Quando o sistema da empresa sai do ar, o que define o tamanho do prejuízo é o que foi preparado antes: um plano de continuidade de negócios que diga quem decide, em quanto tempo cada sistema precisa voltar e de onde vêm os dados para restaurá-lo. A base técnica desse plano é o backup 3-2-1: três cópias dos dados, em dois tipos diferentes de armazenamento, com uma cópia fora do ambiente principal. Contra ransomware, que é o sequestro de dados por criptografia, pelo menos uma cópia precisa ficar desconectada da rede ou protegida contra alteração, e a restauração precisa ser testada com frequência.

Este guia explica, em linguagem de gestão, como montar esse plano, quais números o mercado registra sobre paradas e ataques e o que fazer nas primeiras horas de um incidente. Ao final, há um checklist para avaliar a situação da sua empresa.

Por que paradas de sistema custam caro

Uma parada de sistema interrompe vendas, atendimento, faturamento e, em muitos casos, a produção. O custo direto é o que deixa de entrar. O custo indireto inclui horas extras, multas contratuais, perda de clientes e desgaste da marca.

O Uptime Institute, organização que estuda a confiabilidade de data centers, publicou em maio de 2026 sua oitava análise anual de paradas. Segundo o levantamento, 57% dos participantes da pesquisa anual de 2025 disseram que sua última parada grave custou mais de US$ 100 mil. Pelo segundo ano seguido, um em cada cinco relatou custo acima de US$ 1 milhão.

O mesmo estudo traz um dado relevante para quem usa nuvem e serviços terceirizados. Em nove anos de acompanhamento de paradas divulgadas publicamente, provedores terceiros, como nuvem, internet, telecomunicações e colocation, respondem por cerca de dois terços dos casos. Ou seja, colocar o sistema na nuvem não elimina a necessidade de um plano próprio de continuidade.

A principal causa de paradas com impacto, segundo o Uptime Institute, continua sendo a falha de energia. Entre os erros humanos, o fator mais citado é a falta de cumprimento de procedimentos já estabelecidos. Isso mostra que ter um plano escrito não basta: ele precisa ser conhecido e treinado.

O que é um plano de continuidade de negócios

O plano de continuidade de negócios, conhecido pela sigla PCN, é o documento que define como a empresa mantém ou retoma suas atividades críticas diante de uma interrupção. A interrupção pode ser um ataque de ransomware, uma falha de servidor, um erro humano que apaga dados, uma queda do provedor de nuvem ou até um problema físico, como incêndio ou alagamento.

A referência internacional para o tema é a norma ISO 22301, cuja edição atual é de outubro de 2019. Ela define requisitos para um sistema de gestão de continuidade de negócios, com foco em planejar, operar, monitorar e melhorar continuamente a capacidade de resposta. A norma está em processo de revisão, segundo a própria ISO, e recebeu uma emenda em 2024.

Empresas de pequeno e médio porte não precisam de certificação para aproveitar a lógica da norma. O essencial cabe em poucas páginas, desde que responda às perguntas certas.

Os conceitos que todo gestor precisa conhecer

Quatro termos aparecem em qualquer conversa sobre continuidade. Entender cada um ajuda a tomar decisões de investimento com mais clareza.

O RPO define a frequência do backup. Se a empresa aceita perder no máximo uma hora de pedidos, o backup do banco de dados precisa ser feito pelo menos a cada hora. O RTO define a arquitetura de recuperação: voltar em quatro horas exige uma estrutura diferente de voltar em três dias.

Backup 3-2-1: a regra explicada

A regra 3-2-1 é a forma mais conhecida de organizar backups. Um guia de cibersegurança da agência ambiental dos Estados Unidos (EPA), que remete ao NIST, instituto americano de padrões, descreve a regra assim:

1. Manter três cópias dos dados: a principal e dois backups.
2. Guardar os backups em dois tipos diferentes de mídia ou armazenamento.
3. Manter uma cópia fora do local principal.

O mesmo guia recomenda isolar os backups das conexões de rede, guardar as mídias separadas dos sistemas copiados e testar a restauração com regularidade, inclusive a recuperação de arquivos individuais.

