A pesar de la desaceleración mundial en el ámbito de las operaciones de fusiones y adquisiciones —tal y como han destacado esta semana , , The Wall Street Journal,y —, las fusiones y adquisiciones (M&A) siguen muy vigentes.
Si bien es cierto que la incertidumbre económica y la guerra en Ucrania han frenado de hecho las operaciones, los líderes empresariales siguen buscándolas cuando tienen sentido (véase JetBlue y Spirit Airlines). El año pasado, el valor de las operaciones de fusiones y adquisiciones a nivel mundial alcanzó los 5.1 billones de dólares, lo que supone un aumento con respecto a los apenas 3.8 billones de dólares del año anterior, según la firma de auditoría KPMG. A pesar de la reciente desaceleración de las transacciones que se ha observado en , el interés por las fusiones y adquisiciones entre los ejecutivos sigue siendo sólido.
Sin embargo, en su prisa por adquirir y fusionarse, los directores generales y sus consejos de administración suelen dejar de lado la ciberseguridad en el proceso de negociación. En algunos casos, esto ha dañado la reputación y la imagen de marca de las empresas, ha dado lugar a multas regulatorias cuantiosas y ha provocado la reevaluación de importantes ofertas por un importe de hasta 350 millones de dólares.
Gestionar un incidente cibernético antes, durante o después de una transacción puede suponer una gran distracción. «Los responsables de ciberseguridad deben asegurarse de poder apoyar a la empresa a la hora de impulsar el crecimiento y generar ingresos, y ya hay suficientes variables en juego durante un proceso de fusiones y adquisiciones», afirma Shay Colson, socio director de la empresa de investigación y análisis forense informático Cyber Diligence.
«Resulta útil pensar en la ciberseguridad como el bajista de una operación de fusiones y adquisiciones: sienta unas bases sólidas, pero trabaja en segundo plano.»
Si las empresas interesadas en fusiones y adquisiciones no abordan adecuadamente la ciberseguridad, pueden esperar que sigan produciéndose sorpresas en el ámbito de las operaciones de mercado. Con el fin de ayudar a mitigar esos escollos y proporcionar a los responsables de seguridad un conjunto de herramientas con las que asesorar a sus altos directivos, Endpoint ha realizado una encuesta entre los directores de seguridad de la información (CISO) y otros profesionales para recopilar las siguientes prácticas recomendadas:
Manténgase al tanto de las operaciones de fusiones y adquisiciones
Cuanto antes se ponga al corriente el CISO sobre un acuerdo, mejor. Lamentablemente, debido a la necesidad de mantener las negociaciones en secreto durante las primeras fases, normalmente solo un puñado de directivos están al corriente de los posibles acuerdos.
Pero eso no debería impedir que los CISO informen discretamente a los directivos antes de cualquier posible adquisición. «Los CISO deben saber si su organización cuenta con una estrategia de adquisiciones o si se trata de algo que podría producirse en el futuro», afirma Theresa Payton, directora ejecutiva de la consultora de seguridad Fortalice Solutions. «Si es así, informar con antelación a su equipo directivo puede resultarle de gran ayuda».
«. Los CISO deben saber si su organización cuenta con una estrategia de adquisición o si es algo que podría ocurrir en el futuro.»Theresa Payton, directora ejecutiva de Fortalice Solutions
«Creo que la mayoría de los directores de sistemas de información (CIO) y de seguridad de la información (CISO) ya lo saben, pero siempre viene bien recordar que la ciberseguridad no es el protagonista en las fusiones y adquisiciones», afirma Colson. «Para cuando los equipos encargados de la operación estén ya constituidos y en marcha, es muy improbable que un hallazgo relacionado con la ciberseguridad frustre la operación».
Colson afirma que resulta útil pensar en la ciberseguridad más bien como el bajista: alguien que sienta unas bases sólidas, pero que suele trabajar en segundo plano para respaldar al resto de intérpretes. «Eso requiere un cierto grado de humildad, pero da lugar a resultados sistemáticamente mejores tanto durante la fase de diligencia debida como una vez cerrada la operación», afirma.
