El riesgo de la cadena de suministro de software en las fusiones y adquisiciones es la categoría específica de due diligence tecnológica que evalúa la salud de las dependencias de código abierto, la deuda de seguridad y la postura de seguridad de la cadena de suministro de software del portafolio de software de la empresa objetivo de adquisición. También es una de las categorías que con más frecuencia se omiten en la due diligence tecnológica de M&A, que suele centrarse en la arquitectura tecnológica, la escalabilidad de la infraestructura, los activos de datos y la titularidad de la IP, y trata la salud de las dependencias de código abierto y la seguridad de la cadena de suministro como detalles operativos que se abordarán después de la adquisición.
El mecanismo de herencia de la deuda técnica es el riesgo específico de la cadena de suministro. Las plataformas de software acumulan deuda técnica en sus dependencias con el tiempo: se agregan componentes de código abierto para dar soporte a funciones y no se actualizan cuando se publican nuevas versiones, los entornos de ejecución de los lenguajes de programación no se actualizan para evitar el riesgo de regresión y las dependencias que llegan al final de su vida útil permanecen en el código base porque su sustitución tiene menos prioridad que el desarrollo de nuevas funciones. Esta deuda técnica es invisible en el rendimiento y la funcionalidad externos de la plataforma, pero representa una exposición de seguridad acumulativa que la empresa adquirente hereda junto con las capacidades de la plataforma.
El problema de las vulnerabilidades sin solución es la forma de deuda técnica de las dependencias en la que más está en juego. Las dependencias que han llegado al final de su vida útil, cuyo mantenedor ya no publica parches de seguridad, no pueden corregirse mediante el proceso estándar de actualización de dependencias. El software que las utiliza debe migrar a una alternativa mantenida (lo que puede requerir cambios importantes en el código) o aceptar una vulnerabilidad crítica permanentemente sin corregir en la dependencia. Catorce vulnerabilidades críticas sin solución en un software adquirido representan un riesgo de seguridad sin una vía de corrección sencilla, un riesgo que debe divulgarse en la valoración de la adquisición.
Por qué es importante
El riesgo de la cadena de suministro en M&A es importante porque la deuda técnica de las dependencias de software, acumulada durante años en los que se priorizó la velocidad de desarrollo de funciones sobre la seguridad, no es visible en la due diligence tecnológica estándar, pero la hereda directamente la empresa adquirente. El valor comercial de la plataforma no reduce el riesgo de seguridad de la cadena de suministro que conlleva; el riesgo llega como parte del paquete de la adquisición.
- Due diligence tecnológica de M&A que excluye la evaluación de la cadena de suministro
- Deuda técnica de las dependencias no inventariada antes de la adquisición
- Dependencias al final de su vida útil no identificadas como riesgo sin solución
- Deuda en las versiones de los entornos de ejecución no evaluada**
- Valoración del riesgo de la cadena de suministro no incluida en el precio de adquisición
Cómo se ve una buena práctica
Los programas maduros de due diligence de la cadena de suministro en M&A generan SBOM a partir del código base de las empresas objetivo de adquisición, analizan las dependencias frente a bases de datos de vulnerabilidades y de fin de vida útil, evalúan las versiones de los entornos de ejecución de los lenguajes y de los frameworks, cuantifican el costo de corrección de la deuda técnica de la cadena de suministro identificada e incluyen el riesgo de la cadena de suministro en los ajustes de valoración de la adquisición.
- Generación del SBOM a partir del código base de la empresa objetivo de adquisición
- Análisis de vulnerabilidades y de EOL del inventario de dependencias
- Evaluación de las versiones de los entornos de ejecución y los frameworks frente a las versiones compatibles actuales
- Estimación del costo de corrección de la deuda técnica de la cadena de suministro
- Riesgo de la cadena de suministro en la valoración de la adquisición: ajuste del precio por la deuda técnica identificada
Herramientas
Due diligence de la cadena de suministro en M&A: Snyk para la evaluación de dependencias; endoflife.date API para el estado de EOL; FOSSA para licencias y vulnerabilidades combinadas
La base de datos endoflife.date proporciona el estado de fin de vida útil de lenguajes de programación, entornos de ejecución, frameworks y sistemas operativos, lo que permite detectar automáticamente dependencias obsoletas en el código base de la empresa objetivo de adquisición. Combinar un SBOM generado a partir del código de la empresa objetivo con consultas a bases de datos de vulnerabilidades y de EOL proporciona en horas, en lugar de semanas, el panorama de salud de las dependencias que necesita la due diligence de M&A.
