Minimizando sua superfície de ataque durante M & A e alienações

A devida diligência comercial minimiza os riscos e fornece à diretoria da organização a confiança necessária para prosseguir com as negociações sobre a aquisição ou venda de uma parte do negócio. No entanto, à medida que a segurança cibernética se torna uma parte cada vez mais importante do processo de avaliação, as equipes de TI podem realmente concluir a transição para uma nova propriedade sem expor a empresa a níveis indesejáveisde risco?

Em um relatório recente da Forescout, a aquisição de tecnologia foi considerada a principal prioridade da estratégia M & A e dois terços dos entrevistados disseram que as preocupações com a segurança cibernética causaram arrependimento em suas empresas ao fazerem um acordo M & A.

Essas medidas corporativas ou mudanças na maquinaria do governo geralmente vêm com incentivos para que a administração conclua dentro de prazos agressivos. Os objetivos óbvios de simplesmente incluir sistemas de^terceiros ou separar os sistemas que estão sendo alienados parecem ótimos no papel, mas quando os dedos tocam nos teclados, são as equipes de segurança, rede e infraestrutura de TI que têm a difícil tarefa de fazer essa atividade acontecer.

A aquisição de risco cibernético pode ser vista como um aspecto negativo do M & A. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em M & A e um fator importante quando você é o lado vendedor.

Mudanças na composição comercial e na operação de TI são alvos comuns e oportunos para que agentes mal-intencionados se beneficiem da interrupção dos negócios como de costume. Sem a segurança Zero Trust já buscada nos dois lados da mesa de negociações, a exploração de falhas de segurança preexistentes e uma maior superfície de ataque podem significar que a mudança de propriedade pode funcionar como um “cavalo de Tróia”, onde qualquer ransomware, malware ou ataque direcionado pós-fechamento ou ameaça persistente avançada (APT) existente se propaga para dentro e por toda a empresa do comprador.

No mesmo estudo, mais da metade dos entrevistados relataram ter encontrado um problema ou incidente crítico de segurança cibernética durante um acordo M & A que colocou o negócio em risco.

Considerações sobre segurança de aquisição

Antes ou depois da assinatura de um acordo, é particularmente pertinente determinar o risco relacionado à higiene da segurança do data center nos aplicativos adquiridos e nos data centers de nuvem híbrida. O Centro de Segurança Cibernética da Austrália recomenda que as organizações que iniciam essa atividade compreendam o ambiente operacional e os controles de segurança que protegem dados e sistemas para garantir uma proteção equivalente ou maior no novo ambiente operacional. Também existem possíveis consequências financeiras para as partes envolvidas em relação à conformidade regulatória e à legislação de privacidade.

Com pouco ou nenhum controle sobre os aplicativos herdados por meio de uma aquisição, as equipes de TI geralmente se perguntam: O que acabamos de herdar? Eles utilizam tecnologias de infraestrutura diferentes das nossas, como Kubernetes ou nuvens públicas alternativas? Quais práticas de proteção de dados, aplicativos, segurança de terminais e gerenciamento de vulnerabilidades foram seguidas? E o que a ingestão dessas cargas de trabalho significa para nossa superfície de ataque atual?

As equipes de segurança do comprador geralmente são impedidas de realizar qualquer avaliação pela falta de visibilidade dos ativos do data center que estão comprando e pela falta de oportunidade de identificar as falhas existentes que permitem a movimentação lateral e a exposição de dados confidenciais. Sem entender como os aplicativos e as cargas de trabalho estão conectados e se comunicando, as empresas adquirentes correm o risco de interromper os aplicativos e interromper o serviço durante a migração ou ao proteger os aplicativos adquiridos depois de recebidos. Além disso, como as aquisições nem sempre envolvem a compra de aplicativos totalmente complementares, esse entendimento é igualmente importante na adoção gradual de sistemas de recebimento e entrada no data center, identificando sobreposições de redundância e descomissionamento e, em seguida, gerando o valor agregado entre os sistemas que o M & A foi projetado para alcançar.