El hecho de no estar presentes en la mesa de negociaciones no significa que los intereses de los CISO tengan que quedar sin representación. Deberían ponerse en contacto con ellos antes de cualquier operación y informar al director general, a los miembros del consejo de administración y al resto de altos directivos sobre los riesgos y la importancia de garantizar una ciberseguridad adecuada durante cualquier fusión o adquisición.
Prepare a los líderes empresariales con las preguntas adecuadas
No hacen falta muchas preguntas para hacerse una idea del grado de madurez del programa de ciberseguridad de una empresa objetivo de una operación de fusión y adquisición. Según Payton, de Fortalice Solutions, los directivos que participan en las primeras fases de una operación pueden realizar algunas consultas estratégicas para iniciar el proceso de diligencia debida en materia de ciberseguridad sin que el CISO esté presente en la sala.
Las preguntas varían según el sector. Por ejemplo, las organizaciones sanitarias pueden preguntar por las medidas de protección de la información sensible de carácter personal, mientras que las empresas de software podrían evaluar la seguridad de los procesos de desarrollo de software. Los directivos de la empresa podrían intentar identificar al responsable de seguridad de la información (CISO) o al director de sistemas de información (CIO) que se encarga en exclusiva de las medidas de ciberseguridad de la empresa objetivo.
«El hecho de que una empresa de un tamaño considerable no cuente con una persona encargada de la seguridad, o que no se hayan definido procesos de desarrollo de software realmente seguros, son señales de alarma muy graves», afirma Payton. Además, le sugiere que pregunte por su sistema de autenticación multifactorial en lo que respecta a las transacciones monetarias o al tratamiento de datos sensibles. «Si le responden: “¿Qué es eso?”, ahí tiene su respuesta».
Lleve a cabo la debida diligencia
En la medida de lo posible antes de que se cierre una operación, es importante conocer el estado de seguridad de la empresa con la que se va a fusionar o del objetivo de la adquisición. ¿Qué programas y controles de seguridad se han implantado? ¿Cuáles son las diferencias entre los programas de seguridad de las organizaciones implicadas en la operación?
«: Puedo descubrir los puntos débiles de la tecnología y los procesos en tres días o menos.»Glenn Kapetansky, director de seguridad (CSO) y responsable de capacidades tecnológicas de Trexin Consulting
El Instituto Americano de Contables Públicos Certificados (AICPA) establece cómo deben gestionar las organizaciones los datos de los clientes y ha elaborado una norma de cumplimiento voluntaria denominada SOC 2. Aunque es posible que algunas empresas dispongan de informes de cumplimiento de la norma SOC 2 actualizados que indiquen su nivel de madurez en materia de tecnologías de la información y seguridad, en muchos casos la empresa objetivo también debería someterse a una evaluación realizada por terceros.
Dicha evaluación ofrecerá garantías razonables de que la empresa no ha incurrido en negligencia y contribuirá a preparar el terreno para un análisis más exhaustivo tras la fusión o la adquisición.
[Véase también: 5 pasos para evaluar la ciberseguridad antes de una adquisición]
Incluso antes de que se firme un acuerdo, es el momento de empezar a planificar las iniciativas de seguridad a largo plazo que deben ponerse en marcha a continuación, sobre todo cuando las organizaciones implicadas son similares en cuanto a tamaño y madurez. Las empresas que vayan a adquirir varias empresas deberían plantearse elaborar guías de integración para áreas clave de seguridad, tales como la gestión de identidades, la autenticación y la autorización, la auditoría y el registro de actividades, las copias de seguridad y la gestión de vulnerabilidades. Además, deben garantizar que los controles se apliquen de forma coherente a las empresas recién adquiridas.
Llevar a cabo una evaluación de riesgos tras la operación
Una vez firmados los contratos, es fundamental poner en marcha una evaluación lo antes posible. Averigüe quién se encargará de mitigar los riesgos que pueda detectar una auditoría y de establecer hitos para abordar dichos problemas. Esto incluye actividades que contribuirían a evaluar los riesgos iniciales, como la realización de pruebas de penetración y de aplicaciones web.
