O guia definitivo para proteger os dados da sua empresa
Introdução: por que empresas descobrem que não tinham backup no pior momento possível
Muitas empresas acreditam que possuem backup corporativo simplesmente porque contrataram armazenamento em nuvem, configuraram replicação entre servidores ou adquiriram uma ferramenta reconhecida no mercado.
Na prática, existe uma diferença crítica entre possuir cópias dos dados e conseguir recuperá-los.
Essa diferença raramente aparece no orçamento de TI. Ela aparece durante um ataque de ransomware, uma falha de hardware ou um erro humano.
Neste artigo você vai entender:
- O que é backup e como ele realmente funciona
- A diferença entre cópia de dados, backup e Disaster Recovery
- Por que redundância não é backup
- Por que backup de SaaS não é opcional
- Como calcular o impacto financeiro da perda de dados
- Quem deve ser responsável pelo backup na empresa
- Como escolher uma solução de backup corporativo adequada
O que é backup?
Backup é uma cópia de segurança dos dados criada especificamente para permitir a recuperação de informações em caso de exclusão acidental, corrupção, falha de hardware, ataque de ransomware ou desastre.
Segundo a IBM, backup e restauração consistem na criação de cópias periódicas de dados e aplicações em dispositivo secundário separado, utilizadas para recuperar dados, aplicações e as operações de negócio que dependem deles.
Um backup corporativo adequado deve incluir:
- Retenção definida
- Versionamento e múltiplos pontos de recuperação
- Criptografia
- Imutabilidade
- Controle de acesso
- Monitoramento contínuo
- Testes periódicos de restauração
- Evidências auditáveis
Cópia de dados, backup e Disaster Recovery: qual a diferença?
Esses três conceitos são frequentemente tratados como sinônimos, mas resolvem problemas completamente diferentes.
| Dimensão | Cópia de Dados | Backup | Disaster Recovery |
| Pergunta que responde | Existe outra cópia? | É possível recuperar o dado? | É possível continuar operando? |
| Escopo | Arquivo ou volume | Dado e configuração | Ambiente, rede, identidade, acesso e processo |
| Tempo típico de recuperação | Imediato | Horas a dias | Minutos a horas |
| Protege contra | Falha pontual de acesso | Exclusão, corrupção, ransomware, erro humano | Indisponibilidade de site, falha estrutural |
| Requer | Destino alternativo | Cópia íntegra e restaurável | Ambiente alternativo, plano, teste e decisão |
O que é cópia de dados?
Duplicação simples da informação. Não garante retenção, histórico, imutabilidade nem procedimento estruturado de recuperação. Se o arquivo original for corrompido e a cópia sobrescrita, o ponto de retorno deixa de existir.
O que é Disaster Recovery (DR)?
Disaster Recovery protege a continuidade da operação, não apenas o dado. Envolve ambiente alternativo, failover, DNS, identidade, acesso de usuário, plano documentado e decisão de acionamento.
Ambiente replicado sem esses elementos não é DR. É custo de armazenamento.
Está gostando do conteúdo?
Em caso de dúvida, deixe seu contato no formulário.
Por que redundância não é backup?
Esta é a confusão mais cara do mercado de TI.
RAID não é backup. RAID protege contra falha física de disco. Não protege contra exclusão lógica, corrupção de dados ou ransomware.
Replicação não é backup. Replicação protege contra indisponibilidade de site ou nó. Porém, replica o erro em tempo real, incluindo dados criptografados por ransomware.
Cluster e alta disponibilidade não são backup. Protegem a continuidade do serviço, mas não preservam o estado histórico das informações.
Resumo prático: se um equipamento falhar e a operação continuar, isso é redundância. Se um dado for perdido e puder ser recuperado, isso é backup.
Backup de SaaS: a lacuna que a maioria das empresas ignora
Um dos erros mais caros e mais comuns hoje não está mais na infraestrutura local. Está na suposição de que sistemas em nuvem já vêm protegidos por padrão.
