Como deve ser feito um backup?

Fazer backup parece trivial: é só copiar os arquivos para outro lugar, certo? O problema aparece no dia em que você precisa restaurar — e descobre que a cópia estava desatualizada, corrompida ou criptografada junto com o original. A tese em uma frase: um backup bem-feito não se mede por ter uma cópia, e sim por conseguir restaurar os dados depois de um desastre — o que exige método (a regra 3-2-1), automação, criptografia e, acima de tudo, teste de restauração.

Neste guia você vai ver como deve ser feito um backup de ponta a ponta: os tipos (completo, incremental e diferencial), como definir a frequência a partir de RPO e RTO, por que sincronização e RAID não são backup, e o passo que separa um backup real de uma falsa sensação de segurança. O caminho completo é este:

Backup não é sincronização nem RAID

Antes do passo a passo, é preciso desfazer as duas confusões que mais custam dados na prática.

Sincronização não é backup. Serviços como Google Drive, Dropbox e OneDrive são de sincronização: eles propagam para a nuvem tudo o que acontece na pasta — inclusive exclusões e arquivos criptografados por ransomware. Se um arquivo é apagado ou cifrado no seu computador, a cópia sincronizada muda junto, em segundos. Um backup de verdade mantém versões point-in-time que você consegue recuperar mesmo depois do estrago. A sincronização até ajuda (muitos serviços guardam versões anteriores por alguns dias), mas ela sozinha não é uma estratégia de backup.

RAID não é backup. RAID replica dados entre discos para tolerar a falha de um deles, ou seja, é redundância de hardware — mantém o sistema no ar se um disco morre. Só que ele não protege contra o que mais destrói dados: exclusão acidental, ransomware, corrupção lógica, roubo do equipamento ou incêndio. Tudo isso atinge o array inteiro de uma vez. RAID e backup resolvem problemas diferentes e não se substituem.

Como deve ser feito um backup, passo a passo

1. Mapeie o que precisa ser copiado

Nem todo dado tem o mesmo valor. Comece identificando o que é crítico e insubstituível — documentos de trabalho, bancos de dados, configurações de servidor, fotos — e separe do que é facilmente recuperável (um sistema operacional pode ser reinstalado; contratos assinados, não). Esse mapa evita dois erros opostos: fazer backup de tudo indistintamente, o que encarece e alonga o processo, ou esquecer justamente o que importava.

2. Defina RPO e RTO antes de escolher a frequência

A frequência do backup não é um chute, é a consequência de dois números. O RPO (Recovery Point Objective) é quanto de dado você aceita perder: um RPO de 24 horas significa um backup diário; um RPO de 1 hora exige backups horários ou contínuos. O RTO (Recovery Time Objective) é quanto tempo você tolera ficar sem o sistema até restaurá-lo — e isso influencia a mídia (restaurar de um disco local é mais rápido que baixar tudo da nuvem). Definir esses dois alvos antes de qualquer configuração é o que transforma "faço backup de vez em quando" em uma estratégia. Se quiser aprofundar, veja a diferença entre RPO e RTO.

3. Siga a regra 3-2-1

A prática consagrada é a regra 3-2-1: mantenha 3 cópias dos dados, em 2 tipos de mídia diferentes, com pelo menos 1 cópia off-site (fora do local físico do original). A lógica é probabilística: quanto mais cópias independentes, em lugares e mídias distintos, menor a chance de um único evento — falha de disco, incêndio, roubo ou ransomware — levar todas de uma vez. Um HD externo na mesma sala do servidor não conta como off-site; uma cópia na nuvem ou em outro prédio, sim. Para o cenário corporativo e a variação endurecida 3-2-1-1-0, veja o guia sobre a estratégia de backup 3-2-1 para empresas.

4. Automatize e criptografe

Backup que depende de alguém lembrar de fazer, cedo ou tarde deixa de ser feito. Agende o processo — praticamente toda ferramenta de backup permite programar execuções diárias, semanais ou mensais — e configure alertas para saber quando uma execução falha. E se os dados são sensíveis (financeiros, pessoais, de clientes), criptografe as cópias: assim, mesmo que uma mídia ou uma conta na nuvem seja comprometida, os dados permanecem ilegíveis sem a chave.

