Les fusions et acquisitions peuvent être un véritable fléau pour les investisseurs. L'expérience montre que de nombreuses opérations de grande envergure sont souvent source de destruction de valeur, comportent de nombreux risques et qu'il faut des années aux entreprises pour s'en remettre. Mais il existe un autre facteur, trop souvent négligé tant par l'acheteur que par le vendeur : le risque cyber.
Une entreprise peut payer un prix trop élevé pour racheter un concurrent, et les synergies mises en avant lors de sa campagne de séduction préalable à l'opération risquent de ne pas se concrétiser. Mais ces défis seront éclipsés par l'atteinte à la réputation, la dépréciation de la valeur de la transaction et les perturbations opérationnelles que subira l'entreprise si une cyberattaque venait à être découverte pendant ou après une acquisition.
Il suffit de penser aux récents piratages de grande envergure pour saisir l'ampleur des conséquences qu'entraîne le fait de négliger une diligence raisonnable rigoureuse en matière de cybersécurité. Verizon a réduit de 350 millions de dollars le prix d'acquisition de Yahoo ( ) en 2017 , après que le portail Internet eut révélé avoir subi des cyberattaques à grande échelle sous sa responsabilité, tandis que Marriott a révélé une faille de sécurité majeure ( 2018 ) concernant les établissements qu'il avait acquis lors du rachat de Starwood.
Malgré ces affaires très médiatisées, de nombreux acquéreurs ne font que prétendre veiller à ce que leurs cibles soient protégées contre les pirates informatiques. Rares sont ceux qui procèdent à un examen approfondi de la posture de sécurité d'une cible, et nombreux sont ceux qui négligent complètement le profil de risque de celle-ci.
« Si une entreprise cible ne comprend pas suffisamment bien son propre profil de risque pour pouvoir l’expliquer à l’entreprise acquéreuse, cela constitue un signal d’alerte », déclare Jamie Lewis, associé chez Rain Capital, un fonds de capital-risque spécialisé dans les marchés de la cybersécurité, de l’intelligence artificielle et de l’analyse de données.
Dès qu'une entreprise s'oriente vers une stratégie d'acquisition, deux aspects essentiels sont souvent négligés par la direction. Tout d’abord, au cours des années précédant une prise de contact avec une entreprise, l’acquéreur potentiel doit avoir procédé à une évaluation approfondie du profil de cybersécurité de la cible, selon un rapport intitulé « 2018 » ( ) publié par KPMG et consacré aux risques cybernétiques dans les opérations de fusion-acquisition. Cette évaluation doit permettre de déterminer dans quelle mesure la cible comprend son propre profil de risque, de dresser un bilan de ses interventions en cas d’incident et d’identifier les mesures qu’elle a prises pour renforcer ses défenses.
«Si une société cible ne comprend pas suffisamment bien son propre profil de risque pour pouvoir l’expliquer à la société acquéreuse, cela constitue un signal d’alerte. »Jamie Lewis, associé en capital-risque chez Rain Capital
Le deuxième indicateur important, souvent négligé par les acquéreurs, est le niveau de sécurité de la société cible. Une approche saine et efficace consiste, pour la cible, à partir du principe qu'une attaque est imminente et à se préparer en disposant d'outils de surveillance réseau performants et de défenses solides pour protéger ses actifs les plus précieux.
« Les questions de cybersécurité constituent une priorité pour les entreprises américaines », en particulier lors d'une transaction, et peuvent entraîner l'annulation d'une opération ou une forte baisse du prix pour le vendeur, indique KPMG dans son rapport.
Ainsi, outre le compte de résultat, les bilans et les stocks d’une entreprise, ainsi que ses procédures de gouvernance et de comptabilité, il est tout aussi important pour un acquéreur de vérifier l’ , la gestion des correctifs, la visibilité sur les terminaux , la sécurité des terminaux et l’ la sécurité du réseau ainsi que l’infrastructure de surveillance de l’entreprise cible. Si elles ne sont pas à la hauteur, une attaque ou une faille de sécurité pourrait être une question d' , la question n'étant pas de savoir « si », mais « » .
Trop souvent, les acquéreurs négligent de s'entretenir avec la direction de la société cible pour lui demander dans quelle mesure elle prend la sécurité au sérieux et comment elle perçoit les risques cybernétiques pesant sur son activité. Prendre le temps d'évaluer les failles informatiques avant une acquisition est non seulement judicieux pour la sécurité des entreprises fusionnées, mais constitue également une stratégie prudente et défendable qui contribuera à préserver l'intégrité de la stratégie de rachat de l'acquéreur.
