Malgré un ralentissement mondial des opérations de fusion-acquisition — comme l'ont souligné cette semaine , , The Wall Street Journalet —, les fusions et acquisitions (F&A) restent bien vivantes.
S'il est vrai que l'incertitude économique et la guerre en Ukraine ont effectivement freiné les opérations de fusion-acquisition, les chefs d'entreprise continuent néanmoins de les rechercher lorsque cela s'avère judicieux (voir JetBlue et Spirit Airlines). L'année dernière, la valeur des opérations mondiales de fusions-acquisitions a atteint 5,1 000 milliards de dollars, contre seulement 3,8 000 milliards de dollars l'année précédente, selon le cabinet d'audit KPMG. Malgré un récent ralentissement des transactions , l'intérêt des dirigeants pour les fusions-acquisitions reste fort.
Mais, dans leur empressement à réaliser des acquisitions et des fusions, les PDG et leurs conseils d'administration négligent souvent d'intégrer la cybersécurité dans le processus de négociation. Dans certains cas, cela a porté atteinte à la réputation des entreprises et à leurs marques, entraîné des amendes réglementaires colossales et conduit à la réévaluation d’offres d’achat majeures, pouvant atteindre 350 millions de dollars.
La gestion d'un incident informatique avant, pendant ou après une transaction peut être une source de distraction considérable. « Les responsables de la cybersécurité doivent veiller à pouvoir accompagner l’entreprise dans sa croissance et la génération de chiffre d’affaires ; or, il y a déjà suffisamment de variables en jeu lors d’une opération de fusion-acquisition », déclare Shay Colson, associé gérant du cabinet d’expertise informatique et d’enquêtes Cyber Diligence.
«Il est utile de considérer la cybersécurité comme le bassiste d’une opération de fusion-acquisition : elle pose des bases solides, mais travaille en arrière-plan. »
Si les entreprises candidates à une acquisition ne traitent pas correctement la question de la cybersécurité, elles peuvent s'attendre à ce que les surprises liées aux opérations de fusion-acquisition se poursuivent. Afin de contribuer à atténuer ces écueils et de fournir aux responsables de la sécurité une boîte à outils leur permettant de conseiller leurs dirigeants, l’étude « : Endpoint » a interrogé des responsables de la sécurité des systèmes d’information (RSSI) et d’autres intervenants afin de recenser les bonnes pratiques suivantes :
Restez informé des dernières opérations de fusions-acquisitions
Plus tôt le RSSI se met au courant d'une transaction, mieux c'est. Malheureusement, comme il est nécessaire de préserver la confidentialité des négociations au cours des premières étapes, seule une poignée de cadres est généralement mise au courant des accords potentiels.
Mais cela ne devrait pas empêcher les responsables de la sécurité des systèmes d'information (RSSI) de glisser quelques conseils à l'oreille des dirigeants avant toute acquisition potentielle. « Les responsables de la sécurité des systèmes d’information (RSSI) doivent savoir si leur organisation dispose d’une stratégie d’acquisition ou s’il s’agit d’une éventualité pour l’avenir », explique Theresa Payton, PDG du cabinet de conseil en sécurité Fortalice Solutions. « Si tel est le cas, il peut vous être très utile d'informer vos dirigeants à l'avance. »
«Les responsables de la sécurité des systèmes d’information (RSSI) doivent déterminer si leur organisation dispose d’une stratégie d’acquisition ou si une telle opération pourrait avoir lieu à l’avenir. »Theresa Payton, PDG de Fortalice Solutions
« Je pense que la plupart des DSI et des RSSI le savent, mais il est toujours utile de rappeler que la cybersécurité n'est pas au centre des opérations de fusion-acquisition », déclare M. Colson. « Une fois que les équipes chargées de la transaction sont en place et ont commencé à travailler, il est très peu probable qu’une faille de cybersécurité vienne faire capoter la transaction. »
Selon M. Colson, il est utile de considérer la cybersécurité comme le rôle du bassiste : elle pose des bases solides, mais travaille généralement en arrière-plan pour soutenir les autres musiciens. « Cela demande une certaine humilité, mais permet d’obtenir systématiquement de meilleurs résultats tant pendant la phase de diligence que après la conclusion de l’opération », explique-t-il.
