Łączenie dwóch podmiotów gospodarczych jest często trudnym zadaniem. Istnieje wiele czynników, które należy wziąć pod uwagę: od struktury, przez zespół aż po narzędzia czy różnice kulturowe. Wnikliwy proces due diligence jest niezbędny do zrozumienia, jak działają wszystkie elementy organizacji i jak ze sobą współpracują. Niestety, rygor stosowany w procesach tego typu nie zawsze jest stosowany w obszarze cyberochrony.

Raporty rynkowe szacują, że cztery na dziesięć firm zaangażowanych w przejęcie lub fuzję odkrywa problemy związane z cyberbezpieczeństwem dopiero po połączeniu organizacji. Tymczasem, według raportu Deloitte „The beginning of a new M&A season. Future of a deal”, rynek podlega przemianom i jego globalna wartość w obszarze M&A rośnie. W Polsce spodziewane jest odbicie i nowa fala przejęć związana z możliwymi brakami sukcesji.

Firmy mogą borykać się z kłopotami wynikającymi z niedopatrzeń w kwestiach cyberochrony. A przecież wiemy, że cyberataki są jednym z największych zmartwień dla biznesu europejskiego i pozostaną nim przez kolejną dekadę. Związane z biznesem ryzyka cyberzagrożeń nie ułatwiają realizacji zadań IT przy transakcjach M&A. Zbyt często czynniki te są pomijane w procesie łączenia dwóch organizacji, a tymczasem warto:

- upewnić się, że kwestie technologiczne są integralną częścią procesu negocjacji. Technologia musi znaleźć się w agendzie rozmów. Trzeba zrozumieć sieci, architektury systemów i przepływy danych w obu firmach. Rozważane kwestie powinny uwzględniać specyfikę branżową, geopolitykę oraz rodzaj dostarczanych produktów i usług. Ważna jest także transparentność. Technologiczne aspekty (cele) przejęcia powinny być ewaluowane tak samo rygorystycznie, jak ewaluuje się zewnętrznych dostawców biznesu. Jakie polityki ochrony stosują? Jak są certyfikowani czy weryfikowani pracownicy? Do jakich standardów się stosują? Trzeba zagłębić się w temat i przepracować wszystkie historyczne incydenty związane z cyberbezpieczeństwem. Włącznie z podjętymi próbami naruszeń i naruszeniami, które miały miejsce w obrębie ochrony danych. Kolejnym krokiem jest zrozumienie, jak organizacja reagowała na incydenty w przeszłości. Tylko w ten sposób obie strony mogą zyskać pewność, że są odpowiednio przygotowane do bezpiecznego połączenia. Niewiedza czy brak zrozumienia dla działań w obszarze cyberochrony stanowi poważne ryzyko.

- wziąć pod uwagę sposób używania informacji w świecie RODO. Ważne jest zrozumienie sposobu zbierania i używania danych osobowych przez firmę sprzedającą. W procesie warto rozważyć istotne ryzyka ochrony i zarządzania danymi osobowymi oraz uwzględnić ich wpływ i ewolucję w połączonej organizacji. Ponadto trzeba się upewnić, czy wszystkie zobowiązania i umowy sprzedawanej firmy wobec klientów (w relacji do prywatności i działań z danymi) są kontrolowane. Jest to szczególnie istotne dla danych wrażliwych i tych dotyczących konsumentów.

- wyznaczyć osobę odpowiedzialną za dostosowanie infrastruktury IT i to na początku procesu. Gdy porozumienie doszło do skutku i odpowiednia dokumentacja została podpisana, najważniejsze jest wyznaczenie osoby nadzorującej całe przedsięwzięcie od strony technologicznej.

Przejęcia i akwizycje są nie lada okazją dlacyberprzestępców. Tak złożony proces obejmuje wiele zmiennych, a możliwy obszar ataku zwiększa się błyskawicznie. Gdy dwie firmy podążają w zupełnie nowym dla siebie kierunku, a stare struktury podlegają transformacji, mogą pojawić się niedopatrzenia. Cyberochrona powinna być priorytetem, elementem długoterminowego planowania transakcji – dla obu biznesów.

Źródło: F5