Minimizando sua superfície de ataque durante fusões e aquisições e alienações

A devida diligência comercial minimiza os riscos e fornece à diretoria da organização a confiança necessária para prosseguir com as negociações sobre a aquisição ou venda de uma parte do negócio. No entanto, à medida que a cibersegurança se torna uma parte cada vez mais importante do processo de avaliação, As equipes de TI podem realmente concluir a transição para uma nova propriedade sem expor a empresa a níveis indesejáveis de risco?

Em um recente Relatório do Forescout, a aquisição de tecnologia foi considerada a principal prioridade da estratégia de fusões e aquisições e dois terços dos entrevistados disseram que as preocupações com a segurança cibernética causaram arrependimento em suas empresas ao fazer um acordo de fusões e aquisições.

Essas medidas corporativas ou mudanças na maquinaria do governo geralmente vêm com incentivos para que a administração conclua dentro de prazos agressivos. Os objetivos óbvios de simplesmente trazer um 3^vermelho Organizar sistemas de terceiros, ou separar os sistemas que estão sendo alienados, parece ótimo no papel, mas quando os dedos tocam nos teclados, são as equipes de segurança, rede e infraestrutura de TI que têm a difícil tarefa de fazer com que essa atividade aconteça.

A aquisição do risco cibernético pode ser vista como um aspecto negativo das fusões e aquisições. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em fusões e aquisições e um fator importante quando você é o lado vendedor.

Mudanças na composição comercial e na operação de TI são alvos comuns e oportunos para que agentes mal-intencionados se beneficiem da interrupção dos negócios como de costume. Sem o Zero Trust, a segurança já buscada nos dois lados da mesa de negociações, a exploração de falhas de segurança preexistentes e um aumento superfície de ataque pode significar que a mudança de propriedade pode funcionar como um “Cavalo de Tróia”, onde qualquer pós-fechamento ransomware, o malware, o ataque direcionado ou a ameaça persistente avançada (APT) existente se propagam para dentro e por toda a empresa do comprador.

No mesmo estudo, mais da metade dos entrevistados relataram ter encontrado um problema ou incidente crítico de segurança cibernética durante um acordo de fusões e aquisições que colocou o negócio em risco.

Considerações sobre segurança de aquisição

Antes ou depois da assinatura de um acordo, é particularmente pertinente determinar o risco relacionado à higiene da segurança do data center nos aplicativos adquiridos e nos data centers de nuvem híbrida. Centro de segurança cibernética da Austrália recomenda que as organizações que iniciam essa atividade compreendam o ambiente operacional e os controles de segurança que protegem dados e sistemas para garantir que uma proteção equivalente ou maior seja oferecida no novo ambiente operacional. Também existem possíveis consequências financeiras para as partes envolvidas em relação à conformidade regulatória e à legislação de privacidade.

Com pouco ou nenhum controle sobre os aplicativos herdados por meio de uma aquisição, as equipes de TI geralmente se perguntam: O que acabamos de herdar? Eles utilizam tecnologias de infraestrutura diferentes das nossas, como Kubernetes ou nuvens públicas alternativas? Qual proteção de dados, aplicativo, segurança de terminais e as práticas de gerenciamento de vulnerabilidades foram seguidas? E o que a ingestão dessas cargas de trabalho significa para nossa superfície de ataque atual?

As equipes de segurança do comprador geralmente são impedidas de realizar qualquer avaliação pela falta de visibilidade dos ativos do data center que estão comprando e pela falta de oportunidade de identificar as falhas existentes que permitem a movimentação lateral e a exposição de dados confidenciais. Sem entender como os aplicativos e as cargas de trabalho estão conectados e se comunicando, as empresas adquirentes correm o risco de interromper os aplicativos e interromper o serviço durante a migração ou ao proteger os aplicativos adquiridos depois de recebidos. Além disso, como as aquisições nem sempre envolvem a compra de aplicativos totalmente complementares, esse entendimento é igualmente importante na adoção gradual de sistemas de recebimento e entrada no data center, identificando sobreposições de redundância e descomissionamento e, em seguida, gerando valor agregado entre os sistemas que a fusão e aquisição foi projetada para alcançar.

