在当下严峻的网络安全形势状况里，办理公司转让，已绝非单纯的股权变更跟工商登记那般，是一项极为复杂的系统性工程。一旦出现安全疏忽，不但有可能致使交易失败，更有可能让公司核心数据以及商业秘密甚至是客户资产，瞬间暴露于网络犯罪的枪口范围之内，从而造成无法挽回的损失。身为全程参与者，我明白其中所蕴含的风险与博弈，清楚知晓每一个环节都必须将安全当作基石 。
办理公司转让为什么必须优先处理网络安全审计
交易之前，网络安全审计乃是不可越过的首要关卡。转让方常常觉得，只要业务数据不存在问题便可以，却不知道，一个陈旧的系统漏洞，一段没有清理的恶意代码，都有可能变成定时炸弹。新型恶意软件像TAG-150，能够借助社会工程学手段毫无声息地植入，甚至会为攻击者给予远程控制权限。试想一下，要是买方接手之后马上发生数据泄露或者系统被控制，责任归属将会是一场具有灾难性的法律纠纷。所以，一定要由专门的机构针对转让方的全部网络资产，以及代码仓库，还有第三方组件展开深度扫描，并且进行渗透测试，这份审计报告所具备的价值，有时候甚至要超过财务审计。
如何评估目标公司是否使用了恶意的第三方SDK或组件
有着不少公司，为了能够进行快速开发，会去集成数量众多的第三方SDK以及开源组件，而这就构成了规模较大的巨大潜在攻击面。在展开评估的时候，必须要做到对其应用程序进行彻底审查。需要去建立起所有第三方组件的清单，再对来源逐一进行核实，优先选择那些曾经经过备案的SDK来使用。对于那类开发型公司来说，更加需要加以警惕其开发环境当中是不是混入了恶意扩展包。在近期呢，有攻击者朝着主流开发工具平台投放了24个恶意扩展，一旦被安装那就会窃取开发者的账号与密钥。这从而也就意味着，一家公司的基础代码库有可能从源头开始就已经失守了。审查这类风险，需要技术尽调团队具备深厚的安全开发知识。
公司转让过程中如何防范针对性的钓鱼攻击与数据窃取
交易会产生诸多敏感通信，因其过程极易成为被攻击目标。近期有高级威胁团伙制作伪造简历文件，借钓鱼邮件攻击特定行业人员以窃取信息。转让谈判时，双方要建立专用加密通信渠道，还要对所有文件传输加密及校验完整性。必须对所有参与人员尤其财务、法务和高管开展专项安全意识培训，警惕看似合理的“补充协议”“紧急修改”等邮件附件或链接 。一个员工点击错误，就可能导致整个交易的核心底牌泄露。
如何确保公司核心数据在移交前后不被非法复制或留存
数据移交乃是风险处于最高程度的环节，首先，在协议里明确数据资产范围、移交方式以及销毁标准是必须要做到的，在实际操作期间，采用技术手段去实施监控与隔离是应当做的，对于移交过程当中的核心数据，运用端到端加密是需要的，移交完毕之后，转让方按照协议，在监督的情况下彻底删除或者销毁在其控制之下的所有数据副本，并且出具能够被验证的销毁证明是必要的，同时，审查并终止所有未被授权的远程访问权限以及API密钥，防止数据借助“后门”被持续窃取是不可或缺的。
公司转让后，原有网络安全债务应由谁负责
“网络安全债务”是那种，由于历史投入欠缺所积攒下来的安全方面的隐患。这可是个特别难解决，非常棘手的责任划分方面的问题。在理想的状况之下，审计报告是会清晰地去界定债务清单的。接着双方要在协议里明确规定：那些因为审计发现的，在交割日之前就已经存在的漏洞而引发的安全事故，是要由转让方来承担责任的；而在交割日之后新出现的漏洞，或者是由买方新的业务所引入的风险，那就由买方来承担。不过这是需要协议的条款极其严密才行的，一般还需要设置一定期限的保证期，以及相应的赔偿机制 。要是目标公司曾经遭遇了未公开的恶意软件入侵，比如说那种能够完全操控手机的Albiriox银行木马，然而其造成的影响并没有被彻底清除，那么对于这类债务的责任认定就会变得更加复杂。
接手新公司后应立即部署哪些关键安全措施以稳固防线
承接之后要即刻开展行动，假定系统已然遭到渗透。最为关键的任务是全方位去变更各个系统的管理员密码以及访问密钥，启用强制性的多因素认证，也就是MFA。其次，马上部署或者升级端点检测与响应，也就是那EDR等高级防护举措，用以替换掉传统的防病毒软件。接着，按照零信任的原则，重新去规划网络架构，施行最小权限的访问控制。同时，势必要构建或者审视应急响应的计划，确保在遭遇DDoS攻击或者勒索软件攻击的时候能够迅速进行切换以及恢复。最终，针对全部员工开展新一轮安全培训，把安全文化当作全新公司的基石再度浇筑 。 ，句号不要忘记写。
于您曾历经或者正思索的公司并购交易里头，有无曾因一个未预先料到的安全隐患，致使交易价格重新商谈、进程向后延期乃至完全失败呢？欢迎来分享您的故事以及见解。