Nonostante un rallentamento globale delle operazioni di fusione e acquisizione — come riportato questa settimana da , , The Wall Street Journale — le fusioni e le acquisizioni (M&A) continuano a essere molto attive.
Sebbene sia vero che l’incertezza economica e la guerra in Ucraina abbiano di fatto frenato le operazioni di fusione e acquisizione, i leader aziendali continuano a perseguire tali operazioni laddove risultino sensate (si veda JetBlue e Spirit Airlines). Lo scorso anno, secondo la società di revisione KPMG, il valore delle operazioni di fusione e acquisizione a livello mondiale ha raggiunto i 5,1 trilioni di dollari, in aumento rispetto ai soli 3,8 trilioni di dollari dell’anno precedente. Nonostante il recente rallentamento delle transazioni , l’interesse per le operazioni di fusione e acquisizione tra i dirigenti rimane forte.
Tuttavia, nella fretta di procedere ad acquisizioni e fusioni, gli amministratori delegati e i loro consigli di amministrazione spesso escludono la sicurezza informatica dal processo decisionale relativo alle operazioni. In alcuni casi, ciò ha compromesso la reputazione delle aziende e dei marchi, ha comportato ingenti sanzioni da parte delle autorità di regolamentazione e ha determinato una rivalutazione di importanti offerte di acquisto per importi che hanno raggiunto i 350 milioni di dollari.
La gestione di un incidente informatico prima, durante o dopo una transazione può rappresentare un fattore di distrazione estremamente rilevante. «I responsabili della sicurezza informatica devono garantire di poter supportare l’azienda nel promuovere la crescita e generare ricavi, e in una situazione di fusione o acquisizione vi sono già abbastanza variabili in gioco», afferma Shay Colson, socio amministratore della società di informatica forense e investigativa Cyber Diligence.
«È utile pensare alla sicurezza informatica come al bassista in un’operazione di fusione e acquisizione: getta solide fondamenta, ma opera dietro le quinte.»
Se le società interessate all’acquisizione non affrontino adeguatamente la questione della sicurezza informatica, dovranno aspettarsi che continuino a verificarsi imprevisti nel corso delle trattative. Al fine di contribuire a ridurre tali insidie e fornire ai responsabili della sicurezza una serie di strumenti per fornire consulenza ai propri dirigenti di alto livello, Endpoint ha condotto un’indagine tra i responsabili della sicurezza informatica (CISO) e altri esperti per individuare le seguenti best practice:
Rimanete aggiornati sulle operazioni di fusione e acquisizione
Quanto prima il CISO si metta al corrente dei dettagli di un accordo, tanto meglio è. Purtroppo, data la necessità di mantenere segrete le trattative nelle fasi iniziali, di solito solo una manciata di dirigenti è a conoscenza dei potenziali accordi.
Ma ciò non dovrebbe impedire ai CISO di fornire consigli riservati ai dirigenti prima di qualsiasi potenziale acquisizione. «I CISO devono capire se la loro organizzazione dispone di una strategia di acquisizione o se si tratta di un’eventualità che potrebbe verificarsi in futuro», afferma Theresa Payton, responsabile della divisione “ CEO ” presso la società di consulenza in materia di sicurezza Fortalice Solutions. «In tal caso, informare preventivamente i vostri dirigenti di alto livello potrebbe esservi di grande aiuto.»
«I CISO devono capire se la propria organizzazione dispone di una strategia di acquisizione o se si tratta di un’eventualità che potrebbe verificarsi in futuro.»Theresa Payton, CEO, Fortalice Solutions
«Credo che la maggior parte dei CIO e dei CISO ne sia consapevole, ma è sempre utile ricordare che la sicurezza informatica non è l’elemento centrale nelle operazioni di fusione e acquisizione», afferma Colson. «Una volta che i team incaricati dell’operazione saranno operativi e all’opera, è altamente improbabile che un riscontro in materia di sicurezza informatica possa far fallire l’operazione.»
Colson sostiene che sia utile pensare alla sicurezza informatica come al bassista: colui che getta solide fondamenta, ma che di solito opera dietro le quinte per sostenere gli altri musicisti. «Ciò richiede un certo grado di umiltà, ma porta a risultati costantemente migliori sia durante la fase di due diligence sia dopo la conclusione dell’operazione», afferma.
