PT 
EN 
ES 
Um assessment de backup é uma análise independente da política de backup da sua empresa. Da reunião inicial até o relatório, você passa a saber o que está protegido, o que não está, quais metas de recuperação a política realmente sustenta e o que corrigir primeiro. O resultado vem em um relatório com achados por nível de risco e recomendações em ordem de prioridade.
Na Integrity-UX, o assessment é gratuito e não obriga a contratar nada depois. Ele olha a política que já existe, compara com boas práticas reconhecidas e entrega o retrato por escrito. Quem decide o que fazer com ele é a empresa.
Este artigo explica quando faz sentido pedir a análise, como ela funciona etapa por etapa, o que precisamos de você, o que a análise cobre e como ler o relatório. Para quem quer o contexto de continuidade, o artigo sobre o que é DRP e como elaborá-lo mostra onde o backup se encaixa.
Por que revisar a política de backup antes de um incidente
Quase toda empresa tem backup. Poucas sabem dizer, sem consultar ninguém, o que exatamente ele cobre. A política costuma ser escrita uma vez, no momento da compra da ferramenta, e depois fica para trás. Servidores novos entram no ambiente, um sistema muda de lugar, uma pessoa sai da equipe, e a rotina de cópia continua a mesma.
O problema aparece no pior momento: quando alguém precisa restaurar. É nesse instante que se descobre que um banco de dados ficou fora do escopo, que a retenção é menor do que o contrato exige ou que as cópias ficavam no mesmo ambiente que foi afetado.
Revisar antes de um incidente custa pouco tempo e dá a chance de corrigir com calma. Revisar depois custa operação parada. A CISA, agência de segurança cibernética dos Estados Unidos, recomenda manter backups offline e criptografados dos dados críticos e testar com regularidade a disponibilidade e a integridade deles em um cenário de recuperação. O assessment verifica o quanto a sua política está perto dessa recomendação.
Para quem é o assessment de backup
A análise serve a empresas de médio e grande porte que dependem de dados e sistemas para operar. Ela faz mais sentido quando aparece algum destes sinais:
- ninguém na empresa consegue listar, de cabeça, o que está no escopo do backup e o que está fora;
- a política de backup não é revisada há mais de um ano, ou foi desenhada para um ambiente que já mudou;
- a empresa migrou sistemas para a nuvem, adotou o Microsoft 365 ou abriu uma nova unidade, e o backup não acompanhou;
- houve um incidente, um susto com ransomware ou uma restauração que demorou mais do que o esperado;
- o contrato com um cliente, uma auditoria ou uma exigência legal pede prova de retenção e de recuperação;
- o backup é responsabilidade de uma única pessoa, e ela é a única que sabe como ele funciona.
Se um ou mais desses pontos soa familiar, a empresa ganha com o retrato. Se nenhum soa familiar, o relatório registra que a política atende e serve como evidência para auditoria.
Como funciona o assessment, da reunião inicial à devolutiva
O processo tem cinco etapas. O prazo é definido sob medida, na proposta, porque cada etapa depende do tamanho do ambiente.
1. Reunião inicial
Uma conversa de alinhamento com quem responde por TI e, quando possível, com alguém da área de negócio. O objetivo é entender o que a empresa não pode ficar sem e quanto tempo e quantos dados consegue perder sem prejuízo grave. Sem essa conversa, a análise técnica não tem régua.
2. Coleta da política e do ambiente
A empresa envia o que já existe: a política de backup, se houver, a lista de sistemas e servidores, a ferramenta usada e os relatórios recentes de execução. Quando não há política escrita, o time levanta como o backup funciona na prática.
3. Análise
O time compara a política e o ambiente com as boas práticas. A seção seguinte detalha o que entra nessa comparação. A análise é feita sobre documentos e configurações. Nada é alterado no ambiente da empresa.
4. Relatório
Os achados viram um documento escrito, com resumo executivo para a diretoria e detalhe técnico para a equipe de TI.
5. Devolutiva
Uma reunião para apresentar o relatório, tirar dúvidas e combinar os próximos passos. A empresa sai com a lista do que fazer e na ordem em que faz sentido fazer.
