Backup corporativo contra ransomware: como proteger sua empresa

Resposta direta: backup corporativo contra ransomware é a cópia dos dados da empresa guardada de forma isolada, imutável e testada, para que a operação volte a funcionar sem pagar resgate. Backup que fica na mesma rede dos servidores costuma ser criptografado junto com eles. Por isso, o que protege de verdade é a combinação de cópia isolada, restauração ensaiada e prazo de recuperação definido.

O ransomware deixou de ser um risco distante e virou assunto de diretoria. Segundo o relatório anual da Sophos, noticiado pelo Estadão TecMundo, o valor mediano exigido por criminosos em ataques de ransomware no Brasil chegou a US$ 640 mil (cerca de R$ 3,27 milhões) em 2025, uma alta de 63% sobre o período anterior. O mesmo levantamento aponta o Brasil em primeiro lugar mundial em invasões iniciadas por e-mails maliciosos, canal responsável por 37% dos casos.

Diante desses números, a pergunta que o comitê executivo faz é simples: se amanhã os servidores forem criptografados, em quanto tempo a empresa volta a operar? Este artigo mostra como responder a essa pergunta com um plano de backup que resiste a ataque, com tabela de decisão, passo a passo e perguntas frequentes.

O que é ransomware e por que ele mira o backup

Ransomware é um código malicioso que torna inacessíveis os dados de um equipamento ou de uma rede e exige pagamento de resgate para restabelecer o acesso. A definição é a mesma usada na Cartilha de Segurança do CERT.br, referência nacional mantida pelo Núcleo de Informação e Coordenação do Ponto BR.

Quem busca "o que é ransomware" encontra muita explicação técnica, mas pouca orientação para quem decide orçamento. Para a gestão, o ponto central é outro: o ataque moderno não se limita a criptografar arquivos. Ele costuma tentar encontrar e apagar as cópias de segurança antes de exibir a mensagem de resgate. Sem backup utilizável, a empresa fica sem alternativa a não ser negociar.

Isso explica por que backup e ransomware precisam ser pensados juntos. Uma rotina de cópia pensada apenas para falha de disco ou erro humano não cobre um invasor que já está dentro da rede com credenciais de administrador.

Por que o backup tradicional falha diante de um ataque

Muitas empresas médias e grandes acreditam estar protegidas porque "têm backup". Na prática, a rotina existe, mas tem falhas que só aparecem no dia do incidente. As mais comuns são:

• Cópia acessível pela mesma rede: se o servidor de backup está no mesmo domínio e com as mesmas credenciais, o invasor chega até ele.
• Sem imutabilidade: a cópia pode ser alterada ou apagada por quem tiver permissão, inclusive por uma conta comprometida.
• Restauração nunca testada: o arquivo existe, mas ninguém sabe se ele abre, quanto tempo leva para voltar e em que ordem os sistemas sobem.
• Escopo incompleto: servidores principais estão cobertos, mas bancos de dados do ERP, configurações e máquinas virtuais ficam de fora.
• Retenção curta: o ataque pode ficar dias escondido na rede. Se só existem cópias dos últimos dias, todas já estão contaminadas.

Cada um desses pontos é uma decisão de arquitetura, não um defeito de ferramenta. Por isso o tema costuma passar por TI, segurança e finanças ao mesmo tempo.

Três conceitos que a diretoria precisa dominar: RPO, RTO e imutabilidade

Antes de escolher tecnologia, a empresa precisa definir quanto aceita perder e quanto aceita esperar. São dois indicadores, e ambos devem ser decididos pelo negócio, não só pela TI.

• RPO (ponto de recuperação): até quanto tempo de dados a empresa tolera perder. Se o RPO é de 4 horas, a cópia precisa ser feita pelo menos a cada 4 horas.
• RTO (tempo de recuperação): em quanto tempo o sistema precisa estar de volta. Um sistema de faturamento e um portal interno costumam ter RTOs bem diferentes.
• Imutabilidade: propriedade de uma cópia que não pode ser alterada nem apagada durante um período definido, nem por administradores.

Sem esses números escritos, não existe plano, apenas esperança. Com eles, fica possível calcular custo, escolher a tecnologia e testar se a meta é atingida.

