や『ウォール・ストリート・ジャーナル』 が今週報じたように、世界的にM&A（合併・買収）の件数が減少傾向にあるとはいえ、M&Aは依然として活発に行われています。
経済の先行き不透明感やウクライナでの戦争により、M&A案件が事実上停滞しているのは事実ですが、経営者たちは依然として、合理性がある案件については積極的に模索しています（ ジェットブルーとスピリット航空の事例を参照）。 会計事務所KPMGによると、昨年の世界のM&A取引額は5.1 兆ドルに達し、前年のわずか3.8 兆ドルから増加しました。 最近、 取引件数が減少傾向にあるものの、経営陣の間では M&A への意欲が 依然として高いままです。
しかし、買収や合併を急ぐあまり、CEOや取締役会は、サイバーセキュリティを取引の検討プロセスから除外してしまうことがよくあります。 In some cases, the result has damaged corporate reputations and brands, led to massive regulatory fines, and triggered the reevaluations of major bids by as much as $350 million.
取引の前、最中、または後にサイバーインシデントへの対応を行うことは、業務の妨げとなることがあります。 「サイバーセキュリティの責任者は、ビジネスの成長促進と収益創出を確実に支援できなければなりません。M&Aの局面では、すでに十分な数の不確定要素が存在しているのです」と、コンピュータフォレンジックおよび調査会社「Cyber Diligence」のマネージングパートナー、シェイ・コルソン氏は述べています。
「サイバーセキュリティを、M&A取引におけるベース奏者に例えると理解しやすいでしょう。堅固な基盤を築きつつも、裏方で活躍する存在です。」
企業買収を企てる側がサイバーセキュリティに適切に対処しなければ、M&Aの過程で予期せぬ事態が引き続き発生するものと見込まれます。 こうした落とし穴を軽減し、セキュリティ責任者が経営陣に助言を行うためのツールキットを提供するため、 Endpoint は、最高情報セキュリティ責任者（CISO）らを対象に調査を実施し、以下のベストプラクティスをまとめました：
M&A取引の動向を把握しましょう
CISOが取引の内容を把握するのは、早ければ早いほど良いのです。 残念ながら、交渉の初期段階では秘密保持が必要であるため、通常、潜在的な取引の内容を知らされているのはごく一部の幹部のみです。
とはいえ、CISOは、買収の可能性が浮上する前に、経営陣にそっと助言をしておくべきでしょう。 「CISOは、自組織に買収戦略があるかどうか、あるいは将来的に買収が行われる可能性があるかどうかを把握しておく必要があります」と、セキュリティコンサルティング会社Fortalice SolutionsのCEO、テレサ・ペイトン氏は述べています。 「もしそうであれば、事前に経営陣に説明をしておくことが大いに役立つでしょう。」
「CISOs need to understand if their organization has an acquisition strategy or whether it’s something that could happen in the future.」フォータリス・ソリューションズ 最高経営責任者（CEO）、テレサ・ペイトン
「ほとんどのCIOやCISOはこれを承知していると思いますが、M&Aにおいてサイバーセキュリティが主役ではないということを改めて認識しておくことは、常に有益です」とコルソン氏は述べています。 「取引担当チームが編成され、業務が本格化している段階になれば、サイバーセキュリティ上の問題が取引を頓挫させるようなことは、まずあり得ません。」
コルソン氏は、サイバーセキュリティを、むしろベース奏者のようなものだと考えるのが役立つと述べています。つまり、確固たる基盤を築きつつも、通常は裏方で他の演奏者を支える役割を果たしているのです。 「それにはある程度の謙虚さが必要ですが、デューデリジェンスの段階や取引成立後も、一貫してより良い結果につながります」と彼は述べています。
