# Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa — Citeo > A regra 3-2-1 de backup recomenda manter três cópias dos dados, em dois tipos de armazenamento diferentes, com uma delas fora do ambiente principal. O míni... Fonte: https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 5 min de leitura Resposta rápidaA regra 3-2-1 de backup recomenda manter três cópias dos dados, em dois tipos de armazenamento diferentes, com uma delas fora do ambiente principal. O mínimo para recuperar de um desastre é somar a isso uma cópia isolada da rede, metas de tempo e de perda de dados definidas e testes de restauração regulares. A regra 3-2-1 de backup recomenda manter três cópias dos dados (a original e duas cópias de segurança), em dois tipos diferentes de armazenamento, com pelo menos uma cópia fora do ambiente principal. Para recuperar a empresa de um desastre, isso não basta sozinho: é preciso ter uma cópia isolada que um ataque não alcance, metas claras de quanto tempo e de quantos dados a empresa pode perder, e testes regulares de restauração. Backup é a cópia de dados guardada para ser usada se o original for perdido, alterado ou ficar inacessível. Recuperação de desastres é o plano para voltar a operar depois de um evento grave, como um ataque, uma falha de infraestrutura ou um erro humano de grande proporção. Um não substitui o outro. ## O que significa cada número da regra 3-2-1? - **3 cópias.** Os dados de produção mais duas cópias de segurança. Se uma falhar, ainda há outra. - **2 tipos de armazenamento.** Por exemplo, um servidor local e um serviço de nuvem, ou um disco e uma fita. A ideia é que um mesmo defeito ou erro não atinja as duas cópias. - **1 cópia fora do ambiente principal.** Em outro local físico, outra conta de nuvem ou outro provedor. Protege contra incêndio, roubo, falha do data center ou comprometimento da conta principal. A regra é uma orientação prática difundida no mercado, não uma norma legal. Ela é simples de explicar à diretoria e ajuda a revelar lacunas óbvias, como empresas que têm "backup" apenas em um disco ligado ao mesmo servidor. ## Por que o ransomware mudou a conversa sobre backup? Ataques de ransomware procuram e criptografam também as cópias de segurança acessíveis pela rede. Um backup que está sempre conectado, com a mesma senha de administrador do restante do ambiente, pode ser perdido no mesmo ataque. Por isso, muitas empresas passaram a tratar a regra como 3-2-1 com um item a mais: pelo menos uma cópia **imutável ou desconectada**. Imutável significa que, durante um período definido, a cópia não pode ser alterada nem apagada, nem mesmo por um administrador. Desconectada significa que ela não está acessível pela rede o tempo todo. Há também um aspecto legal. O regulamento de comunicação de incidentes da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, define incidente de segurança como evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Perder o acesso a um banco de dados de clientes pode, portanto, ser um incidente, mesmo sem vazamento. Os passos imediatos estão em [ransomware: o que fazer nas primeiras 24 horas](/artigo/ransomware-primeiras-24-horas). ## O que são RPO e RTO? Duas metas orientam qualquer plano de backup e recuperação: - **RPO (Recovery Point Objective):** quanto de dados a empresa aceita perder, medido em tempo. Um RPO de 24 horas significa que perder o trabalho de um dia é tolerável. - **RTO (Recovery Time Objective):** em quanto tempo o sistema precisa voltar a funcionar depois do problema. Essas metas são decisões de negócio, não de TI. O financeiro, a operação e o comercial devem dizer quanto custa cada hora parada e cada dia de dados perdidos. A TI então propõe a solução que atende às metas e diz quanto custa. Sistema (exemplo)Impacto da paradaRPO sugerido para discutirRTO sugerido para discutirERP e faturamentoAlto: para vendas e cobrançaHorasHorasE-commerce ou sistema do clienteAlto: receita e reputaçãoMinutos a horasHorasE-mail corporativoMédio a altoHorasHoras a um diaArquivos de equipeMédioUm diaUm diaSistemas de arquivo mortoBaixoDiasDias Os valores da tabela são ilustrativos, para iniciar a conversa. Cada empresa define os seus. ## O que deve entrar no backup? Muitas empresas descobrem no pior momento que o backup não tinha tudo. Revise: 1. Bancos de dados de sistemas de negócio. 2. Arquivos de servidores e de serviços de armazenamento em nuvem. 3. E-mail corporativo, inclusive quando é um serviço em nuvem. 4. Configurações de servidores, firewall e equipamentos de rede. 5. Código-fonte e configurações de implantação de sistemas próprios. 6. Chaves, certificados e credenciais necessários para restaurar, guardados com segurança. 