Le fusioni e le acquisizioni possono rappresentare un vero e proprio flagello per gli investitori. L’opinione comune suggerisce che molte operazioni di grande entità siano spesso fonte di distruzione di valore, piene di rischi e che le aziende impieghino anni per riprendersi. Tuttavia, un ulteriore fattore, troppo spesso trascurato sia dall’acquirente che dal venditore, è il rischio informatico.
Un’azienda può pagare troppo per acquisire un concorrente, e le sinergie sbandierate durante la campagna di persuasione precedente all’accordo potrebbero non concretizzarsi. Tuttavia, tali sfide passeranno in secondo piano rispetto al danno reputazionale, alla riduzione del valore dell’operazione e alle interruzioni operative che l’azienda dovrà subire qualora venisse scoperta una violazione informatica durante o dopo un’acquisizione.
Basta riflettere sui recenti attacchi informatici di grande risonanza per comprendere la portata delle conseguenze derivanti dal trascurare un’approfondita due diligence in materia di sicurezza informatica. Verizon ha ridotto di 350 milioni di dollari il prezzo di acquisto di Yahoo, , nel 2017 , dopo che il portale web aveva reso noti attacchi informatici su vasta scala verificatisi sotto la propria supervisione; Marriott, dal canto suo, ha reso nota una grave violazione della sicurezza nel 2018 , relativa alle strutture acquisite con l’acquisto di Starwood.
Nonostante questi casi di grande risonanza, molte società acquirenti si limitano a fare promesse a parole quando si tratta di garantire che le loro società acquisite siano protette dagli hacker. Sono pochi coloro che effettuano un’analisi approfondita dello stato di sicurezza di un bersaglio, mentre molti trascurano del tutto il profilo di rischio dello stesso.
«Se una società target non comprende il proprio profilo di rischio in modo sufficientemente approfondito da poterlo illustrare alla società acquirente, ciò costituisce un segnale d’allarme», afferma Jamie Lewis, venture partner presso Rain Capital, un fondo di venture capital specializzato nei settori della sicurezza informatica, dell’intelligenza artificiale e dell’analisi dei dati.
Dal momento in cui un’azienda decide di orientarsi verso una strategia di acquisizione, vi sono due aspetti fondamentali che spesso vengono trascurati dai vertici aziendali. In primo luogo, negli anni che precedono l’avvicinamento a un’azienda, il potenziale acquirente deve aver condotto una valutazione approfondita del profilo di sicurezza informatica dell’azienda target, secondo quanto riportato nel rapporto “ 2018 ” redatto da KPMG, che esamina i rischi informatici nelle operazioni di fusione e acquisizione. Tale valutazione dovrebbe mettere in luce il grado di comprensione da parte dell’azienda target del proprio profilo di rischio, i precedenti in materia di risposta agli incidenti e le misure adottate dall’azienda stessa per migliorare le proprie difese.
«Se una società oggetto di acquisizione non comprende il proprio profilo di rischio in modo sufficientemente approfondito da poterlo illustrare alla società acquirente, ciò costituisce un segnale di allarme.”Jamie Lewis, socio di Rain Capital
Il secondo indicatore importante, spesso trascurato dagli acquirenti, è il livello di sicurezza dell’azienda oggetto dell’acquisizione. Un approccio sano ed efficace è quello in cui il soggetto in questione parte dal presupposto che un attacco sia imminente e si prepari con strumenti efficaci di monitoraggio della rete e solide difese a tutela delle proprie risorse più preziose.
«Le questioni relative alla sicurezza informatica rappresentano una priorità per le aziende americane», in particolare nel corso di un’operazione, e possono comportare la rottura dell’accordo o una forte riduzione del prezzo per il venditore, afferma KPMG nel proprio rapporto.
Pertanto, oltre al conto economico, allo stato patrimoniale e alle scorte di un’azienda, nonché alle sue procedure di governance e contabili, è altrettanto importante che l’acquirente verifichi l’ , il patching, l’ , l’ endpoint , la visibilità e l’ , nonché l’infrastruttura di monitoraggio della sicurezza di rete dell’azienda oggetto dell’acquisizione. Se non sono all’altezza, un attacco informatico o una violazione potrebbero verificarsi in un’ , quando non se.
Troppo spesso gli acquirenti trascurano di sedersi a tavolino con il management della società target per chiedere loro con quanta serietà affrontino la questione della sicurezza e come percepiscano il rischio informatico per la propria attività. Dedicare il tempo necessario a valutare le vulnerabilità informatiche prima di un’acquisizione non solo è una scelta sensata per la sicurezza delle aziende coinvolte, ma costituisce anche una strategia prudente e giustificabile che contribuirà a salvaguardare l’integrità dell’approccio adottato dall’acquirente nell’ambito dell’operazione.