交渉の席に同席していないからといって、CISOの利益が反映されないというわけではありません。 取引に先立ち、彼らから連絡を取り、CEOや取締役、その他の経営幹部に対し、合併や買収の過程においてサイバーセキュリティを適切に整備することの重要性や、それに伴うリスクについて理解を深めてもらう必要があります。
適切な質問を通じて、ビジネスリーダーを育成しましょう
M&Aの対象となる企業のサイバーセキュリティプログラムの成熟度を把握するには、それほど多くの質問をする必要はありません。 Fortalice Solutions社のペイトン氏によると、取引の初期段階に関与する経営幹部は、CISOが実際に同席していなくても、戦略的にいくつかの質問を投げかけることで、サイバーセキュリティに関するデューデリジェンスのプロセスを開始することができるとのことです。
質問内容は業界によって異なります。 例えば、医療機関は、機密性の高い個人を特定できる情報の保護について質問することがある一方、ソフトウェア企業は、ソフトウェア開発プロセスのセキュリティを評価することがあります。 企業の幹部は、対象企業のサイバーセキュリティ対策を単独で統括しているCISOやCIOを特定しようと試みるかもしれません。
[関連記事：セキュリティ担当のリーダーを配置することは一つの手段ですが、CEOに実際にその意見に耳を傾けてもらうにはどうすればよいか、その方法をご紹介します]
「ある程度の規模の企業でセキュリティ担当者がいない場合や、適切なソフトウェア開発プロセスが定義されていない場合は、いずれも深刻な危険信号です」とペイトン氏は述べています。 また、資金の移動や機密データの取り扱いに関する多要素認証の取り組みについても、尋ねてみることをお勧めします、と彼女は提案しています。 「もし『それって何？』と返ってきたら、 「それなら、答えは出ましたね。」
十分な調査を行ってください
取引が完了する前の段階で、現実的に可能な範囲で、合併相手先や買収対象企業のセキュリティ態勢を把握しておくことが重要です。 どのようなセキュリティ対策や管理措置が講じられていますか？ この取引に関与している各組織のセキュリティプログラムには、どのような違いがあるのでしょうか？
「私は3日以内なら、どんな技術やプロセスの弱点も見つけ出せます。」トレクシン・コンサルティングのCSO兼テクノロジー・キャパビリティ・リード、グレン・カペタンスキー氏
米国公認会計士協会（AICPA）は、組織が顧客データをどのように管理すべきかを規定しており、「SOC 2」と呼ばれる自主的なコンプライアンス基準を策定しました。 一部の企業では、情報技術およびセキュリティの成熟度を示す最新のSOC 2 準拠報告書を保有している場合もありますが、多くの場合、対象企業は第三者による評価も受ける必要があります。
このような評価を行うことで、当該企業が過失を犯していないという合理的な保証が得られ、合併や買収後の詳細な調査に向けた準備にも役立ちます。
[関連記事：買収前のサイバーセキュリティ評価のための 5 のステップ]
契約が締結される前から、その後実施すべき長期的なセキュリティ対策の計画に着手すべき時期です。特に、関係する組織の規模や成熟度が類似している場合にはなおさらです。 複数の企業を買収する予定の企業は、ID管理、認証・認可、監査・ログ記録、バックアップ、脆弱性管理といった主要なセキュリティ分野について、統合のためのプレイブックを作成することを検討すべきです。 また、新たに買収した企業に対しても、管理措置が一貫して適用されるよう確保すべきです。
取引完了後のリスク評価を実施する
契約が締結されたら、できるだけ早く評価作業を開始することが極めて重要です。 監査で明らかになったリスクの軽減や、それらの問題に対処するためのマイルストーンの設定について、誰が責任を負うのかを確認してください。 これには、侵入テストやWebアプリケーションテストの実施など、ベースラインリスクの評価に役立つ活動が含まれます。
