Minimizar su superficie de ataque durante fusiones y adquisiciones y desinversiones

La debida diligencia comercial minimiza los riesgos y proporciona a la junta directiva de una organización la confianza necesaria para proceder con las negociaciones sobre una adquisición o venta de una parte del negocio. Sin embargo, a medida que la ciberseguridad se convierte en una pieza cada vez más importante del proceso de evaluación, ¿pueden los equipos de TI completar realmente la transición a una nueva propiedad sin exponer a la empresa a niveles de riesgo no deseados?

En un reciente Informe Forescout, se acordó que la adquisición de tecnología era una prioridad máxima para la estrategia de fusiones y adquisiciones y dos tercios de los encuestados dijeron que las preocupaciones de ciberseguridad llevaron al arrepentimiento dentro de sus empresas al hacer un acuerdo de M&A.

Estas mudanzas corporativas o cambios en la maquinaria del gobierno a menudo vienen con incentivos para que la administración se complete dentro de plazos agresivos. Los objetivos obvios de simplemente traer un 3^rojo los sistemas del partido en el redil, o la separación de los sistemas que se están desdoblando, suena genial en el papel, pero cuando los dedos golpean los teclados, son los equipos de seguridad de TI, redes e infraestructura los que tienen la abrumadora tarea de hacer que esta actividad suceda.

La adquisición de riesgo cibernético puede verse como un aspecto negativo de las M&A Sin embargo, cuando se implementa correctamente, un programa de ciberseguridad es un activo en M&A y un factor importante cuando eres el lado vendedor.

Los cambios en la composición comercial y la operación de TI son objetivos habituales y oportunos para que los actores malintencionados se beneficien de la interrupción del negocio como de costumbre. Sin Zero Trust, la seguridad ya se luchó por ambos lados de la mesa de negociaciones, explotes de fallas de seguridad preexistentes y un aumento superficie de ataque puede significar que el cambio de propiedad puede actuar como un 'Caballo de Troyano', donde cualquier cierre posterior ransomware, el malware o el ataque dirigido o la amenaza persistente avanzada (APT) existente se propaga dentro y a través del negocio del comprador.

Del mismo estudio, más de la mitad de los encuestados informaron que se habían encontrado con un problema o incidente crítico de ciberseguridad durante un acuerdo de M&A que puso en peligro el acuerdo.

Consideraciones de seguridad de adquisición

Ya sea antes o después de que se firme un acuerdo, es particularmente pertinente determinar el riesgo relacionado con la higiene de seguridad del centro de datos dentro de las aplicaciones adquiridas y los data centers de nube híbrida. Centro de Ciberseguridad de Australia aconseja que las organizaciones que ingresan a dicha actividad comprendan el entorno operativo y los controles de seguridad que protegen los datos y los sistemas para garantizar una protección equivalente o mayor en el nuevo entorno operativo. También existen posibles consecuencias financieras para las partes involucradas en relación con el cumplimiento normativo y la legislación sobre privacidad.

Con poco o ningún control sobre las aplicaciones heredadas a través de una adquisición, los equipos de TI a menudo se quedan cuestionando: ¿Qué es lo que acabamos de heredar? ¿Utilizan tecnologías de infraestructura diferentes a las que utilizamos nosotros, como Kubernetes o nubes públicas alternativas? Qué protección de datos, aplicación, seguridad de punto final y se han seguido las prácticas de administración de vulnerabilidades? ¿Y qué significa la ingestión de estas cargas de trabajo para nuestra superficie de ataque actual?

Los equipos de seguridad del comprador a menudo se ven obstaculizados en cualquier evaluación por la falta de visibilidad de los activos del centro de datos que están comprando y la falta de oportunidad para identificar fallas existentes que permitan el movimiento lateral y la exposición de datos confidenciales. Sin comprender cómo se conectan y comunican las aplicaciones y las cargas de trabajo, las empresas adquirentes corren el riesgo de romper las aplicaciones e interrumpir el servicio durante la migración o mientras protegen las aplicaciones adquiridas una vez recibidas. Además, dado que las adquisiciones no siempre implican la compra de aplicaciones completamente complementarias, esa comprensión es igualmente importante en la adopción gradual de sistemas de recepción y entrada en el centro de datos, identificando solapamientos de redundancia y desactivación, y luego conduciendo al valor agregado entre los sistemas para los que se diseñó la M&A.

