合併や買収は、投資家にとって悩みの種となり得ます。 一般的な見方では、多くの大規模な取引は、しばしば企業価値を毀損し、リスクに満ちており、企業がその影響から回復するには何年もかかることが示されています。 しかし、買い手と売り手の双方が見落としがちなもう一つの要因として、サイバーリスクが挙げられます。
企業は競合他社に対して過大な買収価格を支払う可能性があり、取引前のアピール活動で盛んに謳われたシナジー効果が、実際には実現しない場合もあります。 しかし、買収中または買収後にサイバー侵害が発覚した場合、企業が被ることになる評判の失墜、取引価値の目減り、および事業運営の混乱に比べれば、こうした課題は些細なものに過ぎません。
徹底したサイバーセキュリティのデューデリジェンスを怠った場合に生じる影響の大きさを理解するには、最近の注目すべきハッキング事件を振り返るだけで十分です。 Verizon cut its purchase price for Yahoo by $350 million in 2017 after the web portal disclosed widespread cyberattacks under its watch, and Marriott disclosed a major breach in 2018 from the properties it acquired with the purchase of Starwood.
こうした注目を集める事例があるにもかかわらず、多くの買収企業は、買収対象企業がハッカーから守られるよう確保することについて、口先だけで済ませているのが実情です。 標的のセキュリティ態勢を徹底的に検証する者はほとんどおらず、多くの場合、標的のリスクプロファイルは完全に無視されています。
「買収対象企業が、自社のリスクプロファイルを十分に理解しておらず、買収企業に説明できない場合、それは危険信号です」と、サイバーセキュリティ、人工知能、アナリティクス市場を専門とするベンチャーキャピタルファンド「レイン・キャピタル」のベンチャーパートナー、ジェイミー・ルイス氏は述べています。
企業が買収戦略へと舵を切った瞬間から、経営陣によって見過ごされがちな2つの重要な考慮事項があります。 まず、KPMGがM&A取引におけるサイバーリスクを検証した「 2018 」レポート『 』によると、企業への買収提案に至るまでの数年間において、買収候補企業は対象企業のサイバーセキュリティ状況について徹底的な評価を行っておく必要があります。 この評価を通じて、対象企業が自社のリスクプロファイルをどの程度理解しているか、インシデント対応の実績、および防御体制の強化のために講じてきた措置が明らかになるはずです。
「買収対象企業が、自社のリスクプロファイルを十分に理解しておらず、買収企業に説明できない場合は、危険信号となります。」レイン・キャピタルのベンチャー・パートナー、ジェイミー・ルイス氏
買収企業がしばしば見落としがちな2つ目の重要な指標は、買収対象企業のセキュリティ体制です。 健全かつ効果的な姿勢とは、標的となる組織が攻撃が差し迫っていると想定し、効果的なネットワーク監視ツールと、最も重要な資産に対する強固な防御体制を整えている状態のことです。
KPMGは報告書の中で、「サイバーセキュリティの問題は、特にM&A取引の際には、米国企業にとって最優先事項であり、取引の破談や売り手側の大幅な価格引き下げにつながる可能性がある」と述べています。
したがって、企業の損益計算書、貸借対照表、在庫状況、さらにはガバナンスや会計手続きに加え、買収企業にとっては、対象企業の のパッチ適用状況、 のエンドポイント可視性、および のネットワークセキュリティ の監視インフラを確認することも同様に重要です。 もしそれらが十分な水準に達していない場合、ハッキングや情報漏洩は、「 」という状況になりかねません。 それは「もし」ではなく、「いつ」の問題なのです。
[関連記事：エンドポイントから始まる適切なサイバー衛生管理が、米国のサイバーセキュリティにとってなぜ不可欠なのか]