Il fatto di non essere presenti al tavolo delle trattative non significa che gli interessi dei CISO debbano rimanere senza rappresentanza. Dovrebbero prendere contatto prima di qualsiasi operazione e informare l’ CEOe, i membri del consiglio di amministrazione e gli altri dirigenti di alto livello in merito ai rischi e all’importanza di garantire un’adeguata sicurezza informatica nel corso di qualsiasi fusione o acquisizione.
Preparare i dirigenti aziendali ponendo loro le domande giuste
Non occorrono molte domande per farsi un’idea del livello di maturità di un programma di sicurezza informatica presso un’azienda oggetto di fusione o acquisizione. Secondo Payton di Fortalice Solutions, i dirigenti coinvolti nelle fasi iniziali di un’operazione possono formulare alcune domande strategicamente mirate per avviare il processo di due diligence in materia di sicurezza informatica senza che il CISO sia effettivamente presente nella stanza.
Le domande variano a seconda del settore. Ad esempio, le organizzazioni sanitarie potrebbero chiedere informazioni sulle misure di protezione dei dati sensibili che consentono l’identificazione personale, mentre le aziende produttrici di software potrebbero valutare la sicurezza dei processi di sviluppo del software. I dirigenti dell’azienda potrebbero cercare di individuare il CISO o il CIO che gestisce in via esclusiva le attività di sicurezza informatica dell’azienda bersaglio.
«Il fatto che un’azienda di dimensioni discrete non disponga di un responsabile della sicurezza, oppure che non siano stati definiti processi di sviluppo software realmente sicuri, costituisce un grave campanello d’allarme», afferma Payton. Inoltre, vi suggerisce di informarsi sul loro approccio all’autenticazione a più fattori in relazione ai movimenti di denaro o ai dati sensibili. «Se rispondono: “Che cos’è?”» «Allora ha la sua risposta.»
Effettuate le dovute verifiche
Per quanto sia possibile, prima della conclusione di un’operazione, è importante comprendere lo stato di sicurezza del partner di fusione o dell’azienda oggetto di acquisizione. Quali programmi e misure di sicurezza sono stati adottati? Quali sono le discrepanze tra i programmi di sicurezza delle organizzazioni coinvolte nell’accordo?
“Sono in grado di individuare i punti deboli della tecnologia e dei processi in tre giorni o meno.”Glenn Kapetansky, CSO e responsabile delle competenze tecnologiche presso Trexin Consulting
L'American Institute of CPAs definisce le modalità con cui le organizzazioni dovrebbero gestire i dati dei clienti e ha elaborato uno standard di conformità volontario, denominato SOC 2. Sebbene alcune aziende possano disporre di rapporti di conformità SOC 2 aggiornati che indicano il loro livello di maturità in materia di tecnologia dell’informazione e sicurezza, in molti casi l’azienda oggetto di acquisizione dovrebbe inoltre sottoporsi a una valutazione da parte di un ente terzo.
Tale valutazione fornirà una ragionevole garanzia che la società non abbia agito con negligenza e contribuirà a preparare il terreno per un’analisi più approfondita a seguito della fusione o dell’acquisizione.
[Legga anche: 5 passaggi per valutare la sicurezza informatica prima di un’acquisizione]
Ancor prima della firma di un accordo, è opportuno iniziare a pianificare le iniziative di sicurezza a lungo termine che dovranno seguire, in particolare quando le organizzazioni coinvolte sono simili per dimensioni e livello di maturità. Le aziende che intendono acquisire più società dovrebbero valutare la possibilità di elaborare linee guida di integrazione per le principali aree di sicurezza, quali la gestione delle identità, l’autenticazione e l’autorizzazione, il controllo e la registrazione degli accessi, i backup e la gestione delle vulnerabilità. E dovrebbero garantire che i controlli vengano applicati in modo coerente alle società di nuova acquisizione.
Effettuare una valutazione dei rischi successiva alla transazione
Una volta firmati i contratti, è fondamentale avviare la valutazione il prima possibile. Scoprite chi sarà responsabile della mitigazione di eventuali rischi emersi dall’audit e della definizione delle tappe fondamentali per affrontare tali problematiche. Ciò comprende attività che consentirebbero di valutare i rischi di base, quali l’esecuzione di test di penetrazione e di test sulle applicazioni web.
