Backup para pequenas empresas: regra 3-2-1 na prática

Backup não é a mesma coisa que sincronização

Se o computador principal parasse de funcionar agora, quanto tempo sua empresa levaria para recuperar propostas, planilhas, contratos, fotos, documentos fiscais e arquivos de clientes? A resposta revela mais sobre o seu backup do que o ícone verde de ‘sincronizado’.

Sincronização mantém arquivos parecidos em vários dispositivos. Quando você edita um documento no notebook, a mudança aparece no celular e na nuvem. Isso ajuda na colaboração, mas a mesma velocidade pode propagar uma exclusão, alteração incorreta ou criptografia maliciosa.

O Google informa que arquivos enviados à lixeira do Drive permanecem ali por 30 dias antes da exclusão definitiva. A Microsoft publica regras próprias de retenção para contas pessoais e corporativas. Esses recursos ajudam, mas não substituem uma cópia independente sob uma política definida pela empresa.

• Sincronização facilita acesso e colaboração.
• Versionamento permite voltar a estados anteriores dentro de certas regras.
• Backup cria uma cópia recuperável e separada do ambiente principal.

Entenda a regra 3-2-1 com um exemplo

Um backup útil não é apenas uma segunda pasta. É um conjunto de cópias separadas, automáticas e testadas que permite retomar o trabalho depois de uma exclusão acidental, defeito, roubo, incêndio ou ataque.

Imagine uma pequena agência que guarda projetos no computador do proprietário. A primeira cópia é o arquivo de trabalho; a segunda fica em um disco externo ou equipamento local; a terceira fica em nuvem ou em outro local fisicamente separado.

Os dois tipos de armazenamento reduzem falhas comuns. Já a cópia fora do local protege contra furto, incêndio, alagamento, surto elétrico ou comprometimento da rede. Sempre que possível, a separação também deve ser administrativa: uma única credencial não deveria conseguir apagar todas as cópias.

• Mantenha três cópias dos dados importantes, contando a original.
• Use dois tipos de armazenamento.
• Deixe uma cópia fora do local principal.
• Três pastas no mesmo disco não são três cópias independentes.

Ensaio de restauração: resultado esperado antes do teste

Crie uma pasta de ensaio com três arquivos sem dados pessoais: um texto com a frase “versão de segunda-feira”, uma planilha com total 125 e uma imagem. Gere uma cópia pelo processo escolhido. Depois altere a frase e o total na pasta de ensaio, sem tocar em arquivos de trabalho.

Restaure a versão anterior para outra pasta. Compare o conteúdo, abra a planilha e confira o total 125, visualize a imagem e verifique se outra pessoa autorizada consegue acessar os arquivos. “Tarefa de backup concluída” não substitui essa conferência.

Anote início, fim, ponto recuperado e arquivos ausentes. Se o negócio tolera perder quatro horas de lançamentos e o ponto recuperado é de ontem, o RPO não foi atendido, mesmo que todos os arquivos abram. Nunca faça esse ensaio apagando o único original.

A versão moderna: 3-2-1-1-0

A regra clássica continua sendo uma boa base, mas ataques de ransomware criaram uma preocupação adicional: o invasor pode tentar localizar e excluir os backups antes de criptografar os sistemas.

Na extensão 3-2-1-1-0, o segundo ‘um’ representa uma cópia offline, isolada ou imutável; o zero representa zero erros conhecidos depois da verificação. A CISA recomenda backups offline, criptografados e testados para cenários de ransomware, e o guia brasileiro de 2026 reforça que a restauração precisa ser medida.

Para uma microempresa, isso não exige necessariamente uma estrutura complexa. Um disco desconectado depois da cópia oferece isolamento básico. Serviços corporativos podem acrescentar retenção bloqueada ou cópias imutáveis. A escolha depende do valor dos dados e do impacto de ficar parado.

Comece pelo que realmente precisa ser recuperado

Copiar tudo sem classificação aumenta custo e dificulta os testes. Faça primeiro um inventário e registre onde cada informação está: computador, celular, Drive, OneDrive, sistema financeiro, plataforma de vendas, e-mail, site ou aplicativo de atendimento.

Dados críticos incluem contratos, documentos fiscais, cadastros e entregáveis de clientes, pedidos, estoque, configurações, banco de dados do site e arquivos necessários para acessar sistemas. Dados importantes, como modelos, fotos e relatórios, podem ser recriados, mas geram muito retrabalho.

Dados em software como serviço também precisam entrar no plano. Estar ‘na nuvem’ não garante que a empresa consiga recuperar uma exclusão, uma conta encerrada ou uma configuração perdida dentro do prazo necessário.