Di seguito sono riportate cinque questioni chiave in materia di sicurezza che i potenziali acquirenti dovrebbero tenere in considerazione quando si mettono alla ricerca di nuove acquisizioni.
Risk profilo
Una valutazione approfondita della sicurezza di un’azienda bersaglio consentirà di identificare i potenziali aggressori, comprese le loro capacità, i loro obiettivi e i loro metodi, nonché le modalità con cui un attacco informatico potrebbe influire sulle attività dell’azienda. Oltre ad analizzare la sicurezza fisica e ambientale, la resilienza aziendale e la gestione operativa, le società acquirenti dovrebbero anche monitorare il panorama delle minacce alla sicurezza informatica in cui opera l’azienda target, afferma Ron Bradley, vicepresidente di Shared Assessments, un’organizzazione globale basata sull’adesione dei membri che sviluppa best practice, materiali didattici e strumenti volti a garantire la gestione dei rischi di terze parti.
Una volta avviate le trattative e una volta che la società target abbia reso accessibili i propri documenti contabili all’acquirente, alle valutazioni preliminari in materia di sicurezza possono seguire verifiche più approfondite e richieste di informazioni. È proprio in questo contesto che assumono particolare rilevanza le verifiche di “cyber igiene” endpoint : è possibile avvalersi di semplici strategie endpoint per valutare la sicurezza delle applicazioni, le vulnerabilità di rete, la frequenza di applicazione delle patch, i punti deboli nella gestione degli accessi e nella protezione dei dati, nonché le procedure di risposta agli incidenti critici messe in atto dall’azienda oggetto di valutazione.
[Legga anche: Perché la sicurezza " endpoint " è una priorità urgente per le piccole imprese]
Secondo Bradley, un aspetto fondamentale da esaminare è il livello di rigore con cui un’azienda target gestisce i privilegi relativi alla gestione delle identità e degli accessi e se li conceda in modo permanente o senza alcun monitoraggio.
È necessario prestare sempre attenzione al livello di sicurezza dell’azienda bersaglio: «Se le valutazioni dell’azienda bersaglio si concentrano prevalentemente sulla tecnologia e sui prodotti, oppure se i team addetti alla sicurezza e i dirigenti non ragionano in termini di profili di minaccia, ciò potrebbe costituire un segnale d’allarme», afferma Lewis.
Visibilità sulle risorse
Se un’azienda target non sa dove si trovino i “gioielli della corona” della propria attività, allora si tratta di un disastro annunciato. Purtroppo per l’acquirente, questo problema talvolta emerge solo nel corso delle indagini relative alle violazioni, quando l’organizzazione non è in grado di chiarire quali siano le proprie risorse più preziose e dove siano conservate. Prima che una società acquirente porti a termine l’operazione di acquisto, deve avere la certezza che la società target disponga di un programma consolidato di gestione dei rischi e di una serie di controlli e standard di sicurezza informatica in grado di monitorare e salvaguardare le sue risorse più preziose, afferma Bradley.
“Le aziende dotate di solide misure di sicurezza informatica effettueranno revisioni periodiche dei propri controlli informatici; gli acquirenti dovrebbero richiedere di visionarne le prove.”Ron Bradley, vicepresidente di Shared Assessments
L’acquirente deve inoltre essere in grado di verificare che la società oggetto dell’acquisizione disponga di strumenti di inventario che Enforce l’integrità delle risorse di dati. È necessario identificare i titolari dei dati presenti nella rete ed è fondamentale che tali dati vengano aggiornati e verificati a intervalli regolari. Bradley afferma che le aziende dotate di solide strategie di sicurezza informatica effettueranno revisioni periodiche dei propri programmi di gestione delle risorse e dell’efficacia complessiva dei propri controlli informatici. Nel corso del processo di acquisizione, gli acquirenti dovrebbero richiedere di prendere visione della documentazione relativa a tali verifiche e alle strategie di risanamento.
Un’altra sfida consiste nel fatto che gli acquirenti potrebbero attribuire un’importanza diversa alle attività rispetto alla società bersaglio e, di conseguenza, le aspettative dell’acquirente in merito alle modalità di tutela di tali attività potrebbero discostarsi notevolmente dalle misure di difesa già messe in atto dalla società bersaglio. Ad esempio, il computer di un amministratore di sistema su una piattaforma obsoleta potrebbe non figurare nell’elenco delle risorse più preziose di un bersaglio, eppure un attacco riuscito a quel dispositivo potrebbe portare alla divulgazione di una grande quantità di informazioni sensibili.
