并購(gòu)有可能給企業(yè)帶來(lái)重大的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。全球技術(shù)研究和咨詢機(jī)構(gòu)ISG公司的合伙人兼網(wǎng)絡(luò)安全聯(lián)合主管Doug Saylors表示,實(shí)施企業(yè)并購(gòu)的團(tuán)隊(duì)通常規(guī)模有限,主要專注于財(cái)務(wù)和業(yè)務(wù)運(yùn)營(yíng)的問(wèn)題,IT和網(wǎng)絡(luò)安全在并購(gòu)過(guò)程的早期往往處于次要地位。Saylors說(shuō):“有關(guān)網(wǎng)絡(luò)連接、合理化IT和網(wǎng)絡(luò)安全平臺(tái)以及員工的假設(shè),通常是在對(duì)每個(gè)企業(yè)的實(shí)際職能和工作知之甚少的情況下做出的。”
調(diào)研機(jī)構(gòu)Gartner公司在發(fā)布的一份關(guān)于并購(gòu)和盡職調(diào)查過(guò)程中的網(wǎng)絡(luò)安全調(diào)查報(bào)告稱,正在合并、被收購(gòu)或進(jìn)行任何其他并購(gòu)活動(dòng)的企業(yè)必須能夠評(píng)估可能影響未來(lái)實(shí)體業(yè)務(wù)戰(zhàn)略和風(fēng)險(xiǎn)的安全需求。報(bào)告指出:“這將導(dǎo)致對(duì)被收購(gòu)的企業(yè)安全狀況的了解(在交易之前可能的范圍內(nèi)),以確保沒(méi)有受到?jīng)_擊,并制定出如何安全可靠地解決整合問(wèn)題的計(jì)劃。”
例如2017年,雅虎公司發(fā)生兩起大規(guī)模數(shù)據(jù)泄露事件,導(dǎo)致其30億用戶賬戶全部泄露,Verizon公司為此取消了3.5億美元收購(gòu)雅虎公司運(yùn)營(yíng)的業(yè)務(wù)的交易。雅虎公司最初表示,數(shù)據(jù)泄露只影響了10億多個(gè)用戶賬戶。Verizon公司最終以44.8億美元收購(gòu)了該公司。
以下是幫助企業(yè)在并購(gòu)過(guò)程中管理網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的五種策略,可以為收購(gòu)方提供借鑒和幫助。
1、要求對(duì)計(jì)劃收購(gòu)的目標(biāo)公司進(jìn)行安全評(píng)估
全球?qū)I(yè)服務(wù)商Vaco Holdings公司的安全、合規(guī)和風(fēng)險(xiǎn)主管Vladimir Svidesskis表示,在開始收購(gòu)交易之前,收購(gòu)方需要對(duì)計(jì)劃收購(gòu)的目標(biāo)公司進(jìn)行當(dāng)前或近期的評(píng)估,無(wú)論是具體的審計(jì)、安全態(tài)勢(shì)評(píng)估還是業(yè)務(wù)評(píng)估,并考慮何時(shí)進(jìn)行評(píng)估。
他說(shuō):“在理想情況下,收購(gòu)方希望這份評(píng)估是在過(guò)去9個(gè)月內(nèi)完成的,任何超過(guò)一年的信息都是無(wú)效的。收購(gòu)方需要將這些信息與現(xiàn)行的政策和程序以及最新的戰(zhàn)略目標(biāo)相平衡。他們的政策、程序和流程是否與此一致?評(píng)估是否支持一定程度的保證?這些政策和程序是否得到了遵守?”