• Críticos: sem eles, a empresa para ou descumpre uma obrigação.
• Importantes: podem ser refeitos, mas a perda custa tempo e dinheiro.
• Substituíveis: instaladores públicos, temporários e arquivos baixados.

Defina RPO e RTO sem jargão

RPO, ou objetivo de ponto de recuperação, é quanto trabalho você aceita perder. Se o RPO é de 24 horas, uma cópia diária pode ser adequada. Se perder uma hora de pedidos é grave, a frequência precisa ser maior.

RTO, ou objetivo de tempo de recuperação, é quanto tempo a operação pode ficar parada. Um RTO de quatro horas exige uma restauração mais rápida e organizada do que um prazo de dois dias.

Uma confeitaria pode aceitar refazer as fotos publicadas naquele dia, mas não perder os pedidos da semana. O cadastro de pedidos merece RPO curto, enquanto o arquivo de fotos pode ter rotina menos frequente. Esses valores são decisões do negócio e ajudam a comparar ferramentas sem comprar capacidade desnecessária.

Como montar um backup 3-2-1 com baixo custo

Uma estrutura inicial pode combinar os arquivos organizados no computador ou sistema principal, uma cópia local automática em disco externo e uma cópia externa em nuvem ou dispositivo mantido em outro local seguro.

O disco deve ter capacidade maior que o conjunto atual para guardar versões e crescimento. Verifique garantia, criptografia compatível, software de cópia e alertas de falha, não apenas o preço.

Na nuvem, compare retenção de versões, autenticação multifator, criptografia, recuperação em massa, exportação em formato utilizável, regiões, suporte e custos de armazenamento ou download. Faça um teste de restauração antes de migrar todo o acervo.

Um disco conectado o tempo todo é prático, mas fica exposto a falha elétrica, furto e malware. Para dados importantes, alterne dois discos, desconecte o que terminou a cópia e mantenha um deles em local separado. Nunca transporte dados confidenciais sem criptografia.

Inclua celular, conversas, site e loja virtual

Pequenos negócios muitas vezes guardam comprovantes, fotos, contatos e negociações apenas no celular. Inclua fotos e vídeos de trabalho, contatos, documentos recebidos, configurações e conversas que precisam ser preservadas por obrigação ou processo interno.

No WhatsApp Business, o backup da conta não substitui um sistema de pedidos nem uma política documental. Informações essenciais devem sair da conversa e entrar no processo correto, como planilha, CRM, chamados ou arquivo aprovado.

Ter os arquivos do site também pode não bastar. Um site dinâmico depende de banco de dados, imagens, configurações, certificados, variáveis e DNS. Confirme com a hospedagem o que é copiado, frequência, retenção, local, prazo de restauração e como exportar uma cópia independente.

Faça ao menos uma restauração em ambiente de teste. Restaurar diretamente sobre o site principal sem ensaio pode transformar um problema parcial em indisponibilidade completa.

Automatize, proteja e monitore

Backups manuais são esquecidos. Automatize a frequência de acordo com o RPO e configure alertas para falha, falta de espaço ou credencial expirada. ‘Nenhum alerta chegou’ não prova que tudo funcionou: o próprio aviso pode estar quebrado.

O backup concentra dados da empresa. Use autenticação multifator, credencial administrativa exclusiva, menor privilégio, criptografia, separação de permissões, atualizações e registro de acessos.

Não guarde a única chave de criptografia no computador que o backup deveria salvar. Também não envie senhas ou chaves por mensagens comuns.

• Horário e escopo definidos.
• Registro de execução e aviso de erro.
• Retenção de versões.
• Responsável nomeado.
• Procedimento de restauração documentado.

Teste a restauração: a etapa que define se existe backup

Uma cópia pode falhar silenciosamente, estar incompleta, corrompida ou protegida por uma senha que ninguém lembra. Por isso, o teste precisa fazer parte da rotina.

Um teste básico mensal restaura uma amostra em pasta separada, abre os arquivos, compara conteúdo e data, cronometra o processo e registra erros e correções. Trimestralmente, simule um cenário maior, como computador perdido, pasta apagada ou conta indisponível.

Órgãos como CISA e Governo Digital recomendam testar disponibilidade e integridade. A frequência mensal ou trimestral é uma recomendação editorial inicial; negócios regulados ou muito dependentes de dados podem precisar de intervalos menores.

