案例背景

原書以 Marriott 於 2016 年收購 Starwood 為 data lemon 案例。Marriott 在交易時不知道 Starwood 曾於 2014 年遭受 cyberattack。

問題／衝突

傳統財務報表與稽核文件未必能揭露資安事件。當收購方整合標的的 ICT 與客戶資料系統時，先前隱藏的漏洞可能擴散成整個新企業的法律、品牌與營運風險。

決策點

收購方必須在交易前對標的進行資料安全與透明度的專門 due diligence，而不能假設財務與法律審查已涵蓋數位風險。

討論問題

1. 為什麼 cyber security 問題屬於 bounded rationality 與 bounded reliability 風險？
2. 傳統 M&A due diligence 為何可能不足？
3. ICT 整合為何會放大 data lemon 的影響？

參考解答／分析

本案說明數位完整性已成為收購標的價值的一部分。收購方若無法辨識過往 breach、資訊安全流程與標準遵循，就可能買進一組會污染整個新企業的 compromised assets and activities。