Ransomware em PME: o backup é o seu último seguro

O momento mais caro para descobrir que um backup não funciona é depois que os arquivos foram criptografados e a operação parou. Ter uma tarefa agendada, um disco conectado ou uma cópia na nuvem não prova que a empresa conseguirá recuperar os sistemas de que depende.

Ransomware não afeta apenas os arquivos. Um incidente pode comprometer credenciais, configurações, servidores, estações e cópias acessíveis pela mesma rede. Por isso, o objetivo não deve ser apenas “fazer backup”, mas restabelecer a operação dentro de um prazo conhecido e com uma perda de dados aceitável.

Por que ter uma cópia não é suficiente

Quatro falhas aparecem com frequência em estratégias frágeis:

• Cópia acessível pelo mesmo ambiente. Se a conta comprometida ou o malware consegue apagar ou criptografar o destino, a cópia não oferece isolamento.
• Restauração nunca testada. Um relatório de tarefa concluída confirma a gravação, não a capacidade de reconstruir o serviço.
• Escopo incompleto. Banco de dados sem configurações, certificados, permissões e dependências pode não ser suficiente para recolocar o sistema em produção.
• Ausência de prioridade. Sem saber quais serviços precisam voltar primeiro, a equipe decide sob pressão e pode restaurar o que é menos importante.

A rotina precisa fazer parte de uma estratégia de cibersegurança e continuidade, conectada à proteção de identidades, segmentação, atualização e monitoramento.

RPO e RTO: as duas perguntas que orientam o desenho

RPO (Recovery Point Objective) indica quanto de dados a empresa aceita perder. Se o RPO de um sistema é de quatro horas, as cópias e a replicação precisam permitir voltar a um ponto com, no máximo, essa defasagem.

RTO (Recovery Time Objective) indica em quanto tempo o serviço deve ser restabelecido. Um sistema com RTO de duas horas exige arquitetura, processo e recursos diferentes de um arquivo que pode esperar dois dias.

Esses objetivos não devem ser escolhidos apenas pela TI. As áreas de negócio precisam explicar o impacto da indisponibilidade, os horários críticos, as dependências e o volume de informação que pode ser reconstruído manualmente.

A estratégia 3-2-1 como ponto de partida

Uma referência conhecida é manter três cópias dos dados, em dois tipos de mídia, com uma cópia fora do ambiente principal. Hoje, o desenho também deve considerar uma cópia isolada ou imutável, protegida contra alteração durante o período definido.

A regra, porém, não substitui o diagnóstico. A empresa precisa decidir:

• quais dados e sistemas entram na proteção;
• com que frequência cada conjunto é copiado;
• por quanto tempo as versões são retidas;
• quais contas podem administrar e excluir cópias;
• como as chaves e credenciais de recuperação são protegidas;
• onde estão documentados os procedimentos de restauração.

Testar é diferente de conferir o relatório

Um teste de restauração deve responder perguntas concretas:

1. a cópia pode ser localizada e acessada com as credenciais de contingência;
2. os arquivos e bancos restaurados estão íntegros;
3. configurações, permissões e dependências também podem ser reconstruídas;
4. o serviço volta dentro do RTO definido;
5. a perda de dados permanece dentro do RPO;
6. responsáveis e contatos sabem o que fazer.

O teste pode começar com um arquivo, evoluir para uma aplicação e chegar a um exercício completo de recuperação. A periodicidade depende da criticidade e da taxa de mudança do ambiente. O importante é registrar resultado, tempo, falhas e ações de correção.

O que precisa existir antes de um incidente

Uma empresa preparada mantém, fora do ambiente que pode ser comprometido:

• inventário dos sistemas e responsáveis;
• ordem de recuperação dos serviços;
• contatos de fornecedores e pessoas-chave;
• procedimentos de contenção e restauração;
• credenciais de contingência protegidas;
• registro dos últimos testes e das pendências encontradas.

Também é essencial distinguir recuperar dados de retomar a operação. Um banco restaurado ainda pode depender de rede, identidade, licenças, certificados e aplicações. Continuidade considera o conjunto.

Um diagnóstico rápido para a sua empresa

Se alguma resposta abaixo for “não sei”, existe uma decisão a tomar:

• qual é o RPO e o RTO dos sistemas críticos;
• quando ocorreu o último teste de restauração;
• se há uma cópia isolada do ambiente principal;
• quem consegue recuperar o sistema se o administrador habitual estiver indisponível;
• onde está a documentação de recuperação;
• como os resultados das rotinas e dos testes são acompanhados.

Backup é a última camada quando outras defesas falham. Ele não promete que o incidente não acontecerá; dá previsibilidade para a empresa voltar. A atuação da MB em continuidade conecta cópias, monitoramento, documentação e testes ao impacto real de cada serviço na operação.