O que precisamos da sua empresa
O assessment depende de informação confiável, e o volume é pequeno. Para a primeira reunião e a coleta, o ideal é reunir:
- a política de backup vigente, mesmo que seja uma página ou uma planilha;
- a lista de servidores, bancos de dados, aplicações e serviços em nuvem, com o que é mais crítico;
- o nome da ferramenta de backup e onde as cópias ficam guardadas;
- os relatórios dos últimos meses, com sucessos, falhas e alertas;
- as metas de recuperação que a empresa acredita ter, se existirem;
- exigências de retenção vindas de lei, contrato ou auditoria, quando houver;
- uma pessoa de contato que conheça o ambiente e possa responder dúvidas durante a análise.
Se algum item não existir, tudo bem. A ausência também é um achado e entra no relatório. Dados de acesso e senhas não são necessários para a análise e não devem ser enviados.
O que a análise da política de backup cobre
A análise percorre os pontos que mais costumam falhar. Cada um vira uma pergunta objetiva que o relatório responde.
Cópia imutável ou offline contra ransomware
Muitos ataques de ransomware tentam encontrar e apagar ou criptografar os backups acessíveis, para que a restauração seja impossível sem o pagamento do resgate. O guia #StopRansomware da CISA traz exatamente esse ponto: é importante que os backups sejam mantidos offline. A análise verifica se existe ao menos uma cópia que um invasor com acesso ao ambiente não consiga alterar ou apagar, seja offline, isolada ou imutável.
Backup do Microsoft 365
Caixas de e-mail, arquivos no OneDrive e sites do SharePoint também são dados da empresa. A análise confere se esses serviços estão no escopo do backup, com que frequência são copiados e por quanto tempo as cópias são guardadas. Em muitas empresas, essa é a lacuna que ninguém tinha mapeado.
Retenção exigida por lei ou contrato
Por quanto tempo cada tipo de dado precisa ser guardado? A resposta pode vir de lei, de contrato com cliente ou de regra interna. A análise compara o que a política guarda com o que a empresa nos informa que precisa guardar, e aponta o que fica abaixo ou muito acima, já que guardar demais também custa armazenamento. A definição da obrigação legal em si cabe ao jurídico da empresa.
Alertas de falha e monitoramento
Um backup que falha em silêncio é pior do que nenhum, porque dá uma falsa sensação de segurança. A análise observa se as falhas geram alerta, para quem o alerta vai e se alguém confere os relatórios com regularidade.
RPO e RTO: as metas de recuperação
RPO é a quantidade de dado que a empresa aceita perder, medida em tempo. RTO é o tempo em que o serviço precisa voltar a funcionar. Os dois são definidos junto com o negócio, e não pela TI sozinha. O artigo Como definir RTO e RPO explica como chegar a esses números. No assessment, comparamos as metas que a empresa tem, ou que declara querer, com o que a frequência e a retenção das cópias conseguem sustentar. O assessment não define nem promete RTO e RPO: ele mostra se a política atual é compatível com as metas combinadas.
A regra 3-2-1 e a versão 3-2-1-1-0
A regra 3-2-1 é a referência mais conhecida de backup. Segundo a CISA no documento Data Backup Options, ela diz para manter 3 cópias de cada arquivo importante, sendo 1 principal e 2 backups, em 2 tipos diferentes de mídia, com 1 cópia fora do local (offsite).
Fornecedores de software de backup estendem a regra. O que a Veeam recomenda é a regra 3-2-1-1-0: os mesmos três primeiros números, mais 1 cópia imutável ou isolada da rede (air-gapped) e 0 erros de recuperação, que significa verificar os backups para ter certeza de que dá para restaurar. Segundo o blog, a versão resulta em zero erro de recuperação e em maior resiliência contra ransomware. Trata-se de orientação de um fornecedor, e não de uma norma. Fonte: Veeam, blog oficial: a regra 3-2-1-1-0, consultada em 11/11/2026.
No assessment, usamos as duas regras como régua. A política atual atende à 3-2-1? Há uma cópia fora do alcance de um invasor? Existe alguma verificação periódica de que o backup realmente restaura? O relatório mostra onde a empresa está e o que falta.