Desafíos de gobernanza
El desafío de gobernanza en la due diligence de la cadena de suministro en M&A es la presión de los plazos. Las operaciones de M&A se desarrollan en plazos ajustados en los que una revisión tecnológica exhaustiva compite con la velocidad de la operación. La solución de gobernanza es una lista de verificación estandarizada de due diligence de la cadena de suministro que pueda ejecutarse en paralelo con el resto de la revisión técnica: una generación y un análisis automatizados de SBOM que producen resultados en horas en lugar de requerir semanas de inventario manual.
- Incluir la due diligence de la cadena de suministro como elemento estándar de la revisión técnica en M&A
- Generar el SBOM a partir del código base de la empresa objetivo de adquisición durante la due diligence
- Ejecutar un análisis automatizado de EOL y de vulnerabilidades sobre el SBOM generado
- Estimar el costo de corrección de la deuda técnica de la cadena de suministro
- Incluir el riesgo de la cadena de suministro en el precio de adquisición y en la planificación posterior al cierre
Si usted forma parte de un equipo pequeño
Para cualquier adquisición prevista con activos de software significativos, solicite acceso al código fuente durante la due diligence y ejecute un análisis automatizado de SCA con Snyk o OWASP Dependency-Check. El análisis genera en horas un inventario de dependencias con su estado de vulnerabilidad. Compleméntelo con una consulta a endoflife.date sobre el entorno de ejecución del lenguaje y los principales frameworks de la plataforma. La combinación identifica el inventario de deuda técnica de la cadena de suministro, incluidas las dependencias EOL sin solución, que debería reflejar el precio de adquisición.
- Solicitar acceso al código fuente durante la due diligence de M&A
- Ejecutar un análisis automatizado de SCA en el código base de la empresa objetivo de adquisición
- Comprobar el estado de EOL del entorno de ejecución del lenguaje y de los frameworks
- Estimar el costo de corrección de la deuda técnica de la cadena de suministro identificada
Qué exigir
Pregunte directamente:
"Como parte de la due diligence tecnológica, ¿puede proporcionar un SBOM actualizado de su plataforma e identificar las dependencias que hayan llegado al final de su vida útil o que tengan vulnerabilidades críticas sin parches disponibles?"
Evidencia que debe esperar
- SBOM actual del código base de producción
- Identificación de dependencias EOL con evaluación de la corrección
- Inventario de vulnerabilidades críticas con su estado de corrección
- Estado de actualización de las versiones de entornos de ejecución y frameworks
A una empresa objetivo de adquisición que confirma una postura de seguridad sólida se le debe pedir el estado de sus dependencias SBOM y EOL. La postura de seguridad describe los controles. La salud de las dependencias describe la deuda técnica que la seguridad posterior a la adquisición exige corregir.
Cómo demostrarlo
- Registros de due diligence de la cadena de suministro en M&A
- SBOM de la empresa objetivo de adquisición
- Resultados del análisis de EOL y de vulnerabilidades
- Deuda técnica de la cadena de suministro en la valoración de la adquisición
Conclusión clave
Plataforma adquirida. 1,247 dependencias de código abierto. 73 vulnerabilidades críticas. 14 sin solución: EOL componentes sin parches disponibles. Entorno de ejecución: 3 versiones principales por detrás. Deuda técnica: acumulada durante años de priorizar la velocidad de desarrollo de funciones. Herencia: completa. Alcance de la due diligence: sin evaluación de la cadena de suministro. La deuda técnica de la cadena de suministro es invisible en la funcionalidad y el rendimiento de la plataforma. Es visible en un análisis automatizado de SBOM. Generar ese SBOM durante la due diligence lleva horas. Las 14 vulnerabilidades críticas sin solución habrían quedado reflejadas en el precio de adquisición, o en la decisión, y no en la sorpresa posterior al cierre.