Nelle acquisizioni aziendali, conoscere fatturato, marginalità, patrimonio e posizione debitoria non basta più. Quando l’azienda target possiede impianti produttivi, infrastrutture industriali o sistemi OT, anche la postura di cyber security diventa un elemento della valutazione economica.
Una vulnerabilità non gestita, un PLC obsoleto o una rete di fabbrica scarsamente segmentata possono rappresentare un debito tecnologico destinato a emergere dopo il closing.
La due diligence aziendale deve quindi individuare anche questi rischi, quantificarne per quanto possibile l’impatto e portarli al tavolo della negoziazione.
Indice degli argomenti
Cos’è la due diligence aziendale nelle operazioni di M&A
La due diligence aziendale è il processo attraverso il quale il potenziale acquirente verifica in maniera strutturata le condizioni economiche, patrimoniali, legali, fiscali, operative e organizzative della società target prima di completare un’acquisizione.
L’obiettivo non è semplicemente confermare le informazioni dichiarate dal venditore: la verifica deve, infatti, consentire all’acquirente di comprendere quali rischi sta effettivamente assumendo insieme all’impresa e se tali rischi siano coerenti con la valutazione attribuita alla società.
La crescente dipendenza dei processi produttivi da tecnologie digitali, sistemi interconnessi e infrastrutture OT rende quindi sempre meno sostenibile una due diligence che consideri la cyber security come un ambito separato o meramente tecnico.
Definizione della verifica preliminare e obiettivi strategici per l’acquirente
In un’operazione di M&A, la due diligence precede normalmente la decisione definitiva sull’investimento e permette di verificare le ipotesi sulle quali è stata costruita la valutazione dell’impresa.
Per l’acquirente significa individuare eventuali passività nascoste, stimare investimenti futuri, verificare la sostenibilità delle performance dichiarate e comprendere se esistano condizioni in grado di modificare il profilo di rischio dell’operazione.
Da questo punto di vista, la sicurezza informatica è ormai una variabile economica.
Un incidente cyber avvenuto ma non completamente gestito, vulnerabilità strutturali, infrastrutture obsolete oppure l’assenza di adeguati processi di gestione degli accessi possono generare costi che emergeranno soltanto dopo l’acquisizione. Nel mondo industriale il problema è ancora più delicato, perché una compromissione può incidere direttamente sulla capacità produttiva.
Ambiti di analisi tradizionali tra profili finanziari, legali e operativi
Tradizionalmente, la due diligence aziendale comprende verifiche finanziarie, fiscali, legali, commerciali e operative. A queste si sono progressivamente aggiunte analisi dedicate all’IT, alla protezione dei dati e alla cyber security.
Nelle aziende manifatturiere e nelle organizzazioni che gestiscono infrastrutture fisiche, però, fermarsi all’IT crea un punto cieco.
L’Operational Technology comprende infatti sistemi di controllo industriale, PLC, SCADA, HMI, sensori, dispositivi embedded e numerose altre tecnologie dalle quali può dipendere la continuità della produzione. Apparati con cicli di vita molto lunghi convivono spesso con tecnologie più recenti e con collegamenti verso reti IT, piattaforme cloud e sistemi di fornitori esterni.
Per approfondire le caratteristiche specifiche di questo scenario è possibile consultare questa analisi verticale su OT Security e Cybersecurity Industriale.
L’impatto dei rischi cyber OT sul valore e sulla sicurezza dell’operazione
Inserire la OT Security nella due diligence significa tradurre un rischio tecnico in una variabile economica.
La domanda da porre non è soltanto se un impianto sia vulnerabile, ma quanto costerebbe mettere in sicurezza l’ambiente acquisito e quale potrebbe essere l’impatto economico di un incidente prima che gli interventi vengano completati.
È questa prospettiva a trasformare la cyber security da semplice controllo tecnico a elemento rilevante nella determinazione del rischio dell’investimento.
Vulnerabilità dei sistemi di produzione e potenziale impatto sulle valutazioni
Una fabbrica può essere perfettamente funzionante dal punto di vista produttivo e contemporaneamente presentare un debito significativo sul fronte della sicurezza.
Sistemi operativi non più supportati, protocolli industriali privi di meccanismi di sicurezza adeguati, accessi remoti non governati, reti IT e OT insufficientemente segmentate o asset non censiti possono richiedere interventi rilevanti dopo l’acquisizione.
Il problema consiste nel trasformare queste evidenze in informazioni utilizzabili nel processo decisionale.
Se, ad esempio, per raggiungere il livello di sicurezza atteso dall’acquirente sono necessari interventi di segmentazione della rete, sostituzione di apparati legacy, implementazione di sistemi di monitoraggio e revisione degli accessi dei fornitori, il relativo investimento dovrebbe essere stimato prima del closing.