O que o relatório traz
O relatório é escrito para duas plateias: a diretoria, que precisa decidir, e a equipe de TI, que precisa executar. Ele tem estas partes:
- Resumo executivo: a situação em uma página, com os principais riscos e o que fazer primeiro;
- Escopo e método: o que foi analisado e com base em quê;
- Ambiente atual: como o backup está montado hoje;
- Achados por nível de risco: cada problema encontrado, classificado como alto, médio ou baixo, com a explicação do porquê;
- Recomendações priorizadas: o que corrigir, em que ordem e com que esforço aproximado;
- Próximos passos e premissas: o que depende de decisão da empresa e o que foi assumido na análise.
O relatório pode sugerir mudanças ou concluir que a política atende ao que o negócio busca. Quando atende, ele registra isso de forma documentada, e a empresa passa a ter evidência para auditorias e para clientes.
Um exemplo de achado: a política copia todos os servidores todas as noites, mas as cópias ficam no mesmo local dos servidores, acessíveis com a mesma credencial de administrador. O relatório classifica como risco alto e recomenda uma cópia isolada ou imutável fora desse ambiente. A recomendação vem com a prioridade e o motivo, para que a decisão seja de quem paga a conta e não só de quem opera.
O que acontece depois do assessment
Depois da devolutiva, a empresa escolhe o caminho. Pode executar as correções com a própria equipe. Pode contratar a Integrity-UX para implantar e gerir as políticas de backup, o que inclui cópia local, em nuvem e fora do ambiente, monitoramento contínuo, testes de restauração e metas de RTO e RPO definidas por escrito. Ou pode simplesmente guardar o relatório e voltar ao assunto mais tarde.
O backup é uma parte da continuidade do negócio. Se a pergunta seguinte for se a empresa conseguiria operar após uma parada grande, o artigo Como testar o plano de continuidade e a página de plano de continuidade e DRP são o passo natural. A página de backup reúne o que a Integrity-UX faz na área.
Próximos passos
Se a sua empresa se reconheceu em algum dos sinais acima, o primeiro passo é uma conversa curta. Solicite o assessment gratuito de backup pelo formulário de contato. O time responde e agenda a reunião inicial.
Perguntas frequentes
O assessment de backup tem custo?
Não. O assessment é gratuito e não obriga a contratar outro serviço da Integrity-UX.
O assessment inclui teste de restauração?
Não. O assessment analisa a política e o ambiente com base em documentos e configurações. O teste de restauração faz parte do serviço de implantação e gestão de backup, quando contratado.
O relatório sempre recomenda mudanças?
Não. Se a política atende ao que o negócio busca, o relatório registra isso. As recomendações aparecem quando há lacuna em relação às metas e às boas práticas.
O que são RPO e RTO?
São as metas de recuperação, explicadas na seção sobre o que a análise cobre. Em resumo: quanto dado a empresa aceita perder e em quanto tempo o serviço precisa voltar.
Quais informações a empresa precisa enviar?
A política de backup, a lista de sistemas, a ferramenta usada, os relatórios recentes e as exigências de retenção. Senhas e dados de acesso não são necessários.
A regra 3-2-1-1-0 é uma norma?
Não. A 3-2-1 é uma orientação divulgada pela CISA. A 3-2-1-1-0 é uma extensão descrita no material da Veeam, fornecedor de backup. Usamos as duas como referência de comparação.
Quanto tempo leva o assessment?
Depende do tamanho do ambiente. O prazo é definido sob medida, na proposta, depois da reunião inicial.
Como solicitar?
Pelo formulário de contato. O time entra em contato para agendar a reunião inicial.
Última atualização: 11/11/2026.
Fontes: CISA, #StopRansomware Guide (versão de setembro de 2023), https://www.cisa.gov/stopransomware/ransomware-guide; CISA, Data Backup Options, https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf; Veeam, A regra 3-2-1-1-0 (blog oficial), https://www.veeam.com/blog/321-backup-rule.html (consultado em 11/11/2026).
