No permita que los ciberdelincuentes saboteen su fusión o adquisición: siga los consejos de este experto
Las empresas son vulnerables a posibles amenazas cibernéticas durante el proceso de fusiones y adquisiciones; aprenda de los expertos por qué y cómo reducir los riesgos de seguridad durante la transición.
La ciberseguridad es una de las últimas cosas que preocupan a los altos ejecutivos durante una fusión o adquisición, pero debería ser una de las principales consideraciones. «Las empresas que se compran y venden suelen ser los principales objetivos de los ciberataques», explicó Jim Crowley, director ejecutivo de Industrial Defender, un proveedor de soluciones de ciberseguridad, en una sesión de preguntas y respuestas enviada por correo electrónico. «Sin embargo, al hacer Medidas de seguridad tecnológicas operativas, las organizaciones pueden evitar que los emocionantes hitos corporativos se conviertan en una pesadilla de infraestructura y seguridad. »
Para obtener más información sobre esta vulnerabilidad pasada por alto, Crowley respondió las siguientes preguntas.
Mirar: Lista de verificación: fusiones y adquisiciones (República Tecnológica Premium)
¿Por qué los ciberdelincuentes atacan a las empresas que se someten a fusiones y adquisiciones (M&A)?
Crowley: Atacan a estas empresas por la misma razón que la gente solía robar bancos: el dinero está ahí. Si vende su negocio a una gran corporación o firma de capital privado, tendrán más recursos para pagar que si fuera una pequeña organización independiente sin un balance general sólido.
Otra cosa a considerar es la naturaleza de la fusión. Las empresas se encuentran en esta fase de transición a medida que los nuevos equipos de propiedad y administración cambian o cambian sus roles, lo que brinda a los ciberdelincuentes la oportunidad de atacar.
¿Puede proporcionar detalles de tales ataques cibernéticos?
Crowley: Por supuesto, los atacantes cibernéticos pueden rastrear la actividad de fusiones y adquisiciones con información disponible públicamente y luego estudiar el nivel de defensa del objetivo. Analizar cuántas personas de seguridad de la información hay en la fuerza laboral o qué herramientas podrían tener es muy simple con las herramientas estándar de las redes sociales. Si parece no tener características de seguridad de la información, la empresa puede ser un objetivo fácil que buscan los ciberdelincuentes.
Los ciberdelincuentes pueden usar una variedad de métodos para ingresar a la red. Los ataques de phishing por correo electrónico son un método muy común y efectivo. Una vez que encuentran las credenciales para acceder al sistema, pueden moverse por las redes y aplicaciones para determinar la ubicación de los datos más confidenciales.
En el caso de un ataque de propiedad intelectual, podrían robar diseños de productos, información de precios u otra información comercial confidencial y marcharse sin que nadie lo sepa. En el caso del ransomware, obtendrían acceso a archivos confidenciales, los cifrarían (para que las aplicaciones y los procesos comerciales dejen de funcionar) y exigirían que las empresas paguen un rescate para recuperar el acceso a los archivos.
¿Por qué no son más las empresas conscientes de la mayor probabilidad de ataques cibernéticos durante las fusiones y adquisiciones?
Crowley: Reportar este tipo de delitos cibernéticos es vergonzoso. Al tratar de fusionar un negocio o ejecutar un nuevo acuerdo de propiedad, puede dañar la marca de la empresa, las relaciones con los clientes y poner el negocio en un campo de juego desfavorable, por lo que hay renuencia a compartir los «trapos sucios» de la empresa.
¿Qué pueden hacer las empresas adquiridas para mitigar las ciberamenazas?
Crowley: El primer paso, si aún no está implementado, es tener un plan de respuesta a incidentes. Tener una lista de verificación de los recursos que necesitan los encargados de la seguridad cibernética para limpiar el desorden los ayudará a superar el proceso más rápido e impactar a los más pequeños.
Mirar: Política de respuesta a incidentes (República Tecnológica Premium)
El segundo paso es garantizar que las herramientas y los procesos de ciberseguridad existentes sean funcionales y estén actualizados antes de anunciar una fusión. Por ejemplo, haz las siguientes preguntas:
- ¿Existen controles de seguridad apropiados?
- ¿La persona a cargo es competente en la detección y corrección de ataques cibernéticos?
- ¿Existe un proceso para notificar a todos los empleados sobre los activos digitales de una empresa a los que pueden apuntar los ciberdelincuentes?
El razonamiento detrás de esto es determinar si es necesario corregir alguna brecha significativa antes de continuar.
No haga de la empresa un blanco fácil. Tenga en cuenta que la empresa puede estar en la pantalla de radar de los delincuentes. Si es posible, implemente todas las defensas cibernéticas antes de que la fusión se haga pública. La consolidación de los comunicados de prensa puede sentirse bien, pero si la seguridad cibernética no está a la altura, es mejor posponer hasta que la empresa esté en una mejor posición de seguridad cibernética y fortalezca sus defensas cibernéticas.
¿Qué pasos puede tomar una empresa que adquiere una nueva organización para mitigar las ciberamenazas?
Crowley: El responsable debe preguntar si existe un plan de ciberseguridad y cómo cumple con los estándares adecuados.Muchas empresas han adoptado el marco de ciberseguridad del NIST o Estándar de control de la CEI.
¿Tienen un CISO o un CISO como servicio equivalente? Si las inversiones en seguridad cibernética parecen ser limitadas, es posible que deseen evaluar antes de que se cierre el trato para determinar qué inversiones se necesitan para mitigar el riesgo cibernético de la empresa adquirente.
¿Cuáles son los impactos potenciales de los ciberataques durante las fusiones y adquisiciones?
Crowley: Algunos de los impactos potenciales podrían ser la pérdida de propiedad intelectual, lo que genera un competidor, o una sorpresa desagradable después del trato, incluido el pago de un gran rescate y los costos de remediación asociados, el tiempo legal y de los empleados y la pérdida de ingresos al intentar para convertir la empresa a una nueva propiedad.
pensamientos finales
Hay muchas cosas a considerar durante un proceso de M&A, y lidiar con un ataque cibernético no debería ser una de ellas. Preparar a todas las partes para la ciberseguridad, antes de que se anuncie públicamente una fusión o adquisición, debería obligar a los ciberdelincuentes a buscar en otra parte.
