Un'operazione di delisting è un accordo che porta una società quotata in borsa sotto proprietà privata. Le azioni della società vengono riacquistate, spesso da un consorzio o da un fondo di private equity, e la società non ha più i medesimi obblighi di informativa al mercato di una società quotata.
Nella sicurezza informatica, questo è importante perché i cambiamenti di proprietà possono alterare visibilità, supervisione e gestione degli incidenti. Le società quotate sono in genere soggette a un maggiore controllo esterno, a segnalazioni formali e alla pressione degli investitori sui rischi. Dopo un'operazione di delisting, i team di sicurezza possono mantenere gli stessi controlli, ma le decisioni su budget, revisioni degli accessi, supervisione dei fornitori e divulgazione possono diventare meno trasparenti. Gli aggressori possono inoltre prendere di mira il periodo di transizione stesso, quando identità, approvazioni e ruoli amministrativi vengono riorganizzati. I difensori osservano attentamente queste operazioni perché la governance fa parte della sicurezza: chi vede gli avvisi, chi approva le modifiche e come vengono segnalati gli incidenti possono influire sulla resilienza tanto quanto lo stack tecnico.