Considerações sobre segurança de alienação

A aquisição do risco cibernético pode ser vista como um aspecto negativo das fusões e aquisições. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em fusões e aquisições e um fator importante quando você é o lado vendedor. Em um pesquisa conduzida pelo ISC2, 95% dos profissionais de fusões e aquisições pesquisados consideraram a segurança cibernética um ativo tangível que é sustentado pela pilha técnica do aplicativo ou serviço, mas se estende ao programa mais amplo de segurança e gerenciamento de riscos. Um forte programa de cibersegurança pode ser utilizado como um diferencial e um valor agregado no processo de fusões e aquisições. Um investimento nisso não apenas torna sua venda mais atraente, mas também pode exigir um preço mais alto.

Embora se possa achar que estar “à venda” deve simplificar o processo (já que você deve saber mais sobre seu próprio ambiente), a dívida técnica e a natureza interconectada dos sistemas em seus próprios data centers representam um desafio para identificar e ser capaz de desvendar e eliminar os ativos a serem vendidos. Pode ser difícil responder às suas próprias perguntas, como: quais cargas de trabalho executam os aplicativos ou a parte da empresa que está sendo vendida, e se sabemos a que esses sistemas estão conectados e quem os está acessando atualmente?

Você também pode ser limitado pelos controles existentes a elevar a segurança ao nível exigido pelo adquirente ou que pesaria a balança a seu favor durante as negociações. Também é comum que as obrigações contratuais da venda exijam que você continue a operar esses sistemas por um longo período em seu ambiente, portanto, é necessário um mecanismo eficiente para desvendá-los e isolá-los sem removê-los completamente.

Em resumo, os desafios comuns de aquisição e alienação incluem:

• Falta de visibilidade das dependências do aplicativo para entender, migrar e integrar novos ativos/cargas de trabalho ou separar ativos no escopo da venda.
• As políticas de segurança existentes geralmente são estáticas, vinculadas à implementação da infraestrutura e da segurança do data center e, portanto, não podem ser migradas de forma adaptativa com as cargas de trabalho à medida que são passadas entre as entidades.
• Migrar aplicativos desconhecidos sem comprometer a segurança ou interromper serviços é difícil, pois os aplicativos modernos são interdependentes e podem ser frágeis.
• Não quebrar o software durante a conclusão do processo de transição é vital para manter o máximo possível de negócios normalmente.
• Risco de comprometimento dos dados do cliente e da empresa durante a migração com a abertura de firewalls de ponta.

Como o Illumio ajuda

A migração de aplicativos sem comprometer a segurança é a essência de um resultado bem-sucedido, e o Illumio Plataforma de segurança adaptável (ASP) é fundamental para a estratégia de fusões e aquisições de algumas das organizações mais aquisitivas do mundo. O Illumio ASP resolve os desafios mais comuns ao permitir que você:

1. Mapeie as dependências do aplicativo dentro do seu próprio ambiente (alienação) ou do alvo (aquisição). ASPs Illumio mapa de dependência de aplicativos fornece insights em tempo real para ajudar as empresas a visualizar aplicativos adquiridos ou vendidos e suas cargas de trabalho em todos os ambientes antes da migração. Com a compreensão das dependências dos aplicativos, as equipes podem garantir que a migração seja eficiente e que o comportamento do aplicativo não seja interrompido.
2. Crie uma política de segmentação para isolar a infraestrutura crítica de TI, aproveitando o mapa de dependência de aplicativos. De Illumio Gerador de políticas automatiza a criação de políticas de segmentação com uma política de microssegmentação otimizada que economiza tempo, acelera os fluxos de trabalho de segurança e reduz o risco de erros humanos ao cercar os sistemas adquiridos ou vendidos para que qualquer violação seja contida.
3. Proteja sua infraestrutura dos servidores e aplicativos da empresa-alvo. A política de microssegmentação adaptável se ajusta às mudanças no ambiente de aplicativos — à medida que os aplicativos se movem, o mesmo acontece com a segurança. Isso permite que os aplicativos sejam protegidos antes da migração e que as políticas se ajustem automaticamente após a migração, mantendo uma proteção consistente e contínua durante o processo de transição.

Se você está adquirindo e precisa de confiança para fazer isso de maneira segura ou vendendo e pode aumentar seu preço e, ao mesmo tempo, reduzir o esforço para cortar esses ativos, a Illumio ASP reduzirá o risco de suas iniciativas comerciais.

Leia a história de uma organização da Fortune 500 que finalizou perfeitamente uma aquisição de alto perfil, implantando o Illumio ASP nos 700 servidores da empresa adquirida.