No Brasil, a Cartilha de Segurança para Internet do CERT.br, centro de estudos e resposta a incidentes ligado ao NIC.br, traz recomendações na mesma linha. O fascículo sobre backup, de maio de 2023, orienta ter pelo menos duas cópias dos dados, guardar as cópias em locais diferentes, usar criptografia e não deixar discos externos conectados o tempo todo.

Por que só 3-2-1 não basta contra ransomware

Ransomware é um tipo de ataque em que o criminoso invade o ambiente, criptografa os dados e cobra um resgate para devolver o acesso. Atacantes sabem que backups são a principal defesa da vítima, por isso tentam destruí-los antes de criptografar os sistemas.

Um estudo da Sophos, empresa de segurança, publicado em março de 2024, mostrou a dimensão do problema. Em 94% dos ataques de ransomware, os criminosos tentaram comprometer os backups da vítima, e em 57% dessas tentativas tiveram sucesso. Quando os backups foram comprometidos, o custo mediano de recuperação chegou a US$ 3 milhões, contra US$ 375 mil quando os backups ficaram intactos.

Por isso, o guia #StopRansomware, publicado pela agência americana de cibersegurança CISA com FBI, NSA e MS-ISAC em setembro de 2023, recomenda manter backups offline e criptografados dos dados críticos e testar com frequência a disponibilidade e a integridade dessas cópias. O guia também cita o armazenamento imutável, aquele que não pode ser alterado nem apagado por um período, como opção oferecida por provedores de nuvem.

Na prática, a regra 3-2-1 para ambientes empresariais em 2026 costuma incluir:

• uma cópia offline ou imutável, fora do alcance de quem invadir a rede;
• credenciais de acesso ao backup separadas das credenciais do ambiente principal;
• verificação automática de que cada backup terminou sem erro;
• testes periódicos de restauração completa, e não só de arquivos isolados.

O que os números dizem sobre ransomware no Brasil

A Sophos publica todos os anos o relatório O Estado do Ransomware. A edição de 2026 ouviu 2.158 líderes de TI e segurança em vários países, entre janeiro e março de 2026, em organizações de 100 a 5.000 funcionários. O recorte brasileiro, publicado em julho de 2026, ouviu 71 profissionais, uma amostra pequena que deve ser lida como indicação, não como retrato exato do país.

Três leituras ajudam o gestor a usar esses dados. A primeira é que o backup funciona: o uso de backups para recuperar dados subiu de 73% para 85%, enquanto o pagamento de resgate caiu. A segunda é que o roubo de dados cresceu. Em 38% dos ataques com criptografia, os dados também foram levados, o que significa que restaurar o backup não resolve tudo, porque as informações já estão nas mãos do criminoso.

A terceira leitura está nas causas. No Brasil, o e-mail malicioso foi a causa técnica mais citada, com 37% dos casos, o maior índice entre os países do estudo. Vulnerabilidades exploradas responderam por 24%, e phishing, por 18%. Entre as causas operacionais, 42% apontaram uma brecha de segurança que não conheciam, e 39%, uma brecha conhecida que não tinha sido corrigida.

A soma desses fatores mostra que continuidade não depende só de backup. Ela depende também de corrigir falhas conhecidas, manter sistemas atualizados e treinar pessoas para reconhecer e-mails maliciosos. O guia sobre a falha crítica PHP2Shell e como corrigir mostra, com um caso de outubro de 2026, como uma falha conhecida e não corrigida vira porta de entrada.

Como montar o plano de continuidade em sete etapas

O plano pode ser montado em poucas semanas, com participação da direção, do time de TI e do fornecedor que mantém os sistemas.

1. Liste os processos críticos do negócio, como vender, faturar, atender e produzir, e os sistemas que sustentam cada um.
2. Faça a análise de impacto: estime quanto cada hora de parada custa e qual o efeito em clientes, contratos e obrigações legais.
3. Defina o RTO e o RPO de cada sistema com base nesse impacto, separando o que precisa voltar em horas do que pode esperar dias.
4. Desenhe a estratégia de backup com a regra 3-2-1, incluindo uma cópia offline ou imutável e frequência compatível com o RPO.
5. Escreva o plano de resposta a incidentes, com papéis, contatos, critérios para acionar o plano e modelos de comunicação.
6. Teste a restauração de verdade, em ambiente separado, medindo o tempo real e comparando com o RTO definido.
7. Revise o plano pelo menos uma vez por ano e sempre que um sistema importante mudar.