Le fait de ne pas être présent à la table des négociations ne signifie pas pour autant que les intérêts des RSSI ne doivent pas être pris en compte. Ils devraient prendre contact avant toute transaction et sensibiliser le PDG, les membres du conseil d'administration et les autres cadres supérieurs aux risques et à l'importance de mettre en place une cybersécurité adéquate lors de toute fusion ou acquisition.
Préparez les dirigeants d'entreprise à poser les bonnes questions
Il suffit de poser quelques questions pour se faire une idée du niveau de maturité d'un programme de cybersécurité au sein d'une entreprise cible d'une opération de fusion-acquisition. Selon M. Payton, de Fortalice Solutions, les dirigeants impliqués dans les premières étapes d'une transaction peuvent poser quelques questions stratégiques pour lancer le processus de diligence raisonnable en matière de cybersécurité sans que le RSSI soit physiquement présent.
Les questions varient selon le secteur d'activité. Par exemple, les établissements de santé peuvent s'enquérir des mesures de protection mises en place pour les données à caractère personnel sensibles, tandis que les éditeurs de logiciels peuvent évaluer la sécurité des processus de développement logiciel. Les dirigeants d'entreprise pourraient tenter d'identifier le RSSI ou le DSI qui gère à lui seul les mesures de cybersécurité de l'entreprise ciblée.
« Le fait qu’une entreprise d’une taille respectable ne dispose pas d’un responsable de la sécurité, ou qu’aucun processus de développement logiciel véritablement sécurisé n’ait été défini, constitue un signal d’alerte sérieux », déclare Payton. Elle vous conseille également de vous renseigner sur leur approche en matière d'authentification multifactorielle concernant les transferts d'argent ou les données sensibles. « S’ils répondent : “Qu’est-ce que c’est ?” » « Alors vous avez votre réponse. »
Faites preuve de diligence raisonnable
Dans la mesure du possible avant la conclusion d'une transaction, il est important de bien cerner le niveau de sécurité du partenaire de fusion ou de la société cible. Quels sont les programmes et dispositifs de sécurité mis en place ? Quelles sont les lacunes entre les programmes de sécurité des organisations impliquées dans cette opération ?
«Je suis capable de mettre au jour les failles de la technologie et des processus en trois jours ou moins. »Glenn Kapetansky, directeur de la sécurité (CSO) et responsable des capacités technologiques chez Trexin Consulting
L'American Institute of CPAs définit la manière dont les organisations doivent gérer les données clients et a élaboré une norme de conformité facultative, appelée SOC 2. Même si certaines entreprises disposent déjà de rapports de conformité SOC 2 indiquant leur niveau de maturité en matière de technologies de l'information et de sécurité, dans de nombreux cas, l'entreprise cible devrait également se soumettre à une évaluation réalisée par un organisme tiers.
Une telle évaluation permettra d'obtenir l'assurance raisonnable que l'entreprise ne fait pas preuve de négligence et contribuera à préparer le terrain pour une analyse plus approfondie après la fusion ou l'acquisition.
[À lire également : 5 étapes pour évaluer la cybersécurité avant une acquisition]
Avant même la signature d'un accord, il est temps de commencer à planifier les initiatives de sécurité à long terme qui devront être mises en œuvre par la suite, en particulier lorsque les organisations concernées sont de taille et de maturité similaires. Les entreprises qui prévoient d'acquérir plusieurs sociétés devraient envisager d'élaborer des guides d'intégration pour les domaines clés de la sécurité, tels que la gestion des identités, l'authentification et l'autorisation, l'audit et la journalisation, les sauvegardes et la gestion des vulnérabilités. Et elles devraient veiller à ce que les contrôles soient systématiquement appliqués aux sociétés nouvellement acquises.
Réaliser une évaluation des risques après la transaction
Une fois les contrats signés, il est essentiel de lancer une évaluation dès que possible. Déterminez qui sera chargé d'atténuer les risques mis en évidence par un audit et de définir les étapes clés pour résoudre ces problèmes. Cela comprend les activités permettant d'évaluer les risques de base, telles que la réalisation de tests d'intrusion et de tests d'applications web.
