Backup empresarial: a regra 3-2-1 e como testar a restauração

Backup empresarial é a cópia organizada dos dados que a empresa precisa para voltar a trabalhar depois de uma perda: arquivos, e-mails, o banco de dados do sistema de gestão e as configurações que ninguém lembra até precisar. A regra 3-2-1 é o jeito mais simples de montar essa cópia sem ponto único de falha, e serve para qualquer PME, do escritório de contabilidade à indústria com ERP próprio.

O problema raramente é a falta de backup. É o backup que existe, roda toda noite, mostra ícone verde e, no dia em que alguém precisa, não restaura: a pasta que ficou de fora da seleção, o disco externo que parou de ser conectado em março, a cópia que o ransomware criptografou junto com o servidor.

A regra resolve metade do problema. A outra metade, que quase ninguém faz, é testar a restauração com data marcada.

O que é a regra 3-2-1 de backup

A regra 3-2-1, na formulação publicada pelo US-CERT (hoje parte da CISA, a agência de cibersegurança do governo dos Estados Unidos) no guia Data Backup Options, tem três partes:

• 3 cópias de cada arquivo importante: a original e dois backups.
• 2 tipos de mídia diferentes, para que o mesmo defeito não leve as duas cópias.
• 1 cópia fora da empresa, longe do incêndio, do furto e da enchente que atingem o escritório.

Numa PME, isso costuma virar um arranjo simples. Os dados de trabalho ficam no servidor ou no sistema. Uma cópia vai para um NAS (o armazenamento em rede que fica no próprio escritório), para restaurar rápido quando alguém apaga uma pasta. Outra cópia vai para a nuvem, numa conta separada, para o dia em que o escritório inteiro ficar inacessível.

A variação 3-2-1-1-0

Fabricantes de software de backup passaram a divulgar uma versão estendida, a 3-2-1-1-0, que responde a dois problemas que a regra original não tratava:

• mais 1 cópia imutável ou offline. Imutável é a cópia que, durante um prazo definido, não pode ser alterada nem apagada. Offline é a que fica desconectada da rede, como um disco guardado fora do escritório;
• 0 erro na verificação. A cópia só conta depois que um teste de restauração terminou sem falha pendente.

Nenhum dos dois acréscimos é enfeite. O primeiro é a defesa contra ransomware. O segundo transforma o ícone verde do software em prova.

O que precisa de backup numa PME

Antes de escolher ferramenta, faça o inventário. A lista sai de uma pergunta de operação: se isto sumir hoje, o que para amanhã.

• Arquivos: pastas compartilhadas do servidor ou do NAS e as pastas locais que alguém insiste em usar, como a área de trabalho do financeiro com a planilha de contas a pagar.
• E-mail: as caixas no Microsoft 365 ou no Google Workspace, incluindo as de quem saiu da empresa e ainda guarda histórico de cliente.
• Banco de dados do sistema: o ERP, o sistema de gestão, a loja virtual. Aqui a cópia de arquivo comum não basta. Banco de dados em uso precisa de dump (a exportação consistente feita pelo próprio banco) ou da ferramenta de backup do fabricante, senão a cópia pode sair corrompida no meio de uma gravação.
• Configurações: zona DNS do domínio, regras do firewall, configuração do roteador e do servidor, variáveis do sistema, chaves de licença. Refazer isso de memória leva dias. O guia sobre o que a empresa precisa controlar em domínio, DNS, e-mail e hospedagem ajuda a listar esses acessos.
• Contas SaaS: CRM, ferramenta de projetos, planilhas online, o banco de imagens do marketing. Muitos serviços permitem exportar os dados; poucos fazem isso sozinhos, com agenda.

Sincronização não é backup

Google Drive, OneDrive e Dropbox, no modo de sincronização, mantêm a mesma pasta igual em todos os lugares. Para trabalhar, é ótimo. Como backup, falha, porque a sincronização replica o erro. Se alguém apaga a pasta de contratos, a exclusão chega à nuvem em segundos. Se um ransomware criptografa o computador, os arquivos criptografados sobem por cima dos bons.

