Minimizando sua superfície de ataque durante M & A e alienações

A devida diligência comercial minimiza os riscos e fornece à diretoria da organização a confiança necessária para prosseguir com as negociações sobre a aquisição ou venda de uma parte do negócio. No entanto, à medida que a segurança cibernética se torna uma parte cada vez mais importante do processo de avaliação, as equipes de TI podem realmente concluir a transição para uma nova propriedade sem expor a empresa a níveis indesejáveisde risco?

Em um relatório recente da Forescout, a aquisição de tecnologia foi considerada a principal prioridade da estratégia M & A e dois terços dos entrevistados disseram que as preocupações com a segurança cibernética causaram arrependimento em suas empresas ao fazerem um acordo M & A.

Essas medidas corporativas ou mudanças na maquinaria do governo geralmente vêm com incentivos para que a administração conclua dentro de prazos agressivos. Os objetivos óbvios de simplesmente incluir sistemas de^terceiros ou separar os sistemas que estão sendo alienados parecem ótimos no papel, mas quando os dedos tocam nos teclados, são as equipes de segurança, rede e infraestrutura de TI que têm a difícil tarefa de fazer essa atividade acontecer.

A aquisição de risco cibernético pode ser vista como um aspecto negativo do M & A. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em M & A e um fator importante quando você é o lado vendedor.

Mudanças na composição comercial e na operação de TI são alvos comuns e oportunos para que agentes mal-intencionados se beneficiem da interrupção dos negócios como de costume. Sem a segurança Zero Trust já buscada nos dois lados da mesa de negociações, a exploração de falhas de segurança preexistentes e uma maior superfície de ataque podem significar que a mudança de propriedade pode funcionar como um “cavalo de Tróia”, onde qualquer ransomware, malware ou ataque direcionado pós-fechamento ou ameaça persistente avançada (APT) existente se propaga para dentro e por toda a empresa do comprador.

No mesmo estudo, mais da metade dos entrevistados relataram ter encontrado um problema ou incidente crítico de segurança cibernética durante um acordo M & A que colocou o negócio em risco.

Considerações sobre segurança de aquisição

Antes ou depois da assinatura de um acordo, é particularmente pertinente determinar o risco relacionado à higiene da segurança do data center nos aplicativos adquiridos e nos data centers de nuvem híbrida. O Centro de Segurança Cibernética da Austrália recomenda que as organizações que iniciam essa atividade compreendam o ambiente operacional e os controles de segurança que protegem dados e sistemas para garantir uma proteção equivalente ou maior no novo ambiente operacional. Também existem possíveis consequências financeiras para as partes envolvidas em relação à conformidade regulatória e à legislação de privacidade.

Com pouco ou nenhum controle sobre os aplicativos herdados por meio de uma aquisição, as equipes de TI geralmente se perguntam: O que acabamos de herdar? Eles utilizam tecnologias de infraestrutura diferentes das nossas, como Kubernetes ou nuvens públicas alternativas? Quais práticas de proteção de dados, aplicativos, segurança de terminais e gerenciamento de vulnerabilidades foram seguidas? E o que a ingestão dessas cargas de trabalho significa para nossa superfície de ataque atual?

As equipes de segurança do comprador geralmente são impedidas de realizar qualquer avaliação pela falta de visibilidade dos ativos do data center que estão comprando e pela falta de oportunidade de identificar as falhas existentes que permitem a movimentação lateral e a exposição de dados confidenciais. Sem entender como os aplicativos e as cargas de trabalho estão conectados e se comunicando, as empresas adquirentes correm o risco de interromper os aplicativos e interromper o serviço durante a migração ou ao proteger os aplicativos adquiridos depois de recebidos. Além disso, como as aquisições nem sempre envolvem a compra de aplicativos totalmente complementares, esse entendimento é igualmente importante na adoção gradual de sistemas de recebimento e entrada no data center, identificando sobreposições de redundância e descomissionamento e, em seguida, gerando o valor agregado entre os sistemas que o M & A foi projetado para alcançar.

