Regra 3-2-1 de backup: aplicação corporativa

Os três dígitos da regra 3-2-1: cópias, mídia e localização

Regra 3-2-1 significa:

• 3 cópias: Pelo menos três cópias independentes dos dados. Não é backup de backup de backup (redundância de processo). É três cópias de fato.
• 2 tipos de mídia: Não guardar tudo em discos rígidos. Se tecnologia falha (falha de controladora de storage), todas as cópias não são perdidas. Exemplos: NAS + cloud, NAS + tape, cloud primária + cloud secundária de provider diferente.
• 1 offline/remota: Pelo menos uma cópia deve estar fisicamente desconectada ou remotamente isolada da infraestrutura principal. Protege contra ransomware que se replica para backup. Offline pode ser: mídia removível guardada em cofre, cópia em data center geograficamente distante, cópia imutável em nuvem.

Exemplos práticos de implementação 3-2-1:

• Pequena (baixo custo): Cópia 1: NAS local. Cópia 2: Cloud (S3 AWS, Azure Blob). Cópia 3: HD externo guardado fisicamente em cofre.
• Média: Cópia 1: Storage on-premise (NetApp, Pure). Cópia 2: Cloud primária (AWS S3). Cópia 3: Cloud secundária com imutabilidade (Azure Archive, Wasabi imutável).
• Grande: Cópia 1: Storage primário (data center 1). Cópia 2: Réplica síncroma em data center 2. Cópia 3: Cópia imutável em nuvem com retenção de 7+ anos.

Adaptação moderna: nuvem, automação e imutabilidade

Regra 3-2-1 clássica assume tape externo como "mídia diferente" e "offline". Modernamente, tape é obsoleto em muitas organizações. Adaptação necessária:

• Nuvem como "mídia diferente": Cloud storage (AWS, Azure, GCP) é tipo de mídia diferente de NAS on-premise. Falha de technologia on-premise não afeta cloud. Falha de cloud não afeta NAS.
• Automação total: Cópias não podem ser manuais. BaaS (Backup as a Service) automatiza: sincronização para nuvem, rotação de retenção, testes de restauração.
• Imutabilidade como camada extra: Ransomware sofisticado se replica para backup e criptografa também. Cópia imutável (não pode ser deletada ou modificada, mesmo por administrador) bloqueia essa propagação. Exemplo: AWS S3 Object Lock, Azure immutable storage.
• Segmentação por criticidade: Nem todos os dados precisam de 3-2-1 completo. Dados críticos: 3-2-1 pleno. Dados secundários: 3-2-0 (offline não é necessário) reduz custo.

Desafios práticos de implementar 3-2-1

Regra 3-2-1 é simples em teoria, complexa em prática. Desafios comuns:

• Custo: Três cópias, dois tipos de mídia, uma offline custa dinheiro. Pequenas empresas cortam cópias ou offline. Recomendação: começar com 3-2-0 (sem offline) e evoluir.
• Gerenciamento: Múltiplas cópias exigem políticas de retenção, rotação, validação. Automatizar é essencial — manual é erro-prone.
• Teste de restauração: Ninguém testa restauração até que precise. Então descobre que backup é inútil (dados corrompidos, formato incompatível). Recomendação: teste mensal de amostra de dados.
• Ransomware e cópias "conectadas": Se cópia 2 (cloud) está conectada ao mesmo account/credencial que dados primários, ransomware com acesso admin criptografa cloud também. Solução: usar conta de cloud separada, credenciais diferentes, permissões mínimas.
• Conformidade vs. prática: Política diz "3-2-1", mas implementação é "3-1-0" (três cópias em NAS local, sem mídia diferente, sem offline). Gap entre política e realidade.

Evolução: de 3-2-1 para 3-2-1-1-0

Ransomware moderno e ameaças sofisticadas levaram a regra evoluída: 3-2-1-1-0. Os dígitos adicionais representam:

• Quarto dígito (1): Uma cópia imutável — não pode ser alterada ou deletada, nem por administrador.
• Quinto dígito (0): Zero erros não detectados — validação contínua de integridade de backup. Se arquivo foi corrompido, detectar imediatamente.

Implementar 3-2-1-1-0 é apropriado para grandes empresas e setores regulados (saúde, financeiro). Para pequenas/médias, 3-2-1 básico é suficiente se bem implementado.