Svidesskis表示,收購(gòu)方還應(yīng)獲得有關(guān)可疑和已確認(rèn)的安全或合規(guī)事件、風(fēng)險(xiǎn)暴露、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)相關(guān)保險(xiǎn)活動(dòng)等的任何信息。他說(shuō),“這應(yīng)該包括法律上可能沒(méi)有要求披露的事情。例如,即使這是一個(gè)不向政府部門報(bào)告的內(nèi)部事件,這仍然是需要提前了解的相關(guān)信息。”
2、確保被收購(gòu)的目標(biāo)公司在其軟件中設(shè)計(jì)了安全性
曾經(jīng)收購(gòu)Black Duck Software公司的Synopsys公司的審計(jì)業(yè)務(wù)總經(jīng)理Philip Odence表示,在科技公司的交易中,技術(shù)是目標(biāo)產(chǎn)品或其重要組成部分,網(wǎng)絡(luò)安全因此是一個(gè)特別關(guān)注的焦點(diǎn)。Odence專門從事并購(gòu)交易的盡職調(diào)查。他表示,收購(gòu)企業(yè)必須確定目標(biāo)公司是否在其軟件中設(shè)計(jì)了安全性。如果不是這樣,收購(gòu)方就要在采購(gòu)之后實(shí)施更多的補(bǔ)救工作。
Odence說(shuō):“過(guò)多的安全性問(wèn)題意味著遭受網(wǎng)絡(luò)攻擊的幾率會(huì)增加,收購(gòu)方可能希望將部分資金托管起來(lái),以應(yīng)對(duì)這種可能發(fā)生的情況。如果軟件明顯不符合行業(yè)規(guī)范,那么進(jìn)行估值談判也是很正常的。”
Odence表示,收購(gòu)方并不期望收購(gòu)過(guò)程完美,但如果需要解決的問(wèn)題超出其預(yù)期,收購(gòu)方可能會(huì)改變對(duì)交易的看法。盡職調(diào)查通常并不會(huì)扼殺收購(gòu)交易,但它們可能會(huì)影響交易條款、時(shí)機(jī)或估值。他說(shuō),“最重要的是,知識(shí)就是力量,收購(gòu)方需要充分利用盡職調(diào)查過(guò)程,盡可能多地了解目標(biāo)公司的軟件安全預(yù)成交情況,這樣他們就可以保護(hù)自己免受風(fēng)險(xiǎn)影響。”
3、盡早讓網(wǎng)絡(luò)安全和IT團(tuán)隊(duì)參與進(jìn)來(lái)
Inversion6公司董事兼首席信息技術(shù)官Chris Clymer表示,在并購(gòu)之前,網(wǎng)絡(luò)安全和IT團(tuán)隊(duì)很少參與,因?yàn)槟繕?biāo)是保持較小的圈子。他說(shuō),戰(zhàn)略性業(yè)務(wù)收購(gòu)或合并目標(biāo)的IT和安全狀況很差,這并不少見,修復(fù)這些問(wèn)題可能要花費(fèi)數(shù)百萬(wàn)美元。因此,盡早讓網(wǎng)絡(luò)安全和IT團(tuán)隊(duì)參與進(jìn)來(lái)并找出關(guān)鍵的弱點(diǎn)是至關(guān)重要的。
Clymer說(shuō):“在監(jiān)管寬松的行業(yè)(例如制造業(yè)),我見過(guò)被收購(gòu)的公司缺乏基本的安全補(bǔ)丁和端點(diǎn)安全措施,更不用說(shuō)更先進(jìn)的控制措施,例如安全信息和事件管理。”
他表示,企業(yè)減輕網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的最佳方法之一是讓IT或安全部門成為審查收購(gòu)的團(tuán)隊(duì)的一部分,以避免日后出現(xiàn)代價(jià)高昂的意外。Clymer說(shuō):“此外,IT團(tuán)隊(duì)?wèi)?yīng)該有一個(gè)結(jié)構(gòu)化的流程,具體說(shuō)明他們?nèi)绾芜M(jìn)行收購(gòu),其中包括進(jìn)行早期評(píng)估,并且告知員工關(guān)于財(cái)務(wù)交易變化的問(wèn)題應(yīng)該聯(lián)系誰(shuí),以及在收購(gòu)的第一天就更改所有關(guān)鍵系統(tǒng)的管理密碼。”
SANS研究所研究員、YL Ventures公司常駐首席信息安全官Frank Kim表示,企業(yè)在進(jìn)行盡職調(diào)查時(shí),通常沒(méi)有一個(gè)將安全性包括在內(nèi)的流程。從一開始就將網(wǎng)絡(luò)安全團(tuán)隊(duì)包括在這個(gè)過(guò)程中可以避免許多令人頭痛的問(wèn)題。他說(shuō),“在最糟糕的情況下,安全團(tuán)隊(duì)或首席信息官可能會(huì)很晚才加入,而收購(gòu)或合并團(tuán)隊(duì)會(huì)說(shuō),‘我們很快就會(huì)完成這次并購(gòu)或收購(gòu)。下周就要開始了,你們能在我們完成并購(gòu)之前完成安全審查嗎?’”
