Backup empresarial deixou de ser tema técnico de TI pra virar tema de continuidade do negócio. Empresa brasileira que perde dados em 2026 não enfrenta só transtorno operacional — enfrenta exposição à ANPD pelo art. 46 da LGPD, perde clientes, paga resgate de ransomware ou simplesmente quebra. E o setup que muita empresa ainda usa (HD externo na sala da diretoria, NAS sem replicação, backup que ninguém testa) não resolve nenhuma dessas situações.
Esse guia foi escrito pra CTO, gerente de TI e dono de empresa brasileira que precisa estruturar (ou reestruturar) backup empresarial em 2026. Sem jargão de fornecedor, sem tabela de produto disfarçada de artigo. Só decisões reais e os trade-offs que cada uma traz.
Vamos cobrir: por que backup empresarial é diferente de backup pessoal, os 5 erros mais comuns, estratégia 3-2-1 atualizada para cloud, RPO e RTO na prática, tipos de backup que importam, ransomware e backup imutável, LGPD aplicada, comparativo entre AWS Backup, Veeam e cloud brasileira, e como calcular custo real considerando IOF e câmbio.
Por que backup empresarial é diferente
Backup empresarial não é só "salvar arquivos em outro lugar". É garantir 4 coisas simultaneamente:
- Continuidade operacional — empresa volta a operar em prazo aceitável após incidente
- Conformidade regulatória — LGPD, retenção fiscal, regulações setoriais (CVM, BACEN, ANS, CFM)
- Proteção contra ataques — ransomware moderno mira backups primeiro
- Custo previsível — sem surpresa de fatura quando precisar restaurar
Ferramenta gratuita pra usuário final (Backblaze pessoal, iCloud, Google Drive) não atende nada disso. Empresa que usa esse tipo de coisa em produção tá rodando sem rede de segurança real.
Os 5 erros mais comuns em backup empresarial brasileiro
1. Backup que nunca foi testado
O erro #1 não é não ter backup. É ter e nunca ter testado restaurar. Quando precisa, descobre que o arquivo está corrompido, ou a senha foi perdida, ou a fita não lê. Empresa que não testa restore mensalmente está jogando na fé.
2. Backup no mesmo lugar do dado de produção
Servidor que tem dado em /var/dados e backup em /var/backup, no mesmo disco. Disco morre, os dois vão juntos. Mesmo princípio se aplica a NAS no mesmo prédio do servidor: incêndio leva tudo. Backup tem que estar em outra mídia, outro local, outro provedor.
3. Confiar em snapshot como backup
Snapshot é ótimo pra rollback rápido (alguém apagou tabela errada). Mas não é backup. Snapshot vive no mesmo storage da máquina. Storage falha, snapshot vai junto. Provedor falha, snapshot vai junto. Snapshot é complemento, não substituto.
4. Backup só de banco, esquecendo configuração
Empresa faz dump diário do banco. Esquece de fazer backup do nginx.conf, do certificado SSL, das chaves de API, das variáveis de ambiente, do código customizado. Quando vai restaurar, leva 2 dias pra reconstruir o ambiente — porque os dados estão lá, mas a infraestrutura ao redor sumiu.
5. Política de retenção sem critério
Empresa guarda backup eternamente "por segurança". Custo cresce, e quando ANPD pergunta "por que ainda tem dado de cliente que cancelou em 2019?", não tem resposta. Política de retenção tem que ser explícita, com prazos baseados em obrigação legal e necessidade real.
Estratégia 3-2-1 — atualizada pra cloud
A regra clássica de backup ainda funciona, mas com adaptações pra realidade cloud em 2026:
3 cópias dos dados — produção + 2 cópias de backup. Não 1, não "produção + backup". 3 cópias.
2 mídias diferentes — em cloud, isso vira: storage de bloco (disco da VM) + Object Storage (tipo S3) + outra region geográfica. A "mídia" hoje é mais "tecnologia/região" do que "fita vs disco".
