Cibersegurança ao longo do ciclo de investimento

Numa transação, o ativo técnico costuma ser descrito numa língua que não chega ao comitê. Arquitetura, dívida técnica, postura de segurança e dependências viram um anexo — lido por poucos, traduzido por ninguém — enquanto a decisão é tomada em preço, prazo e condição.

A tradução existe e é direta: exposição técnica é exposição de valor. Ela muda o preço, porque muda o risco assumido. Muda as condições de fechamento, porque parte dela precisa ser resolvida antes. Muda o que pode ser integrado e em quanto tempo. E muda o que pode ser vendido adiante, porque o próximo comprador fará as mesmas perguntas com mais informação. O que varia ao longo do ciclo não é a importância do tema. É a pergunta.

Uma diligência técnica que devolve uma lista de achados não serviu à decisão. Não existe resposta útil para a pergunta se a empresa é segura, e insistir nela produz um relatório que ninguém consegue usar. As perguntas que produzem decisão são outras: o que custaria levar este ativo ao padrão que a tese exige, expresso como trabalho e como tempo; quais obrigações são herdadas junto com a compra, incluindo compromissos contratuais com clientes, exigências regulatórias e responsabilidades sobre dados; onde há concentração — uma pessoa, um fornecedor, um ambiente que ninguém sabe reconstruir; e em que estado está a gestão de identidade e acesso, porque é ela que determina o custo e o prazo de qualquer integração posterior.

O resultado disso não é um parecer. É um conjunto de itens que se converte em preço, em condição precedente, em retenção ou num plano pós-fechamento com dono e prazo. Quando essa conversão não acontece, o risco não fica neutro: fica embutido. E um comprador que não consegue avaliar assume o pior, o que também é uma forma de errar — desta vez contra quem vende.

Risco técnico que não pode ser avaliado não fica neutro no preço. Ele vira desconto, ou vira surpresa.

O período imediatamente posterior ao fechamento é o único em que mudar o modo como a empresa funciona é esperado por todos. Depois dele, cada mudança passa a custar capital político, e o custo cresce a cada mês. Por isso a janela é decidida por sequência, e não por completude: o que só pode ser feito agora vem antes do que pode ser feito sempre.

O que a janela serve para resolver tem uma característica comum — tudo ali é fundação de outra coisa:

• —Identidade e acesso, porque toda integração, toda separação e todo controle posterior dependem de saber quem é quem.
• —Titularidade dos sistemas críticos: para cada um, uma pessoa que responde por ele, e não uma equipe que o mantém.
• —O caminho de incidente, percorrido uma vez antes de ser necessário — quem é acionado, com que autoridade, e o que essa pessoa tem o direito de parar.
• —O inventário do que existe: chato, sempre adiado, e dependência silenciosa dos três itens acima.
• —A separação do que ficou preso ao vendedor — contas compartilhadas, infraestrutura comum, serviços de transição com prazo —, porque o prazo termina e o acoplamento não.

Durante a gestão, a tese é executada, e cada movimento da tese altera a exposição. Aquisições complementares multiplicam sistemas de identidade e adicionam ambientes que ninguém do lado comprador conhece. Entrada em novo território adiciona obrigações regulatórias que mudam o que pode ser armazenado e onde. Crescimento de volume torna inadequado o que era suficiente, sem que nada tenha quebrado — e essa é a variedade mais difícil de perceber, porque não gera evento.

A conclusão prática é que a postura de segurança precisa ser função do plano operacional, e não um programa fixo rodando em paralelo a ele. Um programa que não muda quando a empresa muda está, por construção, protegendo a empresa do ano passado. É também aqui que a saída é construída: as perguntas que um comprador fará são conhecidas com anos de antecedência, e é mais barato poder respondê-las por construção do que reunir a resposta sob pressão de cronograma.

Na venda, tudo o que não pôde ser respondido na compra volta como pergunta, feita agora por quem tem tempo e incentivo para insistir. O que costuma ser examinado é previsível: titularidade da propriedade intelectual, incluindo o que foi produzido por terceiros e o que entrou através de dependências abertas; higiene de licenciamento; proveniência dos dados, com atenção crescente ao que alimentou modelos; capacidade de demonstrar controles em vez de afirmá-los; e o histórico de incidentes com o tratamento que cada um recebeu.

Esse último ponto é mal compreendido. Um incidente tratado com competência, comunicado a quem devia e documentado raramente é o que reduz o preço. O que reduz é o incidente que aparece durante a diligência sem ter aparecido antes — porque, a partir dali, o comprador deixa de avaliar o incidente e passa a avaliar o que mais pode não ter sido dito. A diligência de saída é pontuada pela capacidade de demonstrar, não pelo estado em si.

Este é um trabalho com uma tentação óbvia: a de produzir conforto. Um relatório tranquilizador é mais fácil de vender do que um relatório utilizável, e o custo do conforto só aparece depois, quando já foi precificado. Recusamos algumas coisas por escrito, e vale dizer quais:

• —Não emitimos atestado de que um ambiente está seguro. Não é uma afirmação que a engenharia sustenta.
• —Não executamos nada contra um ambiente sem escopo e autorização acordados por escrito, inclusive quando o cronograma da transação é o argumento.
• —Não entregamos achado sem caminho. Um relatório que ninguém sabe transformar em trabalho é dívida transferida.
• —Não declaramos impacto sobre valor que não possamos derivar do que foi observado. Onde a derivação não existe, dizemos que não existe.

Cibersegurança ao longo do ciclo de investimento não é um serviço que aparece antes do fechamento e some depois. É a mesma leitura do mesmo sistema, feita em quatro momentos em que a pergunta certa é diferente. A continuidade entre esses momentos é a maior parte do valor, e ela só existe quando quem lê é o mesmo.