然而,Kim表示,如果網(wǎng)絡(luò)安全團(tuán)隊(duì)或首席信息安全官總是在談判桌上占有一席之地,而不是只在出現(xiàn)問(wèn)題時(shí)才參與進(jìn)來(lái),那么他們就可以評(píng)估目標(biāo)公司的安全性,并對(duì)潛在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)提出質(zhì)疑。
4、了解數(shù)據(jù)環(huán)境的風(fēng)險(xiǎn)
Gartner公司分析師Sam Olyaei表示,如果被收購(gòu)的目標(biāo)公司從一開始就沒(méi)有進(jìn)行盡職調(diào)查,那么他們可能不了解自己所處的數(shù)據(jù)環(huán)境類型。他說(shuō):“這些目標(biāo)公司可能要處理個(gè)人信息和可識(shí)別信息,以及可能要處理有監(jiān)管要求的醫(yī)療保健信息,例如HIPAA法規(guī)。他們可能要處理有監(jiān)管要求的支付信息,例如PCI或者有地理監(jiān)管要求的GDPR法規(guī)。所以,他們可能沒(méi)有真正從信息的角度或環(huán)境的角度很好地理解所得到的信息。”
不了解數(shù)據(jù)環(huán)境風(fēng)險(xiǎn)的問(wèn)題在于,收購(gòu)方不知道目標(biāo)公司實(shí)施了哪些類型的安全控制,也不知道他們的環(huán)境是否完全安全,Olyaei表示,這同樣適用于正在合并的公司。他說(shuō),“這些公司必須嘗試至少對(duì)其正在處理的數(shù)據(jù)環(huán)境有一個(gè)很好的想法,并確定潛在的風(fēng)險(xiǎn)。對(duì)正在追求或打算合并的公司進(jìn)行SWOT(優(yōu)勢(shì)、劣勢(shì)、機(jī)會(huì)和威脅)分析,可以讓收購(gòu)方很好地了解正在處理的信息和資產(chǎn)。”
5、對(duì)目標(biāo)公司的員工進(jìn)行技能分析
Planview公司的首席技術(shù)官兼首席信息官Joe McMorris表示,重要的是要記住,收購(gòu)方除了收購(gòu)目標(biāo)公司的技術(shù)之外,也在收購(gòu)這些公司的員工。Planview公司已經(jīng)進(jìn)行了多次收購(gòu),其中包括2021年1月至2022年6月的三次企業(yè)收購(gòu)。McMorris說(shuō):“企業(yè)需要對(duì)即將入職的員工進(jìn)行全面的技能分析,因?yàn)檫@樣可以招聘合格的新員工。在整合過(guò)程中,雙方可能會(huì)存在知識(shí)和技能差距,因?yàn)榭赡苄枰m應(yīng)一些新技術(shù),而收購(gòu)方可能沒(méi)有相關(guān)領(lǐng)域的專業(yè)知識(shí)。”
McMorris表示,在任何整合過(guò)程中,對(duì)于招聘目標(biāo)公司的員工必須做大量的工作,這是在日常經(jīng)營(yíng)業(yè)務(wù)的基礎(chǔ)上進(jìn)行的,這可能會(huì)導(dǎo)致他們的倦怠、士氣低落和人員流動(dòng)。他說(shuō):“在整合過(guò)程中,可以說(shuō)是風(fēng)險(xiǎn)最高的時(shí)期,因?yàn)樾枰喜⒕W(wǎng)絡(luò)和技術(shù),那么會(huì)對(duì)流程做出改變。在這段時(shí)間里,如果企業(yè)流失了員工,或者他們的技能難以勝任現(xiàn)在的工作,那么真正的漏洞和風(fēng)險(xiǎn)就會(huì)浮出水面。技能分析(可以幫助確保企業(yè))擁有在整合過(guò)程中運(yùn)作的員工隊(duì)伍。”
購(gòu)買前了解網(wǎng)絡(luò)安全內(nèi)幕
Svidesskis表示,對(duì)于收購(gòu)方來(lái)說(shuō),重要的是要有更廣闊的視野,制定一個(gè)基本并購(gòu)協(xié)議,包括當(dāng)前風(fēng)險(xiǎn)、潛在風(fēng)險(xiǎn)的所有方面,以及收購(gòu)后的評(píng)估。最后應(yīng)提交一份報(bào)告,其中包括最新的風(fēng)險(xiǎn)態(tài)勢(shì)和相關(guān)剩余風(fēng)險(xiǎn),以及對(duì)風(fēng)險(xiǎn)偏好的評(píng)估。
他表示,換句話說(shuō),收購(gòu)方就是要放眼全局,并系統(tǒng)地完成整個(gè)過(guò)程。Svidesskis說(shuō),“企業(yè)需要評(píng)估安全形勢(shì)、態(tài)勢(shì)和政策,需要保護(hù)收購(gòu)方和被收購(gòu)方的利益,收購(gòu)方需要讓對(duì)方了解其標(biāo)準(zhǔn)和政策是什么,還需要讓他們做出回報(bào),這樣就不會(huì)是惡意收購(gòu)。在這一基礎(chǔ)上,需要采用介于兩者之間的最終結(jié)果,而且最重要的是,需要在整個(gè)過(guò)程中持續(xù)監(jiān)控和審計(jì)。此外,還需要遵循幾個(gè)關(guān)鍵步驟,而且在這些步驟中面臨的問(wèn)題都應(yīng)該得到解決,以降低風(fēng)險(xiǎn)。”