Regra 3-2-1 de backup: o que é e como aplicar na sua empresa

A regra 3-2-1 de backup diz: mantenha 3 cópias dos dados (a original e mais duas), em 2 tipos diferentes de armazenamento, com 1 cópia fora da empresa. Para resistir a ransomware, essa cópia externa precisa ficar desconectada ou protegida contra alteração. E a regra só vale se a restauração for testada.

O que é a regra 3-2-1 de backup?

É uma convenção de mercado para não depender de um único ponto de falha. Cada número tem uma função.

• 3 cópias: o dado em produção e mais duas cópias de segurança. Se uma cópia falhar, ainda resta outra.
• 2 tipos de armazenamento: por exemplo, um storage local e um serviço em nuvem. Uma falha que afete um tipo de mídia não atinge o outro.
• 1 cópia fora do local: em outro prédio, outra cidade ou na nuvem. Incêndio, enchente ou furto no escritório não levam tudo junto.

A regra não é norma oficial. Mas ela traduz recomendações de órgãos de segurança. O fascículo Backup do CERT.br orienta ter pelo menos 2 cópias dos dados, armazenar as cópias em locais diferentes e não deixar as mídias conectadas o tempo todo.

Por que a regra 3-2-1 importa contra ransomware?

Porque o ataque mira o backup. O CERT.br descreve o ransomware que cifra os dados e apaga os backups para que a vítima não consiga mais recuperá-los. Se todas as cópias estão na mesma rede e acessíveis com a mesma senha de administrador, o atacante criptografa tudo de uma vez.

Os números mostram o peso do backup na recuperação. Segundo o relatório State of Ransomware 2025, da Sophos, que ouviu 3.400 líderes de TI e segurança em 17 países, 50% dos ataques resultaram em criptografia de dados. Backups foram usados para restaurar os dados em 54% dos incidentes, o menor índice em seis anos. E 49% das vítimas pagaram o resgate para recuperar os dados.

Ou seja: quase metade pagou. Ter uma cópia que o atacante não alcança é o que dá à empresa a opção de não pagar.

Por isso o guia #StopRansomware da CISA, agência de cibersegurança dos Estados Unidos, recomenda manter backups offline e criptografados dos dados críticos. O guia também cita o armazenamento imutável, oferecido por alguns provedores de nuvem, como forma de proteger os dados guardados.

Como aplicar a regra 3-2-1 na minha empresa?

Comece pelo que não pode parar. Depois monte as cópias.

1. Liste os dados críticos. ERP, banco de dados financeiro, arquivos de projeto, e-mail. Defina quanto tempo de dados a empresa aceita perder em cada um.
2. Cópia 1 — local e rápida. Um storage ou servidor de backup na própria empresa. Serve para restaurações do dia a dia, como um arquivo apagado por engano.
3. Cópia 2 — fora do escritório. Nuvem ou outro site físico. Serve para desastres que atinjam o prédio.
4. Isole uma das cópias. Use mídia desconectada, armazenamento imutável ou credenciais separadas das da rede. O objetivo é que uma conta de administrador invadida não consiga apagar essa cópia.
5. Criptografe. Tanto a cópia em trânsito quanto a armazenada. O CERT.br orienta habilitar criptografia sempre que possível.
6. Teste a restauração. A CISA recomenda testar regularmente a disponibilidade e a integridade dos backups em um cenário de recuperação de desastre.

Um exemplo com valores ilustrativos: uma empresa com 500 GB de dados críticos vai ocupar cerca de 1,5 TB somando as 3 cópias, antes de contar retenção de versões antigas e compressão. A conta ajuda a dimensionar o armazenamento, mas cada ambiente tem números próprios.

Sincronizar com OneDrive ou Google Drive já conta como backup?

Não, sozinho não conta. A sincronização replica as mudanças. Se um arquivo for apagado ou criptografado no notebook, a alteração vai para a nuvem também. Backup guarda versões independentes, com retenção definida, que podem ser restauradas a um ponto anterior ao problema.

