Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa

A regra 3-2-1 de backup recomenda manter três cópias dos dados (a original e duas cópias de segurança), em dois tipos diferentes de armazenamento, com pelo menos uma cópia fora do ambiente principal. Para recuperar a empresa de um desastre, isso não basta sozinho: é preciso ter uma cópia isolada que um ataque não alcance, metas claras de quanto tempo e de quantos dados a empresa pode perder, e testes regulares de restauração.

Backup é a cópia de dados guardada para ser usada se o original for perdido, alterado ou ficar inacessível. Recuperação de desastres é o plano para voltar a operar depois de um evento grave, como um ataque, uma falha de infraestrutura ou um erro humano de grande proporção. Um não substitui o outro.

O que significa cada número da regra 3-2-1?

• 3 cópias. Os dados de produção mais duas cópias de segurança. Se uma falhar, ainda há outra.
• 2 tipos de armazenamento. Por exemplo, um servidor local e um serviço de nuvem, ou um disco e uma fita. A ideia é que um mesmo defeito ou erro não atinja as duas cópias.
• 1 cópia fora do ambiente principal. Em outro local físico, outra conta de nuvem ou outro provedor. Protege contra incêndio, roubo, falha do data center ou comprometimento da conta principal.

A regra é uma orientação prática difundida no mercado, não uma norma legal. Ela é simples de explicar à diretoria e ajuda a revelar lacunas óbvias, como empresas que têm "backup" apenas em um disco ligado ao mesmo servidor.

Por que o ransomware mudou a conversa sobre backup?

Ataques de ransomware procuram e criptografam também as cópias de segurança acessíveis pela rede. Um backup que está sempre conectado, com a mesma senha de administrador do restante do ambiente, pode ser perdido no mesmo ataque.

Por isso, muitas empresas passaram a tratar a regra como 3-2-1 com um item a mais: pelo menos uma cópia imutável ou desconectada. Imutável significa que, durante um período definido, a cópia não pode ser alterada nem apagada, nem mesmo por um administrador. Desconectada significa que ela não está acessível pela rede o tempo todo.

Há também um aspecto legal. O regulamento de comunicação de incidentes da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, define incidente de segurança como evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Perder o acesso a um banco de dados de clientes pode, portanto, ser um incidente, mesmo sem vazamento. Os passos imediatos estão em ransomware: o que fazer nas primeiras 24 horas.

O que são RPO e RTO?

Duas metas orientam qualquer plano de backup e recuperação:

• RPO (Recovery Point Objective): quanto de dados a empresa aceita perder, medido em tempo. Um RPO de 24 horas significa que perder o trabalho de um dia é tolerável.
• RTO (Recovery Time Objective): em quanto tempo o sistema precisa voltar a funcionar depois do problema.

Essas metas são decisões de negócio, não de TI. O financeiro, a operação e o comercial devem dizer quanto custa cada hora parada e cada dia de dados perdidos. A TI então propõe a solução que atende às metas e diz quanto custa.

Os valores da tabela são ilustrativos, para iniciar a conversa. Cada empresa define os seus.

O que deve entrar no backup?

Muitas empresas descobrem no pior momento que o backup não tinha tudo. Revise:

1. Bancos de dados de sistemas de negócio.
2. Arquivos de servidores e de serviços de armazenamento em nuvem.
3. E-mail corporativo, inclusive quando é um serviço em nuvem.
4. Configurações de servidores, firewall e equipamentos de rede.
5. Código-fonte e configurações de implantação de sistemas próprios.
6. Chaves, certificados e credenciais necessários para restaurar, guardados com segurança.
7. Documentação do procedimento de restauração.

Um ponto frequentemente esquecido: serviços em nuvem não fazem automaticamente o backup que a empresa imagina. Leia o contrato e a documentação do serviço para saber o que o provedor garante e o que fica sob sua responsabilidade.

Como testar se o backup funciona?

Backup que nunca foi restaurado é uma hipótese. O teste é o que transforma a cópia em garantia.

• Restauração parcial periódica. Recuperar um arquivo, uma caixa de e-mail ou uma tabela de banco.
• Restauração completa de um sistema crítico, em ambiente separado, de tempos em tempos.
• Medição do tempo. Comparar o tempo real de restauração com o RTO definido.
• Verificação de integridade. Conferir se os dados restaurados estão completos e utilizáveis.
• Registro. Anotar data, sistema, resultado e problemas encontrados.

Se o teste mostra que a restauração leva muito mais do que o RTO, o plano precisa ser revisto antes do incidente, não durante.

O que um plano de recuperação de desastres precisa ter?

O plano é o documento que diz o que fazer, quem faz e em que ordem. No mínimo:

• Lista de sistemas críticos com RPO e RTO aprovados pela diretoria.
• Ordem de recuperação, considerando dependências entre sistemas.
• Responsáveis e substitutos, com contatos atualizados fora do ambiente da empresa.
• Procedimentos de restauração passo a passo.
• Contatos de fornecedores e provedores.
• Critérios para declarar desastre e para voltar à operação normal.
• Ligação com o plano de resposta a incidentes e com a avaliação de comunicação à ANPD.

A LGPD obriga os agentes de tratamento a adotar medidas de segurança que protejam dados pessoais contra destruição, perda ou alteração acidental ou ilícita (art. 46). Backups testados e um plano de recuperação são formas concretas de cumprir esse dever.

Próximo passo

Se a sua empresa precisa revisar backups, montar um plano de recuperação ou testar a restauração, compare as empresas de cibersegurança e veja os rankings da categoria, montados com metodologia pública. Se você oferece esses serviços, crie ou reivindique o perfil gratuito.

Fontes

• CNB/SP — Implementação da comunicação de incidente de segurança sob a ótica da Resolução CD/ANPD 15 — definição de incidente de segurança, incluindo violação da disponibilidade
• ANPD — Comunicação de incidente de segurança — quando o incidente deve ser comunicado e prazos
• Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — critérios de risco e registro de incidentes
• Planalto — Lei nº 13.709/2018 (LGPD) — medidas de segurança contra destruição, perda ou alteração de dados (art. 46)