建站
咨詢
售后
建站咨詢
新聞中心
并購有可能給企業(yè)帶來重大的網(wǎng)絡(luò)安全風(fēng)險。全球技術(shù)研究和咨詢機(jī)構(gòu)ISG公司的合伙人兼網(wǎng)絡(luò)安全聯(lián)合主管Doug Saylors表示，實(shí)施企業(yè)并購的團(tuán)隊(duì)通常規(guī)模有限，主要專注于財務(wù)和業(yè)務(wù)運(yùn)營的問題，IT和網(wǎng)絡(luò)安全在并購過程的早期往往處于次要地位。Saylors說：“有關(guān)網(wǎng)絡(luò)連接、合理化IT和網(wǎng)絡(luò)安全平臺以及員工的假設(shè)，通常是在對每個企業(yè)的實(shí)際職能和工作知之甚少的情況下做出的?！?/p>
10年積累的成都網(wǎng)站建設(shè)、成都網(wǎng)站制作經(jīng)驗(yàn)，可以快速應(yīng)對客戶對網(wǎng)站的新想法和需求。提供各種問題對應(yīng)的解決方案。讓選擇我們的客戶得到更好、更有力的網(wǎng)絡(luò)服務(wù)。我雖然不認(rèn)識你，你也不認(rèn)識我。但先網(wǎng)站制作后付款的網(wǎng)站建設(shè)流程，更有瑞安免費(fèi)網(wǎng)站建設(shè)讓你可以放心的選擇與我們合作。
調(diào)研機(jī)構(gòu)Gartner公司在發(fā)布的一份關(guān)于并購和盡職調(diào)查過程中的網(wǎng)絡(luò)安全調(diào)查報告稱，正在合并、被收購或進(jìn)行任何其他并購活動的企業(yè)必須能夠評估可能影響未來實(shí)體業(yè)務(wù)戰(zhàn)略和風(fēng)險的安全需求。報告指出：“這將導(dǎo)致對被收購的企業(yè)安全狀況的了解(在交易之前可能的范圍內(nèi))，以確保沒有受到?jīng)_擊，并制定出如何安全可靠地解決整合問題的計(jì)劃?！?/p>
例如2017年，雅虎公司發(fā)生兩起大規(guī)模數(shù)據(jù)泄露事件，導(dǎo)致其30億用戶賬戶全部泄露，Verizon公司為此取消了3.5億美元收購雅虎公司運(yùn)營的業(yè)務(wù)的交易。雅虎公司最初表示，數(shù)據(jù)泄露只影響了10億多個用戶賬戶。Verizon公司最終以44.8億美元收購了該公司。
以下是幫助企業(yè)在并購過程中管理網(wǎng)絡(luò)安全風(fēng)險的五種策略，可以為收購方提供借鑒和幫助。
1、要求對計(jì)劃收購的目標(biāo)公司進(jìn)行安全評估
全球?qū)I(yè)服務(wù)商Vaco Holdings公司的安全、合規(guī)和風(fēng)險主管Vladimir Svidesskis表示，在開始收購交易之前，收購方需要對計(jì)劃收購的目標(biāo)公司進(jìn)行當(dāng)前或近期的評估，無論是具體的審計(jì)、安全態(tài)勢評估還是業(yè)務(wù)評估，并考慮何時進(jìn)行評估。
他說：“在理想情況下，收購方希望這份評估是在過去9個月內(nèi)完成的，任何超過一年的信息都是無效的。收購方需要將這些信息與現(xiàn)行的政策和程序以及最新的戰(zhàn)略目標(biāo)相平衡。他們的政策、程序和流程是否與此一致?評估是否支持一定程度的保證?這些政策和程序是否得到了遵守?”