A regra 3-2-1 e a versão reforçada para ataques

A regra 3-2-1 é uma prática amplamente adotada em backup: manter 3 cópias dos dados, em 2 tipos de mídia diferentes, com 1 cópia fora do ambiente principal. Para ransomware, vale reforçar com mais dois cuidados: uma cópia imutável ou desconectada da rede e restaurações testadas com verificação de integridade. Essa versão costuma ser chamada de 3-2-1-1-0, em que o último "1" é a cópia imutável e o "0" representa zero erros na verificação.

O ponto da cópia fora do ambiente é onde a nuvem ajuda. Um repositório em nuvem com bloqueio de exclusão, credenciais separadas das do domínio e autenticação em múltiplos fatores cria uma barreira que o invasor dificilmente atravessa. A consultoria em cloud da DKP desenha esse tipo de arquitetura em ambientes de AWS, Azure e GCP, incluindo a parte de segurança e custo.

Tabela de decisão: qual tipo de cópia usar para cada situação

Tipo de cópia	Vantagem	Limitação	Quando faz sentido
Disco local no mesmo datacenter	Restauração rápida	Atinge o mesmo alvo do ataque se estiver na mesma rede	Primeira camada, para falhas comuns
Nuvem com imutabilidade	Isolamento e bloqueio de exclusão	Restauração depende de banda e custo de saída de dados	Segunda camada, para ataque e desastre
Fita ou mídia desconectada	Isolamento físico (air gap)	Restauração mais lenta e operação manual	Dados de retenção longa e exigência regulatória
Réplica em segundo ambiente	Retomada muito rápida	Replica também o erro ou a infecção, se não houver ponto no tempo	Sistemas críticos com RTO baixo

Em geral, não se escolhe uma opção só. Empresas de médio e grande porte combinam duas ou três camadas, definidas pelo RPO e pelo RTO de cada sistema.

Passo a passo para montar um backup que resiste a ransomware

1. Mapeie os sistemas críticos. Liste o que para a operação se ficar fora do ar: ERP, financeiro, bancos de dados, arquivos, e-mail, integrações. Dê uma prioridade a cada um.
2. Defina RPO e RTO por sistema. Registre os números com a área de negócio. O faturamento pode exigir recuperação em horas; um repositório de documentos antigos, em dias.
3. Separe as credenciais do backup. A conta que administra o backup não deve ser a mesma que administra o domínio. Use autenticação em múltiplos fatores e privilégio mínimo. Esse princípio é o mesmo discutido em controle de acesso para agentes de IA.
4. Crie uma cópia imutável e isolada. Use bloqueio de exclusão em nuvem ou mídia desconectada, com período de retenção compatível com o tempo que um ataque pode ficar oculto.
5. Proteja também o banco do ERP. A base de dados do sistema de gestão concentra faturamento, estoque e fiscal. O artigo ERP seguro: como proteger os dados da sua empresa detalha esse cuidado, e a consultoria de ERP da DKP cobre a recuperação desse ambiente.
6. Automatize e monitore. Rotinas manuais falham. Automatize a cópia, o envio e o alerta de falha, tratando a infraestrutura como código, prática comum em DevOps.
7. Teste a restauração em ambiente isolado. Ao menos uma vez por trimestre, restaure um sistema completo e cronometre. Compare com o RTO definido e corrija a diferença.
8. Escreva o plano de resposta. Quem decide, quem fala com clientes, quem aciona o seguro e a ordem de subida dos sistemas. Esse documento precisa estar fora do ambiente que pode ser atacado.

O que o framework do NIST recomenda sobre recuperação

O NIST Cybersecurity Framework 2.0 organiza a gestão de riscos de segurança em funções: governar, identificar, proteger, detectar, responder e recuperar. A função "recuperar" trata justamente de restabelecer operações afetadas por incidentes. O recado para o executivo é que backup não é um produto isolado, mas parte de um ciclo que começa na governança e termina em lições aprendidas.

Na prática, isso significa que o plano de backup deve se conectar com o inventário de ativos, o controle de acesso, o monitoramento e a comunicação de incidentes. Quando cada área trata sua parte separadamente, as lacunas aparecem no momento mais caro.