Microsoft 365, Google Workspace, Salesforce e a maioria das plataformas SaaS operam sob um modelo de responsabilidade compartilhada: o provedor garante a disponibilidade da plataforma, não a recuperação dos seus dados.
Na prática, isso significa que:
- E-mails excluídos além do período de retenção padrão da plataforma podem não ser recuperáveis
- Dados corrompidos por sincronização, automação com erro ou ataque dentro da própria aplicação não são cobertos pelo SLA de disponibilidade do fornecedor
- Ransomware que criptografa arquivos sincronizados (OneDrive, Google Drive, SharePoint) propaga o dano para a nuvem antes que alguém perceba
Se a empresa opera com Protheus/TOTVS, e-mail corporativo em nuvem, CRM ou qualquer aplicação SaaS crítica, a pergunta não é “o fornecedor tem backup”, é “quem é responsável por recuperar o meu dado dentro do meu prazo aceitável, e isso está contratado”.
O risco invisível: backup que nunca foi testado
Não possuir backup é um risco conhecido. Possuir backup não validado é um risco invisível, e por isso mais perigoso.
Cenários recorrentes em ambientes corporativos:
- Rotinas configuradas há anos sem revisão
- Jobs com falha recorrente e alertas ignorados
- Ausência de monitoramento ativo
- Ausência de teste de restauração
- Ausência de validação de integridade
- Retenção definida por limitação de armazenamento, não por requisito de negócio
Nem todo teste de restauração é igual
“Testar o backup” é uma frase que esconde níveis muito diferentes de garantia. Vale diferenciar:
| Nível de teste | O que valida | Frequência recomendada |
| Restauração de arquivo isolado | Integridade pontual do dado | Semanal ou mensal |
| Restauração completa de servidor | Viabilidade de recuperação de um sistema inteiro | Trimestral |
| Simulação de failover de ambiente | Capacidade de subir o ambiente alternativo | Semestral |
| Teste de DR completo com usuários reais | Continuidade operacional real, incluindo pessoas e processo | Anual, no mínimo |
Sem essa escala, “testamos o backup” costuma significar apenas o primeiro nível, o mais simples e o que menos garante continuidade de negócio.
Backup como alvo do ataque, não apenas como plano B
Ransomware moderno não criptografa apenas a produção. Ele mira o backup primeiro, exatamente para eliminar a rota de recuperação antes de acionar o ataque principal.
Se o repositório de backup está na mesma rede da produção, acessível com as mesmas credenciais e com permissão de escrita e exclusão pelos mesmos administradores, ele é um alvo primário, não uma camada de proteção.
É por isso que imutabilidade, isolamento de rede e segregação de credenciais deixaram de ser diferencial e passaram a ser pré-requisito básico de qualquer arquitetura de backup corporativo.
A regra 3-2-1-1-0
A estratégia de referência recomendada para backup corporativo:
- 3 cópias dos dados, incluindo a produção
- 2 destinos ou mídias distintas
- 1 cópia fora do site (offsite)
- 1 cópia imutável ou offline
- 0 erros verificados após validação
O último elemento é o que separa backup real de suposição.
Qual o impacto financeiro da perda de dados?
A pergunta “quanto custa um backup” é secundária. A pergunta correta é: quanto custa ficar sem os dados?
O exemplo a seguir é ilustrativo, para fins de metodologia de cálculo. Os valores não representam uma média de mercado; cada empresa deve aplicar a fórmula com seus próprios números.
Passo 1: levante o custo operacional mensal
Analise os últimos seis meses do contas a pagar, considerando apenas custos recorrentes: folha e encargos, impostos, aluguel, condomínio, energia, telecomunicações, licenças, sistemas, serviços terceirizados e infraestrutura. Desconsidere investimentos extraordinários e aquisição de ativos.
Passo 2: calcule as horas produtivas
Referência comum: 8 horas por dia, 22 dias úteis, totalizando 176 horas produtivas por mês.
