En virksomhed kan have sikkerhedspolitikker, en nylig revision og en ambitiøs køreplan. Det er nyttige udgangspunkter. En investor skal stadig forstå, hvad beviserne faktisk fastslår, hvilke risici der er tilbage, og hvad den næste ejer muligvis skal gøre.
Definer beslutningen, før du anmoder om beviserne
En flidøvelse har en tidsplan og et formål. Er spørgsmålet om man skal gå videre, hvad man skal undersøge nærmere eller hvad man skal prioritere efter færdiggørelse? Svaret afgør, hvilke oplysninger der er væsentlige.
Begynd med de forretningsaktiviteter og afhængigheder, der understøtter investeringen. En snævert gennemgang bør sige, hvad den kan fastslå i den tid, der er til rådighed, og hvad der forbliver uden for dens rækkevidde.
Undersøg omfanget af eksisterende sikkerhed
Eksistensen af en rapport forklarer ikke dens dækning. Hvilke systemer blev undersøgt? Hvilke versioner og miljøer? Var arbejdet en dokumentarisk anmeldelse eller en aktiv vurdering? Blev vigtige fund efterfølgende bekræftet som korrigeret?
Disse spørgsmål hjælper med at fastslå, hvor meget tillid en beslutningstager kan have til beviserne. De forhindrer også, at én nøje afgrænset vurdering tolkes som sikkerhed for hele organisationen.
Se på operationelt ejerskab
Sikkerhedsarbejde afhænger af personer, tilladelser og processer. Spørg, hvem der ejer kritiske systemer, hvem der kan godkende ændringer, og hvad der sker, når en nøgleperson eller leverandør er utilgængelig.
Et problem kan være teknisk ligetil at rette, men operationelt vanskeligt, fordi adgang, viden eller autoritet er koncentreret. Det påvirker det praktiske og rækkefølgen af afhjælpning efter en transaktion.
Gør usikkerhed synlig
Adgangen under diligence er ofte begrænset. Nogle spørgsmål vil forblive ubesvarede, og nogle påstande vil være afhængige af information fra målet. Disse begrænsninger hører hjemme i beslutningsmaterialet.
En klar vurdering adskiller verificerede observationer, ledelsesrepræsentationer og åbne spørgsmål. Yderligere test eller specialistgennemgang kan derefter målrettes, hvor det er størst sandsynlighed for at ændre beslutningen.
Bring resultaterne med i integrationen
Diligence er mest nyttig, når dens resultater overlever transaktionen. Materialeeksponeringer bør omsættes til navngivne handlinger, afhængigheder og en realistisk rækkefølge for integrationsperioden.
Cyberfund informerer den bredere transaktionsproces. Juridiske, finansielle og kontraktmæssige vurderinger forbliver hos de relevante rådgivere. Kabinettets rolle er at give et klart sikkerhedsperspektiv, som disse beslutningstagere kan bruge.
Målet er en klarere investeringsbeslutning og en mere informeret plan for, hvad der kommer næste gang.
Et perspektiv fra regeringen
The Cybersecurity Cabinet