Una empresa pot tenir polítiques de seguretat, una auditoria recent i un full de ruta ambiciós. Són punts de partida útils. Un inversor encara ha d'entendre què estableix realment l'evidència, quins riscos romanen i què ha de fer el proper propietari.
Definir la decisió abans de sol·licitar la prova
Un exercici de diligència té un calendari i una finalitat. La qüestió és si s'ha de continuar, què investigar més o què s'ha de prioritzar després de la finalització? La resposta determina quina informació és material.
Comenceu per les activitats empresarials i les dependències que sustenten la inversió. Una revisió d'abast restringit hauria de dir què pot establir en el temps disponible i què queda fora del seu abast.
Examineu l'abast de la garantia existent
L'existència d'un informe no explica la seva cobertura. Quins sistemes s'han examinat? Quines versions i entorns? El treball va ser una revisió documental o una valoració activa? Les troballes importants es van verificar posteriorment com a corregides?
Aquestes preguntes ajuden a establir quanta confiança pot dipositar un decisor en l'evidència. També impedeixen que una avaluació acuradament limitada s'interpreti com una garantia sobre tota l'organització.
Mireu la propietat operativa
El treball de seguretat depèn de persones, permisos i processos. Pregunteu qui és el propietari dels sistemes crítics, qui pot autoritzar el canvi i què passa quan una persona o proveïdor clau no està disponible.
Un problema pot ser tècnicament senzill de corregir, però operativament difícil perquè l'accés, el coneixement o l'autoritat estan concentrats. Això afecta la pràctica i la seqüenciació de la correcció després d'una transacció.
Fer visible la incertesa
L'accés durant la diligència és sovint limitat. Algunes preguntes romandran sense resposta, i algunes afirmacions es basaran en la informació proporcionada per l'objectiu. Aquestes limitacions pertanyen al material de decisió.
Una avaluació clara separa les observacions verificades, les representacions de la direcció i les preguntes obertes. A continuació, es poden orientar més proves o revisions especialitzades on és més probable que canviï la decisió.
Portar les conclusions a la integració
La diligència és més útil quan les seves troballes sobreviuen a la transacció. Les exposicions materials s'han de traduir en accions anomenades, dependències i una seqüència realista per al període d'integració.
Les troballes cibernètiques informen el procés de transacció més ampli. Els judicis legals, financers i contractuals romanen amb els assessors corresponents. El paper del gabinet és proporcionar una perspectiva de seguretat clara que puguin utilitzar els responsables de la presa de decisions.
L'objectiu és una decisió d'inversió més clara i un pla més informat per al que vindrà a continuació.
Una perspectiva des del gabinet
The Cybersecurity Cabinet