1 cópia fora do site — em cloud nacional, isso significa: cópia em datacenter diferente OU em provedor diferente. Pra empresa B2B brasileira, o ideal é backup primário no provedor de produção + cópia em Object Storage isolado (de preferência imutável, ver seção sobre ransomware abaixo).
Atualização 2026: a regra virou 3-2-1-1-0 pra ambientes mais rigorosos:
- 3 cópias
- 2 mídias
- 1 off-site
- 1 imutável (air-gapped ou WORM)
- 0 erros nos testes de restore
RPO e RTO: os 2 números que governam a estratégia
Antes de escolher ferramenta, defina os 2 números que importam:
RPO (Recovery Point Objective): quanto de dado a empresa pode perder em caso de incidente. Se o RPO é 4 horas, significa que backup precisa rodar a cada 4 horas no máximo. RPO de 24h significa backup diário aceita.
RTO (Recovery Time Objective): quanto tempo a empresa pode ficar fora do ar. RTO de 1 hora exige replicação ativa ou hot standby. RTO de 8 horas permite restore tradicional. RTO de 48 horas permite estratégias mais econômicas.
Heurística por tipo de empresa:
| Tipo de empresa | RPO típico | RTO típico |
|---|---|---|
| E-commerce médio (B2C) | 15 min — 1h | 1h — 4h |
| SaaS B2B | 1h — 4h | 4h — 12h |
| ERP corporativo | 4h — 24h | 4h — 24h |
| Sistema interno (RH, BI) | 24h | 24h — 72h |
| Banco de dados financeiro | 0 (replicação síncrona) | 1h |
RPO/RTO mais rigoroso = mais caro. Não dá pra exigir RPO 0 sem orçamento pra replicação síncrona dedicada. Defina o número realista pra cada sistema, não o número ideal.
Tipos de backup que importam pra empresa
Cada tipo serve a um cenário. Em prática, empresa usa combinação:
Backup completo (full)
Cópia integral dos dados. Rápido pra restaurar (tudo num lugar). Lento pra rodar e ocupa muito espaço. Empresa típica faz semanalmente.
Backup incremental
Só o que mudou desde o último backup (de qualquer tipo). Rápido de rodar, ocupa pouco. Restore exige todos os incrementais desde o último full — mais lento e mais arriscado se um incremental se perdeu.
Backup diferencial
O que mudou desde o último full. Restore exige só o último full + o diferencial mais recente. Meio termo entre incremental e full.
Snapshot
Cópia ponto-no-tempo no mesmo storage. Para rollback rápido. Não conta como backup off-site, mas é parte da estratégia.
Backup imutável (WORM)
Write-Once-Read-Many. Depois de gravado, ninguém apaga ou modifica — nem admin com credencial. Defesa contra ransomware moderno. Audaks oferece via Object Storage com Object Lock.
Replicação
Cópia contínua em outro local, em tempo real ou quase-real. Não é backup tradicional — é estratégia de continuidade. Replicação não protege contra "apaguei a tabela errada" porque a operação é replicada também. Sempre combinar replicação + backup tradicional.
Ransomware: backup imutável virou obrigatório
Em 2025-2026, o cenário de ransomware mudou. Atacante moderno não criptografa só os dados de produção. Ele entra na rede, fica meses identificando o ambiente e apaga ou criptografa o backup primeiro. Quando bloqueia produção, vítima descobre que backup também foi.
Defesas que não funcionam mais sozinhas:
- Backup em NAS na rede local (atacante chega lá)
- Backup em pasta sincronizada (ransomware crypta tudo)
- Snapshot do storage (atacante apaga snapshot)
- Backup com a mesma credencial que produção (credencial é roubada primeiro)
Defesa que funciona:
- Object Storage com Object Lock / Compliance Mode — depois de gravado, nem admin apaga até a data de retenção. Bloqueia ransomware em 100% dos casos onde o atacante não controla o relógio do AWS/cloud (que ele não controla).
- Credencial separada — bucket de backup acessado por credencial que não está em servidor de produção, idealmente IAM com MFA.
- Cross-region/provider — cópia em region geográfica distinta ou em segundo provedor.
- Air-gapped — sistema offline conectado só na janela de backup. Custoso operacionalmente, máxima segurança.
