Las fusiones y adquisiciones pueden suponer una verdadera pesadilla para los inversores. La sabiduría popular indica que muchas operaciones de gran envergadura suelen destruir valor, entrañan numerosos riesgos y las empresas tardan años en recuperarse de ellas. Sin embargo, hay un factor adicional que, con demasiada frecuencia, tanto el comprador como el vendedor pasan por alto: el riesgo cibernético.
Una empresa puede pagar un precio excesivo por una empresa rival, y es posible que las sinergias que se han esgrimido en la campaña de persuasión previa a la operación no lleguen a materializarse. Sin embargo, estos retos quedarán eclipsados por el daño a la reputación, la reducción del valor de la operación y las perturbaciones operativas que sufrirá la empresa si se descubre una brecha de seguridad durante o tras una adquisición.
Basta con reflexionar sobre los recientes casos destacados de ataques informáticos para comprender la magnitud de las consecuencias que conlleva descuidar una diligencia debida exhaustiva en materia de ciberseguridad. Verizon redujo en 350 millones de dólares el precio de compra de Yahoo, , en 2017 , después de que el portal web revelara que se habían producido ciberataques generalizados bajo su responsabilidad; por su parte, Marriott reveló una importante filtración de datos, , en 2018 , en los establecimientos que había adquirido con la compra de Starwood.
A pesar de estos casos tan sonados, muchas empresas compradoras se limitan a hacer promesas vacías a la hora de garantizar que sus empresas objetivo estén protegidas frente a los piratas informáticos. Son pocos los que llevan a cabo un análisis exhaustivo del estado de seguridad de un objetivo, y muchos pasan por alto por completo el perfil de riesgo de este.
«Si una empresa objetivo no comprende su propio perfil de riesgo lo suficientemente bien como para explicárselo a la empresa adquirente, eso constituye una señal de alarma», afirma Jamie Lewis, socio de Rain Capital, un fondo de capital riesgo especializado en los mercados de la ciberseguridad, la inteligencia artificial y la analítica.
Desde el momento en que una empresa da un giro hacia una estrategia de adquisiciones, hay dos aspectos fundamentales que los altos directivos suelen pasar por alto. En primer lugar, en los años previos a la presentación de una oferta por una empresa, el posible comprador debe haber llevado a cabo una evaluación exhaustiva del perfil de ciberseguridad de la empresa objetivo, según un informe de 2018 titulado « » (Evaluación de la ciberseguridad en fusiones y adquisiciones), elaborado por KPMG, en el que se analizan los riesgos cibernéticos en las operaciones de fusiones y adquisiciones. Esta evaluación debería poner de manifiesto en qué medida la empresa objetivo comprende su propio perfil de riesgo, su historial de respuesta ante incidentes y las medidas que ha adoptado para mejorar sus defensas.
«Si una empresa objetivo no comprende su propio perfil de riesgo lo suficientemente bien como para explicárselo a la empresa adquirente, eso constituye una señal de alarma.»Jamie Lewis, socio de capital riesgo de Rain Capital
El segundo indicador importante que suelen pasar por alto las entidades adquirentes es el nivel de seguridad de la empresa objeto de la adquisición. Una postura segura y eficaz es aquella en la que el destinatario da por hecho que un ataque es inminente y se prepara con herramientas eficaces de supervisión de la red y defensas sólidas para sus activos más valiosos.
«Las cuestiones relacionadas con la ciberseguridad son una prioridad para las empresas estadounidenses», sobre todo durante una operación, y pueden dar lugar a la cancelación de un acuerdo o a una importante rebaja en el precio para el vendedor, según afirma KPMG en su informe.
Por lo tanto, además de la cuenta de pérdidas y ganancias, los balances y el inventario de una empresa, así como de sus procedimientos de gobernanza y contabilidad, es igualmente importante que el comprador compruebe la infraestructura de seguridad de la empresa objetivo en ,, , y , así como la infraestructura de monitorización de la red en . Si no cumplen con los requisitos, un ataque informático o una filtración podrían ser cuestión de , ya que no es una cuestión de «si», sino de «cuándo».
Con demasiada frecuencia, las empresas compradoras no se reúnen con la dirección de la empresa objetivo para preguntarles qué importancia conceden a la seguridad y cómo perciben el riesgo cibernético al que se enfrenta su negocio. Dedicar tiempo a evaluar las vulnerabilidades cibernéticas antes de una adquisición no solo es lo más sensato para la seguridad de las empresas fusionadas, sino que también constituye una estrategia prudente y justificable que contribuirá a proteger la integridad del proceso de adquisición por parte de la empresa adquirente.
