Cyber Due Diligence en M&A: checklist, alertas y cláusulas

Checklist de due diligence cibernética por fase, alertas que afectan la valoración y cláusulas del contrato.

Pre-LOI: evaluación desde afuera

Historial público de incidentes — Buscar filtraciones, ataques, multas y procesos ligados al objetivo y sus marcas en los últimos 5 años.
Superficie de ataque expuesta — Mapear dominios, subdominios, servicios expuestos y certificados para estimar la higiene técnica sin acceso interno.
Credenciales y datos filtrados — Verificar si correos, credenciales o bases del objetivo circulan en filtraciones conocidas.
Peso de los datos personales en el negocio — Entender cuánto del ingreso depende de datos personales, sensibles, de menores o financieros.
Sector y país regulados — Bancos, salud, telecom, energía y empresas cotizadas tienen reglas propias de ciberseguridad y comunicación.

Gobernanza de seguridad — Quién responde por seguridad, cuánto se invierte, cómo lo sigue el directorio y qué marcos se usan.
Registro de incidentes — Todos los incidentes de los últimos 3 a 5 años, con causa, impacto, notificaciones y correcciones.
Pruebas y vulnerabilidades — Últimos pentests y escaneos y lo que quedó sin corregir.
Identidad y accesos — MFA, cuentas privilegiadas, accesos de ex empleados y proveedores.
Respaldo y continuidad — Respaldos aislados y probados, tiempo de recuperación y plan ante ransomware.
Terceros críticos — Proveedores de nube, software y servicios con acceso a datos o sistemas.
Seguro cibernético actual — Cobertura, límites, exclusiones, siniestros y si la póliza sobrevive al cambio de control.

Bases legales y consentimientos — Datos sin base legal válida pueden no ser utilizables por el comprador.
DPO y programa de privacidad — Existencia de DPO, políticas, evaluaciones de impacto y atención a titulares.
Procesos e inspecciones en curso — Procesos ante la ANPD, órganos de consumo, fiscalía, autoridades europeas o FTC y acciones colectivas.
Transferencia internacional de datos — Mecanismos usados para enviar datos al exterior.
Reglas sectoriales — Normas de bancos centrales, salud, telecom y valores sobre seguridad y comunicación.

Traducir hallazgos en precio — Costo de corrección, multas posibles y pérdida de ingresos entran al valuation.
Declaraciones y garantías específicas — Declaraciones sobre incidentes, cumplimiento y controles mínimos.
Indemnización y retención — Indemnización específica por incidentes previos al cierre, con escrow.
Seguro W&I y exclusiones — Las aseguradoras suelen excluir riesgos cyber conocidos o mal revisados.
Condiciones precedentes — Corrección de fallas críticas antes del cierre.

No conectar redes antes de evaluar — Integrar sistemas sin evaluar puede llevar a un intruso al comprador.
Evaluación de compromiso — Buscar señales de intrusión existente, como en el caso Starwood.
Rotar credenciales y revisar accesos — Rotar contraseñas y claves privilegiadas y quitar accesos.
Unificar respuesta a incidentes — Un solo plan y plazos de comunicación para el grupo combinado.
Due diligence continua — El regulador británico dijo en el caso Marriott que la diligencia es continua.

Declaraciones de ciberseguridad y privacidad — El vendedor declara que no hubo incidentes fuera de los listados y que cumple la ley.
Indemnización específica — Cubre pérdidas de incidentes previos al cierre, aun descubiertos después.
Escrow o retención — Parte del precio queda retenida para pagar pérdidas cyber.
Ajuste de precio — Mecanismo para reducir el precio si se revela un incidente relevante, como en Verizon–Yahoo.
Condición precedente de corrección — El cierre depende de corregir fallas críticas.
Seguro W&I y exclusiones cyber — Verificar exclusiones y cubrir la brecha con indemnización o seguro cyber.
Cooperación y notificación — Obligación de avisar incidentes entre firma y cierre y cooperar.
Cambio material adverso (MAC) — Definir si un incidente grave permite desistir o renegociar.

2017 · Verizon reduce en US$ 350 mi el precio de Yahoo — Tras revelarse dos filtraciones con más de 1.000 millones de usuarios, el precio bajó a US$ 4.480 millones y las partes comparten costos legales.
2018 · La SEC multa a Altaba (ex Yahoo) con US$ 35 mi — Primera sanción de la SEC por no divulgar una filtración: el ataque de 2014 se reveló en 2016.
2020 · Marriott multada con £ 18,4 mi por filtración heredada de Starwood — El ataque empezó en 2014 en Starwood, comprada en 2016, y afectó hasta 339 millones de huéspedes. La ICO redujo la multa propuesta de £ 99,2 mi.
2022 · La autoridad canadiense confirma fallas en el caso Starwood — El comisionado de privacidad de Canadá publicó en 2022 un informe que coincide en gran parte con la ICO.
2024 · Marriott paga US$ 52 mi a 50 estados de EE. UU. — Acuerdo con 50 fiscales generales y la FTC: los intrusos no fueron detectados de julio de 2014 a septiembre de 2018.

EN · PT · ES · FR · ZH · AR