Backup para pequena empresa: como usar a regra 3-2-1 e testar de verdade

Guardar arquivos em uma pasta compartilhada ou em um disco externo transmite uma sensação de alívio. No dia a dia de um escritório, consultório ou comércio, a rotina costuma ser corrida, e saber que os documentos estão sendo copiados parece suficiente. O problema surge quando acontece uma falha no computador principal, um clique em um link malicioso ou uma exclusão acidental.

Um backup não é apenas uma rotina de gravação. Ele funciona como uma promessa, e essa promessa só tem valor quando a restauração é testada e confirmada. Se ninguém na empresa tentou recuperar um arquivo a partir da cópia, não há certeza real de que a operação continuará funcionando diante de um imprevisto.

Sincronização em nuvem não substitui backup

É comum confundir pastas sincronizadas na nuvem com rotinas de backup. Serviços de armazenamento e sincronização são úteis para acessar arquivos de vários computadores e agilizar o trabalho em equipe, mas operam com uma lógica diferente da proteção de dados.

A sincronização replica o estado atual de um arquivo. Isso significa que, se alguém apagar um documento por engano, a exclusão pode se propagar de forma imediata para os servidores na nuvem e para os outros computadores vinculados à conta. Da mesma forma, se um arquivo for corrompido ou infectado por um ransomware (um tipo de programa malicioso que bloqueia dados e pede resgate financeiro para devolvê-los), o arquivo corrompido ou criptografado substitui a versão saudável nos servidores conectados.

Outro ponto que gera confusão envolve o uso de sistemas SaaS (Software como Serviço, modelo em que o sistema é acessado diretamente pelo navegador de internet). A documentação técnica da Microsoft, por exemplo, aponta que em qualquer modelo de nuvem os dados do cliente continuam sob responsabilidade do próprio cliente. Provedores de nuvem garantem a disponibilidade da infraestrutura deles, mas a gestão, proteção e preservação das informações cabe a quem contrata o serviço.

O que é a regra 3-2-1 e por que ela serve de base

A regra 3-2-1 é uma diretriz amplamente adotada e recomendada por entidades de cibersegurança para orientar a proteção de informações críticas. A CISA (Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos) descreve essa regra como uma diretriz confiável para pequenas e médias empresas, baseada em três pilares:

1. Ter pelo menos três cópias dos arquivos importantes (o arquivo original mais duas cópias de segurança);
2. Guardar essas cópias em dois tipos de mídia diferentes (por exemplo, um disco local e um ambiente de nuvem);
3. Manter uma dessas cópias fora do local físico da empresa.

Essa distribuição reduz a probabilidade de um evento único destruir tudo. Se um incêndio, furto ou alagamento atingir a sede física, a cópia fora do local protege os dados. Se houver falha de leitura em um tipo de mídia, a outra mídia preserva o conteúdo.

O CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) também orienta manter cópias em locais diferentes, ativar rotinas automáticas de cópia e proteger os dados com criptografia (processo que codifica a informação para que pessoas não autorizadas não consigam lê-la).

Por que uma cópia precisa ficar offline

Embora a regra 3-2-1 traga organização, o NCSC (Centro Nacional de Cibersegurança do Reino Unido) pontua que a regra por si só não exige que uma cópia fique offline. O órgão ressalta que essa é uma recomendação separada e crucial.

O motivo é o comportamento das ameaças digitais modernas. O guia da iniciativa conjunta de segurança cibernética dos Estados Unidos, o StopRansomware da CISA, alerta que muitas variantes de ransomware tentam deliberadamente localizar, apagar ou criptografar os backups que encontram acessíveis na rede interna.

Se o disco externo estiver conectado ao computador o tempo todo, ou se o ambiente de nuvem estiver montado como uma pasta de acesso livre na rede, o ransomware consegue alcançar a cópia de segurança no mesmo instante em que bloqueia os arquivos principais. O backup não elimina o risco de sofrer um ataque, mas uma cópia isolada garante que exista um ponto de recuperação limpo.

