Las fusiones y adquisiciones pueden ser el impulso de los inversionistas. La sabiduría convencional muestra que muchas grandes negociaciones a menudo son destructivas, están llenas de riesgo y tardan años en recuperarse de las empresas. Pero un factor adicional, demasiado a menudo pasado por alto tanto por el comprador como por el vendedor, es el riesgo cibernético.
Una empresa puede pagar demasiado por un rival, y las sinergias desfasadas en su encanto ofensivo previo al acuerdo pueden no materializarse. Pero estos desafíos se pondrán a la sombra por el daño a la reputación, el descuento en el valor del acuerdo y la interrupción operativa que la empresa sufrirá si se descubre una filtración cibernética durante o después de una adquisición.
Solo tiene que reflexionar sobre los recientes trucos prominentes para comprender la magnitud de las consecuencias de descuidar la diligencia debida de ciberseguridad. Verizon redujo su precio de compra para Yahoo en 350 millones de dólares en 2017 después de que el portal web revelara ciberataques generalizados bajo su supervisión, y Marriott reveló una gran filtración en 2018 de las propiedades que adquirió con la compra de Starwood.
A pesar de estos casos de alto perfil, muchos adquirientes solo pagan el servicio labial para garantizar que sus objetivos estén protegidos de los hackers. Pocos realizan una revisión exhaustiva de la postura de seguridad de un objetivo y muchos descuidan el perfil de riesgo de su objetivo en su totalidad.
“Si una empresa objetivo no entiende su propio perfil de riesgo lo suficientemente bien como para explicárselo a la empresa adquiriente, es una señal de alerta”, dice Jamie Lewis, socio de riesgo en Rain Capital, un fondo de capital de riesgo que se especializa en ciberseguridad, inteligencia artificial y mercados de análisis.
Desde el momento en que una empresa pasa a una estrategia de adquisición, a menudo la alta gerencia pasa por alto dos consideraciones cruciales. Primero, en los años previos a un enfoque para una empresa, el posible adquiriente debe haber realizado una evaluación exhaustiva del perfil de ciberseguridad del objetivo, de acuerdo con un informe 2018 de KPMG que examina los riesgos cibernéticos en las transacciones de fusiones y adquisiciones. Esta evaluación debe revelar qué tan bien el objetivo comprende su propio perfil de riesgo, un historial de respuestas a incidentes y los pasos que el objetivo ha tomado para mejorar sus defensas.
“Si una empresa objetivo no entiende su propio perfil de riesgo lo suficientemente bien como para explicárselo a la empresa adquiriente, es una señal de alerta”.Jamie Lewis, socio empresarial, Rain Capital
El segundo indicador importante que a menudo ignoran los adquirientes es la postura de seguridad del candidato de adquisición. Una postura saludable y efectiva es aquella en la que el objetivo supone que un ataque es inminente y está preparado con herramientas de monitoreo de red efectivas y defensas sólidas de sus activos más preciados.
“Los problemas de ciberseguridad son una prioridad para las empresas estadounidenses”, particularmente durante una transacción, y pueden resultar en el final de un acuerdo o un gran recorte de precios para el vendedor, dice KPMG en su informe.
Por lo tanto, junto con la cuenta de pérdidas y ganancias, los balances y el inventario de una empresa, así como sus procedimientos de gobernanza y contabilidad, es igualmente importante que un adquiriente verifique la infraestructura de revisión, visibilidad de endpoint y monitoreo de seguridad de red del objetivo. Si no están a la altura, un hackeo o una filtración podría ser cuestión de cuándo no lo están.
Los adquirientes a menudo no se sientan con la gerencia de una empresa objetivo y les preguntan qué tan seriamente se toman la seguridad y lo que ven como el riesgo cibernético para su negocio. Tomarse el tiempo para examinar las debilidades cibernéticas antes de una adquisición no solo tiene sentido para la seguridad de los negocios combinados, sino que también es una estrategia prudente y defendible que ayudará a proteger la integridad del enfoque de adquisición del adquiriente.
