A estratégia backup 3-2-1 — três cópias dos dados, em dois tipos de mídia diferentes, com uma cópia fora do local — é a recomendação padrão da indústria há mais de uma década, e continua correta. O problema não está na regra. Está no que ela não cobre: a regra 3-2-1 garante que existam cópias, mas não garante que essas cópias abrem na hora que você precisa.

Os três pontos cegos da estratégia backup 3-2-1

Na prática forense, o padrão mais comum que a Crowdertech encontra não é “não tínhamos backup” — é “tínhamos backup, mas na hora de restaurar, o arquivo não abria”. Job de backup rodando meses com status verde, notificações de sucesso todo dia, e um .vbk ou .bak que falha na primeira tentativa real de restauração.

1. Backup “concluído com sucesso” não significa íntegro. A maioria das ferramentas confirma sucesso quando a operação de escrita termina sem erro — não quando o arquivo resultante foi validado byte a byte. Corrupção de mídia, falha de RAM na máquina de backup ou interrupção de rede no meio da transferência geram um arquivo com cabeçalho válido e conteúdo inconsistente, sem nenhum alerta. Além disso, alguns formatos proprietários — como .vbk do Veeam ou backups nativos do SQL Server — comprimem os dados, o que torna a corrupção interna invisível sem restauração real.

2. Cópia “fora do local” não é sinônimo de cópia testada. Enviar o backup para nuvem ou para outro site resolve o risco de desastre físico — um dos objetivos da estratégia backup 3-2-1. Contudo, se a cópia primária já nasceu corrompida, a réplica só multiplica o problema: agora existem três cópias inconsistentes em vez de uma. Para entender como o backup imutável com Object Lock protege contra ransomware e corrupção simultânea, veja backup imutável contra ransomware.

3. Retenção longa esconde o problema por meses. Muitas empresas só tentam restaurar de verdade quando já precisam, em uma emergência. Se o job de backup começou a gerar arquivos com falha há três meses e ninguém testou uma restauração nesse período, a janela recuperável já passou. Além disso, a retenção longa cria uma falsa sensação de segurança — quanto mais backups existem, menos provável parece que todos estejam corrompidos.

O que fechar essa lacuna na estratégia backup 3-2-1 exige

Teste de restauração agendado, não só verificação de status do job. Restaurar de fato um subconjunto dos dados em ambiente isolado, periodicamente — pelo menos uma vez por mês em ambientes críticos. Além disso, o teste deve incluir a verificação de integridade dos dados restaurados, não só a conclusão do processo de restauração.

Checksum ou validação de integridade no próprio arquivo de backup. Ferramentas como Veeam, Acronis e Windows Server Backup têm opções de verificação pós-backup — mas ficam desabilitadas por padrão porque aumentam o tempo de execução. Por isso, habilitar essa opção é o ajuste mais simples com o maior impacto na confiabilidade.

Monitoramento do tamanho e da taxa de compressão do backup ao longo do tempo. Variações abruptas no tamanho do arquivo de backup são um indicador precoce de problema na origem — o banco de dados pode estar com corrupção silenciosa que só aparece quando o backup tenta ler as páginas afetadas. Veja como a Crowdertech identifica corrupção silenciosa em recuperação de banco de dados.

Quando o backup falhou e a restauração não funciona

Mesmo quando a estratégia backup 3-2-1 falhou na prática, ainda existe caminho. Arquivos .vbk, .bak ou snapshots com metadado corrompido costumam preservar dados recuperáveis por extração direta, fora do mecanismo normal da ferramenta. Além disso, a Crowdertech atua frequentemente em paralelo com a restauração: enquanto o departamento de TI tenta restaurar pelo caminho convencional, a forense extrai dados adicionais dos servidores afetados — acelerando o retorno à operação.

Para casos com prazo regulatório — notificação à ANPD, auditoria fiscal, fechamento contábil — o atendimento 24h na Vila Olímpia prioriza a extração das tabelas críticas primeiro.

Perguntas frequentes

A estratégia backup 3-2-1 protege contra ransomware? Parcialmente. A cópia offsite sobrevive se estiver desconectada da rede no momento do ataque. Contudo, backups sincronizados em tempo real — como OneDrive ou Google Drive sem versioning — são cifrados junto com os originais. Por isso, a estratégia 3-2-1 precisa do “1 imutável” para ser completa contra ransomware.

Com que frequência devo testar a restauração do backup? Pelo menos uma vez por mês para ambientes críticos. Além disso, sempre que houver mudança significativa no volume de dados, atualização do software de backup ou troca de mídia.

Meu job de backup roda há anos sem erro — preciso mesmo testar? Sim. A ausência de erros no job não garante que o arquivo de backup seja restaurável. Além disso, quanto mais tempo sem teste real, maior a chance de que a corrupção já exista e só será descoberta na emergência.

Conclusão

A estratégia backup 3-2-1 está correta — o que falha é a execução sem teste real de restauração. Além disso, backup que nunca foi restaurado em ambiente isolado é uma hipótese, não uma proteção. Em resumo, agende testes reais, habilite checksum e monitore o tamanho dos arquivos. Seu backup não restaura? A Crowdertech extrai os dados mesmo de backups corrompidos — (11) 99630-0675.

Fontes: Veeam Data Protection Report · NIST SP 800-34r1 · CERT.br.