買収側は、対象企業の経営陣とじっくり話し合い、セキュリティをどれほど真剣に捉えているか、また自社のビジネスにとってサイバーリスクをどのように認識しているかを尋ねることを、あまりにも頻繁に怠ってしまっています。 買収に先立ち、時間をかけてサイバーセキュリティ上の脆弱性を精査することは、統合後の事業のセキュリティ確保という観点から理にかなっているだけでなく、買収企業の買収アプローチの正当性を守る上で役立つ、慎重かつ説得力のある戦略でもあります。
ここでは、買収を検討している企業が買収先を探す際に考慮すべき、5つの重要なセキュリティ上の課題をご紹介します。
リスクプロファイル
対象企業に対する徹底的なセキュリティ評価を行うことで、攻撃の可能性がある主体（その能力、目的、手法を含む）を特定し、サイバー攻撃が企業の業務にどのような影響を及ぼし得るかを明らかにすることができます。 サードパーティ・リスクの保証を推進するためのベストプラクティス、教育資料、ツールを開発しているグローバルな会員制組織「Shared Assessments」の副社長、ロン・ブラッドリー氏は、買収企業は物理的・環境的なセキュリティ、事業継続性、運用管理を検証するだけでなく、買収対象企業が事業を展開しているサイバーセキュリティの脅威情勢についても監視すべきだと述べています。
交渉が本格化し、買収対象企業が買収側に財務情報を開示した後は、予備的なセキュリティ評価に続き、より詳細な調査や情報開示の要請を行うことができます。 ここで、優れたエンドポイントの サイバー衛生チェック が重要となります。シンプルなエンドポイント戦略を用いることで、アプリケーションのセキュリティ、ネットワークの脆弱性、パッチ適用の頻度、アクセス管理の弱点、データ保護に加え、対象企業が導入している重大なインシデントへの対応体制を評価することができます。
[関連記事：なぜエンドポイントセキュリティが中小企業にとって喫緊の課題なのか]
ブラッドリー氏によると、検討すべき重要な課題は、対象企業がIDおよびアクセス管理の権限をどの程度厳格に運用しているか、また、それらの権限を恒久的に付与しているのか、あるいは監視なしに付与しているのかという点だといいます。
標的となる企業のセキュリティ態勢については、常に留意しておく必要があります。「標的となる企業の評価が主に技術や製品に重点を置いている場合や、セキュリティチームや経営陣が脅威プロファイルという観点から考えていない場合は、危険信号となる可能性があります」とルイス氏は述べています。
IT資産の可視化
買収対象企業が、自社の「至宝」がどこにあるのか把握していない場合、それはまさに災難が待ち受けているようなものです。 買収側にとっては残念なことに、この問題は、組織が自社の重要な資産が何であり、どこに保管されているのかを明確にできない場合、侵害調査の過程で初めて明らかになることがあります。 ブラッドリー氏によると、買収企業が買収を実行に移す前に、対象企業が確立されたリスク管理プログラムと、最も貴重な資産を監視・保護するための一連のサイバーセキュリティ対策および基準を整備していることを確信しなければならないとのことです。
「サイバーセキュリティ体制が万全な企業は、サイバー対策の定期的な見直しを行っています。買収側は、その証拠の提示を求めるべきです。」シェアード・アセスメンツ社の副社長、ロン・ブラッドリー氏
また、買収側は、対象企業がデータ資産の整合性を確保するための 在庫管理ツール（ ）を導入していることを確認できる必要があります。 ネットワーク上のデータの所有者を特定する必要があり、データを定期的に更新・検証することが極めて重要です。 ブラッドリー氏によると、サイバーセキュリティ体制が万全な企業は、資産管理プログラムやサイバー対策の全体的な有効性について、定期的な見直しを行うとのことです。 買収側は、買収プロセスにおいて、こうしたレビューや是正策に関する証拠の提示を求めるべきです。
もう一つの課題は、買収側が資産の重要性を対象企業とは異なる観点から捉える可能性があり、その結果、買収側が想定する資産保護策と、対象企業がすでに講じている防衛策とが、大きく異なる場合があるということです。 例えば、レガシープラットフォーム上のシステム管理者のコンピュータは、標的の「最重要資産」リストには含まれていないかもしれませんが、そのデバイスへの攻撃が成功すれば、大量の機密情報が流出する可能性があります。