7. Documentação do procedimento de restauração. Um ponto frequentemente esquecido: serviços em nuvem não fazem automaticamente o backup que a empresa imagina. Leia o contrato e a documentação do serviço para saber o que o provedor garante e o que fica sob sua responsabilidade. ## Como testar se o backup funciona? Backup que nunca foi restaurado é uma hipótese. O teste é o que transforma a cópia em garantia. - **Restauração parcial periódica.** Recuperar um arquivo, uma caixa de e-mail ou uma tabela de banco. - **Restauração completa de um sistema crítico**, em ambiente separado, de tempos em tempos. - **Medição do tempo.** Comparar o tempo real de restauração com o RTO definido. - **Verificação de integridade.** Conferir se os dados restaurados estão completos e utilizáveis. - **Registro.** Anotar data, sistema, resultado e problemas encontrados. Se o teste mostra que a restauração leva muito mais do que o RTO, o plano precisa ser revisto antes do incidente, não durante. ## O que um plano de recuperação de desastres precisa ter? O plano é o documento que diz o que fazer, quem faz e em que ordem. No mínimo: - Lista de sistemas críticos com RPO e RTO aprovados pela diretoria. - Ordem de recuperação, considerando dependências entre sistemas. - Responsáveis e substitutos, com contatos atualizados fora do ambiente da empresa. - Procedimentos de restauração passo a passo. - Contatos de fornecedores e provedores. - Critérios para declarar desastre e para voltar à operação normal. - Ligação com o plano de [resposta a incidentes](/artigo/resposta-a-incidentes-o-que-ter-pronto) e com a avaliação de comunicação à ANPD. A LGPD obriga os agentes de tratamento a adotar medidas de segurança que protejam dados pessoais contra destruição, perda ou alteração acidental ou ilícita (art. 46). Backups testados e um plano de recuperação são formas concretas de cumprir esse dever. ## Próximo passo Se a sua empresa precisa revisar backups, montar um plano de recuperação ou testar a restauração, compare as [empresas de cibersegurança](/empresas/cyber) e veja os [rankings](/rankings) da categoria, montados com [metodologia pública](/metodologia). Se você oferece esses serviços, [crie ou reivindique o perfil gratuito](/cadastro). ## Fontes - [CNB/SP — Implementação da comunicação de incidente de segurança sob a ótica da Resolução CD/ANPD 15](https://cnbsp.org.br/2024/06/03/artigo-implementacao-da-comunicacao-de-incidente-de-seguranca-sobre-a-otica-da-resolucao-cd-anpd-15-por-luiz-henrique-de-cristo/) — definição de incidente de segurança, incluindo violação da disponibilidade - [ANPD — Comunicação de incidente de segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — quando o incidente deve ser comunicado e prazos - [Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança](https://www.mattosfilho.com.br/unico/regulamento-incidente-seguranca/) — critérios de risco e registro de incidentes - [Planalto — Lei nº 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — medidas de segurança contra destruição, perda ou alteração de dados (art. 46) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### Sincronização em nuvem é backup? Não necessariamente. Ferramentas de sincronização replicam alterações, inclusive exclusões e arquivos criptografados por ransomware. Backup exige cópias com histórico de versões, retenção definida e, de preferência, proteção contra alteração. ### Com que frequência devo fazer backup? A frequência deve atender ao RPO de cada sistema. Se o negócio só aceita perder uma hora de dados, o backup precisa ser feito pelo menos a cada hora. Sistemas menos críticos podem ter cópias diárias ou semanais. ### Por quanto tempo guardar os backups? Depende de obrigações legais, contratuais e do risco de descobrir um problema tardiamente. Ataques podem ficar ocultos por algum tempo antes de serem percebidos, então manter versões antigas ajuda. Equilibre retenção com o princípio da LGPD de não guardar dados pessoais além do necessário. ### Backup protege contra vazamento de dados? Não. O backup ajuda a recuperar dados perdidos ou bloqueados, mas não impede que alguém copie e divulgue informações. As próprias cópias de segurança precisam de criptografia e controle de acesso, porque também podem vazar. ### Quem deve aprovar o RPO e o RTO? A diretoria, com base no impacto informado pelas áreas de negócio. A TI ou o fornecedor técnico propõe a solução e o custo para atingir as metas. Quando a decisão fica só com a TI, as metas costumam não refletir o que o negócio realmente precisa. ## Leia também [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/iso-27001-o-que-e-como-se-certificar) Segurança### [ISO/IEC 27001: o que é e como uma empresa se certifica](https://mail.citeo.com.br/artigo/iso-27001-o-que-e-como-se-certificar) 18 de out · 5 min de leitura