并購（M&A）對買方和被收購方都有好處，能夠產(chǎn)生新的協(xié)同效應(yīng)，為雙方注入活力，同時創(chuàng)造一個更新、更大、更強的實體。但新成員的加入也可能會帶來一系列網(wǎng)絡(luò)安全風(fēng)險。

并購團隊通常規(guī)模有限，專注于財務(wù)和業(yè)務(wù)運營，將IT和網(wǎng)絡(luò)安全置于次要地位。更有甚者，有關(guān)網(wǎng)絡(luò)連接、“合理化”IT和網(wǎng)絡(luò)安全平臺以及員工的假設(shè)，通常都是在對每個組織的實際職能和工作知之甚少的情況下做出的。

Gartner在《并購和盡職調(diào)查過程中的網(wǎng)絡(luò)安全》報告中指出，正在合并、被收購或進(jìn)行任何其他并購活動的公司，必須能夠評估可能影響未來實體業(yè)務(wù)戰(zhàn)略和風(fēng)險的安全需求。這將有助于買方對被收購公司安全狀況有更全面的了解（在交易前可能的范圍內(nèi)），以確保沒有意外的沖擊，并制定出如何安全可靠地解決整合問題的計劃。

例如，2017年，在雅虎披露兩起大規(guī)模數(shù)據(jù)泄露事件，導(dǎo)致其30億用戶賬戶全部泄露后，Verizon從收購雅虎運營業(yè)務(wù)的交易中削減了3.5億美元，并最終以44.8億美元收購了該公司。

管理并購中網(wǎng)絡(luò)安全風(fēng)險的五個策略

有效管理并購過程中的網(wǎng)絡(luò)安全風(fēng)險有助于避免買家后悔，以下是幫助企業(yè)在并購過程中管理網(wǎng)絡(luò)安全風(fēng)險的五種策略。

1. 要求對目標(biāo)公司進(jìn)行安全評估

在收購之前，收購方需要對目標(biāo)公司進(jìn)行當(dāng)前或近期的評估——無論是具體的審計、安全態(tài)勢評估還是企業(yè)評估——并考慮評估是在什么時候進(jìn)行的。

理想情況下，這份評估最好是在過去9個月內(nèi)完成的。任何超過一年的信息都是無效的。將這些信息與現(xiàn)行的策略和程序以及最新的戰(zhàn)略目標(biāo)進(jìn)行比對。確定他們的策略、程序和流程是否與此一致？這些策略和程序是否得到了遵守？

除此之外，收購方還應(yīng)獲得有關(guān)可疑和已確認(rèn)的安全或合規(guī)事件、風(fēng)險暴露、妥協(xié)、網(wǎng)絡(luò)相關(guān)保險活動等的任何信息。這應(yīng)該包括法律上可能不要求披露的事情。例如，即使只是一起無需向政府機構(gòu)報告的內(nèi)部事件，也屬于需要提前了解的相關(guān)信息。

2. 確保目標(biāo)公司在其軟件中設(shè)計了安全性

在針對技術(shù)公司的交易中，技術(shù)往往是目標(biāo)產(chǎn)品或其重要組成部分，網(wǎng)絡(luò)安全因此也是一個特別關(guān)注的焦點。因此，收購企業(yè)必須確定目標(biāo)公司是否在其軟件中設(shè)計了安全性。如果沒有，那么收購方無異于是在購買一堆沒有計劃的“廢品”，未來必然需要無止境的補救工作。

由于過多的安全問題將意味著遭受網(wǎng)絡(luò)攻擊的幾率會增加，收購方可能希望將部分資金托管起來，以應(yīng)對這種可能發(fā)生的情況。如果軟件明顯不符合行業(yè)規(guī)范，那么進(jìn)行估值談判也是很正常的。

收購方并不期望目標(biāo)企業(yè)表現(xiàn)完美，但如果需要解決的問題超出預(yù)期，收購方可能會改變對交易的看法。盡職調(diào)查通常并不會扼殺收購交易，但它們可能會影響交易條款、時機或估值。最重要的是，知識就是力量，收購方需要充分利用盡職調(diào)查過程，盡可能多地了解目標(biāo)公司的軟件安全預(yù)成交情況，這樣他們就可以保護(hù)自己免受風(fēng)險影響。

3. 盡早讓網(wǎng)絡(luò)安全和IT團隊參與進(jìn)來

在并購之前，網(wǎng)絡(luò)安全和IT團隊很少參與，目的是將并購消息封鎖在一個較小的圈子內(nèi)。由此導(dǎo)致的結(jié)果可能是，發(fā)現(xiàn)戰(zhàn)略性業(yè)務(wù)收購或合并目標(biāo)充斥著糟糕的IT和安全問題，而修復(fù)這些問題可能要花費數(shù)百萬美元。因此，盡早讓網(wǎng)絡(luò)安全和IT團隊參與進(jìn)來并找出關(guān)鍵的弱點是很重要的。

