科技公司并购：对SDLC流程/工具进行尽职调查

并购的观点

在技术收购中，一个战略性买家对流程和工具的技术尽职调查通常会有一两个观点（不相互排斥）：

• 如果你计划购买整个公司并且保持原有的运营，你应该评估目标公司如何进行软件开发以及使用哪些工具。
• 如果你计划将收购整合到现有的公司，你必须熟悉目标公司的流程，这将会直接影响整合以及潜在的风险。

在缺乏流程的地方，你必须深入挖掘。例如，根据451研究报告，如果目标公司没有管理开源组件的流程，那么分析开源许可以及安全问题的代码就尤为重要。开源许可以及安全评估通常是由软件组件分析（SCA）解决方案进行的。

私募股权收购方，通常保持目标公司原有的运营，需要确保目标公司的开发流程/工具和支持基础设施符合行业标准。他们也希望确保软件是安全的并且IP是受保护的，因为他们承担了风险。一些缺乏技术尽职调查专业知识的公司会聘请顾问。

并购包含对于潜在的目标公司的若干风险评估行动。SCA越来越多地成为技术尽职调查不可或缺的一部分。一些大公司每年都会进行多次收购，因此他们拥有评估这些风险的经验。他们可以自己进行SCA和尽职调查，也可以和信赖的合作伙伴或顾问密切合作来进行。

使用开源组件已经成为主流。从大型企业到两人初创企业都在使用开源组件。因此，开发人员变得更快也更加有效率。但这并不能减轻他们在这些开源组件中发现和修复安全漏洞的责任。这甚至适用于“永久的”开源组件。研究人员继续发现开源组件中的漏洞，不管它们多么成熟。

因此，开发人员需要始终关注来自所有开源和第三方来源的警报和补丁。你不希望成为下一个Equifax/Apache Struts，因数据泄露从而面临着潜在的1.4亿人的集体诉讼。如果Equifax的开发人员使用了最新的Jackson解析器，他们可以很快地识别出Apache Struts漏洞。

所以如果你正在考虑收购一家软件技术公司，请确保进行技术尽职调查以确定目标公司是否将安全构建到其SDLC中。建立持续的测试流程以补充持续集成/持续开发过程才有意义。通过恰当的流程和工具集（包括软件组建分析），开发团队可以更快地修复历史和最近发布的漏洞，使他们能够更快地发布更安全、更高质量的软件。