«È necessario sapere cosa si intende proteggere. Ciò è impossibile senza un inventario adeguato.”Anthony Catalano, responsabile nazionale per la sicurezza informatica nel settore del private equity presso RSM US
Eric Galis, CISO presso l’azienda di tecnologia per l’istruzione Cengage Group, consiglia alle imprese di basare la propria metodologia di valutazione e i propri piani di integrazione sullo stesso quadro di riferimento che guida la loro strategia di sicurezza, che si tratti del manuale “ NIST 800-53 ” o dei “Critical Security Controls” del Center for Internet Security. «Ciò garantisce coerenza e consente una maggiore integrazione nelle attuali pratiche di sicurezza informatica», afferma Galis.
Un aspetto fondamentale da comprendere è il flusso di dati all’interno dell’organizzazione acquisita, afferma Glenn Kapetansky, CSO e responsabile delle competenze tecnologiche presso la società di consulenza aziendale Trexin Consulting. Egli consiglia ai CISO di incontrare i direttori o altri dirigenti responsabili delle funzioni IT e di chiedere loro di tracciare il flusso dei dati, dalla fase di test fino alla produzione. Risk è insita nei dati, nell’accesso ai dati e nella loro gestione, e può incidere in modo significativo sulla valutazione dell’azienda, afferma. La mitigazione di tale rischio dovrebbe rimanere una priorità assoluta durante l’intero processo di fusione o acquisizione, nonché in seguito.
«Chiedo informazioni sulle applicazioni relative ai dati nel contesto dei test applicativi, dei test di accettazione da parte degli utenti, dell’ambiente di produzione, nonché dei sistemi e dell’infrastruttura», afferma Kapetansky. “Infine, vorrei chiedere quali siano i processi e i ruoli nei loro cicli di vita dello sviluppo del software. "Invariabilmente, riesco a individuare il punto debole della tecnologia e dei processi nel giro di tre giorni o meno."
Inoltre, è fondamentale effettuare un inventario completo delle applicazioni e delle altre risorse di rete che dovranno essere valutate una volta completata la fusione o l’acquisizione e una volta avviato il processo di consolidamento dei diversi stack tecnologici. «È necessario sapere cosa si intende proteggere, e ciò è impossibile senza un inventario adeguato», afferma Anthony Catalano, responsabile nazionale per la sicurezza informatica nel settore del private equity presso RSM US, una società di revisione contabile, consulenza fiscale e consulenza aziendale.
Integrare i team di sicurezza delle due società
Infine, l’integrazione efficace dei team di sicurezza di ciascuna organizzazione getterà le basi per un successo a lungo termine. Sebbene sia certamente importante comprendere il profilo di sicurezza di un’azienda oggetto di fusione o acquisizione, è altrettanto necessario che i dirigenti sappiano come garantire la sicurezza dell’organizzazione di nuova costituzione in futuro.
«Effettuate un’analisi dei rischi e sottoponete a verifica i rappresentanti di entrambi i reparti per individuarne i punti di forza e di debolezza», afferma Wojciech Syrkiewicz-Trepiak, ingegnere della sicurezza presso Spacelift, fornitore di codice per infrastrutture. «Li inviti tutti in una stanza e parlino tra loro. Se disponete di collaboratori di talento in entrambe le parti, lasciate che svolgano il proprio lavoro definendo gli obiettivi.”
Valutate l’affare successivo e quello dopo ancora
In definitiva, le aziende devono guardare al futuro e alla prossima operazione. I CISO non dovrebbero solo assicurarsi di essere coinvolti sin dalle prime fasi in qualsiasi futura operazione di fusione o acquisizione, ma dovrebbero anche cercare modi per sfruttare tale operazione come occasione per giustificare misure volte a rafforzare il proprio budget destinato alla sicurezza.
«Spesso vi sono costi una tantum legati alle fusioni che la vostra azienda potrà contabilizzare come spese», afferma Payton. «Si tratta di un’ottima opportunità per individuare ambiti in cui sussista una valida motivazione fiscale applicabile alla fusione, che potrebbe giustificare l’adozione di ulteriori strumenti di sicurezza.»
E con minacce di notevole entità che incombono dopo la conclusione di un accordo, quale CISO non avrebbe bisogno di ulteriori strumenti a propria disposizione?
