【廉環(huán)話】漫談信息安全設計與治理之企業(yè)合并的IT整合
原創(chuàng)【51CTO.com原創(chuàng)稿件】年關將至,廉哥所供職的公司傳出了將要與同領域另外一家公司并購的消息。我身邊的小伙伴對此的***反應是:“這是好消息嗎?”我心中暗自好笑:It depends on…為啥?因為哥在這里已經經歷過兩次企業(yè)并購了,一次是我們是被并購方,一次是收購方。眾所周知,近年來,各個企業(yè)把信息視為其核心競爭力的組成部分,業(yè)務應用因此而激增,其對于IT系統(tǒng)的服務與支持力度自然也是“高標準、嚴要求”。而企業(yè)合并,貌似一蹴而就的事情,但實際上其成敗與否則高度依賴甚至取決于IT系統(tǒng)的整合--這個“蕭何”。
一般情況下,在IT管理層獲知并購的消息時,其仍處于保密的狀態(tài)。因此IT部門應該迅速行動起來組成一個專門的項目組,利用這有限的時間,克服雙方IT相關信息不對稱亦或不全面的困難,充分起到類似“大家長”的作用,層層把關、有條不紊的,在合并前后發(fā)揮積極的作用,也體現(xiàn)我們ITer的水平與價值。
合并前
一句話概括就是:做好IT盡職調查(Due Diligence )。具體來說,要借用業(yè)界常說的“十倍準備”做到如下的幾個方面:
首先,最基本的就是雙方各自清點,羅列出類似于下圖的IT服務與應用系統(tǒng)的清單。其范圍大體包括:網絡服務、主營業(yè)務、辦公郵件、電話移動、服務臺、用戶桌面、文檔庫管、協(xié)作通訊、視頻會議、市場開發(fā)、財務人事、IT工具和安全審計、以及虛擬化與云服務等領域。應當注意的是無論要合并的兩家企業(yè)其業(yè)務是同領域還是不同行業(yè),在填寫清單里的具體內容之前,需要IT管理層對清單條目的分類做好劃分,這樣在項目組成員填寫的時候才能有的放矢,生成的清單才具有可參照性和對比性。另外,由于每個人的角度和見解不同,因此在填寫的過程中對于“注釋和狀態(tài)”的描述信息是非常必要的。
有了上述的清單,下一步就可以進行軟件、硬件和人員的統(tǒng)計和分類了??梢詤⒄瘴覀冊谇捌诼劦馁Y源治理章節(jié)中所聊到的資產與配置管理的方式進行展開。不過值得注意的是:
· 硬件設備系統(tǒng)的清單要注意闡述系統(tǒng)異構性和自身存在的兼容性以及備件等問題。
· 軟件服務系統(tǒng)的清單則要注意厘清同質性、識別當前所使用到的功能模塊和軟件技術支持程度的問題。
· 而考慮到人員的流動性,關于從業(yè)人員的清單內容,不需要向那次漫談中說的那樣對應到具體的人,而是應該落實到角色,訪問權限以及其所對應負責的軟硬件模塊等。
· 與財務/行政部門合作,列出如上期核算與預算漫談里說提及的IT部門的成本與核算,包括費用資金支出的清查,軟/硬件資產以及服務的價值清單等。
接下來,雙方企業(yè)就應該基于上述所收集和自查到的資料,進行進一步的“文檔整理”和總結歸納了。具體包括:
· IT系統(tǒng)框架圖和網絡架構圖??梢詤⒄漳切┪覀冊诰舜笃锝洺?吹降霓k案人員畫的那種思維導圖,并可進行分層、分級的局部細化展示。
· IT相關的規(guī)章制度。比如說企業(yè)對于社交和即時通訊軟件的態(tài)度、使用以及發(fā)布/轉載/披露等方面是否有明顯的限制策略。
· IT發(fā)展戰(zhàn)略,如近期需要更新的技術和采取的安全措施等。
· 目前在開發(fā)的技術、服務或者是ongoing的一些IT項目。
· 與第三方合作參與的合同、委托第三方的SLA和MA等。對于IT外包比較多或已有利用到了云服務提供商的情況,要生成服務與合同對應的列表。
· 重審BCP和DRP。即,對網絡、服務及數(shù)據(jù)的災備方案和發(fā)生問題時的恢復流程與應急預案進行稽核,標注出MTD、RTO和RPO、以及review和演練時間等重要信息。
· 對系統(tǒng)與服務的當前性能瓶頸、遺留問題以及投訴痛點等進行如實的記錄與詳盡的描述。當然也可以體現(xiàn)一些關鍵業(yè)務部和IT管理層的主觀顧慮。
· IT合規(guī)和安全實務,確認自身系統(tǒng)的基線,羅列出近一、兩年發(fā)生過的網絡和安全的事件和問題。
· 與IT相關的知識產權狀況。比如說:那些并非直接使用了第三方的成品軟件,而是要求其按照企業(yè)需要所定制開發(fā)的軟件系統(tǒng),其委托定制部分的知識產權就應當屬于甲方企業(yè)而非第三方所有。
· 對IT部門崗位進行如:職權范圍、薪酬水平、培訓發(fā)展等屬性的標記。
