【新連載】M＆Aが決まったら、セキュリティチームは何をどうする？：米国発 〜 ある日本人サイバーセキュリティアナリストの日常（2/2 ページ）

M＆Aは新たな可能性を生む一方で、セキュリティやコンプライアンスのリスクも伴う。またインテグレーション中はシステムが脆弱な状況にあるため、適切な対策を講じることで、より安全かつ成功に導くことができる。

[中臣ノリコ，ITmedia]

デューデリジェンスとセキュリティ欠陥、コンプライアンス違反が買収に与える影響

　デューデリジェンスの過程で過去のデータ漏洩が発覚し、M＆Aにおいて買収価格が削減されたセキュリティインシデントの例として、顧客データや機密情報が外部に流出したことが確認され、買収対象の企業のブランド価値や信頼性が著しく損なわれた場合があります。

　買収対象企業のシステムに深刻な脆弱性があることが明らかになった場合、特にハッキングやマルウェア感染のリスクが高いと判断されます。これにより、買収後のコスト（システムの再構築や強化のための投資）が増加するため、買収価格が見直されるケースもあります。

　買収企業がGDPRやその他のデータ保護規制に違反していたことが判明し、将来的な罰金や訴訟リスクが懸念されるケースなども、このリスクを考慮し、買収価格が削減される可能性もあります。

　買収対象企業の従業員による内部不正や情報漏洩が発覚した場合も、その影響を受けた事業の健全性が疑問視されます。この場合、買収側はリスクを考慮して価格を引き下げることがあります。

　これらのインシデントは、M＆Aの意思決定において重要な要因となり、最終的な買収価格に影響を与えます。

　ですからコンプライアンスの確認は最重要課題であり、 関連する法律や規制に対する順守を確認し、法的リスクを軽減する必要があります。必要に応じて外部の専門家によるセキュリティ評価を実施し、客観的な視点からリスクを洗い出す、セキュリティ評価の外部委託も視野に入れた方が良いと考えます。自社のリーガルチーム（法務チーム）や第三者コンサルタントと共に、以下のことを実施してください。

　（1）スコープの設定：評価の目的や範囲を明確にし、どのシステムやプロセスを評価対象とするかを決定する。

　（2）ドキュメントレビュー：対象企業のセキュリティポリシー、手続き、過去のインシデントレポートなどの関連ドキュメントのレビューを行う。

　（3）対象企業のITチームとのインタビューや脆弱性診断も行い、内部の認識や実際の運用状況を把握する。

　（4）脆弱性診断：技術的な脆弱性を洗い出すために、ネットワークスキャンやアプリケーションの脆弱性診断を実施する。その脆弱性診断の結果を基にリスク評価を行う。

　（5）リスク評価：発見された脆弱性やリスクに対して、その影響度や発生可能性を評価し、優先順位を決める。

　（6）法務チームと連携して法令順守の確認:GDPRや個人情報保護法などに関連する法律や規制に対するコンプライアンス状況を評価する。

　（7）報告書の作成：評価結果をまとめた報告書を作成し、発見されたリスク、推奨される対策、改善計画などを記載する。

　（8）フォローアップ: 評価後に、提案された対策が実施されているかを確認するためのフォローアップを行う。

　インテグレーション完了後も常にSOCを通して外部、内部からの脅威の監視及びログの確認を行い、さらに統合されたシステムと既存のシステムを含む全体のリスクの監視を続け、セキュリティ状況を定期的にモニタリングし、必要に応じて対策を見直していきます。

　以上、M＆Aセキュリティに関する記事を読んでくれた皆さん、ありがとうございます。最後になりますが、M＆Aは新たな可能性を生む一方で、セキュリティやコンプライアンスのリスクも伴います。またインテグレーション中はシステムが非常に脆弱な状況にあります。皆さんがこのプロセスを理解し、適切な対策を講じることで、より安全かつ成功に導けることを願っています。引き続き、セキュリティの重要性を意識し、常に最新の情報を学び続けることが重要です。何か質問や意見があれば、ぜひ共有して下さい。皆さんと一緒に良い未来をつなげていけたらと思います。

※上記は全て個人の見解であり、所属組織としてのものではありません。

著者プロフィール:中臣ノリコ

CISSP、CISM、Security+

サイバーセキュリティ・リスク・エクスパート

日本で数年プログラマーとして働いた後、米国留学を志す。米国州立大学でコンピュータサイエンスと数学を専攻。卒業後、欧州テレコム企業の米国法人でソフトウェアエンジニアとして働く。

数年間主婦として子育てに専念するも、2013年米国NPO：金融機関のサイバーインテリジェンス情報共有機関へ入社。そこでサイバーセキュリティをゼロから学び日本と米国のサイバーインテリジェンスの情報共有の活性化に携わる。2020年から米国大手小売業の情報セキュリティ部に所属。国際部のサイバーセキュリティ・リスク・アナリストを経て、現在、M＆A（合併吸収）及び事業売却の専門チームのサイバーセキュリティ・アナリストとして在職。技術と言語の壁にぶち当たりながらも「日々精進」をモットーに日常を過ごしている。米国ワシントンDC近郊在住