Passo 3: calcule o custo por hora parada
Custo hora = Custo operacional mensal ÷ Horas produtivas mensais
Exemplo com R$ 500.000 e 176 horas: 500.000 ÷ 176 ≈ R$ 2.840 por hora
Passo 4: simule os cenários de indisponibilidade
| Cenário | Custo operacional estimado |
| 1 hora | R$ 2.840 |
| 4 horas | R$ 11.360 |
| 1 dia (8h) | R$ 22.720 |
| 1 semana (40h) | R$ 113.600 |
Importante: esse valor representa apenas o custo operacional. Sobre ele ainda incidem faturamento não realizado, multas contratuais, horas extras de recuperação, exposição regulatória, retrabalho de reconciliação e impacto reputacional.
O que são RPO e RTO?
Das respostas acima nascem os dois parâmetros que realmente dimensionam qualquer arquitetura de proteção de dados:
RPO (Recovery Point Objective): quanto de dado a empresa aceita perder.
RTO (Recovery Time Objective): quanto tempo a empresa aceita ficar indisponível.
Sem esses dois números definidos pelo negócio, qualquer solução de backup é dimensionada por suposição.
Retenção de backup e LGPD: um cruzamento pouco discutido
A LGPD costuma aparecer nos projetos de TI como item de checklist de segurança, mas raramente é conectada à política de retenção de backup, o que é um erro.
O princípio de necessidade e finalidade da lei (Art. 6º) implica que dados pessoais mantidos em backup por prazo indefinido, sem justificativa de negócio, legal ou regulatória, representam um risco de conformidade, não apenas um custo de armazenamento.
Na prática, isso significa que a política de retenção de backup não deve ser definida apenas por “quanto espaço temos disponível”, mas por quanto tempo existe base legal para manter aquele dado. Esse é um ponto que raramente aparece em contratos de backup e que vale explicitar em qualquer proposta técnica para empresas com exposição regulatória relevante.
Quem deve ser responsável pelo backup na empresa?
Tire suas dúvidas com nossos especialistas
Falar com especialistasBackup não é responsabilidade de uma única pessoa. É uma responsabilidade distribuída em três camadas.
| Camada | Responsável | Decide |
| Governança | Negócio | Criticidade, RPO, RTO, retenção, requisitos legais e risco aceitável |
| Execução | TI | Arquitetura, implantação, monitoramento, correção, testes e evidências |
| Especialização | Time dedicado ou parceiro | Melhores práticas, validação independente, auditoria e evolução |
Concentrar backup em um único profissional representa risco operacional relevante: férias, desligamento, ausência, conhecimento não documentado e falta de segregação de funções.
Para ambientes críticos, a recomendação é time interno com apoio especializado, nunca um indivíduo isolado.
Categorias de solução no mercado
Antes de falar de solução específica, vale situar as categorias existentes, já que “backup” hoje cobre modelos bem diferentes:
- Backup on-premises tradicional: ferramenta instalada e operada internamente (Veeam, Acronis, entre outras), com repositório local ou híbrido
- BaaS (Backup as a Service): backup contratado como serviço gerenciado, com operação, monitoramento e evidência conduzidos por terceiro especializado
- DRaaS (Disaster Recovery as a Service): ambiente de contingência completo contratado como serviço, incluindo failover e ambiente alternativo pronto para uso
A escolha entre essas categorias depende diretamente do RPO, RTO e da maturidade operacional interna da empresa, não da sofisticação da tecnologia isolada.
Como uma solução de backup gerenciado resolve esse cenário
O problema recorrente das empresas não é ausência de software. É ausência de operação.
O Task SUA (Solução Unificada de Armazenamento) é um serviço de Backup as a Service (BaaS) desenvolvido pela Task TI, combinando licenciamento, repositório de armazenamento offsite e serviço de monitoramento, tratamento de falhas e teste de restauração.
A solução utiliza tecnologia Veeam, com criptografia, imutabilidade e monitoramento contínuo das rotinas, além de testes de restauração e relatórios gerenciais conduzidos por equipe técnica especializada.