Considerações sobre segurança de alienação

A aquisição de risco cibernético pode ser vista como um aspecto negativo do M & A. No entanto, quando implementado corretamente, um programa de segurança cibernética é um ativo em M & A e um fator importante quando você é o lado vendedor. Em uma pesquisa conduzida pela ISC2, 95% dos profissionais entrevistados do M & A consideraram a segurança cibernética um ativo tangível que é sustentado pela pilha técnica do aplicativo ou serviço, mas se estende ao programa mais amplo de segurança e gerenciamento de riscos. Um forte programa de segurança cibernética pode ser utilizado como um diferencial e um valor agregado no processo M & A. Um investimento nisso não apenas torna sua venda mais atraente, mas também pode exigir um preço mais alto.

Embora se possa achar que estar “à venda” deve simplificar o processo (já que você deve saber mais sobre seu próprio ambiente), a dívida técnica e a natureza interconectada dos sistemas em seus próprios data centers representam um desafio para identificar e ser capaz de desvendar e eliminar os ativos a serem vendidos. Pode ser difícil responder às suas próprias perguntas, como: quais cargas de trabalho executam os aplicativos ou a parte da empresa que está sendo vendida, e se sabemos a que esses sistemas estão conectados e quem os está acessando atualmente?

Você também pode ser limitado pelos controles existentes a elevar a segurança ao nível exigido pelo adquirente ou que pesaria a balança a seu favor durante as negociações. Também é comum que as obrigações contratuais da venda exijam que você continue a operar esses sistemas por um longo período em seu ambiente, portanto, é necessário um mecanismo eficiente para desvendá-los e isolá-los sem removê-los completamente.

Em resumo, os desafios comuns de aquisição e alienação incluem:

• Falta de visibilidade das dependências do aplicativo para entender, migrar e integrar novos ativos/cargas de trabalho ou separar ativos no escopo da venda.
• As políticas de segurança existentes geralmente são estáticas, vinculadas à implementação da infraestrutura e da segurança do data center e, portanto, não podem ser migradas de forma adaptativa com as cargas de trabalho à medida que são passadas entre as entidades.
• Migrar aplicativos desconhecidos sem comprometer a segurança ou interromper serviços é difícil, pois os aplicativos modernos são interdependentes e podem ser frágeis.
• Não quebrar o software durante a conclusão do processo de transição é vital para manter o máximo possível de negócios normalmente.
• Risco de comprometimento dos dados do cliente e da empresa durante a migração com a abertura de firewalls de ponta.

Como o Illumio ajuda

A migração de aplicativos sem comprometer a segurança é a essência de um resultado bem-sucedido, e a Illumio Adaptive Security Platform (ASP) é fundamental para a estratégia M & A de algumas das organizações mais aquisitivas do mundo. O Illumio ASP resolve os desafios mais comuns ao permitir que você:

1. Mapeie as dependências do aplicativo dentro do seu próprio ambiente (alienação) ou do alvo (aquisição). O mapa de dependência de aplicativos da Illumio fornece insights em tempo real para ajudar as empresas a visualizar aplicativos adquiridos ou vendidos e suas cargas de trabalho em todos os ambientes antes da migração. Com a compreensão das dependências dos aplicativos, as equipes podem garantir que a migração seja eficiente e que o comportamento do aplicativo não seja interrompido.
2. Crie uma política de segmentação para isolar a infraestrutura crítica de TI, aproveitando o mapa de dependência de aplicativos. O Policy Generator da Illumio automatiza a criação de políticas de segmentação com uma política de microssegmentação otimizada que economiza tempo, acelera os fluxos de trabalho de segurança e reduz o risco de erros humanos ao cercar os sistemas adquiridos ou vendidos para que qualquer violação seja contida.
3. Proteja sua infraestrutura dos servidores e aplicativos da empresa-alvo. A política de microssegmentação adaptável se ajusta às mudanças no ambiente de aplicativos — à medida que os aplicativos se movem, o mesmo acontece com a segurança. Isso permite que os aplicativos sejam protegidos antes da migração e que as políticas se ajustem automaticamente após a migração, mantendo uma proteção consistente e contínua durante o processo de transição.

Se você está adquirindo e precisa de confiança para fazer isso de maneira segura ou vendendo e pode aumentar seu preço e, ao mesmo tempo, reduzir o esforço para cortar esses ativos, a Illumio reduzirá o risco de suas iniciativas comerciais.

Leia a história de uma organização da Fortune 500 que finalizou perfeitamente uma aquisição de alto perfil, implantando o Illumio nos 700 servidores da empresa adquirida.