[Legga anche: 5 grafici che illustrano la crisi di visibilità del settore IT]
Secondo Lewis, un’azienda target attenta alla sicurezza dovrebbe inoltre essere in grado di fornire agli acquirenti una valutazione della sicurezza che identifichi i potenziali vettori che gli aggressori potrebbero sfruttare per raggiungere le risorse chiave. «Se la società oggetto dell’operazione ha svolto tale lavoro, è un ottimo segnale. «Se non comprendono perché tale lavoro sia importante, allora si tratta quantomeno di un segnale di allarme».
Catena di approvvigionamento e soggetti terzi
Dal punto di vista della sicurezza, le società acquirenti dovrebbero considerare le aziende-bersaglio non tanto come entità singole, quanto piuttosto come un insieme di risorse, endpoint, fornitori, partner e clienti, afferma Bradley. Alla luce di ciò, gli acquirenti dovrebbero richiedere l’accesso a un elenco dei soggetti terzi presenti nella rete aziendale della società oggetto dell’acquisizione, unitamente a una valutazione dei rischi da essi rappresentati. L’acquirente deve inoltre esaminare le vulnerabilità individuate dalla società oggetto dell’acquisizione relative a fornitori e soggetti terzi e assicurarsi che tali vulnerabilità siano state corrette tempestivamente e che la correzione sia stata verificata.
Qualora tali informazioni di terze parti non fossero disponibili, l’acquirente dovrebbe provvedere a condurre una propria valutazione della catena di fornitura per comprendere quali tipi di aziende interagiscono regolarmente con le reti dell’azienda target, quali diritti di amministratore dispongano e quali configurazioni di rete siano in vigore. In quest’epoca caratterizzata da attacchi ransomware e alla catena di approvvigionamento, tali informazioni possono rivelarsi fondamentali per prevenire una violazione.
Lavorare lungo il perimetro
Con il passaggio della forza lavoro al telelavoro e a modelli di lavoro ibridi che combinano sede e casa, la principale sfida in materia di sicurezza che la maggior parte delle aziende si trova ad affrontare è l’aumento della superficie di attacco che le loro reti presentano agli hacker, a causa della pandemia. Per tenere sotto controllo le migliaia di dispositivi remoti che vengono integrati nelle proprie reti, le aziende sono state costrette a rimanere vigili nei confronti delle nuove vie che i criminali informatici possono percorrere per violare i propri perimetri di sicurezza.
Gli acquirenti devono verificare che le società oggetto di acquisizione abbiano investito in risorse aggiuntive per accogliere un numero maggiore di utenti remoti sulle proprie reti e se la società oggetto di acquisizione abbia o meno adottato pratiche di tipo “zero-trust”, afferma Bradley. “Il modello ‘zero trust’”, che considera ogni dispositivo che tenta di effettuare l’accesso come una potenziale minaccia, rappresenta una soluzione più semplice rispetto alle VPN (reti private virtuali), che si sono rivelate difficili da scalare e soggette a malfunzionamenti.
[Leggi anche: È ora di abbandonare la VPN a favore del modello “zero trust”]
«I dispositivi non gestiti dei dipendenti presi di mira, quali PC, smartphone, console di gioco e dispositivi IoT, possono ampliare la superficie di attacco del bersaglio», spiega Bradley. «Le aziende che non dispongono di adeguate misure di protezione contro l’ endpoint e e di prevenzione della perdita di dati continueranno a trovarsi costrette a rincorrere gli sviluppi.»
Personale addetto alla sicurezza
Infine, secondo Bradley, i potenziali acquirenti devono acquisire una comprensione della cultura aziendale complessiva dell’azienda target, e ciò si estende anche ai professionisti della rete IT e della sicurezza. La raccolta di tali informazioni può avere inizio durante il periodo precedente alla firma, nella fase di condivisione dei documenti e di colloquio prevista dal processo di acquisizione. Deve includere un'analisi delle politiche e delle procedure in materia di risorse umane della società oggetto dell'operazione, nonché del tasso di turnover del personale della stessa, in particolare per quanto riguarda i tecnici informatici aziendali.
[Leggi anche: Per rafforzare la sicurezza informatica, valorizzate il vostro personale]
È inoltre importante valutare la capacità dell’azienda di attrarre i migliori talenti nel campo della sicurezza informatica e, cosa ancora più importante, la sua capacità di trattenerli, poiché ciò fornisce un chiaro indicatore del grado di efficacia con cui l’azienda garantisce e gestisce la sicurezza della propria rete. Tra tutti gli aspetti della sicurezza informatica a cui occorre prestare attenzione nel corso di un’acquisizione, il personale addetto alla sicurezza di rete può essere quello più trascurato. Per quanto solida possa essere una piattaforma di sicurezza, essa è destinata a perdere rapidamente efficacia senza il personale qualificato necessario per gestirla e mantenerla.