Il rischio cyber diventa così una componente del cosiddetto technical debt dell’impresa target e può riflettersi sul business plan dell’operazione, sugli investimenti necessari all’integrazione e, nei casi più significativi, sulla valutazione stessa dell’azienda.
Responsabilità legali e danni economico-reputazionali post-acquisizione
Esiste poi una seconda dimensione: il rischio che l’acquirente erediti problemi preesistenti dei quali non conosce ancora l’effettiva portata.
Una compromissione non rilevata, credenziali esposte, configurazioni insicure o vulnerabilità note ma mai corrette possono sopravvivere al cambio di proprietà. Dopo il closing, le conseguenze operative ed economiche dell’incidente ricadrebbero sulla nuova organizzazione.
A queste si possono aggiungere implicazioni contrattuali e normative, interruzioni della produzione, perdita di dati, costi di ripristino e danni reputazionali.
La due diligence deve pertanto ricostruire non soltanto lo stato attuale dei sistemi, ma anche la loro storia di sicurezza: incidenti precedenti, vulnerabilità rilevate, remediation effettuate, audit, penetration test, eccezioni alle policy e rischi formalmente accettati dal management.
Come condurre la due diligence cyber sui sistemi di Operational Technology
Una due diligence OT efficace non coincide con un penetration test sulla rete industriale.
L’obiettivo è ottenere, entro tempi compatibili con l’operazione societaria e senza mettere a rischio la produzione, una rappresentazione sufficientemente attendibile dell’esposizione cyber del target.
Questo richiede un approccio progressivo e basato sul rischio, partendo dalla conoscenza degli asset e delle dipendenze operative.
Mappatura degli asset industriali, dei protocolli legacy e delle architetture di rete
Il primo problema è sapere cosa esiste realmente all’interno dell’ambiente OT.
L’inventario dovrebbe comprendere almeno sistemi di controllo, PLC, workstation industriali, server, HMI, apparati di rete, dispositivi IIoT, collegamenti con sistemi IT e cloud e connessioni utilizzate da manutentori, integratori e fornitori.
Occorre poi comprendere come questi elementi comunicano.
La topologia della rete, la segmentazione tra IT e OT, l’esistenza di zone e conduits, i protocolli utilizzati e i percorsi di accesso remoto permettono di identificare possibili vie di propagazione di un attacco.
Particolare attenzione deve essere dedicata ai sistemi legacy. Nell’OT l’obsolescenza non implica necessariamente la possibilità di sostituire rapidamente un dispositivo: alcuni componenti sono legati a macchinari con cicli di vita pluridecennali oppure richiedono lunghe finestre di fermo per essere aggiornati.
La due diligence deve quindi distinguere tra vulnerabilità teorica e rischio concretamente sfruttabile, considerando esposizione, criticità dell’asset e possibili conseguenze sul processo fisico.
Identificazione delle falle di sicurezza e valutazione dei livelli di maturità
Una volta ricostruito l’ambiente, occorre valutarne la maturità.
Patch e vulnerabilità rappresentano soltanto una parte del quadro. Devono essere analizzati anche gestione degli account privilegiati, autenticazione, accessi remoti, logging, monitoraggio, backup, capacità di recovery, procedure di incident response e gestione della supply chain.
In questa fase è utile verificare anche l’esistenza di processi strutturati di vulnerability management e capire se le anomalie vengono effettivamente rilevate.
La due diligence dovrebbe quindi arrivare a classificare le carenze individuate secondo criticità e urgenza, distinguendo almeno ciò che richiede un intervento prima dell’integrazione, ciò che può entrare nel piano di remediation post-acquisizione e il rischio residuo eventualmente accettabile.
Il risultato finale non dovrebbe essere un semplice elenco di vulnerabilità, ma una misura della distanza tra la situazione esistente e il livello di sicurezza richiesto dall’acquirente.
Integrazione della verifica OT nella gestione complessiva del rischio aziendale
La principale difficoltà della due diligence cyber nelle acquisizioni non è necessariamente trovare le vulnerabilità. È trasformarle in informazioni comprensibili e utilizzabili da chi deve decidere se, e a quali condizioni, completare l’operazione.
Per questo motivo l’analisi OT non può restare confinata al team cybersecurity.
Collaborazione tra team finanziari, legali e specialisti di cybersecurity industriale
Gli specialisti OT devono spiegare quale sia la probabilità di sfruttamento di una determinata debolezza e soprattutto quale effetto potrebbe produrre sul processo industriale.
I team finanziari devono tradurre queste informazioni in possibili costi: perdita di produzione, investimenti necessari, indisponibilità degli impianti, sostituzione di apparati e incremento delle spese operative.
I legali devono infine valutare obblighi normativi, responsabilità, coperture assicurative, contratti con clienti e fornitori e possibili conseguenze sulla documentazione dell’operazione.
È nell’intersezione tra queste competenze che una vulnerabilità tecnica diventa un rischio d’impresa.