Estos son cinco problemas de seguridad clave que los posibles adquirientes deben considerar cuando van a la caza.
Perfil de riesgo
Una evaluación de seguridad exhaustiva de una empresa objetivo identificará a los posibles atacantes, incluidas sus capacidades, objetivos y métodos, y las formas en que un ciberataque puede afectar las operaciones de la empresa. Además de examinar la seguridad física y ambiental, la resiliencia comercial y la gestión de operaciones, las empresas adquirientes también deben monitorear el panorama de amenazas de ciberseguridad en el que opera el objetivo, dice Ron Bradley, vicepresidente de Shared Assessments, una organización de membresía global que desarrolla mejores prácticas, materiales educativos y herramientas para impulsar el aseguramiento de riesgos de terceros.
Una vez que las negociaciones están activas y el objetivo ha abierto sus libros al adquiriente, las evaluaciones de seguridad preliminares pueden seguirse con verificaciones y solicitudes de información más detalladas. Aquí es donde se pueden presentar buenas verificaciones de higiene cibernética de los endpoint finales: Se pueden utilizar estrategias simples de endpoint para evaluar la seguridad de las aplicaciones, las vulnerabilidades de la red, la cadencia de parches, las debilidades en la gestión de acceso y la protección de datos, así como las respuestas a incidentes críticos que la empresa objetivo ha instalado.
Un problema clave que se debe examinar, dice Bradley, es cuán estrictamente una empresa objetivo ejecuta privilegios de gestión de identidad y acceso y si los otorga de manera permanente o no monitoreada.
La postura de seguridad del objetivo es algo que siempre debe tener en cuenta: “Si las evaluaciones del objetivo se centran en gran medida en la tecnología y los productos, o si los equipos de seguridad y ejecutivos no están pensando en términos de perfiles de amenazas, eso podría ser una señal de alerta”, dice Lewis.
Visibilidad de activos
Si una empresa objetivo no sabe dónde se encuentran las joyas de la corona de su empresa, entonces ese es un desastre que espera a ocurrir. Desafortunadamente para el adquiriente, este problema a veces se vuelve evidente solo durante las investigaciones de filtración cuando la organización no puede aclarar cuáles son sus preciados activos y dónde se almacenan. Antes de que una empresa adquiriente cumpla con su compra, debe estar segura de que el objetivo tiene un programa de gestión de riesgos establecido y un conjunto de controles y estándares de ciberseguridad implementados que monitorean y protegen sus activos más valiosos, dice Bradley.
“Las empresas con posturas cibernéticas sólidas realizarán revisiones periódicas de los controles cibernéticos; los adquirientes deben pedir ver evidencia de eso”.Ron Bradley, vicepresidente de Evaluaciones Compartidas
El adquiriente también debe poder verificar que el objetivo tenga herramientas de inventario que hagan cumplir la integridad de los activos de datos. Se deben identificar los propietarios de los datos en la red, y es fundamental que los datos se actualicen y verifiquen de manera programada. Bradley dice que las empresas con posturas cibernéticas sólidas realizarán revisiones periódicas de sus programas de gestión de activos y la efectividad general de sus controles cibernéticos. Los adquirientes deben solicitar ver evidencia de esas revisiones y estrategias de corrección durante el proceso de adquisición.
Otro desafío es que los adquirientes pueden ver la importancia de los activos de manera diferente de la visión de la empresa objetivo y, en consecuencia, la expectativa del adquiriente de cómo proteger esos activos puede ser muy diferente de las defensas que el objetivo tiene implementadas. Por ejemplo, es posible que la computadora de un administrador del sistema en una plataforma heredada no esté en la lista de joyas de la corona de un objetivo, pero un ataque exitoso en ese equipo podría liberar un tesoro de información confidencial.