Como medir se o plano está funcionando

Um plano de backup precisa de indicadores simples, acompanhados pela gestão. Sem inventar benchmarks, vale monitorar o que a própria empresa controla:

• Taxa de sucesso das cópias: percentual de rotinas concluídas sem erro no período.
• Tempo real de restauração: medido nos testes e comparado ao RTO de cada sistema.
• Cobertura: percentual dos sistemas críticos com cópia imutável.
• Idade da última restauração testada: se passou de um trimestre, o plano está desatualizado.

Esses quatro números cabem em uma página e dão à diretoria uma visão objetiva, sem depender de linguagem técnica.

Erros comuns que encarecem a recuperação

Alguns equívocos aparecem com frequência em empresas que sofrem um incidente e descobrem lacunas tarde demais. Conhecê-los antes ajuda a priorizar o orçamento.

• Tratar backup como projeto de uma vez só: sistemas mudam, e a cópia precisa acompanhar cada novo servidor, banco ou integração.
• Deixar o plano de resposta só na cabeça da equipe de TI: em um incidente real, a comunicação com clientes, jurídico e diretoria precisa de roteiro prévio.
• Ignorar a ordem de subida: restaurar o ERP antes do banco de dados ou da autenticação gera retrabalho e horas perdidas.

Curiosidades sobre ransomware e backup

• O e-mail malicioso continua sendo a porta de entrada mais frequente: no levantamento da Sophos citado acima, ele respondeu por 37% das invasões no Brasil.
• Os criminosos pesquisam faturamento e informações públicas das empresas antes de definir o valor do resgate, segundo o executivo da Sophos entrevistado pelo Estadão.
• A cartilha do CERT.br lembra que pagar o resgate não garante a devolução dos dados, o que reforça o valor de ter uma cópia própria.
• O ataque pode ficar dias na rede antes de ser percebido, por isso a retenção das cópias importa tanto quanto a frequência.

Quando buscar apoio especializado

Empresas com ERP, bancos de dados e sistemas integrados costumam ter dependências difíceis de enxergar: um sistema só sobe depois de outro, e uma integração esquecida trava a retomada. Mapear isso exige quem conheça a operação por dentro. Se a sua equipe de TI está sobrecarregada ou sem visão do conjunto, vale ler o guia sobre quando contratar uma consultoria de TI para avaliar o momento certo.

A DKP IT Solutions atua desde 2004 com tecnologia para empresas de médio e grande porte, em ERP, cloud, BI e processos. Se quiser revisar sua estratégia de backup e recuperação, fale com nosso time pelo site.

Perguntas frequentes

Backup em nuvem protege contra ransomware?

Protege quando tem imutabilidade, credenciais separadas e autenticação em múltiplos fatores. Uma sincronização simples de arquivos pode replicar a criptografia para a nuvem.

Qual a diferença entre backup e réplica?

Backup guarda pontos no tempo e permite voltar a uma versão anterior. Réplica mantém uma cópia atualizada quase em tempo real, o que também replica a infecção se não houver versões anteriores.

Com que frequência devo testar a restauração?

Pelo menos uma vez por trimestre para sistemas críticos, e sempre que houver mudança relevante na infraestrutura.

Pagar o resgate resolve?

Não há garantia de que os dados serão devolvidos, e o pagamento pode estimular novos ataques. A cartilha do CERT.br trata esse ponto, e a melhor defesa é ter uma cópia própria restaurável.

Quanto tempo as cópias devem ser mantidas?

Depende do RPO, da exigência regulatória e do tempo que um ataque pode ficar oculto. O importante é existir ao menos uma cópia anterior à invasão.

Backup corporativo é só responsabilidade da TI?

Não. RPO e RTO são decisões de negócio. A TI executa, mas quem define quanto a empresa tolera perder e esperar é a gestão.

O banco de dados do ERP precisa de cuidado especial?

Sim. Ele concentra dados fiscais e financeiros e costuma ter dependências com outros sistemas. A cópia deve ser consistente e a restauração, testada com a aplicação.

Conclusão

O ransomware cobra caro porque encontra empresas com backup que existe, mas não foi pensado para ataque. A saída não é uma ferramenta nova, e sim um desenho: sistemas mapeados, RPO e RTO definidos, cópia imutável e isolada, credenciais separadas e restauração testada com frequência. Comece pela pergunta da diretoria: em quanto tempo voltamos a operar? Se a resposta não estiver escrita e testada, esse é o primeiro passo.