«: Es necesario que sepa qué es lo que va a proteger». Eso es imposible sin un inventario adecuado.»Anthony Catalano, responsable nacional de ciberseguridad para el sector del capital riesgo, RSM US
Eric Galis, director de seguridad de la información (CISO) de la empresa de tecnología educativa Cengage Group, aconseja a las empresas que basen su metodología de evaluación y sus planes de integración en el mismo marco que rige su propia estrategia de seguridad, ya sea la norma NIST 800-53 o los «Controles de seguridad críticos» del Centro para la Seguridad en Internet. «Esto garantiza la coherencia y permite una integración más sólida en las prácticas actuales de ciberseguridad», afirma Galis.
«Un aspecto fundamental que hay que comprender es el flujo de datos dentro de la organización adquirida», afirma Glenn Kapetansky, director de seguridad (CSO) y responsable de capacidades tecnológicas de la consultora empresarial Trexin Consulting. Aconseja a los CISO que se reúnan con los directores u otros ejecutivos que dirigen las funciones de TI y les pidan que hagan un seguimiento del flujo de datos desde la fase de pruebas hasta la de producción. Según él, el riesgo se esconde en los datos, en el acceso a los mismos y en su tratamiento, y puede afectar de manera significativa a la valoración de la empresa. La mitigación de ese riesgo debe seguir siendo una prioridad fundamental a lo largo de todo el proceso de fusión o adquisición, así como una vez finalizado este.
«Pregunto por las aplicaciones relacionadas con los datos en las pruebas de aplicaciones, las pruebas de aceptación por parte de los usuarios, la fase de producción, así como los sistemas y la infraestructura», afirma Kapetansky. «Por último, les pregunto por los procesos y las funciones que intervienen en sus ciclos de vida del desarrollo de software. «Sin excepción, siempre consigo descubrir el punto débil de la tecnología y los procesos en tres días o menos».
Además, resulta fundamental realizar un inventario exhaustivo de las aplicaciones y demás activos conectados a la red que deberán evaluarse una vez que se haya completado la fusión o adquisición y comience la consolidación de las distintas pilas tecnológicas. «Es necesario saber qué es lo que se va a proteger, y eso resulta imposible sin un inventario adecuado», afirma Anthony Catalano, responsable nacional de ciberseguridad para el sector del capital riesgo en RSM US, una empresa de auditoría, asesoría fiscal y consultoría.
Integrar los equipos de seguridad de ambas empresas
Por último, la integración satisfactoria de los equipos de seguridad de cada organización sentará las bases para el éxito a largo plazo. Si bien es indudablemente importante comprender el perfil de seguridad de una empresa objetivo de una fusión o adquisición, resulta igualmente necesario que los responsables sepan cómo van a garantizar la seguridad de la organización recién constituida de cara al futuro.
«Realice un análisis de riesgos y una auditoría de los representantes de ambos departamentos para identificar sus puntos fuertes y débiles», afirma Wojciech Syrkiewicz-Trepiak, ingeniero de seguridad del proveedor de código de infraestructura Spacelift. «Reúnan a todos en una misma sala y hablen entre ustedes». «Si cuenta con miembros del equipo con talento en ambos bandos, déjeles hacer su trabajo definiendo los objetivos».
Evalúe la próxima operación y la siguiente
En definitiva, las empresas deben mirar hacia el futuro y hacia la próxima operación. Los CISO no solo deben asegurarse de que se les consulte desde el principio en cualquier futura operación de fusión o adquisición, sino que también deben buscar formas de aprovechar dicha operación como una oportunidad para justificar medidas destinadas a reforzar su presupuesto de seguridad.
«A menudo se producen costes puntuales derivados de una fusión que su empresa podrá contabilizar como gasto», afirma Payton. «Esta es una magnífica oportunidad para identificar ámbitos en los que exista un motivo fiscal válido relacionado con la fusión y que pueda justificar la adopción de medidas de seguridad adicionales».
Y ante las importantes amenazas que se ciernen tras un acuerdo, ¿qué responsable de seguridad de la información (CISO) no necesita disponer de más herramientas?
