併購帶來的安全拼圖難題
併購將擁有不同安全理念、策略、技術棧、合規要求的安全部門強行拼湊。Dimension Data 國家安全實踐主管 Chris Ellerman 警告：同行業併購尚有矛盾（自建 vs 外包），跨行業併購差異可能「永久無法協調」，導致兩部門在同一骨幹網長期運行在不同安全等級。
六大整合鐵律
- 切忌貿然合併安全系統
雙方安全設備/技術棧往往截然不同，強行合併會中斷關鍵業務服務，導致被收購方業務停擺。
→ 策略：雙方獨立運行，鏈路間加部署額外安全控制（隔離區、強化監控），組建雙方專家聯合評估小組，制定整合藍圖。
- 帶著計劃併購
成熟收購方（如 Oracle）在簽約前即制定整合計劃，簽約即採購設備、部署人員。
→ 關鍵：整合速度決定業務連續性，預案必須在簽字前就緒。
- 從業務驅動因素自評估開始
Dimension Data 方法論：一天自評估研討會，參會雙方 CIO、CEO 辦代表、高級 IT/業務管理層。
產出：雙方安全策略/立場/弱點/業務邏輯清單 → 定義合併後目標安全狀態。
高管全程參與，確保安全策略服務於併購後業務規劃。
- 吸納被收購方核心安全人才
被收購方 CSO/核心工程師最了解其架構痛點。
→ 組建「最強聯合 IT 團隊」，而非單純收購設備。
若一方外包安全，外包商安全團隊必須參與（其跨行業經驗極寶貴）。若外包商關係良好，可考慮統一外包；否則維持現狀評估後再決策。
- 謹慎行事：差異共存與漸進統一
雙方安全等級不同（如雙因子認證 vs 簡單口令）是常態。
→ 整合前：鏈路間部署額外控制，將低等級方視為「半可信合作夥伴」。
→ 若長期獨立運營（跨行業），差異共存可成常態。
→ 若業務層面整合：採用統一標準技術棧，**但必須最小化對業務流程的破壞**，分階段遷移。
- 評估影響後再變更安全等級
安全永遠是「保護」與「訪問」的妥協。最安全的系統是斷網鎖在保險箱，但無業務價值。
變更前必問四問：
— 業務破壞度多大？
— 訪問成本（時間/精力）增加多少？
— 更強保護的收益 > 業務影響？
— 風險等級/合規要求證明更高安全必要？
高等級不等於最優選，管理層必須綜合業務視角決策。
併購安全檢查清單
- [ ] 不輕率合併安全系統
- [ ] 簽約前備妥整合計劃
- [ ] 業務驅動自評估先行
- [ ] 吸納核心人才組建聯合團隊
- [ ] 差異共存謹慎過渡
- [ ] 變更前量化業務影響
結語
併購安全整合的本質是業務風險管理，而非技術堆疊。以業務連續性為底線，以風險量化為決策依據，以人才融合為核心動力，方能在混亂中構建更強韌的安全體系。