Esses serviços têm lixeira e histórico de versões por um prazo que depende do plano, e isso salva num acidente pequeno. Não substitui uma cópia independente, fora da mesma conta, com retenção que você controla. O guia de ransomware da CISA sugere manter o backup de nuvem para nuvem em mais de um fornecedor, justamente para o caso de todas as contas de um mesmo fornecedor serem afetadas.

RPO e RTO: quanto dado perder e quanto tempo parar

Duas siglas decidem quase tudo no desenho do backup. As definições abaixo seguem o glossário do NIST, que as tira do guia de planejamento de contingência SP 800-34.

• RPO (objetivo de ponto de recuperação): o ponto no tempo até onde os dados precisam ser recuperados depois de uma falha. Na linguagem da operação, quanto trabalho você aceita perder. Se o backup roda à meia-noite e o servidor para às 17h, o RPO real daquele dia é de 17 horas: tudo o que foi lançado depois da meia-noite some.
• RTO (objetivo de tempo de recuperação): quanto tempo o sistema pode ficar em recuperação antes de prejudicar o negócio. Na linguagem da operação, quanto tempo a empresa aguenta sem aquele sistema.

Os valores mudam de sistema para sistema. Um exemplo de como uma distribuidora pequena poderia preencher a tabela:

Quem preenche essa tabela é quem decide pelo negócio, não o técnico. O técnico entra depois, dizendo o que cada número exige. RPO de uma hora pede cópia do banco de hora em hora, ou replicação. RTO de quatro horas pede que a cópia esteja perto e que alguém já tenha feito aquela restauração antes, com cronômetro.

Com que frequência fazer backup e por quanto tempo guardar

A frequência sai do RPO. Se o aceitável é perder uma hora de pedidos, o banco do ERP precisa de cópia pelo menos a cada hora. Arquivos de escritório costumam ficar bem com cópia diária, rodando fora do horário de trabalho. Configurações mudam pouco: vale uma cópia a cada alteração e uma mensal de reserva.

Retenção é o tempo que cada cópia fica guardada, e ela importa porque muito problema é descoberto tarde. A planilha corrompida há três semanas, o arquivo apagado no mês passado, o ransomware que entrou, ficou quieto e só criptografou depois. Se você guarda só as últimas sete cópias diárias, nenhuma delas tem o arquivo bom.

Um esquema comum, fácil de explicar para a equipe, combina camadas:

• cópias diárias, guardadas por algumas semanas;
• uma cópia semanal, guardada por alguns meses;
• uma cópia mensal, guardada por um ano ou mais.

Os prazos exatos dependem do volume de dados, do custo de armazenamento e das obrigações legais de guarda de documentos, que o contador e o jurídico sabem apontar. Backup com dado pessoal também entra na conta da proteção de dados, e o texto sobre o que precisa estar em ordem na LGPD em sites e sistemas explica por que guardar para sempre não resolve.

Por que o ransomware também criptografa o backup

Ransomware é o programa malicioso que criptografa os arquivos e cobra resgate pela chave. Ele roda com as permissões de quem foi infectado, ou de uma conta de administrador roubada, e enxerga tudo o que essa conta enxerga: unidades de rede mapeadas, a pasta do NAS, o disco externo que ficou plugado desde a última cópia.

A CISA descreve o comportamento sem rodeio no mesmo guia: muitas variantes procuram os backups acessíveis e os apagam ou criptografam, para que a restauração fique impossível sem pagar o resgate. O fascículo de backup da Cartilha de Segurança para Internet, do CERT.br, faz o mesmo alerta e dá a regra prática: não deixe as mídias de backup conectadas o tempo todo.

