Fusiones y adquisiciones: errores comunes

Las fusiones y adquisiciones requieren mucho dinero para realizarse. Los datos mal protegidos durante y después de una integración de TI de fusiones y adquisiciones costarán aún más dinero, ¡con algunos titulares desagradables encima!

La ICO acaba de anunciar sus intenciones de multar a Marriott International, Inc. con más de 124 millones de dólares por no proteger los datos de los clientes durante y después de la adquisición de Starwood Hotels (donde se originó la infracción). La investigación de ICO encontró que Marriott no realizó suficiente diligencia debida en materia de ciberseguridad cuando compró Starwood y no protegió sus sistemas.

“El RGPD deja claro que las organizaciones deben ser responsables de los datos personales que poseen. Esto puede incluir la realización de la debida diligencia al realizar una adquisición. "

- Elizabeth Denham, comisionada de Información¹

En la Parte 1 de mi nueva serie dedicada a la seguridad de TI en fusiones y adquisiciones, profundizaré en los errores comunes que pueden hundir una fusión y adquisición y las sinergias de costos esperadas antes y después del primer día legal.

Errores comunes de seguridad en fusiones y adquisiciones antes del primer día legal

Es importante recordar que el 50 por ciento de las sinergias de costos esperadas de una fusión y adquisición (ya sabes, esas $$$razones por las que se realiza una fusión y adquisición en primer lugar) provienen de la integración de TI. Cuando hay tanto dinero e ingresos potenciales en juego, muchas organizaciones se concentran demasiado en lograrlo lo más rápido posible, cometiendo errores cruciales en la integración de TI en el camino.

Después de firmar un acuerdo, pero antes de cerrarlo, uno de los mayores errores es establecer una confianza en Active Directory antes de realizar un análisis de ciberseguridad. Todo el mundo quiere que los empleados de las dos organizaciones trabajen juntos y compartan recursos; la forma más rápida de hacerlo es establecer la confianza de AD entre dominios. Sin embargo, crear una confianza con otro dominio crea una vía para que cualquier persona en ese dominio (incluido un usuario interno malicioso o una cuenta comprometida) pueda atravesar lateralmente su entorno. Antes de correr ese riesgo, debe revisar minuciosamente las políticas y procedimientos de seguridad implementados en el otro dominio de AD y tener un plan sobre cómo monitorear los usuarios y recursos en este fideicomiso.

Encuentre más problemas de seguridad previos al primer día de la legalidad en este libro electrónico: Cómo afectan las fusiones y adquisiciones a la seguridad de los datos.

Errores comunes de seguridad en fusiones y adquisiciones después del primer día legal

En el camino hacia los objetivos del Día Uno Legal (LD1) de comunicación básica e interoperabilidad, los equipos de TI a menudo tienen que hacer algunos compromisos, como dejar los sistemas heredados en su lugar y utilizar soluciones alternativas para habilitar los flujos de trabajo asociados; todos esos atajos deben limpiarse. Y, por supuesto, todavía queda todo el trabajo que estaba más allá del alcance de LD1, como varias migraciones de servidores, aplicaciones y estaciones de trabajo.

Uno de los aspectos de seguridad más riesgosos posteriores al primer día legal se encuentra en aquellas aplicaciones heredadas difíciles de integrar. Mover aplicaciones heredadas, especialmente aplicaciones locales que dependen de AD, a menudo parece no valer la pena. Debido al trabajo y la complejidad involucrados, las organizaciones optan por dejar el directorio antiguo para trabajar con el entorno heredado y establecer algún tipo de coexistencia entre el AD antiguo y el AD primario. Pero es casi inevitable que el AD antiguo no esté sincronizado con el AD principal, o que los servidores antiguos no reciban los parches adecuados, lo que le dejará con brechas de seguridad que pueden ser aprovechadas por personas internas e intrusos.

La complejidad genera riesgo: pregúntele a Equifax. El Comité de Supervisión y Reforma Gubernamental de la Cámara de Representantes de Estados Unidos lo expresó mejor: “Si bien la estrategia de adquisición fue exitosa para los resultados y el precio de las acciones de Equifax, este crecimiento trajo una complejidad cada vez mayor a los sistemas de TI de Equifax y amplió los riesgos de seguridad de los datos. ”²

Encuentre más problemas de seguridad posteriores al primer día legal y aprenda cómo proteger su organización durante una integración de TI de fusiones y adquisiciones en este libro electrónico: Cómo las fusiones y adquisiciones afectan la seguridad de los datos.

Un marco de fusiones y adquisiciones repetible

Sabemos que las integraciones de TI de una fusión y adquisición no son fáciles ni pequeñas. Si bien cada fusión y adquisición es diferente, la metodología no cambia. Sus posibilidades de éxito en una fusión y adquisición son mucho mayores cuando implementa procesos repetibles. Quest ofrece un marco de software y servicios completo y repetible para fusiones y adquisiciones desde el día 0 de la debida diligencia de TI hasta la integración de TI del día 1 y la gestión y seguridad continuas del día 2.

No complique aún más su integración de TI de fusiones y adquisiciones utilizando múltiples productos de múltiples proveedores. Estandarice un socio con las herramientas y la experiencia para ofrecer una multitud de enfoques flexibles para el día 1. Quest ofrece un marco repetible que le permite familiarizarse con un conjunto de soluciones y un único equipo de soporte y servicios.

Lea el resto de la serie aquí:

• Parte 2: Lecciones aprendidas de las filtraciones de datos de Equifax y Marriott
• Parte 3: Cómo proteger su próxima fusión y adquisición

FUENTES:

1. Oficina del Comisionado de Información, “Declaración: Intención de multar a Marriott International, Inc. con más de £99 millones según el RGPD por violación de datos”, julio de 2019.
2. Comité de Supervisión y Reforma Gubernamental de la Cámara de Representantes de EE. UU., Informe del personal de la mayoría, “The Equifax Data Breach”, diciembre de 2018.