Svidesskis表示，收購方還應(yīng)獲得有關(guān)可疑和已確認(rèn)的安全或合規(guī)事件、風(fēng)險暴露、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)相關(guān)保險活動等的任何信息。他說，“這應(yīng)該包括法律上可能沒有要求披露的事情。例如，即使這是一個不向政府部門報告的內(nèi)部事件，這仍然是需要提前了解的相關(guān)信息?！?/p>
2、確保被收購的目標(biāo)公司在其軟件中設(shè)計(jì)了安全性
曾經(jīng)收購Black Duck Software公司的Synopsys公司的審計(jì)業(yè)務(wù)總經(jīng)理Philip Odence表示，在科技公司的交易中，技術(shù)是目標(biāo)產(chǎn)品或其重要組成部分，網(wǎng)絡(luò)安全因此是一個特別關(guān)注的焦點(diǎn)。Odence專門從事并購交易的盡職調(diào)查。他表示，收購企業(yè)必須確定目標(biāo)公司是否在其軟件中設(shè)計(jì)了安全性。如果不是這樣，收購方就要在采購之后實(shí)施更多的補(bǔ)救工作。
Odence說：“過多的安全性問題意味著遭受網(wǎng)絡(luò)攻擊的幾率會增加，收購方可能希望將部分資金托管起來，以應(yīng)對這種可能發(fā)生的情況。如果軟件明顯不符合行業(yè)規(guī)范，那么進(jìn)行估值談判也是很正常的?！?/p>
Odence表示，收購方并不期望收購過程完美，但如果需要解決的問題超出其預(yù)期，收購方可能會改變對交易的看法。盡職調(diào)查通常并不會扼殺收購交易，但它們可能會影響交易條款、時機(jī)或估值。他說，“最重要的是，知識就是力量，收購方需要充分利用盡職調(diào)查過程，盡可能多地了解目標(biāo)公司的軟件安全預(yù)成交情況，這樣他們就可以保護(hù)自己免受風(fēng)險影響?！?/p>
3、盡早讓網(wǎng)絡(luò)安全和IT團(tuán)隊(duì)參與進(jìn)來
Inversion6公司董事兼首席信息技術(shù)官Chris Clymer表示，在并購之前，網(wǎng)絡(luò)安全和IT團(tuán)隊(duì)很少參與，因?yàn)槟繕?biāo)是保持較小的圈子。他說，戰(zhàn)略性業(yè)務(wù)收購或合并目標(biāo)的IT和安全狀況很差，這并不少見，修復(fù)這些問題可能要花費(fèi)數(shù)百萬美元。因此，盡早讓網(wǎng)絡(luò)安全和IT團(tuán)隊(duì)參與進(jìn)來并找出關(guān)鍵的弱點(diǎn)是至關(guān)重要的。
Clymer說：“在監(jiān)管寬松的行業(yè)(例如制造業(yè))，我見過被收購的公司缺乏基本的安全補(bǔ)丁和端點(diǎn)安全措施，更不用說更控制措施，例如安全信息和事件管理。”
他表示，企業(yè)減輕網(wǎng)絡(luò)安全風(fēng)險的最佳方法之一是讓IT或安全部門成為審查收購的團(tuán)隊(duì)的一部分，以避免日后出現(xiàn)代價高昂的意外。Clymer說：“此外，IT團(tuán)隊(duì)?wèi)?yīng)該有一個結(jié)構(gòu)化的流程，具體說明他們?nèi)绾芜M(jìn)行收購，其中包括進(jìn)行早期評估，并且告知員工關(guān)于財務(wù)交易變化的問題應(yīng)該聯(lián)系誰，以及在收購的第一天就更改所有關(guān)鍵系統(tǒng)的管理密碼。”
SANS研究所研究員、YL Ventures公司常駐首席信息安全官Frank Kim表示，企業(yè)在進(jìn)行盡職調(diào)查時，通常沒有一個將安全性包括在內(nèi)的流程。從一開始就將網(wǎng)絡(luò)安全團(tuán)隊(duì)包括在這個過程中可以避免許多令人頭痛的問題。他說，“在最糟糕的情況下，安全團(tuán)隊(duì)或首席信息官可能會很晚才加入，而收購或合并團(tuán)隊(duì)會說，‘我們很快就會完成這次并購或收購。下周就要開始了，你們能在我們完成并購之前完成安全審查嗎?’”