Un PLC non aggiornabile, preso isolatamente, è un dato tecnico. Se quel PLC controlla una linea responsabile di una quota significativa della produzione e la sua sostituzione richiede giorni di fermo, l’informazione assume immediatamente un significato economico.
Stima dei costi di rimedio e adeguamento delle clausole contrattuali di garanzia
Le evidenze della due diligence possono produrre conseguenze concrete sulla struttura dell’operazione.
Se vengono individuate criticità significative, l’acquirente può chiedere che alcune remediation vengano effettuate prima del closing oppure incorporarne il costo nel piano industriale successivo all’acquisizione.
Le risultanze possono inoltre concorrere alla negoziazione del prezzo e alla definizione delle tutele contrattuali, ad esempio attraverso dichiarazioni e garanzie del venditore, specifiche indennità, condizioni sospensive o altri strumenti concordati dalle parti.
Non ogni vulnerabilità deve naturalmente trasformarsi in uno sconto sul prezzo. La valutazione deve tenere conto della probabilità, dell’impatto potenziale, del costo della mitigazione e della rilevanza dell’asset rispetto alla continuità operativa.
Il principio, però, rimane: un rischio cyber conosciuto prima del closing può essere valutato e negoziato; un rischio scoperto dopo l’acquisizione diventa un problema dell’acquirente.
Conformità normativa e requisiti di sicurezza nelle transazioni societarie
Alla componente economica si aggiunge quella regolatoria.
Il quadro europeo sta rendendo la gestione del rischio cyber sempre più strettamente collegata alla governance aziendale. La verifica di un’impresa target deve quindi considerare anche quali obblighi ricadano sull’organizzazione e quanto la sua postura corrente sia distante dai requisiti applicabili.
Impatto della direttiva NIS2 e delle normative europee sui processi di M&A
La direttiva NIS2 ha ampliato il perimetro europeo della cyber security introducendo, per i soggetti essenziali e importanti interessati, un approccio strutturato alla gestione del rischio.
L’articolo 21 richiede misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi relativi alla sicurezza dei sistemi utilizzati dall’organizzazione. Tra gli ambiti esplicitamente considerati figurano incident handling, business continuity, sicurezza della supply chain, gestione delle vulnerabilità, sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, controllo degli accessi e gestione degli asset.
Per una due diligence questo significa che la conformità non dovrebbe essere letta come una casella da spuntare, ma come un indicatore della capacità dell’impresa target di governare sistematicamente il rischio.
Il tema assume particolare rilevanza quando l’acquisizione coinvolge organizzazioni appartenenti a settori critici o caratterizzati da una forte presenza di Operational Technology. ENISA ha sottolineato come le misure di sicurezza NIS2 debbano essere interpretate considerando anche gli ambienti OT e come, in ambito industriale, standard quali la serie IEC 62443 rappresentino riferimenti particolarmente pertinenti.
La stessa evoluzione normativa europea spinge inoltre verso una maggiore attenzione alla supply chain e alla sicurezza dei prodotti e servizi utilizzati dall’impresa.
Non sorprende, quindi, che le verifiche sui fornitori e sui componenti IT/OT stiano diventando sempre più rilevanti nella gestione del rischio: secondo ENISA, le organizzazioni stanno rafforzando controlli, audit e requisiti di sicurezza contrattuali nei confronti delle terze parti.
Tracciabilità della governance e standard di riferimento per la due diligence
La verifica non dovrebbe limitarsi a chiedere se l’azienda target dichiari di essere conforme a uno standard o a una normativa.
Occorre cercare evidenze.
Policy approvate, registri degli asset, risk assessment, risultati degli audit, procedure di incident response, report sulle vulnerabilità, piani di continuità, gestione delle eccezioni e documentazione degli interventi consentono di capire se la cyber security sia realmente integrata nella governance oppure dipenda prevalentemente da pratiche informali.
Standard e framework possono aiutare a strutturare questa valutazione. ISO/IEC 27001 può rappresentare un riferimento per il sistema di gestione della sicurezza delle informazioni, mentre nell’ambito OT la famiglia IEC 62443 permette di valutare aspetti specifici della sicurezza dei sistemi di automazione e controllo industriale.
Il punto decisivo, tuttavia, rimane la capacità di collegare le evidenze tecniche al rischio dell’operazione.
La due diligence aziendale applicata alle acquisizioni industriali deve quindi rispondere a una domanda molto concreta: quanto capitale, tempo e rischio saranno necessari per portare l’azienda che stiamo acquistando al livello di sicurezza che consideriamo accettabile?
È qui che OT Security, cyber security e valutazione d’impresa finiscono per convergere.
Perché conoscere prima del closing il costo reale del rischio permette non soltanto di costruire un piano di integrazione più efficace, ma anche di capire meglio quanto vale davvero ciò che si sta acquistando.
Partecipa alla community