と厳格な運用効率化へと方針を明確に転換した。この戦略的シフトは財務指標に如実に表れており、非GAAPベースの営業利益率は2022年のわずか4%から2025年末には19%まで改善し、1億3,000万ドル以上のフリーキャッシュフローを創出している。しかし、この新たな収益性は、トップラインの成長速度を直接的に犠牲にした結果でもある。ARRは2025年末まで約8億4,000万ドルで横ばいとなり、2026年度第1四半期には8億3,200万ドルへとわずかに減少した。この新規顧客獲得とアカウント拡大の停滞は、Rapid7がより大規模で資本力のあるプラットフォームとの競争で深刻な摩擦に直面していることを示している。成長プロファイルの悪化を受け、アクティビスト（物言う株主）であるJana Partnersが介入し、同社株の10.3%を取得した。2025年初頭、経営陣は同ファンドとの停戦に合意し、戦略的協力を条件に取締役3名の席を譲った。Thomas氏は2025年後半に20万ドル相当の自社株買いを実行して個人的な決意を示したが、9億7,000万ドルを超える多額の企業債務の管理という重荷は続いている。現在の取締役会の構成と横ばいの収益軌道は、同社がKenzoの統合を通じてプラットフォーム販売を再加速させるか、あるいはプライベートエクイティへの売却を検討せざるを得ない状況であることを強く示唆している。
スコアカード
Rapid7は、サイバーセキュリティのエコシステム全体において、極めて価値が高い一方で、ますます不安定な地位にある。同社は、受動的な脆弱性管理と能動的な脅威検知という歴史的な運用上の分断を効果的に橋渡しする、統合型のセキュリティオペレーションプラットフォームを構築することに成功した。協調的で透明性が高く、緊密に統合されたスイートを提供することで、中堅企業層のニーズに応え、レガシー競合に対して脆弱性管理分野で14%の強固なシェアを維持している。近年の財務実績は、経営陣が厳格なコスト規律を課すことで営業利益率を大幅に拡大させたように、ビジネスモデルが本質的に健全でキャッシュ創出力が高いことを証明している。さらに、Kenzo Securityの戦略的買収やCommand Platformの絶え間ない進化は、圧倒的な業務量に追われるセキュリティアナリストの日常業務にAI主導の自動化を組み込むという、明確かつ実用的なコミットメントを示している。
しかし、同社が直面する構造的なマクロ経済の逆風は無視できない。約8億3,200万ドルで完全に停滞しているARRは、Rapid7がCrowdStrikeやMicrosoftのようなハイパースケールベンダーとのプラットフォーム統合戦争で、実質的に敗北しつつあることを示す臨床的な指標である。業界がエージェントレスなクラウドセキュリティの破壊者や、巨大な統合エンタープライズ契約へと急速に集約される中、Rapid7の伝統的な「ランド・アンド・エクスパンド」手法は深刻な摩擦を経験している。アクティビストJana Partnersの存在感と多額の企業債務は、今後数四半期における経営陣の戦略的余地を著しく制限している。結論として、Rapid7は非常に収益性が高く構造的に不可欠なサイバーセキュリティベンダーであるが、自力でトップラインの成長を再加速させることは困難であり、市場の勝者として独立し続けるよりも、プライベートエクイティによる買収の筆頭候補となる可能性が高い。