Voici cinq enjeux clés en matière de sécurité que les acquéreurs potentiels devraient prendre en compte lorsqu'ils se lancent à la recherche d'une acquisition.
Profil de risque
Une évaluation approfondie de la sécurité d'une entreprise cible permettra d'identifier les attaquants potentiels, notamment leurs capacités, leurs objectifs et leurs méthodes, ainsi que les conséquences qu'une cyberattaque pourrait avoir sur les activités de l'entreprise. Outre l’examen de la sécurité physique et environnementale, de la résilience de l’entreprise et de la gestion des opérations, les sociétés acquéreuses devraient également surveiller le paysage des menaces de cybersécurité dans lequel évolue la société cible, explique Ron Bradley, vice-président de Shared Assessments, une organisation mondiale associative qui élabore des bonnes pratiques, des supports pédagogiques et des outils visant à renforcer l’assurance des risques liés aux tiers.
Une fois que les négociations sont engagées et que la société cible a donné accès à ses comptes à l'acquéreur, les évaluations préliminaires en matière de sécurité peuvent être suivies de vérifications plus approfondies et de demandes d'informations. C'est là que les contrôles de « cyber-hygiène » liés à une bonne des terminaux peuvent prendre tout leur sens : des stratégies simples de gestion des terminaux permettent d'évaluer la sécurité des applications, les vulnérabilités du réseau, la fréquence des correctifs, les failles dans la gestion des accès et la protection des données, ainsi que les procédures de réponse aux incidents critiques mises en place par l'entreprise ciblée.
Selon M. Bradley, l'un des points essentiels à examiner est le degré de rigueur avec lequel une entreprise cible gère les droits d'accès et d'identité, ainsi que la question de savoir si elle les accorde à titre permanent ou sans contrôle.
Il faut toujours garder à l’esprit le niveau de sécurité de la cible : « Si les analyses de la cible se concentrent principalement sur la technologie et les produits, ou si les équipes chargées de la sécurité et la direction ne raisonnent pas en termes de profils de menaces, cela pourrait constituer un signal d’alerte », explique M. Lewis.
Visibilité des actifs
Si une entreprise cible ignore où se trouvent les « joyaux de la couronne » de son activité, c'est un désastre annoncé. Malheureusement pour l'acquéreur, ce problème n'apparaît parfois qu'au cours des enquêtes menées à la suite d'une violation de sécurité, lorsque l'organisation est incapable de préciser quels sont ses actifs les plus précieux et où ils sont stockés. Avant qu'une société acquéreuse ne finalise son acquisition, elle doit avoir la certitude que la société cible dispose d'un programme de gestion des risques bien établi ainsi que d'un ensemble de contrôles et de normes en matière de cybersécurité permettant de surveiller et de protéger ses actifs les plus précieux, explique M. Bradley.
«Les entreprises disposant d’une stratégie de cybersécurité solide procèdent à des examens périodiques de leurs contrôles de cybersécurité ; les acquéreurs devraient demander à en voir la preuve. »Ron Bradley, vice-président de Shared Assessments
L'acquéreur doit également être en mesure de vérifier que la société cible dispose d'outils d'inventaire garantissant l'intégrité des données. Il est indispensable d'identifier les propriétaires des données présentes sur le réseau, et il est essentiel que ces données soient mises à jour et vérifiées à intervalles réguliers. Selon M. Bradley, les entreprises dotées d'une stratégie de cybersécurité solide procéderont à des examens périodiques de leurs programmes de gestion des actifs et de l'efficacité globale de leurs contrôles de cybersécurité. Les acquéreurs devraient demander à prendre connaissance des éléments attestant de ces examens et de ces stratégies de remédiation au cours du processus d'acquisition.
Un autre défi réside dans le fait que les acquéreurs peuvent percevoir l'importance des actifs différemment de la société cible et, par conséquent, leurs attentes quant à la manière de protéger ces actifs peuvent être très différentes des mesures de protection mises en place par cette dernière. Par exemple, l'ordinateur d'un administrateur système fonctionnant sur une plateforme obsolète ne figure peut-être pas sur la liste des « joyaux de la couronne » d'une cible, mais une attaque réussie contre cet appareil pourrait permettre de divulguer une mine d'informations sensibles.