A continuación se exponen cinco cuestiones clave en materia de seguridad que los posibles compradores deberían tener en cuenta a la hora de buscar nuevas adquisiciones.
Perfil de riesgo
Una evaluación exhaustiva de la seguridad de una empresa objetivo permitirá identificar a los posibles atacantes, incluidas sus capacidades, objetivos y métodos, así como las formas en que un ciberataque puede afectar a las operaciones de la empresa. Además de analizar la seguridad física y ambiental, la resiliencia empresarial y la gestión de las operaciones, las empresas adquirentes también deberían supervisar el panorama de amenazas de ciberseguridad en el que opera la empresa objetivo, afirma Ron Bradley, vicepresidente de Shared Assessments, una organización mundial de miembros que desarrolla buenas prácticas, materiales formativos y herramientas para impulsar la garantía de riesgos de terceros.
Una vez que las negociaciones estén en marcha y la empresa objetivo haya facilitado su información financiera al comprador, las evaluaciones preliminares de seguridad pueden ir seguidas de comprobaciones más detalladas y solicitudes de información. Es aquí donde pueden cobrar protagonismo las buenas prácticas de ciberseguridad en los terminales y las comprobaciones de higiene cibernética : se pueden emplear estrategias sencillas para evaluar la seguridad de las aplicaciones, las vulnerabilidades de la red, la periodicidad de la aplicación de parches, las deficiencias en la gestión de accesos y la protección de datos, así como las medidas de respuesta ante incidentes críticos que la empresa objetivo haya implantado.
Según Bradley, una cuestión clave que hay que analizar es el grado de rigor con el que una empresa objetivo gestiona los privilegios de gestión de identidades y accesos, y si los concede de forma permanente o sin supervisión.
Siempre hay que tener en cuenta el nivel de seguridad de la empresa objetivo: «Si las evaluaciones de la empresa objetivo se centran principalmente en la tecnología y los productos, o si los equipos de seguridad y la dirección no razonan en términos de perfiles de amenaza, eso podría ser una señal de alarma», afirma Lewis.
Visibilidad de los activos
Si una empresa objetivo desconoce dónde se encuentran los activos más valiosos de su negocio, eso supone un desastre anunciado. Lamentablemente para la empresa adquirente, este problema a veces solo sale a la luz durante las investigaciones sobre violaciones de seguridad, cuando la organización es incapaz de aclarar cuáles son sus activos más valiosos y dónde se almacenan. Según Bradley, antes de que una empresa compradora lleve a cabo la adquisición, debe tener la certeza de que la empresa objetivo cuenta con un programa de gestión de riesgos consolidado y con un conjunto de controles y normas de ciberseguridad que supervisen y protejan sus activos más valiosos.
«Las empresas con una sólida estrategia de ciberseguridad llevarán a cabo revisiones periódicas de sus controles cibernéticos; los adquirentes deberían solicitar pruebas de ello.»Ron Bradley, vicepresidente de Shared Assessments
Asimismo, la empresa adquirente debe poder verificar que la empresa objetivo disponga de herramientas de inventario que garanticen la integridad de los activos de datos. Es necesario identificar a los propietarios de los datos de la red, y resulta fundamental que dichos datos se actualicen y verifiquen de forma periódica. Bradley afirma que las empresas con una sólida estrategia de ciberseguridad llevarán a cabo revisiones periódicas de sus programas de gestión de activos y de la eficacia general de sus controles cibernéticos. Las entidades adquirentes deberían solicitar que se les muestren pruebas de dichas revisiones y estrategias de corrección durante el proceso de adquisición.
Otro reto radica en que los adquirentes pueden valorar la importancia de los activos de forma diferente a como lo hace la empresa objetivo y, en consecuencia, las expectativas del adquirente respecto a cómo proteger dichos activos pueden diferir considerablemente de las medidas de protección que la empresa objetivo tiene establecidas. Por ejemplo, es posible que el ordenador de un administrador de sistemas que utilice una plataforma obsoleta no figure en la lista de «joyas de la corona» de un objetivo; sin embargo, un ataque exitoso contra ese dispositivo podría dar lugar a la filtración de una gran cantidad de información confidencial.
