AleffTech.
infra-ai-ready seguranca

Backup imutável: por que seu backup atual pode não servir pra nada

Ter backup não basta se ele pode ser apagado ou criptografado junto com o resto. Veja o que é backup imutável e por que isso muda a conversa sobre risco.

Por Aleff · · 6 min de leitura

Backup imutável é uma cópia dos seus dados que ninguém consegue editar nem apagar até um prazo definido, nem o administrador do sistema. Ele existe por um motivo simples: backup que um invasor apaga não protege ninguém.

A pergunta que quase nenhuma empresa fez sobre o próprio backup é esta: quem consegue alterar ou apagar essa cópia, e com que facilidade? Se a resposta for “quem tiver a senha de administrador”, seu backup corre o mesmo risco que ele deveria cobrir.

Por que ter backup não garante que você consegue recuperar?

Porque o atacante também conhece backup. A CISA (Cybersecurity and Infrastructure Security Agency), no guia #StopRansomware de 2023, afirma que muitas variantes de ransomware tentam localizar e apagar ou criptografar os backups acessíveis, para que a restauração só seja possível mediante o pagamento do resgate.

Uma pesquisa da Sophos de 2024, com 2.974 organizações atingidas por ransomware no ano anterior, trouxe um número na mesma direção. Em 94% dos casos, os atacantes tentaram comprometer os backups durante o ataque. É uma pesquisa de fornecedor de segurança, mas ela confirma o que o guia da CISA descreve.

A conclusão prática é direta. Backup na mesma rede, com a mesma credencial, sem trava de retenção, tende a cair junto com o ambiente principal.

O ransomware é um risco relevante para empresa de médio porte?

É. O Verizon DBIR 2025 (Data Breach Investigations Report) analisou milhares de violações de dados. O relatório aponta ransomware presente em 44% das violações analisadas, contra 32% no ano anterior.

O mesmo relatório mostra que o peso é maior nas empresas menores. Nas pequenas e médias empresas, 88% das violações envolveram ransomware. Nas grandes organizações, o índice foi de 39%.

Não leia isso como previsão sobre a sua empresa. Leia como motivo para fazer uma pergunta objetiva ao seu time ou fornecedor: o que acontece com o nosso backup se o ambiente principal for comprometido hoje?

O que é backup imutável e como funciona?

A imutabilidade é uma trava na política de armazenamento. Enquanto o prazo de retenção não vence, o sistema bloqueia edição e exclusão daquele conjunto de dados. Essa regra não depende de permissão de usuário. Por isso, vale mesmo contra quem tem acesso administrativo total.

Na prática:

  • O invasor com credencial de administrador não consegue apagar a cópia protegida.
  • O funcionário que comete um erro também não.
  • A cópia mais recente anterior ao incidente continua disponível para restauração.

A CISA cita duas medidas ligadas a isso. Uma é usar armazenamento imutável, que alguns fornecedores de nuvem oferecem. A outra é ativar proteção contra exclusão ou bloqueio de objetos nos recursos mais visados em ataques. O mesmo guia recomenda manter backups offline e criptografados.

Basta ter uma cópia em outro lugar?

Ajuda, mas a localização sozinha não resolve. O CIS (Center for Internet Security), nos CIS Controls v8, inclui a salvaguarda 11.4: manter uma instância isolada dos dados de recuperação. A ideia é que a cópia fique fora do alcance de quem compromete o ambiente de produção.

Combine três camadas:

  1. Isolamento. A cópia não compartilha credenciais nem rede aberta com a produção.
  2. Imutabilidade. A cópia não pode ser apagada até o prazo vencer.
  3. Teste. A restauração é ensaiada, com resultado registrado.

O NIST (National Institute of Standards and Technology) segue a mesma lógica no Cybersecurity Framework 2.0, de 2024. A subcategoria PR.DS-11 pede que os backups de dados sejam criados, protegidos, mantidos e testados. Quatro verbos, e a maioria das empresas cumpre só o primeiro.

Por que a imutabilidade costuma ficar desligada?

Raramente por custo. Em geral, o motivo é um destes:

  • Configuração de fábrica. Alguém contratou o backup para “ter backup” e ninguém revisou as opções.
  • Prioridade adiada. O time sabe que a opção existe, mas nenhum incidente forçou a conversa.
  • Responsabilidade partida. Backup fica com uma área ou fornecedor, segurança com outro, e ninguém responde se a cópia sobrevive a um ataque.

O terceiro motivo é o mais comum e o mais difícil de ver de dentro. É um problema de decisão, não de ferramenta. Alguém precisa ser dono da pergunta.

Imutabilidade substitui o teste de restauração?

Não. São riscos diferentes. A imutabilidade protege contra exclusão maliciosa ou acidental. O teste protege contra a ilusão de que o backup funciona só porque existe.

Uma cópia imutável pode estar corrompida, incompleta ou depender de um componente que ninguém capturou. Só um teste mostra isso. A CISA recomenda testar com regularidade a disponibilidade e a integridade dos backups em um cenário de recuperação de desastres.