[À lire également : 5 graphiques qui expliquent la crise de visibilité du secteur informatique]
Selon M. Lewis, une entreprise cible soucieuse de sa sécurité devrait également être en mesure de fournir aux acquéreurs une évaluation de sécurité identifiant les vecteurs potentiels que des attaquants pourraient exploiter pour accéder à des actifs clés. « Si la société cible a mené à bien ce travail, c’est un excellent signe. » « S’ils ne comprennent même pas pourquoi ce type de travail est important, c’est au moins un signal d’alerte. »
Chaîne d'approvisionnement et tiers
D'un point de vue sécuritaire, les entreprises acquéreuses devraient considérer les cibles moins comme des entités distinctes que comme un ensemble d'actifs, de terminaux, de fournisseurs, de partenaires et de clients, explique M. Bradley. Dans cette optique, les acquéreurs devraient demander à avoir accès à la liste des tiers présents sur le réseau d'entreprise de la société cible, ainsi qu'à une évaluation des risques qu'ils présentent. L'acquéreur doit également examiner les faiblesses identifiées par la société cible concernant les fournisseurs et les tiers, et s'assurer que des mesures correctives ont été mises en œuvre en temps opportun et validées.
Si ces informations provenant de tiers ne sont pas disponibles, l’acquéreur doit s’efforcer de mener sa propre évaluation de l’ de la chaîne d’approvisionnement afin de comprendre quels types d’entreprises interagissent régulièrement avec les réseaux de la société cible, de quels droits d’administration elles disposent et quelles sont les configurations réseau en place. À l'heure où les attaques par ransomware et celles visant la chaîne d'approvisionnement sont monnaie courante, ces informations peuvent s'avérer déterminantes pour prévenir une violation de sécurité.
Parcourir le périmètre
Alors que les employés se sont tournés vers le télétravail et les modèles de travail hybrides combinant bureau et domicile, le principal défi en matière de sécurité auquel sont confrontées la plupart des entreprises réside dans l'augmentation de la surface d'attaque que leurs réseaux offrent aux pirates informatiques, en raison de la pandémie. Pour garder le contrôle sur les milliers d'appareils connectés à distance qui sont intégrés à leurs réseaux, les entreprises ont dû rester vigilantes face aux nouvelles voies que les cybercriminels peuvent emprunter pour franchir leurs périmètres de sécurité.
Selon M. Bradley, les acquéreurs doivent vérifier si les sociétés cibles ont investi dans des ressources supplémentaires afin de prendre en charge un nombre accru d'utilisateurs à distance sur leurs réseaux, et si la société cible a mis en place des pratiques de type « zero-trust ». «L’ « Zero Trust », qui considère tout appareil tentant de se connecter comme une menace potentielle, constitue une solution plus simple que les VPN (réseaux privés virtuels), qui se sont révélés difficiles à déployer à grande échelle et sont sujets à des pannes. »
[À lire également : Il est temps d'abandonner le VPN au profit du modèle « zero trust »]
« Les appareils non gérés des employés ciblés, tels que les ordinateurs, les smartphones, les consoles de jeux et les appareils connectés, peuvent élargir la surface d’attaque de la cible », explique Bradley. « Les entreprises qui ne disposent pas d’une protection adéquate des terminaux et d’un système de prévention des pertes de données continueront à courir après le temps. »
Effectifs chargés de la sécurité
Enfin, les acquéreurs potentiels doivent se faire une idée précise de la culture d'entreprise globale de la société cible, et cela s'étend aux professionnels des réseaux informatiques et de la sécurité, explique M. Bradley. Cette collecte d'informations peut débuter pendant la période précédant la signature, au cours de la phase de partage des documents et d'entretiens du processus d'acquisition. Elle doit inclure un examen des politiques et procédures de la société cible en matière de ressources humaines, ainsi que de son taux de rotation du personnel, en particulier celui de ses techniciens informatiques.
[À lire également : Pour renforcer la cybersécurité, donnez les moyens d'agir à vos collaborateurs]
Il est également important d'évaluer la capacité de l'entreprise à attirer les meilleurs talents en cybersécurité et, plus important encore, sa capacité à les fidéliser, car cela en dit long sur la manière dont l'entreprise assure et gère la sécurité de son réseau. Parmi tous les aspects de la cybersécurité auxquels il convient de prêter attention lors d'une acquisition, le personnel chargé de la sécurité des réseaux est souvent celui qui est le plus négligé. Aussi performante soit-elle, une plateforme de sécurité finira rapidement par perdre de son efficacité si l'on ne dispose pas des compétences nécessaires pour l'exploiter et l'entretenir.