· 列舉企業(yè)日常運營以及從事項目活動中的IT相關資質認證的持有情況。特別要表明安全方面資質的范圍與年限。
所有這些IT相關的清單和文檔總結準備就緒之后,下面就是“互動”環(huán)節(jié)了。
· 雙方的項目組成員進行實地互訪?;ピL的內容包括:對IT部門和部分業(yè)務管理人士進行詢問與座談、對數(shù)據(jù)中心或呼叫中心的實地參觀、以及運營與業(yè)務流程的模擬展示等。
· 相互交換所整理的清單和各種文檔,由收購方牽頭草擬出點對點的雙方情況對照表(如上述表格的綠色與粉色所示)。
· 收購方要特別注意被并購方的SLA、MA和NDA等合同里的條款,協(xié)同法務部門對在并購后的可能出現(xiàn)的合規(guī)以及法律風險進行考量。
那么,通過上述各種客觀與主觀相結合的調查方式,雙方項目組成員坐到一起,合謀標記或直接對關鍵的系統(tǒng)、網絡以及服務進行重要程度進行定級,并有效的識別出和預見到并購后企業(yè)可能出現(xiàn)的各種風險或碰到的兼容性問題。本階段的“干貨”就是要共同制定出實施IT系統(tǒng)整合的路徑圖和具體的實施步驟,同時勾勒出并購之后IT系統(tǒng)的整體治理和投資方向。當然,最終要形成的可行性報告要提交董事會報批。
合并后
一般在合同階段的IT系統(tǒng)整合的實際操作過程中,每個項目組成員都會感覺到“時間緊,任務急”的真諦。因此,這里我給小伙伴們也羅列出自己的一些“前車之鑒”。
· 任何因素的不到位都會成為“那顆擊倒巨人的石子”。比如說數(shù)據(jù)庫對接或遷移時出現(xiàn)的不兼容等。因此項目組要提前制定好合并首日(Day One)的行動計劃和方案,我們在這一點上可以參考哥前期漫談的“發(fā)布管理”章節(jié),當然應該更為周密和詳盡。
· 如果確實在并購過程中碰到了問題,其實方法也有很多。比如說傳統(tǒng)的模式是:為了穩(wěn)妥起見,可以雙方采用“雙活”戰(zhàn)略,即簽署諸如過渡服務協(xié)議(Transition Services Agreements)的來進行緩沖,以規(guī)定在并購后的一段時間內能延續(xù)借用原來各方的一些舊的IT服務與系統(tǒng)。
· 另外,現(xiàn)在云計算與服務得到了廣泛運用,不少企業(yè)也可以臨時租用云空間來提供合并期的不間斷過渡服務,直至新的企業(yè)拿出更好的解決方案,再慢慢的bring down它們。
· 同時,前面漫談的項目管理環(huán)節(jié)也和大家聊過,一旦合并開始或者完成,用戶乃至客戶的問題會雪崩式的增長。相應的新企業(yè)的呼叫中心和其幫助系統(tǒng)的工作量也會急速增加。因此,提前制定好預案、分配好資源、以及做好helpdesk與floor supporting的準備工作能有效的避免投訴或災難的發(fā)生。
· 此外,在業(yè)務安全的角度上說,IT系統(tǒng)整合之后,服務的所有者和使用者可能會相應的發(fā)生變動,進而產生相應的安全隱患和漏洞。因此要做到集中的甚至是細粒度的控制。我們還是應該依托系統(tǒng)賦權基本原則,給予角色相對應的權限分配,以降低人員流動所帶來的權限積累或遺留所帶來的風險。
· ***是IT團隊問題,如前期和大家聊過。合并之后,作為IT管理層要在保證團隊成員的基本利益的前提下,重新定義他們的工作scope。而在降低人員的流動比率的同時,應適當?shù)牟扇?ldquo;末位淘汰制”,并提高整體的戰(zhàn)斗力來面對合并后新的挑戰(zhàn)。
由此可見,對于企業(yè)的并購的IT整合其實就是哥前面和大家聊過的各個章節(jié)的一個“小綜合”。你說合并是好消息嗎?要成為業(yè)績傳頌的一段佳話,還是弄得***一地雞毛?It depends on you and your team.
好了,談著、談著就聊到年底了,感謝各位小伙伴以“一直瀏覽潛水,偶爾點贊冒泡”的方式在精神上支持廉哥揮毫了半年。記得微信上各種雞湯都曾提到過扎克伯格每年都定下一個小目標來挑戰(zhàn)自己,不讓自己的腦子進入“舒適區(qū)”。其實哥也是這么自勉的。對于今年保持的每周一次更新的紀錄,哥是不會驕傲的。我們就let bygones be bygones吧。記得電影《東邪西毒》里有句經典臺詞是:“每個人都會經過這個階段,見到一座山,就想知道山后面是什么。”那么明年廉哥是否還會以“傳教士的精神”用俏皮的語言和大家繼續(xù)談技術、談治理、談安全呢?你猜!
【51CTO原創(chuàng)稿件,合作站點轉載請注明原文作者和出處為51CTO.com】