En 2021, le marché mondial des fusions-acquisitions (M & A) a progressé à un rythme effréné. Selon le cabinet de conseil McKinsey, le volume de ces opérations a en effet augmenté de 67 %, pour atteindre 5 900 milliards de dollars.
Cette année, plusieurs facteurs ont quelque peu ralenti le marché des M & A, notamment l’inflation, la hausse des taux d’intérêt, la crise énergétique, ou encore les enjeux géopolitiques, entre autres. Néanmoins, le marché continue son essor : selon Bpifrance Le Lab, plus de 70 % des dirigeants de PME-ETI en France pensent mener le rachat d’une autre entreprise, d’ici cinq ans.
Lors des processus de fusions et d’acquisitions, les équipes informatiques jouent un rôle essentiel, notamment pour fournir et entretenir l’infrastructure nécessaire à leur concrétisation. Plus important, ils doivent préserver la sécurité de l’écosystème contre toute vulnérabilité et attaque externe.
Une surface d’attaque grandissante et non protégée
L’expansion constante de la surface d’attaque est une préoccupation pour la plupart des organisations à travers le monde. Les candidats à la fusion et à l’acquisition peuvent avoir une surface d’attaque partiellement non protégée, ce qui augmente l’écart entre la surface d’attaque qui doit être protégée et celle que l’organisation est réellement capable de protéger.
Au-delà des considérations financières, commerciales et stratégiques, les candidats aux fusions et acquisitions mettent donc aussi sur la table ce risque. La responsabilité revient donc aux RSSI de bien évaluer et mesurer cet écart, pour protéger les données critiques qui peuvent se retrouver considérablement exposées à des risques d’attaques lors des processus de transition.
Selon une récente étude mondiale sur la résistance aux attaques cyber (« The 2022 Attack Resistance report »), les entreprises ont indiqué que seulement 63 % de leur surface d’attaque était résistante aux attaques, laissant un écart de vulnérabilité de 37 %. Bien que cet écart soit important, plus de 44 % des organisations en moyenne ont également déclaré manquer de confiance dans leur capacité à faire face aux risques induits par cet écart.
La diligence en matière de fusions-acquisitions pourrait ne pas suffire aux RSSI
Pour le RSSI, l’évaluation de la sécurité est un élément attendu de la diligence en matière de fusions-acquisitions. Mais le résultat modifie rarement la décision « Go/No-go ». En outre, la diligence repose souvent sur de simples listes de contrôle, parfois complétées par des outils automatisés. Or, ces méthodes ne permettent pas une identification très précise ni fiable des vulnérabilités ni une surveillance exhaustive de la surface d’attaque. Une fois l’opération conclue, l’acquéreur se retrouve immédiatement responsable du risque lié aux actifs de cette nouvelle entité, alors même que le RSSI n’a pas pu évaluer précisément son niveau de sécurité réel.
La sécurité collaborative pour limiter les risques
Pour protéger toutes les parties engagées dans une opération de M & A, de plus en plus d’acteurs se tournent vers la sécurité collaborative. En d’autres termes, ils recrutent des hackers éthiques qui pratiquent le hacking de « bonne foi ». Faire appel à une communauté de hackers présente de nombreux avantages, notamment celui de permettre à une organisation de tester ses actifs numériques pour détecter les vulnérabilités logicielles en simulant une attaque extérieure. En tirant parti de la perspective et de la créativité d’une personne extérieure, comme un hacker, les organisations peuvent mieux identifier les vulnérabilités que les cybercriminels sont le plus susceptibles d’exploiter.
Les fusions-acquisitions ne sont surtout pas le seul défi pour les RSSI. L’accélération de la transformation numérique, la mondialisation, les restructurations et bien d’autres facteurs contribuent également à accroître la pression sur les équipes de sécurité, souvent en sous-effectif et en déficit de compétences adéquates. Il n’y a jamais eu autant besoin de l’immédiateté, de l’expertise et de la créativité des hackers pour compléter les équipes de sécurité et leurs processus et outils actuels.