Três formas de manter uma cópia fora do alcance:

1. Mídia offline em rodízio. Dois discos externos que se alternam: um fica conectado só durante a cópia, o outro fica desconectado e fora do escritório. É barato e funciona, mas depende de disciplina semanal de alguém com nome.
2. Armazenamento imutável. Vários serviços de armazenamento em nuvem e alguns NAS oferecem bloqueio de objeto (object lock) por prazo definido. Durante esse prazo, a cópia não pode ser alterada nem apagada; no modo mais restrito, nem pelo administrador.
3. Credencial de backup separada. O servidor de backup e o repositório não usam o mesmo usuário e senha da rede da empresa, então quem invade a rede não entra no backup por tabela. Essa conta precisa de autenticação em dois fatores e gestão de acessos à parte.

Nenhuma dessas medidas impede o ataque. Elas aumentam muito a chance de existir uma cópia limpa para recomeçar. Backup é a última linha de defesa; as primeiras estão no checklist de segurança da informação para pequenas empresas.

Como testar a restauração do backup na prática

Teste de restauração é pegar uma cópia, trazer de volta para um lugar separado e conferir se o resultado serve para trabalhar. A CISA pede testes regulares de disponibilidade e integridade dos backups. Na prática, isso vira um roteiro curto, com responsável e data:

1. Escolha o que restaurar: um item de cada tipo do inventário (um arquivo, uma caixa de e-mail, o banco do sistema, uma configuração).
2. Restaure em ambiente isolado, nunca por cima da produção: uma pasta separada, uma máquina virtual, um banco de teste.
3. Cronometre do pedido até o dado utilizável. Esse é o seu RTO real, e ele costuma ser maior do que o imaginado.
4. Confira o conteúdo, não só o tamanho do arquivo. Abra a planilha, rode uma consulta no banco (o último pedido lançado está lá?), veja se o e-mail restaurado tem os anexos.
5. Anote a data da cópia usada. A distância entre ela e o momento do teste é o seu RPO real.
6. Registre o resultado numa planilha simples: data, o que foi testado, tempo, problema encontrado, correção feita.

Uma periodicidade que cabe na rotina de uma PME:

Teste que encontra erro cumpriu a função. O zero da regra 3-2-1-1-0 é isso: nenhuma falha pendente depois da verificação.

O relatório automático do software diz se a cópia terminou, não se ela serve. Mesmo assim, ele precisa chegar a alguém: o backup que falha em silêncio, ou que nem rodou, é um dos itens do monitoramento de sites e sistemas.

Plano de continuidade de uma página

Continuidade é o que a empresa faz enquanto o sistema não volta. Não precisa de manual de cinquenta páginas. Precisa de uma folha, impressa e guardada fora do servidor (na gaveta e no celular do responsável), com:

• Contatos: quem decide, quem executa a restauração, o suporte do provedor de internet, do ERP e da hospedagem.
• Sistemas em ordem de prioridade, com o RPO e o RTO de cada um.
• Onde estão as cópias e como chegar a elas: qual NAS, qual conta de nuvem, onde fica o disco offline, quem guarda a chave de criptografia.
• Como trabalhar sem o sistema: pedidos numa planilha offline ou em formulário de papel, atendimento pelo celular da empresa, o que pode esperar e o que não pode.
• Primeiros passos em caso de ransomware: tirar as máquinas afetadas da rede, não formatar nada antes de avaliar, acionar quem cuida da restauração e registrar horários. Se houver dado pessoal envolvido, a LGPD pode exigir comunicação à ANPD e aos titulares.
• Data da última revisão e do último teste.

Revise a folha a cada teste semestral: telefone de fornecedor muda e gente sai da empresa.

Por onde começar o backup da sua empresa

Se hoje não existe nada organizado, esta ordem funciona:

1. Faça o inventário do que precisa de cópia e preencha a tabela de RPO e RTO com quem decide pelo negócio.
2. Confira se as cópias atuais cobrem a lista inteira. Sincronização não conta.
3. Crie a cópia fora do alcance, offline ou imutável, antes de qualquer outra melhoria.
4. Marque o primeiro teste de restauração para as próximas duas semanas, com o nome do responsável na agenda.

No serviço de backup e continuidade da Locomotiva, o trabalho começa por esse inventário e termina com o primeiro teste de restauração documentado, feito em ambiente isolado, sem tocar no que está em produção.