A CISA recomenda manter uma versão impressa e uma versão offline do plano de resposta a incidentes. Faz sentido: se a rede estiver comprometida, o documento guardado só no servidor da empresa pode ficar inacessível justamente quando é mais necessário. O guia também recomenda que o plano seja revisado e aprovado por escrito pelo principal executivo da empresa.

Exemplo de definição de RTO e RPO

A tabela abaixo é um exemplo hipotético de como uma empresa de distribuição poderia classificar seus sistemas. Os valores servem apenas para ilustrar o raciocínio.

Note que RTO e RPO mais curtos custam mais. Uma réplica pronta para assumir em minutos exige infraestrutura duplicada. Por isso a análise de impacto vem antes: ela mostra onde o investimento se paga e onde um backup diário é suficiente.

As primeiras horas quando o sistema sai do ar

O modo de agir nas primeiras horas muda conforme a causa. Uma falha de servidor pede restauração rápida. Um ataque de ransomware pede cuidado, porque restaurar sobre um ambiente ainda comprometido pode reinfectar os sistemas.

Se o incidente envolver dados pessoais, a LGPD entra em cena. A Resolução CD/ANPD nº 15, de abril de 2024, estabelece que o controlador comunique à ANPD e aos titulares, no prazo de três dias úteis, o incidente que possa causar risco ou dano relevante. O prazo conta a partir do momento em que a empresa sabe que o incidente afetou dados pessoais. A decisão sobre comunicar ou não deve ser tomada com apoio jurídico, mas o plano precisa prever quem faz essa avaliação e em quanto tempo.

Sobre pagar resgate, a decisão é da empresa e envolve aspectos jurídicos, financeiros e éticos. O dado da Sophos mostra que, no Brasil, 85% das empresas atingidas usaram backups para recuperar os dados em 2026. Ter backups testados é o que dá à empresa a opção de não depender do criminoso.

Quanto custa estruturar a continuidade

O custo de um plano de continuidade tem duas partes: a estruturação inicial e a manutenção contínua. A primeira inclui análise de impacto, configuração de backups, automação da infraestrutura e o primeiro teste de restauração. A segunda inclui monitoramento, testes periódicos e atualização do plano.

A tabela abaixo traz as faixas de referência que a Mind Group usa para orientar essa conversa em sistemas web sob medida.

Metodologia: estimativas de referência da Mind Group em 2026, calculadas como horas estimadas multiplicadas pelo valor-hora de R$ 110 a R$ 190, conforme a senioridade do time. A faixa de sustentação corresponde à faixa mensal praticada pela Mind; as demais faixas de horas são estimativas para orientar a conversa. Não incluem custos de nuvem nem de licenças de ferramentas de backup, e o valor final depende do diagnóstico e do escopo aprovado.

Esses valores devem ser comparados com o custo de uma parada. Os dados do Uptime Institute indicam que a maioria das paradas graves custa mais de US$ 100 mil. Para entender como colocar continuidade e segurança no custo total de um sistema, veja a metodologia de TCO de software.

Erros que mais comprometem a recuperação

Muitas empresas descobrem que o backup não funciona justamente no dia em que precisam dele. Os erros abaixo são os mais comuns.

1. Backup feito, mas nunca restaurado em teste.
2. Todas as cópias acessíveis com a mesma senha de administrador da rede.
3. Backup apenas no mesmo provedor e na mesma conta de nuvem do sistema principal.
4. Frequência de backup incompatível com a perda de dados que o negócio aceita.
5. Backup só dos arquivos, sem o banco de dados, ou sem as configurações dos servidores.
6. Plano de continuidade guardado apenas no servidor que pode ser atingido.
7. Sistemas em versões sem suporte, com falhas conhecidas abertas.
8. Ninguém com autoridade definida para declarar o incidente e acionar o plano.

O item 7 merece destaque, porque o relatório da Sophos aponta vulnerabilidades exploradas como causa de 24% dos ataques no Brasil em 2026. Para reduzir essa porta de entrada, o guia de cibersegurança para empresas em 2026 e o artigo sobre segurança no desenvolvimento e OWASP Top 10 trazem medidas práticas.