«Vous devez savoir ce que vous allez protéger. » C'est impossible sans un inventaire adapté. »Anthony Catalano, responsable national de la cybersécurité pour le secteur du capital-investissement chez RSM US
Eric Galis, responsable de la sécurité des systèmes d'information (RSSI) au sein de la société de technologies éducatives Cengage Group, conseille aux entreprises de fonder leur méthodologie d'évaluation et leurs plans d'intégration sur le même référentiel que celui qui guide leur propre stratégie de sécurité, qu'il s'agisse de la norme NIST 800-53 ou des « Critical Security Controls » du Center for Internet Security. « Cela garantit la cohérence et permet une meilleure intégration dans les pratiques actuelles en matière de cybersécurité », explique M. Galis.
« Il est essentiel de bien comprendre le flux de données au sein de l'entreprise rachetée », explique Glenn Kapetansky, directeur de la sécurité (CSO) et responsable des capacités technologiques au sein du cabinet de conseil en gestion Trexin Consulting. Il conseille aux responsables de la sécurité des systèmes d'information (RSSI) de rencontrer les directeurs ou autres cadres supérieurs chargés des fonctions informatiques et de leur demander de retracer le parcours de leurs données, depuis la phase de test jusqu'à la mise en production. Selon lui, les risques se cachent dans les données, leur accès et leur traitement, et peuvent avoir une incidence significative sur la valorisation de l'entreprise. La réduction de ce risque devrait rester une priorité absolue tout au long du processus de fusion ou d'acquisition, ainsi qu'après celui-ci.
« Je m’intéresse aux applications liées aux données dans le cadre des tests d’application, des tests d’acceptation par les utilisateurs, de la mise en production, ainsi qu’aux systèmes et à l’infrastructure », explique M. Kapetansky. « Pour finir, je vous interroge sur les processus et les rôles au sein de leurs cycles de vie de développement logiciel. » « Je finis immanquablement par mettre le doigt sur les faiblesses de la technologie et des processus en trois jours, voire moins. »
Par ailleurs, il est également essentiel de dresser un inventaire exhaustif des applications et des autres ressources en réseau qui devront faire l'objet d'une évaluation une fois la fusion ou l'acquisition finalisée et dès que la consolidation des piles technologiques distinctes aura commencé. « Il faut savoir ce que l’on va protéger, et cela est impossible sans un inventaire adéquat », explique Anthony Catalano, responsable national de la cybersécurité pour le secteur du capital-investissement chez RSM US, un cabinet d’audit, de conseil fiscal et de conseil.
Fusionner les équipes de sécurité des deux entreprises
Enfin, la fusion réussie des équipes de sécurité de chaque organisation permettra de jeter les bases d'une réussite à long terme. S'il est certes important de bien cerner le profil de sécurité d'une cible de fusion ou d'acquisition, il est tout aussi indispensable que les dirigeants sachent comment ils vont assurer la sécurité de la nouvelle entité à l'avenir.
« Réalisez une analyse des risques et procédez à un audit des représentants des deux services afin d’identifier leurs points forts et leurs points faibles », explique Wojciech Syrkiewicz-Trepiak, ingénieur en sécurité chez Spacelift, fournisseur de code d’infrastructure. « Rassemblez-les dans une même pièce et discutez ensemble. » « Si vous disposez de collaborateurs talentueux des deux côtés, laissez-les faire leur travail en définissant les objectifs. »
Évaluez la prochaine transaction, puis celle d'après
En fin de compte, les entreprises doivent se tourner vers l'avenir et vers la prochaine transaction. Les responsables de la sécurité des systèmes d'information (RSSI) devraient non seulement veiller à être associés dès le début à toute future opération de fusion-acquisition, mais aussi chercher des moyens de tirer parti de cette opération pour justifier des mesures visant à renforcer leur budget de sécurité.
« Il y a souvent des coûts ponctuels liés à une fusion que votre entreprise sera autorisée à passer en charges », explique Payton. « C’est une excellente occasion d’identifier les domaines pour lesquels il existe une justification fiscale valable dans le cadre de la fusion, qui pourrait justifier la mise en place d’outils de sécurité supplémentaires. »
Et face aux menaces considérables qui pèsent après la conclusion d'un accord, quel responsable de la sécurité des systèmes d'information (RSSI) n'aurait pas besoin de disposer de davantage d'outils ?