尤其是在監(jiān)管寬松的行業(yè)（例如制造業(yè)），被收購的公司往往缺乏基本的安全補丁和端點安全措施，更不用說更先進(jìn)的控制措施，例如安全信息和事件管理。

企業(yè)減輕網(wǎng)絡(luò)安全風(fēng)險的最佳方法之一是讓IT或安全部門成為審查收購的團隊的一部分，以避免日后出現(xiàn)代價高昂的意外。此外，IT團隊?wèi)?yīng)該有一個結(jié)構(gòu)化的流程，具體說明他們?nèi)绾芜M(jìn)行收購，其中包括進(jìn)行早期評估，并且告知員工關(guān)于財務(wù)交易變化的問題應(yīng)該聯(lián)系誰，以及在收購的第一天就更改所有關(guān)鍵系統(tǒng)的管理密碼。

組織在進(jìn)行盡職調(diào)查時，通常沒有一個將安全性包括在內(nèi)的流程。從一開始就將網(wǎng)絡(luò)安全團隊包括在這個過程中可以避免許多令人頭痛的問題。在最糟糕的情況下，安全團隊或首席信息官可能會很晚才加入，而收購或合并團隊會說，“我們很快就會完成這次并購或收購。下周就要開始了，你們能在我們完成并購之前完成安全審查嗎？”

然而，如果網(wǎng)絡(luò)安全團隊或首席信息安全官總能獲得話語權(quán)，而不是只在出現(xiàn)問題時才參與進(jìn)來，那么他們就可以評估目標(biāo)公司的安全性，并就潛在的網(wǎng)絡(luò)安全風(fēng)險提出想法。

4. 了解數(shù)據(jù)環(huán)境的風(fēng)險

如果被收購的目標(biāo)公司從一開始就沒有進(jìn)行盡職調(diào)查，那么他們可能不了解自己所處的數(shù)據(jù)環(huán)境類型。這些目標(biāo)公司可能要處理個人信息和可識別信息，以及可能要處理有監(jiān)管要求的醫(yī)療保健信息，例如HIPAA法規(guī)。他們可能要處理有監(jiān)管要求的支付信息，例如PCI或者有地理監(jiān)管要求的GDPR法規(guī)。所以，收購方可能沒有真正從信息的角度或環(huán)境的角度很好地理解所得到的信息。

不了解數(shù)據(jù)環(huán)境風(fēng)險的問題在于，收購方不知道目標(biāo)公司實施了哪些類型的安全控制，也不知道他們的環(huán)境是否完全安全，這同樣適用于正在合并的公司。這些公司必須嘗試至少對其正在處理的數(shù)據(jù)環(huán)境有一個很好的想法，并確定潛在的風(fēng)險。對正在追求或打算合并的公司進(jìn)行SWOT（優(yōu)勢、劣勢、機會和威脅）分析，可以讓收購方很好地了解正在處理的信息和資產(chǎn)。

5. 對目標(biāo)公司的員工進(jìn)行技能分析

重要的是要記住，除了收購目標(biāo)公司的技術(shù)之外，收購方也在收購這些公司的員工。收購方需要對即將入職的員工進(jìn)行全面的技能分析，因為這樣就可以更充分底利用每個員工的技能，以便更好地服務(wù)組織。在整合過程中，雙方可能會存在知識和技能差距，因為可能需要適應(yīng)一些新技術(shù)，而收購方可能沒有相關(guān)領(lǐng)域的專業(yè)知識。

在任何整合過程中，對于招聘目標(biāo)公司的員工必須做大量的工作，這是在日常經(jīng)營業(yè)務(wù)的基礎(chǔ)上進(jìn)行的，這可能會導(dǎo)致他們的倦怠、士氣低落和人員流動。在整合過程中，可以說是風(fēng)險最高的時期，因為既需要合并網(wǎng)絡(luò)和技術(shù)，還要對流程做出改變。在這段時間里，如果出現(xiàn)了人員流失，或者他們的技能難以勝任現(xiàn)在的工作，那么真正的漏洞和風(fēng)險就會浮出水面。技能分析可以幫助確保組織擁有在整合過程中全力運作的員工隊伍。

結(jié)語

對于考慮收購的組織來說，重要的是要有一個更廣闊的視野，并制定一個基本并購協(xié)議，其中的流程涵蓋當(dāng)前風(fēng)險、潛在風(fēng)險和收購后審核的所有方面。最后還應(yīng)提交一份報告，其中包括最新的風(fēng)險態(tài)勢和相關(guān)剩余風(fēng)險，以及對風(fēng)險偏好的評估。

換句話說，收購方就是要放眼全局，并系統(tǒng)地完成整個過程。而且最重要的是，需要在整個過程中持續(xù)監(jiān)控和審計。此外，還需要遵循幾個關(guān)鍵步驟，而且在這些步驟中面臨的問題都應(yīng)該得到解決，以降低風(fēng)險。