Minimizando sua superfície de ataque durante M & A e alienações

A devida diligência comercial minimiza os riscos e fornece à diretoria da organização a confiança necessária para prosseguir com as negociações sobre a aquisição ou venda de uma parte do negócio. No entanto, à medida que a segurança cibernética se torna uma parte cada vez mais importante do processo de avaliação, as equipes de TI podem realmente concluir a transição para uma nova propriedade sem expor a empresa a níveis indesejáveisde risco?

In a recent Forescout report, technology acquisition was agreed to be a top priority for M&A strategy and two-thirds of the respondents said that cybersecurity concerns led to regret within their companies in making an M&A deal.

Essas medidas corporativas ou mudanças na maquinaria do governo geralmente vêm com incentivos para que a administração conclua dentro de prazos agressivos. Os objetivos óbvios de simplesmente incluir sistemas de^terceiros ou separar os sistemas que estão sendo alienados parecem ótimos no papel, mas quando os dedos tocam nos teclados, são as equipes de segurança, rede e infraestrutura de TI que têm a difícil tarefa de fazer essa atividade acontecer.

A aquisição de risco cibernético pode ser vista como um aspecto negativo do M & A. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em M & A e um fator importante quando você é o lado vendedor.

Changes to commercial makeup and IT operation are rife and opportune targets for malicious actors to benefit from the disruption to business as usual. Without Zero Trust security already strived for on both sides of the negotiating table, exploits of pre-existing security flaws and an increased attack surface can mean the change of ownership can act as a ‘Trojan Horse’, where any post-close ransomware, malware or targeted attack or existing advanced persistent threat (APT) propagates into and across the buyer’s business.

No mesmo estudo, mais da metade dos entrevistados relataram ter encontrado um problema ou incidente crítico de segurança cibernética durante um acordo M & A que colocou o negócio em risco.

Considerações sobre segurança de aquisição

Either before or after a deal is signed, it is particularly pertinent to determine the risk related to data centre security hygiene within acquired applications and hybrid cloud data centers. Australia’s Cyber Security Centre advises that organizations entering such activity understand the operating environment and security controls that protect data and systems to ensure equivalent or greater protection is afforded in the new operating environment. There are also potential financial consequences for the parties involved in relation to regulatory compliance and privacy legislation.

With little to no control over the applications inherited through an acquisition, IT teams are most often left questioning: What have we just inherited? Do they utilize different infrastructure technologies than we do such as Kubernetes or alternate public clouds? What data protection, application, endpoint security and vulnerability management practices have been followed? And what does ingesting these workloads mean to our current attack surface?

As equipes de segurança do comprador geralmente são impedidas de realizar qualquer avaliação pela falta de visibilidade dos ativos do data center que estão comprando e pela falta de oportunidade de identificar as falhas existentes que permitem a movimentação lateral e a exposição de dados confidenciais. Sem entender como os aplicativos e as cargas de trabalho estão conectados e se comunicando, as empresas adquirentes correm o risco de interromper os aplicativos e interromper o serviço durante a migração ou ao proteger os aplicativos adquiridos depois de recebidos. Além disso, como as aquisições nem sempre envolvem a compra de aplicativos totalmente complementares, esse entendimento é igualmente importante na adoção gradual de sistemas de recebimento e entrada no data center, identificando sobreposições de redundância e descomissionamento e, em seguida, gerando o valor agregado entre os sistemas que o M & A foi projetado para alcançar.

Considerações sobre segurança de alienação

Acquisition of cyber risk can be seen as a negative aspect of M&A. However, when implemented correctly, a cybersecurity program is an asset in M&A and an important factor when you are the selling side. In a survey conducted by ISC2, 95% of surveyed M&A professionals considered cybersecurity a tangible asset that is underpinned by the technical stack of the application or service but extends to the broader security and risk management program. A strong cybersecurity program can be utilized as a differentiator and value add in the M&A process. An investment in this not only makes your sale more attractive but could demand a higher price.

Embora se possa achar que estar “à venda” deve simplificar o processo (já que você deve saber mais sobre seu próprio ambiente), a dívida técnica e a natureza interconectada dos sistemas em seus próprios data centers representam um desafio para identificar e ser capaz de desvendar e eliminar os ativos a serem vendidos. Pode ser difícil responder às suas próprias perguntas, como: quais cargas de trabalho executam os aplicativos ou a parte da empresa que está sendo vendida, e se sabemos a que esses sistemas estão conectados e quem os está acessando atualmente?

Você também pode ser limitado pelos controles existentes a elevar a segurança ao nível exigido pelo adquirente ou que pesaria a balança a seu favor durante as negociações. Também é comum que as obrigações contratuais da venda exijam que você continue a operar esses sistemas por um longo período em seu ambiente, portanto, é necessário um mecanismo eficiente para desvendá-los e isolá-los sem removê-los completamente.

Em resumo, os desafios comuns de aquisição e alienação incluem:

• Falta de visibilidade das dependências do aplicativo para entender, migrar e integrar novos ativos/cargas de trabalho ou separar ativos no escopo da venda.
• As políticas de segurança existentes geralmente são estáticas, vinculadas à implementação da infraestrutura e da segurança do data center e, portanto, não podem ser migradas de forma adaptativa com as cargas de trabalho à medida que são passadas entre as entidades.
• Migrar aplicativos desconhecidos sem comprometer a segurança ou interromper serviços é difícil, pois os aplicativos modernos são interdependentes e podem ser frágeis.
• Não quebrar o software durante a conclusão do processo de transição é vital para manter o máximo possível de negócios normalmente.
• Risco de comprometimento dos dados do cliente e da empresa durante a migração com a abertura de firewalls de ponta.

Como o Illumio ajuda

Application migration without compromising on security is the essence of a successful outcome, and the Illumio Adaptive Security Platform (ASP) is foundational to the M&A strategy of some of the most acquisitive organizations in the world. Illumio ASP solves the most common challenges by enabling you to:

1. Map application dependencies within your own (divestiture) or the target’s (acquisition) environment. Illumio's application dependency map provides real-time insights to help companies visualize acquired or sold off applications and their workloads across all environments before migration. With understanding of application dependencies, teams can ensure the migration is efficient and application behavior is not disrupted.
2. Crie uma política de segmentação para isolar a infraestrutura crítica de TI, aproveitando o mapa de dependência de aplicativos. O Policy Generator da Illumio automatiza a criação de políticas de segmentação com uma política de microssegmentação otimizada que economiza tempo, acelera os fluxos de trabalho de segurança e reduz o risco de erros humanos ao cercar os sistemas adquiridos ou vendidos para que qualquer violação seja contida.
3. Proteja sua infraestrutura dos servidores e aplicativos da empresa-alvo. A política de microssegmentação adaptável se ajusta às mudanças no ambiente de aplicativos — à medida que os aplicativos se movem, o mesmo acontece com a segurança. Isso permite que os aplicativos sejam protegidos antes da migração e que as políticas se ajustem automaticamente após a migração, mantendo uma proteção consistente e contínua durante o processo de transição.

Se você está adquirindo e precisa de confiança para fazer isso de maneira segura ou vendendo e pode aumentar seu preço e, ao mesmo tempo, reduzir o esforço para cortar esses ativos, a Illumio reduzirá o risco de suas iniciativas comerciais.

Read the story of a Fortune 500 organization who seamlessly finalized a high-profile acquisition, deploying Illumio on the acquired company’s 700 servers.