• Escolha documento, pasta, planilha e arquivo maior.
• Restaure em uma pasta separada.
• Abra os arquivos e compare conteúdo e data.
• Cronometre, confira permissões e registre o resultado.

Plano de implantação em sete dias

Dia 1 — inventário: liste dados, dispositivos, serviços e responsáveis. Dia 2 — prioridades: classifique os dados e defina RPO e RTO.

Dia 3 — cópia local: configure um backup automático em dispositivo adequado e criptografado. Dia 4 — cópia externa: escolha nuvem ou outro local separado e ative autenticação multifator.

Dia 5 — isolamento: desconecte ou proteja uma cópia contra alteração e exclusão comum. Dia 6 — restauração: recupere uma amostra, abra os arquivos e cronometre.

Dia 7 — documentação: registre escopo, frequência, responsáveis, alertas e passos de recuperação. Agende o próximo teste.

Erros que anulam o backup

Partições ou pastas diferentes no mesmo dispositivo não protegem contra falha do disco. Manter tudo no mesmo escritório também deixa original e cópias sujeitos a furto, incêndio ou dano elétrico.

Sincronização não é cópia independente; exclusões e alterações podem se propagar. Um disco sempre conectado pode ser alcançado por malware ou falha elétrica. E um relatório de ‘sucesso’ não garante que o arquivo abra dentro do RTO.

Evite usar uma única conta administrativa para todas as cópias e não esqueça serviços SaaS: e-mail, CRM, loja, documentos e configurações em nuvem também são ativos do negócio.

• Guardar todas as cópias no mesmo dispositivo ou local.
• Confundir sincronização com backup independente.
• Deixar o disco sempre conectado.
• Não testar a restauração.
• Usar uma única credencial administrativa.
• Esquecer dados em serviços na nuvem.

Quando contratar ajuda especializada

Procure suporte de TI ou segurança quando a operação não puder parar por algumas horas, houver dados pessoais sensíveis ou exigências contratuais, vários dispositivos participarem do fluxo, ou o negócio usar servidor, banco de dados, máquinas virtuais ou sistemas legados.

Também é hora de buscar apoio se ninguém consegue fazer um teste de recuperação, não existe separação de permissões ou a empresa já sofreu um incidente.

Peça uma proposta que descreva escopo, frequência, retenção, criptografia, local das cópias, RPO, RTO, testes e responsabilidade. ‘Backup incluso’ é vago demais.

Perguntas frequentes

Qual é o melhor backup para uma pequena empresa? É a combinação que atende ao RPO e ao RTO, mantém cópias separadas e permite restauração testada. Disco externo criptografado mais nuvem independente pode ser um começo viável, mas o desenho depende dos dados e do risco.

Google Drive ou OneDrive já são backup? Eles oferecem sincronização, lixeira, versões e recuperação, mas esses mecanismos têm regras e prazos. Use-os como parte da estratégia, não como única cópia para dados críticos.

Com que frequência devo fazer backup? Depende de quanto trabalho pode ser perdido. Se perder um dia é aceitável, a rotina pode ser diária. Se pedidos mudam a cada hora, a cópia precisa acompanhar esse ritmo.

Um HD externo é suficiente? Não como única proteção. Ele pode falhar, ser roubado ou ser afetado junto com o computador. A regra 3-2-1 acrescenta outra mídia e uma cópia fora do local.

Preciso manter o disco desconectado? Para uma cópia mais resistente a ransomware, uma versão offline, isolada ou imutável reduz o risco de alteração simultânea.

Como saber se o backup funciona? Restaure uma amostra em local separado, abra os arquivos, confira a integridade e cronometre. Periodicamente, simule a perda completa do dispositivo ou serviço principal.

Backup protege contra vazamento de dados? Ele melhora disponibilidade e recuperação, mas não impede sozinho acesso indevido. Criptografia, autenticação multifator, permissões, atualizações e treinamento continuam necessários.

Conclusão: recuperação vale mais do que a cópia

A regra 3-2-1 distribui o risco: três cópias, duas formas de armazenamento e uma fora do local. Em 2026, vale reforçá-la com uma cópia offline ou imutável e com testes que terminem sem erro.

Não tente proteger tudo no primeiro dia. Comece pelos dados que mantêm a empresa funcionando, automatize uma cópia local, crie separação externa e restaure uma amostra. Um plano pequeno, documentado e testado é mais confiável do que uma solução cara que ninguém sabe recuperar.

Faça agora o teste mais simples: escolha um arquivo importante e tente restaurá-lo em uma pasta vazia. Se você não souber por onde começar, siga o plano de sete dias deste guia.