Consideraciones de seguridad de desinversión

La adquisición de riesgo cibernético puede verse como un aspecto negativo de las M&A Sin embargo, cuando se implementa correctamente, un programa de ciberseguridad es un activo en M&A y un factor importante cuando eres el lado vendedor. En un encuesta realizada por ISC2, el 95% de los profesionales de M&A encuestados consideró que la ciberseguridad es un activo tangible que se sustenta en la pila técnica de la aplicación o servicio, pero que se extiende al programa más amplio de seguridad y administración de riesgos. Un sólido programa de ciberseguridad puede ser utilizado como diferenciador y valor agregado en el proceso de fusiones y adquisiciones. Una inversión en esto no solo hace que su venta sea más atractiva sino que podría demandar un precio más alto.

Si bien uno podría sentir que estar en el lado “en venta” de la cerca debería simplificar el proceso (ya que debería saber más sobre su propio entorno), la deuda técnica y la naturaleza interconectada de los sistemas dentro de sus propios centros de datos plantea un desafío para identificar y poder desenredar y cortar los activos a vender. Probablemente sea un desafío responder a sus propias preguntas, como, qué cargas de trabajo ejecutan las aplicaciones o la parte del negocio que se vende, y ¿sabemos a qué están conectados esos sistemas y quién accede a ellos hoy en día?

También puede estar limitado por los controles existentes para elevar la seguridad al nivel que requiere el adquirente o que pesaría el saldo a su favor durante las negociaciones. También es común que las obligaciones contractuales de la venta requieran que continúe funcionando esos sistemas por un periodo prolongado dentro de su entorno, por lo que se necesita un mecanismo eficiente para desenredarlos y aislarlos sin eliminarlos por completo.

En resumen, los desafíos comunes tanto de la adquisición como de la desinversión incluyen:

• Falta de visibilidad de las dependencias de las aplicaciones para comprender, migrar e integrar nuevos o separar los activos/cargas de trabajo en el ámbito de la venta.
• Las políticas de seguridad existentes suelen ser estáticas, están vinculadas a la implementación de seguridad de la infraestructura y del data center y, por lo tanto, no se pueden migrar de manera adaptativa con las cargas de trabajo a medida que pasan entre las entidades.
• Migrar aplicaciones desconocidas sin comprometer la seguridad o interrumpir los servicios es difícil, ya que las aplicaciones modernas son interdependientes y pueden ser frágiles.
• No romper el software mientras se completa el proceso de transición es vital para mantener tanto negocio como sea posible.
• Riesgo de comprometer los datos del cliente y de la empresa durante la migración con firewalls perimetrales abiertos.

Cómo ayuda Illumio

La migración de aplicaciones sin comprometer la seguridad es la esencia de un resultado exitoso, y el Illumio Plataforma de Seguridad Adaptativa (ASP) es fundamental para la estrategia de fusiones y adquisiciones de algunas de las organizaciones más adquisitivas del mundo. Illumio ASP resuelve los desafíos más comunes al permitirle:

1. Mapear las dependencias de las aplicaciones dentro de su propio entorno (desinversión) o del objetivo (adquisición). Illumino ASP's mapa de dependencia de aplicaciones proporciona información en tiempo real para ayudar a las empresas a visualizar las aplicaciones adquiridas o vendidas y sus cargas de trabajo en todos los entornos antes de la migración. Al comprender las dependencias de las aplicaciones, los equipos pueden garantizar que la migración sea eficiente y que el comportamiento de las aplicaciones no se vea interrumpido.
2. Cree políticas de segmentación para aislar la infraestructura crítica de TI, aprovechando el mapa de dependencia de las aplicaciones. Illumino's Generador de políticas automatiza la creación de políticas de segmentación con una política de microsegmentación optimizada que ahorra tiempo, acelera los flujos de trabajo de seguridad y reduce el riesgo de errores humanos al cercado anular los sistemas adquiridos o vendidos para que se contenga cualquier brecha.
3. Proteja su infraestructura de los servidores y aplicaciones de la empresa de destino. La política de microsegmentación adaptable se ajusta a los cambios en el entorno de las aplicaciones, a medida que las aplicaciones se mueven, también lo hace la seguridad. Esto permite que las aplicaciones estén protegidas antes de la migración y que las políticas se ajusten automáticamente después de la migración, manteniendo una protección constante y continua durante el proceso de transición.

Ya sea que esté adquiriendo y necesite la confianza para hacerlo de manera segura, o vendiendo y pueda reforzar su precio mientras reduce el esfuerzo para cortar esos activos, Illumio ASP reducirá el riesgo de sus iniciativas comerciales.

Leer la historia de una organización Fortune 500 que finalizó sin problemas una adquisición de alto perfil, implementando Illumio ASP en los 700 servidores de la compañía adquirida.