A sincronização tem seu papel: facilita o trabalho e o acesso de qualquer lugar. Mas ela não substitui as cópias da regra 3-2-1.

Quando a regra 3-2-1 não resolve?

A regra organiza as cópias. Ela não garante a recuperação sozinha. Ela falha quando:

• Ninguém testa a restauração. O backup pode estar corrompido, incompleto ou lento demais para restaurar no prazo que o negócio precisa.
• Todas as cópias usam a mesma credencial. Se o atacante tem a senha de administrador, as 3 cópias viram 1 só.
• A cópia "externa" fica sempre conectada. Um disco plugado no servidor 24 horas por dia está ao alcance do ransomware.
• O backup não cobre tudo. Notebooks de quem trabalha remoto, dados de aplicações em nuvem e configurações de sistemas costumam ficar de fora.
• O ataque não é detectado a tempo. Se o invasor fica semanas na rede, as cópias mais recentes já podem conter arquivos comprometidos.

Também vale lembrar que backup recupera dados, mas não evita o vazamento. Se o atacante copiou informações antes de criptografar, restaurar o ambiente não desfaz a exposição. Por isso o backup é uma camada, não a defesa inteira. Ele também não reduz o custo de parada se a restauração demorar; veja quanto custa para uma empresa parar.

Como a Lenanzo Tech ajuda a proteger o ambiente que o backup cobre?

A Lenanzo Tech atua nas camadas em volta do backup, para reduzir a chance de o ataque chegar às cópias e para encurtar o tempo até a resposta.

• Observabilidade e gestão de riscos: monitora rede, aplicações e usuários para identificar comportamento anormal mais cedo, antes que as cópias recentes sejam afetadas.
• Proteção de endpoint e firewall: bloqueia o ransomware nas máquinas e no perímetro, com tecnologia de fabricantes parceiros como a Sophos.
• Gestão de acesso privilegiado com Senha Segura 360°: protege as contas de administrador, que são as que conseguem apagar backups.
• Gestão de endpoints e sistemas: mantém atualizações em dia, combinando patching com detecção, como explicamos em defesa em camadas com patching e EDR/XDR.

Quer revisar como seu ambiente está exposto antes de um incidente? Fale com a equipe da Lenanzo Tech.

Perguntas frequentes

A regra 3-2-1 é obrigatória por lei?

Não. É uma boa prática de mercado, não uma exigência legal. Ela ajuda a empresa a mostrar que trata a proteção dos dados com método.

A nuvem pode ser a cópia externa?

Sim. Desde que use canal seguro, criptografia e, de preferência, armazenamento imutável ou credenciais separadas das da rede da empresa.

Existe uma versão mais rígida da regra?

O mercado usa variações, como acrescentar uma cópia offline ou imutável e a verificação de que o backup restaura sem erros. A ideia é a mesma: uma cópia fora do alcance do atacante e testada.

Com que frequência devo testar a restauração?

Com regularidade e sempre após mudanças grandes no ambiente. A CISA recomenda testar a disponibilidade e a integridade dos backups em cenário de recuperação de desastre.

Pequena empresa precisa seguir a regra 3-2-1?

Sim. O risco de perder dados não depende do tamanho. A escala muda: uma PME pode combinar um disco local com um serviço de nuvem.

Fontes

• CERT.br — Cartilha de Segurança para Internet, fascículo "Backup" (2023). https://cartilha.cert.br/guardiao/fasciculo-backup-egc.pdf — consultado em 08/10/2026.
• CISA (Cybersecurity and Infrastructure Security Agency) — #StopRansomware Guide. https://www.cisa.gov/stopransomware/ransomware-guide — consultado em 08/10/2026.
• Sophos — The State of Ransomware 2025 (versão em português). https://assets.sophos.com/X24WTUEQ/at/fj6v7pq99ccpncg7gmswj8pk/sophos-state-of-ransomware-2025-ptbr.pdf — consultado em 08/10/2026.