Produttore di macchinari industriali

La sfida

Un produttore di medie dimensioni si stava preparando all’acquisizione da parte di un gruppo europeo. La sua esposizione passava per una lunga coda di fornitori e vendor OT — nessuno di questi mappato, la maggior parte non monitorata.

Il consiglio dell’acquirente voleva la garanzia che il rischio cyber non emergesse dopo il closing. Un questionario non l’avrebbe fornita.

In un’acquisizione, un rischio che non compare nella data room non sparisce: cambia soltanto proprietario. La parte più delicata non era l’IT dell’azienda, ma il perimetro esteso — integratori, manutentori remoti e fornitori con accesso ai sistemi di produzione — dove le assunzioni sostituivano i controlli.

Il mio approccio

Ho condotto una valutazione basata sulle evidenze del parco fornitori e della tecnologia operativa, quantificato l’esposizione che contava davvero e separata dal rumore.

Le risultanze sono diventate una roadmap prioritizzata e a costi definiti e un piano Day 1 — accessi, monitoraggio e i controlli che non potevano aspettare — concordato prima del completamento.

Nell’arco di dodici settimane, le criticità a maggiore impatto sono state chiuse e il rischio residuo è stato documentato per il board, utilizzabile con qualsiasi controparte.

A distanza, la differenza non è stata un punteggio, ma una conversazione più solida: l’acquirente sapeva cosa stava comprando e il venditore non è stato sorpreso da nulla al tavolo.