Comparativo: backup tradicional x backup gerenciado
| Cenário típico encontrado | O que o Task SUA endereça |
| Ferramenta instalada, operação inexistente | Operação gerenciada por especialistas |
| Cópia de dados sem retenção definida | Política de retenção definida junto ao contratante |
| Backup exposto a ransomware | Imutabilidade e criptografia |
| Falhas não percebidas | Monitoramento contínuo e tratamento de falhas |
| Restauração nunca testada | Testes periódicos para homologar a veracidade do backup |
| Ausência de evidência para auditoria | Relatórios gerenciais e executivos |
| Conhecimento concentrado em uma pessoa | Especialistas de prontidão em caso de falha |
| Backup tratado como produto | Backup tratado como serviço com governança |
Fronteira de responsabilidade
Ponto que deve ser explicitado em qualquer contrato de backup gerenciado: o papel do SUA é gerir rotinas, alertas e ações de backup e rollback. Os dados permanecem de responsabilidade do cliente, e rotinas não construídas, testadas e validadas em conjunto com o time do SUA não são consideradas rotinas protetivas.
Essa delimitação evita exatamente a expectativa frustrada que aparece durante o incidente real.
Três níveis de maturidade em proteção de dados
Cenário conservador: backup local, retenção básica e recuperação de arquivos e servidores. Menor custo e complexidade. Adequado para ambientes de baixa criticidade.
Cenário equilibrado: backup local mais cópia em nuvem, offsite, imutabilidade, monitoramento e testes periódicos. Melhor relação entre custo, risco e maturidade para a maioria das operações.
Cenário estratégico: backup imutável, offsite, replicação, ambiente de DR, plano de recuperação documentado e simulações periódicas. Indicado para operações críticas ou com exigência regulatória.
A escolha não deve ser guiada pela sofisticação técnica, mas pelo RPO e RTO declarados pelo negócio e pelo custo da parada calculado anteriormente.
Perguntas frequentes sobre backup corporativo
Tire suas dúvidas com nossos especialistas
Falar com especialistasBackup é a mesma coisa que cópia de dados?
Não. Toda cópia de dados armazena informação, mas apenas o backup é projetado com retenção, versionamento e capacidade estruturada de recuperação.
Replicação substitui backup?
Não. Replicação copia alterações em tempo real, incluindo exclusões e dados criptografados por ransomware.
RAID é backup?
Não. RAID protege contra falha física de disco, não contra exclusão lógica, corrupção ou ataque cibernético.
Backup em nuvem é suficiente?
Depende do RPO, RTO e da existência de imutabilidade, monitoramento e testes de restauração.
Sistemas SaaS como Microsoft 365 já vêm com backup?
Não, por padrão. O provedor garante disponibilidade da plataforma, não recuperação de dados excluídos ou corrompidos dentro da aplicação.
Com que frequência devo testar a restauração?
Depende do nível de teste: arquivo isolado (mensal), servidor completo (trimestral), failover de ambiente (semestral), DR completo com usuários (anual, no mínimo).
Backup protege contra ransomware?
Somente quando existe imutabilidade, isolamento de rede, segregação de credenciais e cópia offsite adequadamente configurados.
Conclusão
Maturidade em proteção de dados não se mede por quantidade de cópias, capacidade contratada ou marca da ferramenta.
Mede-se pela capacidade comprovada de restaurar dados íntegros dentro do tempo que o negócio definiu como aceitável.
Uma estratégia completa combina quatro elementos, e nenhum substitui o outro:
- Backup para recuperar dados
- Redundância para sustentar serviços
- Disaster Recovery para manter a operação
- Governança, monitoramento e testes para transformar tudo isso em evidência
O SUA, Solução Unificada de Armazenamento do Grupo Task TI, atua justamente no elemento onde a maioria das operações falha: não na aquisição da tecnologia, mas na disciplina de operá-la, monitorá-la e comprová-la.
Backup não é a existência de uma cópia. É a capacidade comprovada de recuperar dados íntegros, dentro do tempo esperado, quando o negócio mais precisa.