[Lea también: 5 gráficos que explican la crisis de visibilidad de las tecnologías de la información]
Según Lewis, una empresa objetivo que se tome en serio la seguridad también debería poder proporcionar a las entidades adquirentes una evaluación de seguridad que identifique los posibles vectores que los atacantes podrían utilizar para acceder a activos clave. «Si la empresa objetivo ha llevado a cabo ese trabajo, es una señal excelente». «Si no comprenden por qué ese trabajo es importante, eso ya es, como mínimo, una señal de alerta».
Cadena de suministro y terceros
Desde el punto de vista de la seguridad, las empresas adquirentes deberían considerar a las empresas objetivo no tanto como entidades independientes, sino más bien como un conjunto de activos, terminales, proveedores, socios y clientes, afirma Bradley. Teniendo esto en cuenta, las entidades adquirentes deberían solicitar acceso a una lista de los terceros presentes en la red corporativa de la empresa objetivo, junto con una evaluación de los riesgos que estos plantean. La empresa adquirente también debe revisar las deficiencias identificadas por la empresa objetivo en relación con los proveedores y terceros, y asegurarse de que se hayan subsanado y validado oportunamente.
Si no se dispone de esta información de terceros, la entidad adquirente debería tratar de llevar a cabo su propia evaluación de la cadena de suministro para conocer los tipos de empresas que interactúan habitualmente en las redes de la entidad objetivo, qué derechos de administrador tienen y cuáles son las configuraciones de red existentes. En esta época de ataques de ransomware y a la cadena de suministro, esta información puede resultar fundamental para prevenir una filtración de datos.
Recorrer el perímetro
A medida que la plantilla ha ido adoptando modelos de trabajo desde casa y modelos híbridos de trabajo a distancia, el mayor reto de seguridad al que se enfrentan la mayoría de las empresas es el aumento de la superficie de ataque que sus redes ofrecen a los piratas informáticos, como consecuencia de la pandemia. Para mantener el control sobre los miles de dispositivos remotos que se incorporan a sus redes, las empresas se han visto obligadas a permanecer alerta ante las nuevas vías que pueden utilizar los ciberdelincuentes para traspasar sus perímetros de seguridad.
Según Bradley, las empresas adquirentes deben comprobar que las empresas objetivo hayan invertido en recursos adicionales para dar cabida a más usuarios remotos en sus redes, así como si la empresa objetivo cuenta o no con prácticas de «confianza cero». «El modelo de “confianza cero”», que considera a todo dispositivo que intenta iniciar sesión como una amenaza potencial, es una solución más sencilla que las VPN (redes privadas virtuales), que han demostrado ser difíciles de ampliar y son propensas a sufrir fallos.
[Lea también: Es hora de dejar de lado la VPN y adoptar el modelo «zero trust»]
«Los dispositivos no gestionados de los empleados de la empresa objetivo, como ordenadores, teléfonos inteligentes, consolas de videojuegos y dispositivos del Internet de las cosas (IoT), pueden ampliar la superficie de ataque de la empresa objetivo», explica Bradley. «Las empresas que no cuenten con una protección adecuada de los terminales y con medidas de prevención de la pérdida de datos seguirán viéndose obligadas a ir a la zaga».
Personal de seguridad
Por último, los posibles compradores deben familiarizarse con la cultura corporativa general de la empresa objetivo, lo cual se extiende a la red informática y a los profesionales de la seguridad, afirma Bradley. Esta recopilación de información puede comenzar durante el periodo previo a la firma, en la fase de intercambio de documentación y entrevistas del proceso de adquisición. Debe incluir un análisis de las políticas y procedimientos de recursos humanos de la empresa objetivo, así como de su tasa de rotación de personal, en particular de sus técnicos informáticos.
[Lea también: Para reforzar la ciberseguridad, potencie a su personal]
También es importante evaluar la capacidad de la empresa para atraer a los mejores profesionales en ciberseguridad y, lo que es aún más importante, su capacidad para retenerlos, ya que ello transmite un mensaje claro sobre el éxito con el que la empresa mantiene y gestiona la seguridad de su red. De todos los aspectos de la ciberseguridad a los que se debe prestar atención durante una adquisición, el personal de seguridad de redes puede ser el más descuidado. Por muy sólida que sea una plataforma de seguridad, se deteriorará rápidamente si no se cuenta con el personal cualificado necesario para gestionarla y mantenerla.