Empresa que ainda não tem backup imutável em 2026 está vulnerável. É o investimento de TI com melhor ROI defensivo do ano.
LGPD e backup: o que muda
A Lei Geral de Proteção de Dados (Lei 13.709/2018) traz 4 implicações diretas pra estratégia de backup:
Art. 6º — Princípio da finalidade e necessidade
Você só pode reter dado pessoal enquanto for necessário pra finalidade originária. Backup eterno "por segurança" viola esse princípio. Tem que ter prazo de retenção justificado.
Art. 16 — Eliminação ao final do tratamento
Quando cliente cancela contrato ou exerce direito de exclusão (art. 18, VI), os dados precisam ser eliminados — incluindo backups. Se backup tem retenção longa, precisa de processo pra purge seletivo OU justificativa legal pra reter (art. 16, II — obrigação legal de manter, ex: nota fiscal por 5 anos).
Art. 18 — Direitos do titular
Titular pode solicitar acesso aos seus dados ou eliminação. Empresa precisa conseguir extrair dados do backup quando solicitado em prazo razoável (15 dias pra acesso, art. 19). Estratégia de backup tem que considerar isso.
Art. 46-47 — Segurança
Empresa é obrigada a adotar medidas técnicas e administrativas razoáveis. Backup criptografado em trânsito e em repouso é o mínimo. Sem isso, vazamento de backup é vazamento de dado pessoal — incidente de segurança que precisa ser comunicado à ANPD em 72h (art. 48).
Backup como Serviço (BaaS) vs DIY
Duas abordagens, cada uma serve um perfil:
DIY (faça você mesmo)
Empresa monta a estratégia: scripts de backup, automação, monitoramento, restore. Usa Object Storage + Backup gerenciado como destino. Vantagem: custo menor, controle total. Desvantagem: exige time DevOps que sabe fazer e mantém.
BaaS (Backup como Serviço)
Provedor cuida de tudo: software, agente nas máquinas, retenção, restore. Empresa só monitora. Vantagem: zero esforço. Desvantagem: custo maior, dependência do fornecedor, menos customização.
Heurística: empresa com time DevOps interno → DIY. Empresa que prefere terceirizar → BaaS. Híbrido também é comum: BaaS para máquinas críticas, DIY pra storage de arquivos.
Comparativo: AWS Backup, Veeam e Cloud Brasileira
Visão honesta dos três caminhos mais comuns hoje:
| Critério | AWS Backup | Veeam Cloud | Backup Audaks |
|---|---|---|---|
| Origem dos dados | Limitado a AWS | Qualquer ambiente | Qualquer ambiente |
| Localização dos dados | Region escolhida | Configurável | Brasil (SP) |
| Pagamento | USD + IOF | USD + IOF | Real, NF brasileira |
| Suporte | Em inglês, plano à parte | Inglês, parceiros locais | Português, engineer 24/7 |
| LGPD | Operadora gringa | Operadora gringa | Operadora brasileira |
| Egress (download) | US$ 0,09/GB | Varia por plano | Sem custo (planos padrão) |
| Imutabilidade | Sim (S3 Object Lock) | Sim (Insider Protection) | Sim (Object Lock) |
| Custo típico 1 TB/mês | R$ 130-180 (com IOF) | R$ 200-400 | R$ 80-120 |
Cada solução tem seu encaixe. Empresa 100% AWS já provavelmente usa AWS Backup — faz sentido. Empresa híbrida ou multi-cloud pode usar Veeam. Empresa brasileira buscando custo previsível em Real e suporte que resolve em português → cloud nacional faz mais sentido.
Custo real: como calcular
Backup tem 3 componentes de custo que importam:
- Armazenamento — R$/GB/mês. Maior parte do custo recorrente.
- Operações — alguns provedores cobram por API call (PUT, GET, LIST). AWS cobra. Cloud nacional geralmente não.
- Egress — saída de dados no momento do restore. AWS cobra US$ 0,09/GB (R$ 0,52/GB com câmbio). Restaurar 500GB custa ~R$ 260 só de saída — fora a hora paga ao DevOps fazendo restore. Cloud nacional típica: zero.