Considerações sobre segurança de alienação

A aquisição de risco cibernético pode ser vista como um aspecto negativo do M & A. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em M & A e um fator importante quando você é o lado vendedor. Em uma pesquisa conduzida pela ISC2, 95% dos profissionais entrevistados do M & A consideraram a segurança cibernética um ativo tangível que é sustentado pela pilha técnica do aplicativo ou serviço, mas se estende ao programa mais amplo de segurança e gerenciamento de riscos. Um forte programa de segurança cibernética pode ser utilizado como um diferencial e um valor agregado no processo M & A. Um investimento nisso não apenas torna sua venda mais atraente, mas também pode exigir um preço mais alto.

Embora se possa achar que estar “à venda” deve simplificar o processo (já que você deve saber mais sobre seu próprio ambiente), a dívida técnica e a natureza interconectada dos sistemas em seus próprios data centers representam um desafio para identificar e ser capaz de desvendar e eliminar os ativos a serem vendidos. Pode ser difícil responder às suas próprias perguntas, como: quais cargas de trabalho executam os aplicativos ou a parte da empresa que está sendo vendida, e se sabemos a que esses sistemas estão conectados e quem os está acessando atualmente?

Você também pode ser limitado pelos controles existentes a elevar a segurança ao nível exigido pelo adquirente ou que pesaria a balança a seu favor durante as negociações. Também é comum que as obrigações contratuais da venda exijam que você continue a operar esses sistemas por um longo período em seu ambiente, portanto, é necessário um mecanismo eficiente para desvendá-los e isolá-los sem removê-los completamente.

Em resumo, os desafios comuns de aquisição e alienação incluem:

• Falta de visibilidade das dependências do aplicativo para entender, migrar e integrar novos ativos/cargas de trabalho ou separar ativos no escopo da venda.
• As políticas de segurança existentes geralmente são estáticas, vinculadas à implementação da infraestrutura e da segurança do data center e, portanto, não podem ser migradas de forma adaptativa com as cargas de trabalho à medida que são passadas entre as entidades.
• Migrar aplicativos desconhecidos sem comprometer a segurança ou interromper serviços é difícil, pois os aplicativos modernos são interdependentes e podem ser frágeis.
• Não quebrar o software durante a conclusão do processo de transição é vital para manter o máximo possível de negócios normalmente.
• Risco de comprometimento dos dados do cliente e da empresa durante a migração com a abertura de firewalls de ponta.

Como o Illumio ajuda

A migração de aplicações sem comprometer a segurança é essencial para um resultado bem-sucedido, e a Illumio é fundamental para a estratégia de fusões e aquisições de algumas das organizações mais aquisitivas do mundo. O Illumio resolve os desafios mais comuns, permitindo que você:

1. Mapear as dependências de aplicativos dentro do seu próprio ambiente (desinvestimento) ou do ambiente da empresa-alvo (aquisição). O mapa de dependências de aplicativos da Illumio fornece insights em tempo real para ajudar as empresas a visualizar os aplicativos adquiridos ou vendidos e suas cargas de trabalho em todos os ambientes antes da migração. Ao compreender as dependências da aplicação, as equipes podem garantir que a migração seja eficiente e que o comportamento da aplicação não seja interrompido.
2. Elabore uma política de segmentação para isolar a infraestrutura de TI crítica, aproveitando o mapa de dependências de aplicativos. O Illumio Policy Generator automatiza a criação de políticas de segmentação com políticas de microsegmentação otimizadas, o que economiza tempo, acelera os fluxos de trabalho de segurança e reduz o risco de erros humanos, protegendo os sistemas adquiridos ou vendidos de forma a conter qualquer violação.
3. Proteja sua infraestrutura dos servidores e aplicativos da empresa-alvo. A política de microssegmentação adaptável se ajusta às mudanças no ambiente de aplicativos — à medida que os aplicativos se movem, o mesmo acontece com a segurança. Isso permite que os aplicativos sejam protegidos antes da migração e que as políticas se ajustem automaticamente após a migração, mantendo uma proteção consistente e contínua durante o processo de transição.

Se você está adquirindo e precisa de confiança para fazer isso de maneira segura ou vendendo e pode aumentar seu preço e, ao mesmo tempo, reduzir o esforço para cortar esses ativos, a Illumio reduzirá o risco de suas iniciativas comerciais.

Quer saber mais? Leia como Western Union garante a integração da sua fusão e aquisição com a Illumio.