Regra 3-2-1 de backup: o que é e como aplicar na sua empresa

Quase toda empresa diz que faz backup. A pergunta que importa é outra: se o servidor parar hoje, por defeito, roubo ou ransomware, quanto tempo leva para voltar a trabalhar e quanto se perde? A regra 3-2-1 é a forma mais simples e conhecida de responder bem a essa pergunta. Ela não depende de marca nem de tecnologia específica, e cabe no orçamento de uma empresa pequena.

O que é a regra 3-2-1

A regra resume em três números o mínimo para que os dados sobrevivam a quase qualquer problema:

• 3 cópias dos dados: a original, em uso no dia a dia, e mais duas cópias de backup.
• 2 tipos de armazenamento diferentes: por exemplo, os discos do servidor e um equipamento de backup separado, ou um disco local e um serviço em nuvem. Assim, uma falha que afete um tipo de mídia não leva tudo junto.
• 1 cópia fora do local: pelo menos uma cópia precisa estar fisicamente longe do ambiente principal, para sobreviver a incêndio, alagamento, furto ou a um ataque que alcance toda a rede da empresa.

Cada número cobre um tipo de falha. Ter três cópias protege contra o azar de duas falharem ao mesmo tempo. Usar meios diferentes evita que um defeito de lote, um controlador com problema ou uma atualização ruim afete todas as cópias. E a cópia externa é a que resolve quando o problema é o próprio prédio.

As variações 3-2-1-1-0

Com o crescimento do ransomware, muitos profissionais passaram a falar em 3-2-1-1-0. O quarto número pede uma cópia imutável ou desconectada, que não possa ser apagada nem alterada por quem invadir a rede. O zero significa zero erros nos testes de restauração: backup que nunca foi restaurado é uma suposição, não uma garantia.

Como aplicar numa empresa pequena ou média

Imagine um escritório com 20 pessoas, um servidor com o sistema de gestão e uma pasta compartilhada com contratos e planilhas. Um desenho prático da regra fica assim:

1. Cópia 1, produção: os dados no servidor, onde as pessoas trabalham.
2. Cópia 2, local: backup diário em um equipamento de armazenamento na própria empresa, separado do servidor. É a cópia que restaura rápido um arquivo apagado ou uma pasta corrompida, sem depender da internet.
3. Cópia 3, externa: backup criptografado enviado automaticamente para um datacenter, como o da DataHead em Londrina. É a cópia que salva a empresa quando o escritório inteiro fica indisponível.

E se o servidor de produção já estiver no datacenter? A lógica se inverte, mas o princípio é o mesmo: a cópia fora do local passa a ser uma cópia periódica mantida na empresa, em um equipamento que não fique sempre conectado à mesma rede do servidor. O que não pode acontecer é todas as cópias ficarem no mesmo lugar físico.

Antes de configurar, responda duas perguntas

• Quanto dado a empresa aceita perder? Se a resposta é no máximo um dia de trabalho, o backup precisa ser pelo menos diário. Para um banco de dados muito movimentado, talvez seja necessário rodar várias vezes ao dia.
• Em quanto tempo precisa voltar a funcionar? Restaurar um servidor inteiro a partir da nuvem leva mais tempo que restaurar de um disco local. Por isso a cópia local existe: ela atende a restauração rápida, enquanto a externa atende o desastre.

O que incluir no backup

Liste tudo o que, se perdido, para a empresa: banco de dados do ERP, pastas compartilhadas, configurações do servidor, certificados digitais instalados, notebooks de quem guarda arquivos localmente e as contas de e-mail e arquivos em nuvem. O Microsoft 365, por exemplo, não substitui um backup próprio; o assunto é detalhado em backup do Microsoft 365.

Versões e imutabilidade: por que uma cópia só não basta

Um backup que guarda apenas a versão mais recente tem um problema sério: se um arquivo foi corrompido ou criptografado na segunda-feira e o backup rodou na terça, a cópia de terça já está estragada. Por isso a retenção de versões é tão importante quanto a cópia em si. Uma política comum para empresas menores é manter versões diárias por algumas semanas e versões mensais por alguns meses.

A imutabilidade resolve outro risco. Grupos de ransomware procuram ativamente os backups da vítima para apagá-los antes de criptografar os servidores. Se a credencial de administrador que eles roubaram também consegue apagar o backup, a regra 3-2-1 vira 1-1-0. Algumas proteções práticas:

• credenciais do sistema de backup diferentes das do domínio da empresa, com autenticação em dois fatores;
• armazenamento que não permita excluir versões antes do prazo de retenção;
• pelo menos uma cópia que não fique acessível o tempo todo pela rede do escritório.

Para entender como o backup entra na defesa completa, veja como proteger servidores de ransomware.

Testes de restauração: o passo que quase todo mundo pula

O backup mostra "concluído com sucesso" todos os dias, até o dia em que alguém tenta restaurar e descobre que o banco de dados estava sendo copiado aberto, em estado inconsistente, ou que uma pasta importante nunca entrou na seleção. Testar é a única forma de saber. Um roteiro simples:

• Todo mês: restaure alguns arquivos aleatórios de pastas diferentes e confira se abrem.
• A cada trimestre: restaure o banco de dados do sistema principal em um ambiente de teste e verifique se o sistema abre e mostra os lançamentos recentes.
• Uma vez por ano: simule a perda total do servidor e restaure tudo, cronometrando o tempo. Esse número diz se o seu plano é realista.
• Sempre: monitore os alertas de falha. Um backup que falhou em silêncio por três semanas é o cenário mais comum de perda.

Anote os resultados em um documento curto: data, o que foi testado, quanto tempo levou e o que precisou ser corrigido.

Erros comuns que quebram a regra

• Disco USB ligado permanentemente ao servidor: o ransomware criptografa os dois.
• Backup em outra pasta do mesmo servidor: não é cópia, é duplicata no mesmo ponto de falha.
• Nenhuma cópia fora do escritório: um furto ou incêndio leva tudo.
• Retenção de um dia só: o problema é descoberto depois que a cópia boa foi sobrescrita.
• Ninguém responsável por olhar os alertas.

Como a DataHead pode ajudar

O backup em nuvem da DataHead cuida da cópia externa: envio automático e criptografado de servidores, máquinas virtuais, notebooks e Microsoft 365 para o nosso datacenter em Londrina, com retenção de versões, autenticação em dois fatores e restauração de um arquivo ou do servidor inteiro. Ele se combina com a cópia local que você mantém na empresa para fechar a regra 3-2-1. Para volumes grandes, o storage S3 também pode servir de destino para o seu software de backup. Quer revisar a sua rotina atual? Fale com a gente pela página de contato.