「何を保護すべきか、把握しておく必要があります。」 適切な在庫がなければ、それは不可能です。”RSM USのプライベート・エクイティ部門、サイバーセキュリティ担当ナショナル・リード、アンソニー・カタラーノ氏
教育テクノロジー企業Cengage GroupのCISOであるエリック・ガリス氏は、企業に対し、評価手法や統合計画を、NIST 800-53 であれ、Center for Internet Securityの「重要セキュリティ管理項目」であれ、自社のセキュリティ戦略の指針となっているのと同じフレームワークに基づいて策定するよう助言しています。 「これにより一貫性が確保され、現在のサイバーセキュリティ対策へのより強固な統合が可能になります」と、ガリス氏は述べています。
ビジネスコンサルティング会社トレクシン・コンサルティングのCSO兼テクノロジー・キャパビリティ・リードであるグレン・カペタンスキー氏は、買収対象企業内のデータフローを理解することが極めて重要であると述べています。 彼は、CISOに対し、IT部門を統括する取締役やその他の経営幹部と面談し、テスト環境から本番環境に至るまでのデータフローを追跡するよう依頼するよう助言しています。 リスクはデータ、データへのアクセス、およびデータの取り扱いの中に潜んでおり、企業の企業価値に重大な影響を及ぼす可能性がある、と彼は述べています。 そのリスクを軽減することは、合併や買収のプロセス全体を通じて、またその後も引き続き最優先事項であるべきです。
「私は、アプリケーションテスト、ユーザー受入テスト、本番環境、そしてシステムやインフラストラクチャにおいて、データを取り巻くアプリケーションについて尋ねています」とカペタンスキー氏は述べています。 「最後に、ソフトウェア開発ライフサイクルにおけるプロセスと役割についてお伺いします。 「3日以内には、必ずと言っていいほど、技術やプロセスの弱点を見つけ出してしまうのです。」
[関連記事：ソフトウェア開発は、多くの経営者が最も懸念している課題です。 そろそろ、ソフトウェアのサプライチェーンのセキュリティについて、もっと多くの人が関心を持ち始めるべき時です]
さらに、合併や買収が完了し、個別の技術スタックの統合が始まった後に評価が必要となるアプリケーションやその他のネットワーク資産について、包括的な棚卸しを行うことも極めて重要です。 「何を保護すべきかを把握しておく必要がありますが、適切な資産台帳がなければそれは不可能です」と、監査・税務・コンサルティング会社であるRSM USのプライベート・エクイティ部門の全国サイバー担当責任者、アンソニー・カタラーノ氏は述べています。
両社のセキュリティチームを統合する
最後に、各組織のセキュリティチームを円滑に統合することが、長期的な成功の礎となるでしょう。 M&Aの対象となる企業のセキュリティ状況を理解することは確かに重要ですが、経営陣にとっては、今後、新たに設立された組織のセキュリティをどのように確保していくかを把握することも同様に不可欠です。
「リスク分析を行い、両部門の担当者を監査して、それぞれの強みと弱みを把握する必要があります」と、インフラストラクチャ・コード・プロバイダーであるSpaceliftのセキュリティエンジニア、ヴォイチェフ・シルキエヴィチ＝トレピアック氏は述べています。 「皆を同じ部屋に集めて、話し合ってください。」 「双方に有能なチームメンバーがいるのであれば、目標を明確に設定し、彼らにそれぞれの仕事を任せてください。」
次の取引と、その次の取引を見極めましょう
結局のところ、企業は将来と次の取引を見据えていく必要があります。 CISOは、今後のM&Aにおいて早い段階から参画できるよう確保するだけでなく、合併や買収を機に、セキュリティ予算の拡充に向けた措置を正当化できる方法を模索すべきです。
「合併に伴う一時的な費用については、多くの場合、貴社が経費として計上することが認められます」とペイトン氏は述べています。 「これは、合併に適用される正当な税務上の理由があり、追加のセキュリティツールの導入を正当化できる分野を見つける絶好の機会です。」
また、契約締結後に大きな脅威が迫っている状況において、CISOとして、さらに多くのツールを手元に用意しておきたくないという方がいるでしょうか？