然而，Kim表示，如果網(wǎng)絡(luò)安全團(tuán)隊(duì)或首席信息安全官總是在談判桌上占有一席之地，而不是只在出現(xiàn)問題時才參與進(jìn)來，那么他們就可以評估目標(biāo)公司的安全性，并對潛在的網(wǎng)絡(luò)安全風(fēng)險提出質(zhì)疑。
4、了解數(shù)據(jù)環(huán)境的風(fēng)險
Gartner公司分析師Sam Olyaei表示，如果被收購的目標(biāo)公司從一開始就沒有進(jìn)行盡職調(diào)查，那么他們可能不了解自己所處的數(shù)據(jù)環(huán)境類型。他說：“這些目標(biāo)公司可能要處理個人信息和可識別信息，以及可能要處理有監(jiān)管要求的醫(yī)療保健信息，例如HIPAA法規(guī)。他們可能要處理有監(jiān)管要求的支付信息，例如PCI或者有地理監(jiān)管要求的GDPR法規(guī)。所以，他們可能沒有真正從信息的角度或環(huán)境的角度很好地理解所得到的信息。”
不了解數(shù)據(jù)環(huán)境風(fēng)險的問題在于，收購方不知道目標(biāo)公司實(shí)施了哪些類型的安全控制，也不知道他們的環(huán)境是否完全安全，Olyaei表示，這同樣適用于正在合并的公司。他說，“這些公司必須嘗試至少對其正在處理的數(shù)據(jù)環(huán)境有一個很好的想法，并確定潛在的風(fēng)險。對正在追求或打算合并的公司進(jìn)行SWOT(優(yōu)勢、劣勢、機(jī)會和威脅)分析，可以讓收購方很好地了解正在處理的信息和資產(chǎn)?！?/p>
5、對目標(biāo)公司的員工進(jìn)行技能分析
Planview公司的首席技術(shù)官兼首席信息官Joe McMorris表示，重要的是要記住，收購方除了收購目標(biāo)公司的技術(shù)之外，也在收購這些公司的員工。Planview公司已經(jīng)進(jìn)行了多次收購，其中包括2021年1月至2022年6月的三次企業(yè)收購。McMorris說：“企業(yè)需要對即將入職的員工進(jìn)行全面的技能分析，因?yàn)檫@樣可以招聘合格的新員工。在整合過程中，雙方可能會存在知識和技能差距，因?yàn)榭赡苄枰m應(yīng)一些新技術(shù)，而收購方可能沒有相關(guān)領(lǐng)域的專業(yè)知識。”
McMorris表示，在任何整合過程中，對于招聘目標(biāo)公司的員工必須做大量的工作，這是在日常經(jīng)營業(yè)務(wù)的基礎(chǔ)上進(jìn)行的，這可能會導(dǎo)致他們的倦怠、士氣低落和人員流動。他說：“在整合過程中，可以說是風(fēng)險最高的時期，因?yàn)樾枰喜⒕W(wǎng)絡(luò)和技術(shù)，那么會對流程做出改變。在這段時間里，如果企業(yè)流失了員工，或者他們的技能難以勝任現(xiàn)在的工作，那么真正的漏洞和風(fēng)險就會浮出水面。技能分析(可以幫助確保企業(yè))擁有在整合過程中運(yùn)作的員工隊(duì)伍?！?/p>
購買前了解網(wǎng)絡(luò)安全內(nèi)幕
Svidesskis表示，對于收購方來說，重要的是要有更廣闊的視野，制定一個基本并購協(xié)議，包括當(dāng)前風(fēng)險、潛在風(fēng)險的所有方面，以及收購后的評估。最后應(yīng)提交一份報告，其中包括最新的風(fēng)險態(tài)勢和相關(guān)剩余風(fēng)險，以及對風(fēng)險偏好的評估。
他表示，換句話說，收購方就是要放眼全局，并系統(tǒng)地完成整個過程。Svidesskis說，“企業(yè)需要評估安全形勢、態(tài)勢和政策，需要保護(hù)收購方和被收購方的利益，收購方需要讓對方了解其標(biāo)準(zhǔn)和政策是什么，還需要讓他們做出回報，這樣就不會是惡意收購。在這一基礎(chǔ)上，需要采用介于兩者之間的最終結(jié)果，而且最重要的是，需要在整個過程中持續(xù)監(jiān)控和審計(jì)。此外，還需要遵循幾個關(guān)鍵步驟，而且在這些步驟中面臨的問題都應(yīng)該得到解決，以降低風(fēng)險。”
網(wǎng)站標(biāo)題：管理并購中網(wǎng)絡(luò)安全風(fēng)險的五種策略
路徑分享：http://www.dlmjj.cn/article/cojogei.html
