oHub Base TI Cibersegurança e Proteção de Dados Backup e Recuperação de Dados

Política de backup corporativa: o que deve conter

Estrutura e componentes de uma política corporativa de backup que cubra governança e operação.
Atualizado em: 14 de maio de 2026
Neste artigo: Como este tema funciona na sua empresa O que deve conter uma política de backup Classificação de dados por criticidade RPO vs. RTO: o que a política deve definir Ciclo de vida do backup: retenção e exclusão Teste e validação de restore Sinais de que sua empresa precisa estruturar a política de backup Perguntas frequentes O que deve estar em uma política de backup? Como estruturar para LGPD? Qual é a diferença entre política e plano de backup? O que são RPO e RTO? Como testar backup? Como comunicar política? Referências
Compartilhar:
Este conteúdo foi gerado por IA e pode conter erros. ⚠️ Reportar | 💡 Sugerir artigo

Como este tema funciona na sua empresa

Pequena empresa

Política básica em documento único cobrindo escopo, frequência, retenção, responsabilidade do responsável técnico; formalidade reduzida, frequência de revisão anual.

Média empresa

Política estruturada em seções: governança, escopo detalhado, SLA, retenção por classe de dados, backup de dados pessoais (LGPD), teste, auditoria; revisão semestral.

Grande empresa

Política modular com política-raiz e políticas específicas por ambiente (on-premise, nuvem, SaaS); aprova por conselho de TI; revisão anual com avaliação contínua.

Política de backup corporativa define o quê, quando, como e por quanto tempo dados são backup-ados. Diferencia-se de plano de backup (documentação técnica) ao estabelecer princípios, responsabilidades, e requisitos conformidade. Uma política bem estruturada garante que backup não é ad-hoc ("fazemos quando lembra"), mas sistemático. Foco: governança (quem decide?) e operação (como executar?), não detalhe técnico[1].

O que deve conter uma política de backup

Objetivo e escopo: O que é coberto (todos os sistemas? dados críticos apenas?) e por quê. Classificação de dados: Crítico (financeiro, clientes), importante (operacional), descartável. Frequência: Diferenciação por criticidade (crítico: diária, importante: semanal, descartável: mensal). Retenção: Quanto tempo cada cópia é mantida (crítico: 1 ano, importante: 3 meses, LGPD: pode exigir exclusão). RPO/RTO: Objetivos de tempo (RPO: quantos dados perco se desastre? RTO: quanto tempo para recuperar?). Responsabilidades: Quem executa, valida, restaura, audita. Teste e validação: Cadência de testes de restore (anual mínimo). Conformidade: Alinhamento com LGPD, ISO 27001, regulações setoriais.

Classificação de dados por criticidade

Crítico: Banco de dados de clientes, transações financeiras, IP proprietário. Perda é inaceitável. Backup diário ou contínuo. Retenção: 1–2 anos. Importante: Dados operacionais, documentação, templates. Perda é disruptiva mas tolerável por dias. Backup semanal. Retenção: 3–6 meses. Descartável: Cache, logs temporários, dados de teste. Perda não impacta negócio. Backup mensal ou anual. Retenção: 1 mês a 1 ano.

RPO vs. RTO: o que a política deve definir

RPO (Recovery Point Objective): Quanto de dados você está disposto a perder? Se RPO é 1 dia, significa que se desastre ocorre, você perde até 1 dia de dados. Backup diário = RPO 1 dia. Backup contínuo = RPO quase 0. RTO (Recovery Time Objective): Quanto tempo pode ficar sem sistema? Se RTO é 4 horas, significa que sistema crítico deve estar de volta em 4h. Backup imediato + redundância = RTO baixo. Backup offline + restauração manual = RTO alto.

Política deve definir RPO/RTO por classe de sistema, e infraestrutura deve suportar esses objetivos.

Ciclo de vida do backup: retenção e exclusão

Backup é criado conforme política, mantido conforme retenção, e excluído quando retenção expira. LGPD exige que dados pessoais sejam deletados quando não mais necessários — isso inclui backups. Política deve detalhar: (1) Quando é seguro deletar backup? (2) Quem aprova deleção? (3) Como verificar que foi deletado? (4) Como documentar?

Teste e validação de restore

Um backup que não foi testado não existe. Política deve requerer: restore teste anual de amostra de dados. Resultado documentado. Se restore falha, backup é considerado falho e precisa remediação. Muitas empresas descobrem que backup não funciona só em desastre real — muito tarde.

Sinais de que sua empresa precisa estruturar a política de backup

Se você se reconhece em três ou mais cenários abaixo, a ausência de uma política formal de backup representa risco operacional concreto.

  • Ninguém sabe dizer com certeza quais dados têm backup e quais não têm
  • A frequência de backup foi definida informalmente e nunca foi revisada
  • Não existe RPO nem RTO documentado para nenhum sistema
  • O último teste de restore foi há mais de um ano — ou nunca foi feito
  • Backups são mantidos indefinidamente sem critério de retenção ou exclusão
  • Apenas uma pessoa sabe como restaurar dados, e não há procedimento escrito
  • A empresa não sabe se os backups atendem requisitos de LGPD para exclusão de dados pessoais
Implementação

Pequena: Documento 2–3 páginas. Frequência, retenção, teste, responsável.

Média: Documento estruturado com apêndices (matriz de classificação, cronograma de teste, contatos).

Grande: Política-raiz + políticas setoriais. Governança formal. Ferramenta de backup integrada com policy enforcement.

Ferramentas e consultoria

Backup software: Veeam, Commvault, Veritas oferecem templates de política.

Consultoria: Especialista em continuidade de negócio pode desenhar política customizada.

Perguntas frequentes

O que deve estar em uma política de backup?

Objetivo, classificação de dados, frequência, retenção, RPO/RTO, responsabilidades, teste, conformidade.

Como estruturar para LGPD?

Política deve especificar como backups são deletados quando retenção expira. LGPD exige exclusão de dados pessoais.

Qual é a diferença entre política e plano de backup?

Política: princípios, responsabilidades, conformidade. Plano: detalhe técnico (qual ferramenta, como configurar). Ambas necessárias.

O que são RPO e RTO?

RPO: quantidade de dados que pode perder. RTO: tempo para restaurar. Política deve definir ambos por classe de sistema.

Como testar backup?

Restore teste anual de amostra. Documentar resultado. Se falha, não conta como backup válido.

Como comunicar política?

Publicar documento. Treinamento de TI e stakeholders. Revisão anual com mudanças comunicadas.

Referências

  1. ISO 22301 — Business continuity e política de backup
  2. ISO 27001:2022 — Requisitos de backup
  3. LGPD — Retenção e exclusão de dados pessoais