Exemplo prático: empresa com 2TB de dados, restore esperado 2x/ano (500GB cada).
| Item | AWS S3 + Backup | Audaks |
|---|---|---|
| Storage 2TB/mês | ~US$ 46 → R$ 285 | R$ 180 |
| Restore 500GB × 2/ano | ~US$ 90/ano → R$ 47/mês | Incluso |
| Operações típicas | ~US$ 10/mês → R$ 62 | Incluso |
| Total mensal | R$ 394 | R$ 180 |
Diferença 2,2x no exemplo. Multiplica por 12 meses e a diferença anual passa de R$ 2.500 — o que cobre folgada o serviço de quem monta a estratégia inicial bem feita.
Próximos passos
Se você é gestor de TI ou diretor responsável por backup empresarial, aqui está o que fazer essa semana:
- Mapeia o que tá em backup hoje. Lista de servidores, bancos, arquivos. Volume total. Frequência atual. Onde fica.
- Define RPO e RTO por sistema. Não invente número ideal — faz reunião curta com cada área de negócio e pergunta: "quanto de dado você tolera perder?", "quanto tempo aceita ficar fora?".
- Testa restaurar AGORA. Pega o backup mais recente de produção e tenta restaurar num ambiente de teste. Quanto tempo leva? Funciona? Se não funciona ou demora demais, você tem um problema que ninguém sabe que tem.
- Verifica imutabilidade. Seu backup tá protegido contra ransomware? Se atacante entrar com credencial admin, ele consegue apagar seu backup? Se sim, falta Object Lock.
- Compara o custo total. Some armazenamento + restore + operações nos últimos 12 meses do seu provedor atual. Compara com cloud brasileira. A diferença costuma surpreender.
A Audaks ajuda empresas a estruturar backup empresarial em cloud brasileira com Object Storage imutável, retenção LGPD-compliant e suporte engineer em português. Conheça o Backup em Nuvem da Audaks ou marque uma conversa com nossa equipe — diagnóstico gratuito, sem compromisso.
Perguntas frequentes
Backup local com NAS ainda vale em 2026?
Como complemento, sim. Como única estratégia, não. NAS isolado da rede pode ser parte da estratégia 3-2-1 (a "1 cópia off-site"), mas backup empresarial moderno precisa de cópia em outro local geográfico — incêndio, alagamento, roubo levam o NAS junto.
Quanto custa backup empresarial em nuvem para uma empresa com 500GB?
Em cloud brasileira como Audaks, ~R$ 50-90/mês de armazenamento (incluindo egress e operações). Em AWS S3, ~R$ 100-150/mês. Veeam Cloud, ~R$ 120-200/mês. Valores variam por região, classe de storage e volume real.
Preciso de backup se uso cloud (AWS, GCP)?
Sim. Provedor cloud não é responsável pelos seus dados — é o modelo de responsabilidade compartilhada. Se você apaga uma tabela acidentalmente, AWS não restaura. Se ransomware criptografa sua VM, AWS não tem backup automático. Você precisa configurar.
O que é backup imutável e por que importa?
Backup que ninguém apaga ou modifica até a data de retenção configurada — nem admin com credencial. Tecnicamente é WORM (Write-Once-Read-Many) ou Object Lock. Importa porque ransomware moderno mira backups primeiro. Backup imutável é o que sobra quando o resto cai.
Backup deve ficar no Brasil ou pode ficar no exterior?
Pra empresa brasileira, dependendo do tipo de dado: dado pessoal de cliente brasileiro idealmente fica no Brasil (LGPD facilita conformidade). Dado público ou anonimizado pode ficar onde for mais barato. Para empresas em setores regulados (saúde, jurídico, financeiro), backup no Brasil quase sempre é exigência implícita.
Com que frequência testar restore?
Recomendação: mensal pra sistemas críticos, trimestral pros demais. Teste documentado, com tempo medido. Sem teste regular, backup é teatro. Empresas maduras incluem teste de restore na rotina de SRE.