ルイス氏によると、セキュリティ意識の高い買収対象企業は、攻撃者が重要な資産に到達するために利用しうる潜在的な侵入経路を特定したセキュリティ評価書を、買収側に提示できるべきだとのことです。 「買収対象企業がそのような取り組みを行っているなら、それは非常に良い兆候です。」 「もし彼らが、なぜそのような仕事が重要なのかさえ理解していないのであれば、それは少なくとも注意すべき点です。」
サプライチェーンおよび第三者
ブラッドリー氏によると、セキュリティの観点から、買収企業は買収対象を単一の組織としてではなく、資産、エンドポイント、ベンダー、パートナー、顧客が融合した存在として捉えるべきだとのことです。 こうした点を踏まえ、買収企業は、対象企業の企業ネットワークに接続している第三者のリストと、それらがもたらすリスクの評価について、情報を入手するよう努めるべきです。 また、買収企業は、対象企業が特定したベンダーや第三者に関する脆弱性についても確認し、これらの脆弱性について適時に是正措置が講じられ、その有効性が確認されていることを確認しなければなりません。
[関連記事：サプライチェーンのセキュリティ確保は困難です。では、理想的な状態とはどのようなものでしょうか？]
この第三者からの情報が入手できない場合、買収企業は、対象企業のネットワーク上で定期的にやり取りを行っている企業の種類、それらの企業が持つ管理者権限、および導入されているネットワーク構成を把握するため、独自に サプライチェーン の評価を実施するよう努めるべきです。 ランサムウェアやサプライチェーン攻撃が横行する昨今、この情報はセキュリティ侵害を防ぐ上で極めて重要な役割を果たす可能性があります。
周辺を巡回する
従業員の働き方が在宅勤務やハイブリッド型勤務へと移行する中、パンデミックの影響により、ネットワークがハッカーに対してさらす攻撃対象領域が拡大したことが、多くの企業が直面する最大のセキュリティ上の課題となっています。 ネットワークに導入される何千ものリモートデバイスを適切に管理するため、企業は、サイバー犯罪者がネットワークの境界を突破するために利用する新たな手口に対して、常に警戒を怠らないことが求められています。
ブラッドリー氏によると、買収側は、対象企業がネットワーク上のリモートユーザー数の増加に対応するために追加のリソースを投入しているかどうか、また、対象企業がゼロトラストの取り組みを実施しているかどうかを確認する必要があるとのことです。 「ゼロトラスト」は、ログインを試みるすべてのデバイスを潜在的な脅威として扱うものであり、拡張が難しく、障害が発生しやすいことが判明しているVPN（仮想プライベートネットワーク）よりも、よりシンプルな解決策です。
[関連記事：VPNを捨ててゼロトラストに移行する時が来ました]
「PC、スマートフォン、ゲーム機、IoT機器など、管理対象外の従業員が使用する端末は、標的となる対象の攻撃対象領域を拡大させる可能性があります」とブラッドリー氏は説明しています。 「適切なエンドポイント保護やデータ漏洩防止対策を講じていない企業は、今後も後手に回った状態が続いてしまうでしょう。」
セキュリティ要員
最後に、ブラッドリー氏は、買収を検討している企業は、買収対象企業の企業文化全体を理解する必要があり、その理解はITネットワークやセキュリティの専門家たちにも及ぶべきだと述べています。 この情報収集は、買収プロセスの「書類の共有および面談」段階である契約締結前の期間中に開始することができます。 これには、対象企業の人事方針や手続き、および対象企業の従業員の離職率、特にITエンタープライズ技術者の離職率に関する調査を含める必要があります。
[関連記事：サイバーセキュリティを強化するには、従業員の能力を高めることが重要です]
また、企業がサイバーセキュリティ分野の優秀な人材を引き付ける能力を評価することも重要ですが、さらに重要なのは、その人材を維持する能力です。なぜなら、それによって、その企業がネットワークセキュリティをいかにうまく維持・管理できているかが明確に示されるからです。 買収の際に留意すべきサイバーセキュリティのあらゆる側面の中でも、 のネットワークセキュリティ担当者 は、最も見過ごされがちな存在です。 セキュリティプラットフォームがどれほど堅牢であっても、それを運用・保守する人材がいなければ、すぐに機能しなくなってしまいます。