5. Teste a restauração (o passo inegociável)

Este é o passo que quase todo mundo pula e que define se todo o resto valeu a pena. Um backup só é confiável depois que você restaurou de verdade e verificou o resultado: os arquivos abrem? O banco de dados sobe e responde? Faça isso em um ambiente isolado, cronometre quanto tempo levou (é assim que se descobre se o RTO é realista) e documente. A CISA, agência de cibersegurança dos Estados Unidos, recomenda em seu guia #StopRansomware exatamente isso: manter backups offline e criptografados e testar a restauração com regularidade. Uma hora de teste programado hoje evita a descoberta, no pior momento possível, de que a cópia estava corrompida.

Tipos de backup: completo, incremental e diferencial

Escolher entre os três tipos é um equilíbrio entre espaço ocupado, tempo de cópia e velocidade de restauração. Na prática, o comum é combinar um backup completo periódico com incrementais ou diferenciais entre eles.

O incremental é o mais econômico em espaço e o mais rápido de gerar, mas a restauração depende de toda a corrente de arquivos desde o último full — se um elo falha, a recuperação trava. O diferencial ocupa mais espaço a cada dia, porém restaura com apenas duas peças, o que reduz o risco e o tempo de recuperação. A escolha depende dos seus RPO e RTO.

Os erros que transformam backup em falsa segurança

• Guardar a cópia no mesmo lugar do original: um único incêndio, roubo ou surto elétrico leva os dois juntos. Por isso a cópia off-site da regra 3-2-1.
• Confiar apenas em sincronização: como visto, ela propaga exclusões e ransomware. Sirva-se dela, mas não a chame de backup.
• Nunca versionar: manter só a última cópia significa que, se um arquivo corrompido ou cifrado for copiado por cima do bom, você perde os dois. Retenção de várias versões resolve.
• Não testar: o erro mais caro de todos. Um backup nunca restaurado é uma promessa não verificada.

Se você ainda está decidindo onde guardar tudo isso, vale conhecer as soluções de backup que existem e entender melhor o que é um storage.

Perguntas frequentes sobre backup

Como deve ser feito um backup adequado?

Um backup adequado segue a regra 3-2-1: 3 cópias dos dados, em 2 tipos de mídia diferentes, com pelo menos 1 cópia off-site (fora do local do original). Além disso, deve ser automatizado, criptografado quando os dados são sensíveis e, principalmente, testado com restaurações reais. Backup que nunca foi restaurado é uma suposição, não uma garantia.

Qual a diferença entre backup completo, incremental e diferencial?

O backup completo (full) copia todos os dados a cada execução. O incremental copia apenas o que mudou desde o último backup de qualquer tipo, sendo o mais rápido e o que ocupa menos espaço. O diferencial copia tudo que mudou desde o último backup completo, o que consome mais espaço que o incremental, mas simplifica a restauração — basta o último full mais o último diferencial.

Com que frequência devo testar a restauração do backup?

De forma regular e programada, não apenas quando um desastre acontece. Para sistemas críticos, um teste periódico (por exemplo, mensal) restaurando dados reais em um ambiente isolado é o que comprova que o backup funciona. O teste também mede quanto tempo a restauração leva de verdade, revelando se o seu RTO é realista.

Backup em nuvem é mais seguro que backup local?

Cada abordagem tem vantagens. O backup em nuvem protege contra desastres físicos (incêndio, inundação) e furto, e oferece acesso remoto. O backup local oferece maior velocidade de restauração e controle direto sobre a mídia. A estratégia mais robusta combina os dois (híbrido), atendendo à regra 3-2-1 com uma cópia local rápida e uma cópia off-site.

O que é RTO e RPO no contexto de backup?

RPO (Recovery Point Objective) é o ponto máximo de perda de dados tolerável: um RPO de 4 horas significa que você aceita perder até 4 horas de trabalho, e isso define a frequência do backup. RTO (Recovery Time Objective) é o tempo máximo aceitável para restaurar o sistema após uma falha, e influencia o método e a mídia que você escolhe.

Conclusão

Como deve ser feito um backup, então? Com 3 cópias, 2 mídias e 1 off-site, um método escolhido a partir dos seus RPO e RTO, automação, criptografia para o que é sensível e — o item que sustenta todos os outros — testes de restauração de verdade. Nenhuma cópia isolada, sincronização ou RAID entrega isso sozinha.

O custo de montar essa rotina é pequeno perto do custo de perder tudo. Comece pelo essencial: uma cópia local para o dia a dia, uma cópia off-site protegida e um teste de restauração na agenda. É essa disciplina, e não a quantidade de cópias, que separa recuperar em horas de perder para sempre.