Para que uma cópia seja de fato considerada offline ou protegida contra contaminação simultânea, vale aplicar dois conceitos:

• Desconexão física: desconectar fisicamente os discos externos da máquina e da rede após a conclusão da cópia. O fascículo de backup do CERT.br recomenda explicitamente não deixar as mídias conectadas o tempo todo.
• Desconexão digital e controle de acesso: quando o armazenamento está em nuvem, o NCSC orienta que ele seja desconectado digitalmente por meio de controles rigorosos de identidade e permissões. Isso impede que um computador infectado use credenciais salvas no próprio sistema para alterar ou deletar os dados arquivados.

A ANPD (Autoridade Nacional de Proteção de Dados), em seu guia de segurança da informação para agentes de pequeno porte, também sugere a manutenção de cópias completas em locais seguros e distintos, evitando sincronizações online em tempo real que propaguem ataques de ransomware.

Como montar uma rotina viável na sua empresa

Uma rotina de proteção precisa ser simples o suficiente para que qualquer equipe consiga mantê-la sem interromper o trabalho diário. É possível organizar o fluxo em quatro etapas práticas:

1. Mapeie o que é indispensável: liste onde ficam os bancos de dados do sistema de vendas, contratos, notas fiscais, folhas de pagamento e documentos operacionais. Separe o que geraria prejuízo imediato se desaparecesse do que pode ser recriado com facilidade.
2. Defina os locais de armazenamento: estabeleça qual será a cópia primária de trabalho, qual será o destino secundário local (como um dispositivo de armazenamento dedicado) e qual será o destino externo (um repositório em nuvem com acesso isolado).
3. Automatize a geração: rotinas manuais dependem da memória das pessoas e costumam falhar. Configure rotinas automáticas para criar os arquivos compactados e protegidos.
4. Isole pelo menos uma versão: garanta que ao menos uma versão do arquivo não possa ser alcançada de forma direta pelos computadores da rede interna no dia a dia.

O teste de restauração: conferindo a promessa

O maior engano operacional em tecnologia é presumir que, porque um processo de backup terminou sem mensagens de erro na tela, os arquivos estão íntegros. O CERT.br destaca que acessar os backups de tempos em tempos evita surpresas com arquivos corrompidos, mídias com defeito físico ou áreas de armazenamento que ficaram cheias sem ninguém perceber.

A CISA orienta testar tanto a restauração parcial quanto a restauração total dos dados. Para que isso não vire um projeto complexo que ninguém executa, estabeleça um procedimento simples e repetível:

• Passo 1: Escolha um arquivo ou pasta de teste: selecione um documento financeiro antigo, uma planilha ou uma tabela do banco de dados que conste no backup gerado recentemente.
• Passo 2: Restaure em outro local: nunca restaure a cópia em cima do arquivo original que está em uso. Crie uma pasta temporária isolada ou utilize outro computador para descompactar o conteúdo.
• Passo 3: Abra e valide o arquivo: abra o documento recuperado. Veja se os caracteres estão legíveis, se as linhas de dados estão completas e se o programa correspondente lê o formato sem acusar erro de integridade.
• Passo 4: Registre o resultado: anote qual arquivo foi testado, quem executou o procedimento e se a operação teve sucesso. Se o arquivo estiver corrompido, a equipe descobre a falha em um momento de calma, não durante uma emergência.

Imagine uma distribuidora local de peças automotivas. Se o computador onde ficam os pedidos for comprometido e a equipe apenas descarregar a cópia que estava salva no disco que permaneceu conectado o mês inteiro, pode descobrir tarde demais que a cópia também foi criptografada. Já uma empresa que mantém uma cópia offline e testa a abertura de uma planilha recuperada consegue diagnosticar problemas na fita, no disco ou na nuvem muito antes de qualquer crise.

Próximos passos

Para sair da teoria e garantir que seus dados estão protegidos, comece hoje mesmo por uma verificação simples: abra o local onde estão salvas as cópias da sua empresa, selecione um arquivo qualquer do último lote gravado e tente abri-lo em uma pasta separada. Se você tiver dúvidas sobre os aspectos regulatórios de guarda de documentos específicos, consulte um contador ou advogado para alinhar os prazos legais necessários.