O Ponto Cego Cibernético da Insolvência: Como o CIRP Cria Lacunas Críticas em GRC

Uma crise silenciosa está se desenrolando dentro da estrutura de insolvência corporativa da Índia, uma que os profissionais de cibersegurança e conformidade não podem mais se dar ao luxo de ignorar. O Processo de Resolução de Insolvência Corporativa (CIRP), projetado para resgatar empresas em dificuldades financeiras, está criando inadvertidamente enormes pontos cegos na governança de cibersegurança, proteção de dados e conformidade regulatória. Casos recentes envolvendo empresas como Baron Infotech Limited, JCT Limited e Tijaria Polypipes Limited revelam um padrão sistêmico onde funções críticas de segurança são despriorizadas ou completamente negligenciadas durante a transição para profissionais de resolução e comitês de credores.

O Vácuo de Governança: Quando a Supervisão Muda

Sob o Código de Insolvência e Falência (IBC), uma vez que uma empresa entra no CIRP, o conselho de administração é suspenso e o controle é transferido para um Profissional de Resolução de Insolvência (IRP). Este IRP, frequentemente um contador ou advogado, tem a tarefa de preservar o valor da empresa, gerenciar operações e facilitar um plano de resolução para os credores. Seu mandato é esmagadoramente financeiro. A cibersegurança, a menos que impacte diretamente a avaliação de ativos, raramente figura como prioridade. Como visto com o contrato de locação do escritório corporativo da Baron Infotech sob o CIRP, decisões operacionais são tomadas para manter a continuidade dos negócios, mas as implicações de segurança de novas instalações, configurações de rede e acesso a dados para novos funcionários raramente fazem parte da due diligence.

Da mesma forma, a décima reunião do Comitê de Credores (CoC) da JCT Limited exemplifica o foco. Credores, principalmente preocupados em recuperar seus créditos, revisam a viabilidade financeira e os planos de resolução. Riscos de cibersegurança—como a integridade dos sistemas de TI que contêm dados financeiros, a segurança da propriedade intelectual sendo avaliada ou a conformidade com leis de proteção de dados—não são itens padrão na pauta. Isso cria um vácuo de governança onde nenhuma entidade é responsável pela postura de cibersegurança de uma empresa que detém quantidades potencialmente vastas de dados corporativos e de clientes sensíveis.

A Dívida Técnica e a Bomba-Relógio da Conformidade

O período CIRP, que pode se estender por meses ou mesmo anos como observado com a audiência do NCLT da Tijaria Polypipes agendada para 2026, é um período de extrema vulnerabilidade. Riscos técnicos-chave emergem:

1. Postura de Segurança Estagnada: Ferramentas de segurança e licenças de software frequentemente vencem durante o CIRP. Com contas congeladas e gastos sob escrutínio dos credores, essas renovações essenciais para firewalls, proteção de endpoint e feeds de inteligência de ameaças podem ser adiadas ou negadas, deixando sistemas expostos a vulnerabilidades conhecidas.
2. Drenagem de Conhecimento e Caos de Acesso: A saída das equipes originais de TI e segurança leva a uma perda crítica do conhecimento institucional sobre arquitetura de sistemas, configurações de segurança e planos de resposta a incidentes. O IRP pode conceder acesso ao sistema a vários consultores (legais, financeiros, operacionais) sem os controles de acesso ou monitoramento adequados, aumentando exponencialmente a superfície de ataque.
3. Fragmentação e Perda de Ativos de Dados: O processo de identificação e avaliação de ativos para resolução pode levar a dados sendo copiados, transferidos ou acessados em dispositivos inseguros. Conjuntos de dados sensíveis—PII de clientes, registros financeiros, segredos comerciais—podem ser manipulados por partes sem protocolos adequados de segurança de dados, arriscando violações e não conformidade com regulamentações como a futura Lei de Proteção de Dados Pessoais Digitais (DPDPA) da Índia.
4. Amplificação do Risco de Terceiros: Como visto em casos onde ativos são alugados ou operações são mantidas, novos fornecedores terceirizados entram no ecossistema. Sua postura de segurança raramente é verificada no padrão exigido pré-insolvência, criando novas vulnerabilidades na cadeia de suprimentos.

As Consequências de Alto Impacto

O impacto desses pontos cegos não é teórico; é alto e multifacetado. Um incidente de cibersegurança durante o CIRP pode:

• Destruir o Valor da Empresa: Uma violação de dados ou um ataque de ransomware pode dizimar o valor remanescente da empresa, tornando-a pouco atraente para potenciais candidatos à resolução e prejudicando a recuperação dos credores.
• Desencadear Responsabilidade Regulatória e Legal: A não conformidade com proteção de dados, regulamentações setoriais (como as diretrizes do RBI para dados financeiros) ou leis de divulgação obrigatória de violações pode resultar em penalidades significativas, que se tornam reclamações contra a massa insolvente já em dificuldades.
• Erodir a Confiança das Partes Interessadas: Violações que afetam dados de clientes ou funcionários podem levar a ações judiciais coletivas e danos reputacionais irreparáveis, complicando qualquer futuro ressurgimento do negócio.

Um Chamado para a Integração do Ciber-GRC nas Estruturas de Insolvência

Abordar este buraco negro requer uma mudança de paradigma. A comunidade de cibersegurança, profissionais jurídicos e reguladores devem colaborar para incorporar o Ciber-GRC (Governança, Risco e Conformidade) no tecido da resolução de insolvência. Passos concretos incluem:

• Mandatos Regulatórios: O Conselho de Insolvência e Falência da Índia (IBBI) deve emitir diretrizes tornando a due diligence em cibersegurança e a manutenção de uma linha de base de segurança mínima um dever obrigatório do IRP.
• Educação do Comitê de Credores: Riscos de cibersegurança devem ser enquadrados como riscos financeiros diretos para a recuperação. Credores devem exigir avaliações de risco cibernético como parte das avaliações do plano de resolução.
• Treinamento e Painéis de IRP: Programas de treinamento para IRPs devem incorporar fundamentos de cibersegurança. Além disso, painéis de profissionais certificados em cibersegurança poderiam ser nomeados para assessorar IRPs em casos complexos, semelhante à nomeação de avaliadores.
• Protocolos Padronizados: Desenvolver listas de verificação padronizadas para IRPs cobrindo revisão de acesso ao sistema, renovação de licenças, inventário e classificação de dados, e avaliações de segurança de fornecedores durante o CIRP.

Os casos da Baron Infotech, JCT e Tijaria Polypipes não são incidentes isolados; são indicadores precoces de um risco sistêmico. À medida que os ciclos econômicos continuam, mais empresas entrarão em processos de resolução. Fechar proativamente este ponto cego de cibersegurança não é apenas sobre proteger dados—é sobre preservar a integridade e o sucesso do próprio mecanismo de resgate corporativo. A hora de agir é agora, antes que uma grande violação transforme um resgate corporativo em uma catástrofe corporativa.