在軟件公司并購中，對目標公司的SDLC進行技術(shù)盡職調(diào)查是必需的。如果你對其流程和工具并不清楚的話，可能會給你帶來損害。

并購 (M&A) 交易運作過程中，代碼所含內(nèi)容至關(guān)重要。應(yīng)用中未被發(fā)現(xiàn)的開源可能導(dǎo)致代價高昂的許可證違規(guī)。這些以及專有、開源和其他第三方軟件中的安全漏洞可能會對軟件資產(chǎn)的價值產(chǎn)生重大負面影響。因此，在并購中，盡職調(diào)查尤為重要。

在收購或者兼并一家公司之前，有許多因素你需要考慮，涵蓋目標公司的財務(wù)狀況、員工、法律狀況、客戶群以及技術(shù)等。其中，技術(shù)，不僅涉及公司建立的技術(shù)，還包括他們?nèi)绾螛?gòu)建技術(shù)。作為技術(shù)盡職調(diào)查的一部分，你應(yīng)該評估目標公司的軟件開發(fā)生命周期（SDLC）流程和工具。接下來讓我們看看如何評估。

誰將要購買技術(shù)公司？

對于并購活動涉及的技術(shù)公司，有兩種基本類型的購買方：

企業(yè)或者戰(zhàn)略性買家，尋求將目標公司的軟件技術(shù)“鎖定”到他們現(xiàn)有的技術(shù)堆棧。

私募股權(quán)買家，購買科技公司并尋求對其進行經(jīng)營（管理），將其作為獨立運營的全資子公司或者投資組合公司。隨著時間的推移，他們準備好將公司賣給戰(zhàn)略性買家。

兩種類型的買家會影響你使用技術(shù)盡職調(diào)查來評估流程和工具的方法。

并購的觀點

在技術(shù)收購中，一個戰(zhàn)略性買家對流程和工具的技術(shù)盡職調(diào)查通常會有一兩個觀點（不相互排斥）：

如果你計劃購買整個公司并且保持原有的運營，你應(yīng)該評估目標公司如何進行軟件開發(fā)以及使用哪些工具。

如果你計劃將收購整合到現(xiàn)有的公司，你必須熟悉目標公司的流程，這將會直接影響整合以及潛在的風險。

在缺乏流程的地方，你必須深入挖掘。例如，根據(jù)451研究報告，如果目標公司沒有管理開源組件的流程，那么分析開源許可以及安全問題的代碼就尤為重要。開源許可以及安全評估通常是由軟件組件分析（SCA）解決方案進行的。

私募股權(quán)收購方，通常保持目標公司原有的運營，需要確保目標公司的開發(fā)流程/工具和支持基礎(chǔ)設(shè)施符合行業(yè)標準。他們也希望確保軟件是安全的并且IP是受保護的，因為他們承擔了風險。一些缺乏技術(shù)盡職調(diào)查專業(yè)知識的公司會聘請顧問。

在沒有流程的地方分析開源風險

一些開發(fā)人員傾向認為開源組件是免費的，沒有任何相關(guān)成本。那么擁有許可證有什么大不了的？事實上即使是免費的，開源軟件也要求你擁有許可證。如果你的代碼庫因并購或者其它原因在技術(shù)盡職調(diào)查期間被審計，你需要能夠證明你擁有代碼庫中開源組件的所有權(quán)利，否則可能會產(chǎn)生法律后果。這個問題可能比你想象中的更加復(fù)雜。

例如，2018年審計的超過1,200個商業(yè)代碼庫中有85%包含有許可證問題的組件。除此之外，38%包含賣方無權(quán)使用的未經(jīng)許可的組件。違反許可證可能會產(chǎn)生嚴重的后果，包括：

訴訟

對企業(yè)聲譽的影響（因許可證問題而被起訴等）

知識產(chǎn)權(quán)損失（如果許可證合規(guī)性要求分發(fā)源代碼）

在流程和工具中的并購風險

并購包含對于潛在的目標公司的若干風險評估行動。SCA越來越多地成為技術(shù)盡職調(diào)查不可或缺的一部分。一些大公司每年都會進行多次收購，因此他們擁有評估這些風險的經(jīng)驗。他們可以自己進行SCA和盡職調(diào)查，也可以和信賴的合作伙伴或顧問密切合作來進行。

開源安全是每個人的責任

使用開源組件已經(jīng)成為主流。從大型企業(yè)到兩人初創(chuàng)企業(yè)都在使用開源組件。因此，開發(fā)人員變得更快也更加有效率。但這并不能減輕他們在這些開源組件中發(fā)現(xiàn)和修復(fù)安全漏洞的責任。這甚至適用于“永久的”開源組件。研究人員繼續(xù)發(fā)現(xiàn)開源組件中的漏洞，不管它們多么成熟。

因此，開發(fā)人員需要始終關(guān)注來自所有開源和第三方來源的警報和補丁。你不希望成為下一個Equifax/Apache Struts，因數(shù)據(jù)泄露從而面臨著潛在的1.4億人的集體訴訟。如果Equifax的開發(fā)人員使用了最新的Jackson解析器，他們可以很快地識別出Apache Struts漏洞。

所以如果你正在考慮收購一家軟件技術(shù)公司，請確保進行技術(shù)盡職調(diào)查以確定目標公司是否將安全構(gòu)建到其SDLC中。建立持續(xù)的測試流程以補充持續(xù)集成/持續(xù)開發(fā)過程才有意義。通過恰當?shù)牧鞒毯凸ぞ呒òㄜ浖M建分析），開發(fā)團隊可以更快地修復(fù)歷史和最近發(fā)布的漏洞，使他們能夠更快地發(fā)布更安全、更高質(zhì)量的軟件。