[Leer también: 5 gráficos que explican la crisis de visibilidad de TI]
Una empresa objetivo consciente de la seguridad también debería poder proporcionar a los adquirientes una evaluación de seguridad que identifique posibles vectores que los atacantes podrían buscar para alcanzar activos clave, dice Lewis. “Si la empresa objetivo ha hecho ese trabajo, es un excelente signo. Si no comprenden por qué ese trabajo es incluso importante, entonces es al menos una bandera amarilla”.
Cadena de suministro y terceros
Desde el punto de vista de la seguridad, las empresas adquirientes deben ver los objetivos menos como entidades únicas y más como una fusión de activos, puntos finales, proveedores, socios y clientes, dice Bradley. Con esto en mente, los adquirientes deben buscar acceso a una lista de los terceros en la red empresarial de la empresa objetivo, junto con una evaluación de los riesgos que presentan. El adquiriente también debe revisar las debilidades identificadas por la empresa objetivo específicas de los proveedores y terceros y asegurarse de que se haya realizado y validado la corrección oportuna de estas debilidades.
[Leer también: La seguridad de la cadena de suministro es difícil: Entonces, ¿cómo debería verse?]
Si esta información de terceros no está disponible, el adquiriente debe buscar realizar su propia evaluación de la cadena de suministro para comprender los tipos de empresas que interactúan regularmente en las redes del objetivo, qué derechos de administrador tienen y las configuraciones de red que están implementadas. En esta era de ransomware y ataques a la cadena de suministro, esta información puede ser fundamental para prevenir una filtración.
Trabajar en el perímetro
A medida que la fuerza laboral ha migrado a modelos de trabajo desde casa e híbridos de trabajo desde casa, el mayor desafío de seguridad que enfrenta la mayoría de las empresas es la mayor superficie de ataque que sus redes están presentando a los hackers, gracias a la pandemia. Para mantenerse al tanto de los miles de dispositivos remotos que se introducen en sus redes, las empresas deben estar atentos a las nuevas vías que los ciberdelincuentes pueden tomar para romper sus perímetros.
Los adquirientes deben verificar que las empresas objetivo hayan invertido en recursos adicionales para adaptarse a usuarios remotos adicionales en sus redes y si el objetivo tiene o no prácticas de confianza cero implementadas, dice Bradley. “Cero confianza”, que trata a cada dispositivo que intenta iniciar sesión como una amenaza potencial, es una solución más directa que las VPN (redes privadas virtuales), que han resultado difíciles de escalar y son propensas a descomponerse.
[Leer también: Es hora de deshacerse de la VPN sin confianza]
“Los dispositivos no administrados de los empleados objetivo, como computadoras, teléfonos inteligentes, consolas de juegos y dispositivos de IoT, pueden aumentar la superficie de ataque del objetivo”, explica Bradley. “Las empresas no equipadas con la protección adecuada de los endpoint y la prevención de la pérdida de datos continuarán encontrandose en modo de actualización”.
Personal de seguridad
Finalmente, los posibles adquirientes deben comprender la cultura corporativa general de un objetivo y eso se extiende a los profesionales de la red y seguridad de TI, dice Bradley. Esta recopilación de información puede comenzar durante el período previo a la firma en la fase de intercambio de documentos y entrevista del proceso de adquisición. Debe incluir una revisión de las políticas y los procedimientos de recursos humanos de la empresa objetivo y el índice de rotación de empleados del objetivo, particularmente de sus técnicos empresariales de TI.
[Leer también: Para fortalecer la ciberseguridad, empodere a su personal]
También es importante evaluar la capacidad de la empresa para atraer a los mejores cibertalentos y, lo que es aún más importante, su capacidad para retener a este talento, ya que eso da un mensaje claro de cuán exitosamente la empresa mantiene y administra su seguridad de red. De todos los aspectos de la ciberseguridad a los que se debe prestar atención durante una adquisición, el personal de seguridad de red puede ser el más descuidado. Sin importar lo sólida que sea una plataforma de seguridad, se atrofiará rápidamente sin contar con los talentos necesarios para operarla y mantenerla.
