Cyber due diligence buy-side: oltre il questionario

Un questionario di due diligence Le dice cosa il management del target pensa dei propri controlli. È un punto di partenza, non una conclusione. Quando compra un’azienda compra anche il suo debito di sicurezza, le sue esposizioni non dichiarate e la probabilità che un incidente arrivi nei mesi successivi al closing. Nessuna di queste cose emerge da una checklist compilata dal venditore.

Una cyber due diligence buy-side seria parte da un presupposto diverso: le evidenze contano più delle dichiarazioni. Il Suo obiettivo non è raccogliere risposte, ma capire quanto vale davvero il rischio che sta per assumersi — e se quel rischio sposta la valutazione, i termini del contratto o la Sua decisione di procedere.

Oltre il questionario

Il questionario resta utile per una ragione: struttura la conversazione e Le dice dove il target è consapevole delle proprie lacune. Ma l’autodichiarazione ha tre limiti noti. Riflette ciò che il management crede, non ciò che è configurato in produzione. Copre i controlli documentati, non quelli effettivamente operativi. E raramente cattura le esposizioni che nessuno all’interno sta guardando: l’asset dimenticato, la credenziale condivisa, l’accesso di un fornitore mai revocato.

Il lavoro dell’advisor è colmare quel divario. Non chieda se esiste una policy di gestione delle patch, ma guardi la finestra media di remediation sulle vulnerabilità critiche degli ultimi dodici mesi. Non chieda se c’è la MFA, ma verifichi su quali sistemi è imposta e dove è aggirabile.

Un principio pratico aiuta a decidere dove guardare: segua il valore. Dove si concentrano i ricavi, i dati regolamentati e le dipendenze operative, lì si concentra anche il rischio che conta. Tutto il resto può attendere il lavoro ordinario dopo il closing, e distinguere le due cose è metà del mestiere.

Identificare i rischi materiali

Materiale significa una cosa sola: capace di spostare il valore o la decisione. In una diligence a tempo limitato non può guardare tutto, quindi deve dare priorità a ciò che ha impatto economico o legale reale. In pratica questo significa concentrarsi su alcune aree ricorrenti: la superficie esposta su internet, l’identità e la gestione degli accessi, la protezione dei dati regolamentati, la continuità dei processi che generano ricavi e la storia degli incidenti passati.

Un incidente pregresso gestito male è spesso il segnale più informativo che troverà. Le dice come l’azienda rileva, decide e ripristina sotto pressione — e se una violazione già avvenuta possa ancora produrre obblighi di notifica, contenziosi o sanzioni che erediterebbe.

Validare i controlli, non le policy

Una policy è un’intenzione. Un controllo è una configurazione che o è attiva o non lo è. La parte più preziosa della diligence tecnica è la validazione: prendere le affermazioni chiave e confrontarle con lo stato reale dei sistemi, per quanto il perimetro dell’operazione lo consenta.

Dove è concesso, una ricognizione esterna passiva e una revisione delle configurazioni chiave — identity provider, postura del cloud, gestione degli endpoint, segmentazione — dicono più di cento risposte a un questionario. Dove il venditore limita l’accesso, la limitazione stessa è un dato: ciò che non Le lasciano verificare tende a essere ciò che dovrebbe pesare con più prudenza.

Quantificare l’esposizione

Un elenco di findings senza numeri non aiuta un consiglio a decidere. Il passo che distingue una diligence utile è tradurre il rischio in un intervallo economico: quanto costerebbe colmare le lacune strutturali nei primi 12-18 mesi e quale perdita attesa è associata agli scenari più probabili.

Non serve una falsa precisione. Serve un ordine di grandezza difendibile, costruito su probabilità e impatto, che separi i problemi che spostano il prezzo — remediation nell’ordine di centinaia di migliaia o milioni, passività legali concrete — dal rumore che si risolve con l’igiene ordinaria dopo il closing.

Dal report al prezzo

Il risultato della diligence non è un documento: è una posizione negoziale. Findings materiali e quantificati possono tradursi in un aggiustamento del prezzo, in dichiarazioni e garanzie mirate, in un indennizzo specifico o in condizioni di closing. Possono anche diventare la base del piano di Day 1, così che l’acquirente erediti un piano invece di una sorpresa.

Il valore di questo lavoro non è trovare problemi. È dare a chi decide un quadro onesto del rischio che sta comprando, espresso nella lingua dell’operazione.

In sintesi

Tratti la cyber due diligence come parte dell’operazione, non come un adempimento a margine. Vada oltre il questionario, validi i controlli invece delle policy, quantifichi ciò che trova e lo riporti in termini di prezzo e decisione. È così che le evidenze proteggono una valutazione.