Checklist de continuidade para revisar hoje

O checklist abaixo resume o que um gestor deve perguntar ao time de TI ou ao fornecedor. Cada “não” é um ponto a resolver.

Checklist elaborado pela Mind Group a partir das recomendações da CISA, do CERT.br e da regra 3-2-1 descrita em guia da EPA com base no NIST, e da prática da frente de cibersegurança da empresa.

Se a empresa usa sistemas antigos, a continuidade fica mais difícil, porque restaurar um ambiente desatualizado também restaura as falhas. O guia sobre modernização de sistemas legados ajuda a decidir quando atualizar e quando reconstruir.

Como a Mind Group pode ajudar

A Mind Group é uma software house brasileira, fundada em 2016, que desenvolve sistemas, aplicativos e soluções de inteligência artificial sob medida para empresas de todo o Brasil. Tem mais de 60 desenvolvedores próprios, mais de 500 produtos digitais lançados, nota 5,0 no Clutch com 17 avaliações verificadas de clientes, entrega o código-fonte ao cliente e mantém uma frente de cibersegurança dedicada à correção de vulnerabilidades e à resposta a incidentes.

Na prática, a frente de cibersegurança atua nos dois momentos do problema. Antes do incidente, revisa backups, corrige vulnerabilidades e ajuda a definir RTO, RPO e plano de resposta. Durante o incidente, apoia a contenção, a investigação da porta de entrada e a restauração em ambiente limpo.

Para sistemas desenvolvidos pela Mind, continuidade entra no projeto desde o início: o cliente recebe o código-fonte, e a infraestrutura pode ser documentada para ser recriada em outro ambiente. Conheça a página de desenvolvimento de sistemas e o guia sobre LGPD e inteligência artificial em 2026 para entender as obrigações de proteção de dados.

Atualizado em outubro de 2026.

Perguntas frequentes

O que é a regra de backup 3-2-1?

É uma forma de organizar backups com três cópias dos dados, em dois tipos diferentes de armazenamento, sendo uma fora do local principal. Contra ransomware, recomenda-se que pelo menos uma cópia seja offline ou imutável. A restauração deve ser testada com regularidade.

Qual a diferença entre RTO e RPO?

O RTO é o tempo máximo aceitável até o sistema voltar a funcionar. O RPO é a quantidade máxima de dados que a empresa aceita perder, medida em tempo. O RPO define a frequência do backup, e o RTO define a estrutura de recuperação.

Backup em nuvem já é suficiente?

Não necessariamente. Se o backup estiver na mesma conta e com as mesmas credenciais do sistema principal, um invasor pode apagá-lo. O ideal é ter uma cópia em conta separada, com proteção contra alteração ou desconectada.

Com que frequência devo testar a restauração?

Uma boa referência é testar a restauração completa dos sistemas críticos pelo menos a cada seis meses, e após mudanças importantes. Testes menores, de arquivos e bancos isolados, podem ser feitos com mais frequência. O guia da EPA, citando referências do NIST, fala em testar backups com regularidade e, no mínimo, uma vez por ano.

Preciso comunicar a ANPD em caso de ransomware?

Se o incidente envolver dados pessoais e puder causar risco ou dano relevante aos titulares, sim. A Resolução CD/ANPD nº 15/2024 prevê comunicação em três dias úteis a partir do conhecimento do incidente. A avaliação de cada caso deve ser feita com apoio jurídico.

Pequenas empresas precisam de plano de continuidade?

Sim, em versão proporcional ao tamanho. Uma lista de sistemas críticos, backups 3-2-1 testados e um roteiro de resposta com contatos já reduzem muito o tempo de parada. Não é preciso seguir a ISO 22301 por completo para aproveitar sua lógica.

Fontes: Sophos: O Estado do Ransomware 2026 · Sophos: State of Ransomware in Brazil 2026 (PDF) · Sophos: The Impact of Compromised Backups on Ransomware Outcomes (PDF) · Uptime Institute Annual Outage Analysis 2026, via ITWeb Africa · CISA: #StopRansomware Guide · EPA: Protect, System Back Ups (PDF) · CERT.br: Cartilha de Segurança, fascículo Backup (PDF) · ISO 22301:2019 · Resolução CD/ANPD nº 15/2024, texto integral (LegisWeb)