العناية الواجبة الأمنية في عمليات الاستحواذ على الشركات

مع الشركة يكتسب المشتري كامل بيئتها التقنية وقواعد بياناتها وإرثها الأمني – بما في ذلك كل الحوادث التي لا يعرفها أحد بعد عند التوقيع. وفي استطلاع أجرته Forescout عام 2019 شمل 2,779 من صانعي القرار في تقنية المعلومات والأعمال، أفاد 53 بالمئة بأنهم واجهوا خلال صفقة اندماج واستحواذ مشكلة أمن سيبراني حرجة هدّدت الصفقة؛ واعتبر 73 بالمئة اختراق بيانات غير مُفصَح عنه سببًا مباشرًا لإفشال الصفقة. ولا تُظهر العناية الواجبة المالية والقانونية التقليدية هذه المخاطر – فهي تتطلّب فحصًا مستقلًا قائمًا على أساس تقني.

أكبر خطر منفرد هو مهاجم موجود بالفعل في شبكة الشركة المستهدفة لحظة الاستحواذ. استحوذت Marriott عام 2016 على سلسلة الفنادق Starwood، التي كانت أنظمتها مخترقة منذ 2014؛ ولم يُكتشف الهجوم إلا في سبتمبر 2018، وتأثّر به نحو 339 مليون سجل نزلاء حول العالم. وفرضت الجهة الرقابية البريطانية لحماية البيانات ICO عام 2020 غرامة قدرها 18.4 مليون جنيه إسترليني – تتعلّق بإخفاقات أمنية بعد بدء سريان DSGVO، أي بعد إتمام الصفقة بوقت طويل. أما الاختراق ذاته فقد ورثته Marriott مع الاستحواذ دون أن تلاحظه.

إلى جانب المهاجمين النشطين ترسم ثلاث فئات مخاطر أخرى الصورة. أولًا الديون التقنية: أنظمة بلا دعم من الشركة المصنِّعة، وبنية تحتية غير محدّثة، وصلاحيات متراكمة تاريخيًا، وتقنية معلومات ظل غير موثّقة، يدفع المشتري تكاليف معالجتها بعد إتمام الصفقة. ثانيًا فجوات الامتثال: إذ تنتقل الالتزامات الناشئة عن DSGVO وNIS2 والأطر القطاعية مثل DORA أو المتطلبات المتعلقة بالمنتجات مثل Cyber Resilience Act فعليًا إلى المستحوِذ – وكذلك الإجراءات الجارية أو الوشيكة. ثالثًا تسرّب الملكية الفكرية: فإذا كانت القيمة المحورية للشركة المستهدفة – الشيفرة المصدرية وبيانات التصميم وقوائم العملاء – قد سُرّبت قبل الصفقة، تكون قاعدة تقييم الصفقة قد تضرّرت.

تجري العناية الواجبة تحت ضغط السرية والوقت – وغالبًا في البداية دون أي وصول إلى أنظمة الشركة المستهدفة. وهنا تحديدًا يتدخّل External Attack Surface Management (EASM): من مصادر قابلة للرصد علنًا تُجمع النطاقات والخدمات المكشوفة وإصدارات البرمجيات القديمة والإعدادات الخاطئة وبيانات الدخول المسرّبة للشركة المستهدفة – دون مشاركتها ودون أي تدخّل في الأنظمة. ومع مقارنة إضافية بمصادر الويب المظلم والتسريبات ينشأ بذلك مبكرًا مؤشر على الوضع الأمني الفعلي، يتوفّر حتى قبل الوصول إلى غرفة البيانات ويحدّد محاور الفحص اللاحق.

بمجرد توفّر الوصول يدور الأمر حول سؤالين: هل الشركة المستهدفة مخترقة بالفعل، وما مدى متانة تنظيمها الأمني؟ يبحث Compromise Assessment جنائيًا عن آثار هجمات نشطة أو سابقة – آليات الاستمرارية، والحسابات اللافتة، وأدوات الهجوم المعروفة – ويعالج بذلك سيناريو Marriott تحديدًا. وبالتوازي يُقاس نضج ISMS مقابل ISO/IEC 27001:2022: عبر استبيانات منظّمة ومراجعة الوثائق ومقابلات مع الأدوار الرئيسية. والشهادات القائمة في هذا السياق قرينة وليست دليلًا – إذ يجب فحص نطاق تطبيق التدقيقات ومدى موثوقيتها.

تُترجم النتائج الموثوقة مباشرةً إلى آليات الصفقة. فعندما اضطرت Yahoo عام 2016 إلى الإفصاح عن اختراقَي بيانات تأثّر بهما نحو 500 مليون حساب وأكثر من مليار حساب على التوالي، خفّضت Verizon وYahoo في فبراير 2017 سعر الشراء بمقدار 350 مليون دولار أمريكي إلى نحو 4.48 مليار دولار أمريكي – واتفقتا إضافةً إلى ذلك على تقاسم مخاطر مسؤولية معيّنة ناشئة عن الحوادث. وعلى نحو مماثل يمكن تأمين النتائج عبر الضمانات والتعويضات والمبالغ المحتجزة لدى أمين أو الشروط الواقفة. وبعد إتمام الصفقة تسري القاعدة: لا ربط للشبكات قبل اكتمال الفحص – تُوحَّد الهويات والوصول المميّز والمراقبة أولًا، وتتبع معالجة الإرث خطة دمج مرتّبة حسب الأولوية.