Há ainda um cuidado do próprio guia da CISA: o armazenamento imutável não atende critérios de algumas regulações. Se o backup guarda dados pessoais, o prazo de retenção e o tratamento de pedidos de exclusão precisam passar pelo jurídico e pelo encarregado de dados, à luz da LGPD (Lei 13.709/2018), cujo artigo 46 exige medidas de segurança que protejam os dados contra destruição, perda e alteração.

Que perguntas fazer ao fornecedor hoje?

Leve estas cinco ao seu time interno ou ao fornecedor de backup:

  1. A cópia fica isolada da rede e das credenciais de produção?
  2. Existe trava de retenção ativa (imutabilidade ou bloqueio de objetos)? Por quantos dias?
  3. Esse prazo foi definido com base no tempo que levamos para detectar um incidente?
  4. Quando foi o último teste de restauração completo, e quanto tempo levou?
  5. Quem é o dono dessas respostas na empresa?

Se alguma resposta for “não sei”, você achou o trabalho. Uma lacuna de configuração custa pouco para fechar agora e muito para descobrir durante um incidente.

O que muda no dia em que o incidente acontece?

Sem imutabilidade, a primeira hora vira uma investigação: sobrou alguma cópia? Está íntegra? De quando é? Com a trava ativa e a restauração testada, a conversa muda. Você já sabe qual é o último ponto limpo, quanto tempo a volta leva e quem autoriza cada passo.

Essa diferença não elimina o incidente. Ela reduz a incerteza sobre como sair dele, e incerteza é o que mais custa quando o negócio está parado.

Quem deve ser dono dessa decisão na sua empresa?

Esse é o ponto em que o backup deixa de ser assunto técnico. Definir janela de retenção, escolher fornecedor, aceitar um tempo de recuperação e equilibrar custo com risco são decisões de gestão. Em muitas empresas, elas ficam sem dono porque não existe uma liderança de TI dedicada a tomá-las.

A Direção de Tecnologia da AleffTech cobre essa lacuna. É um Head de TI terceirizado: ele mapeia riscos, define prioridades, controla custos, mantém o roadmap, avalia fornecedores e decide com você, com a execução delegada a equipes técnicas e parceiros. Num caso como este, ele responderia às cinco perguntas acima, colocaria um responsável em cada uma e levaria à diretoria as decisões que dependem de orçamento ou de risco aceito.

O diagnóstico do ambiente faz parte do onboarding, depois da contratação. Ele serve para a Direção começar com os fatos da sua empresa, não com suposições.

Se você já paga por backup e não sabe responder se ele sobrevive a um ataque, fale com a gente sobre a Direção de Tecnologia.

Fontes

Perguntas frequentes

Qual a diferença entre backup normal e backup imutável?

Backup normal pode ser alterado ou apagado por quem tem acesso de administrador ao sistema de backup, inclusive um invasor que roubou essas credenciais. Backup imutável aplica uma trava de retenção: ninguém edita nem exclui a cópia até o prazo configurado vencer, nem o administrador. A trava vale contra o erro interno e contra o ataque.

Se eu já tenho backup, isso não basta?

Depende de onde ele vive. Se o backup fica na mesma rede e usa as mesmas credenciais do resto da infraestrutura, quem invade o ambiente principal chega nele. A CISA, agência de cibersegurança dos Estados Unidos, alerta que muitas variantes de ransomware procuram e apagam ou criptografam os backups acessíveis para impedir a restauração.

Backup imutável substitui o teste de restauração?

Não. A imutabilidade garante que a cópia não foi apagada nem alterada. O teste de restauração garante que o sistema volta ao ar no estado e no prazo esperados. Uma cópia imutável nunca restaurada em teste ainda pode falhar na hora de usar. A CISA recomenda testar a disponibilidade e a integridade dos backups com regularidade.

Backup imutável é caro ou complicado?

Depende do volume de dados e da ferramenta atual. Alguns fornecedores de nuvem oferecem armazenamento imutável, e a CISA recomenda ativar proteção contra exclusão ou bloqueio de objetos nos recursos mais visados em ataques de ransomware. Muitas vezes o obstáculo é que ninguém configurou, não o custo. Confirme no seu fornecedor o que já está incluído.

Por quanto tempo o backup deve ficar imutável?

Não existe prazo universal. Defina a janela a partir do tempo que a empresa leva para detectar um incidente e do ponto de recuperação aceitável para o negócio. Evite aceitar o prazo padrão do fornecedor sem essa conta. Se o prazo for menor que o tempo de detecção, a cópia pode vencer antes de você descobrir o problema.

Backup imutável pode conflitar com a LGPD?

Pode exigir atenção. A CISA adverte que o armazenamento imutável não atende critérios de algumas regulações. Se a cópia guarda dados pessoais, defina com o jurídico e o encarregado de dados o prazo de retenção e como tratar pedidos de exclusão antes de ativar a trava.