Backup e Recuperação: garantindo disponibilidade e continuidade dos negócios

Como proteger informações críticas e atender à ISO 27001 e à LGPD com práticas eficazes de backup e recuperação

A perda de dados é um dos riscos mais críticos para qualquer empresa.Basta uma falha no servidor, um ataque ransomware ou um erro humano para comprometer anos de informações, impactando finanças, reputação e até a conformidade com a LGPD.

É por isso que as normas ISO/IEC 27001 e ISO/IEC 27002 exigem a implementação de políticas, processos e controles de backup e recuperação, assegurando a disponibilidade e integridade das informações — pilares fundamentais da segurança da informação.

O que são backup e recuperação de dados

• Backup é a cópia de segurança dos dados, feita de forma periódica e armazenada em local seguro.

• Recuperação é o processo de restauração dessas informações em caso de falha, incidente ou desastre.

  
  

De nada adianta ter cópias se elas não podem ser restauradas — e de nada adianta restaurar dados corrompidos ou desatualizados.Por isso, a eficácia dos backups depende de uma estratégia completa de gestão e testes regulares.

O que a ISO 27002 determina

Os controles da ISO/IEC 27002 tratam diretamente da criação e proteção de backups, estabelecendo que as organizações devem:

• Implementar processos formais de backup, baseados em políticas claras;

• Definir frequência e escopo dos backups (dados, sistemas e configurações);

• Proteger cópias contra acesso não autorizado e perda física;

• Armazenar versões em locais distintos, preferencialmente em outro ambiente físico ou na nuvem;

• Realizar testes de restauração periódicos para validar a eficácia dos backups.

Essas medidas também se integram aos planos de continuidade de negócios previstos na ISO 22301.

Tipos de backup

Tipo	Descrição	Uso recomendado
Completo (Full)	Cópia total de todos os dados.	Ideal para ambientes críticos e periodicidade semanal.
Incremental	Copia apenas os dados alterados desde o último backup.	Reduz tempo e espaço de armazenamento.
Diferencial	Copia dados alterados desde o último backup completo.	Equilíbrio entre tempo e espaço.
Backup na nuvem (Cloud Backup)	Cópias automáticas em provedores como AWS, Azure, Google Cloud.	Ideal para continuidade e mobilidade.
Backup offline	Cópia desconectada (ex.: HD externo, fita, cofre).	Protege contra ransomware.

💡 Boa prática ISO: adotar a regra 3-2-1 — 3 cópias de dados, 2 mídias diferentes e 1 fora do local principal.

Proteção dos backups

A LGPD (art. 46) exige que os dados pessoais armazenados — inclusive nos backups — estejam protegidos contra acesso indevido, perda, destruição ou vazamento.A ISO 27002 reforça essa exigência com práticas como:

• Criptografia de backups

• Controle de acesso e rastreamento de uso;

• Segregação de funções (quem faz backup ≠ quem restaura);

• Verificação periódica de integridade das cópias;

• Armazenamento físico seguro ou cloud provider certificado (ISO 27001/27018).

Testes de restauração: o elo esquecido

Um backup só é eficaz se puder ser restaurado.A ISO exige testes regulares de restauração e validação de integridade para garantir que as cópias realmente funcionem.

Esses testes devem incluir:

• Recuperação de arquivos específicos;

• Restauração total de sistemas críticos;

• Simulações de falhas e desastres.

É comum descobrir, apenas durante uma crise, que o backup estava corrompido — e isso pode custar caro.

Integração com o plano de continuidade

O backup é parte integrante do Plano de Continuidade de Negócios (BCP) e do Plano de Recuperação de Desastres (DRP).Esses planos devem definir:

• Prioridade de restauração (RTO e RPO);

• Equipes responsáveis e procedimentos documentados;

• Infraestrutura de contingência (nuvem, servidores de backup, links redundantes);

• Fluxo de comunicação durante incidentes.

Com isso, a empresa garante resiliência operacional e conformidade com a ISO 22301 e a LGPD.

Conexão entre Backup, ISO e LGPD

Requisito	ISO 27002	LGPD
Disponibilidade	Backups regulares	Art. 46 – Proteção contra perda ou destruição
Integridade	Teste e validação de cópias	Art. 6º, VII – Qualidade dos dados
Segurança	Criptografia e segregação de acesso	Art. 46 – Medidas técnicas e administrativas

💡 Implementar uma política de backup é uma medida de governança preventiva, reduzindo riscos e multas em caso de incidente.

Como o DPONOTE e a MainSafe podem ajudar

DPONOTE – Governança e rastreabilidade

• Registro de políticas e planos de backup;

• Associação de controles ISO e riscos de indisponibilidade;

• Registro de testes e auditorias de restauração;

• Evidências automáticas para fiscalizações da ANPD e certificações ISO.

MainSafe – Consultoria e resiliência operacional

• Implementação de políticas e procedimentos de backup e recuperação;

• Estruturação de planos BCP e DRP conforme ISO 22301;

• Auditorias internas e simulações de recuperação;

• Treinamentos técnicos e estratégicos para equipes de TI e gestão.

Assista agora a um trecho do curso Segurança da Informação e LGPD para Colaboradores, da DPONOTE Academy.