Backup 3-2-1 ainda funciona em 2026? O que mudou com nuvem e ransomware

A regra de backup 3-2-1 tem mais de uma década de idade, velha o bastante para alguém perguntar se ainda faz sentido num mundo de nuvem, snapshot automático e ransomware que mira especificamente cópia de backup. A resposta curta: a regra continua válida, mas o "como" de cada parte dela mudou.

O que é a regra 3-2-1

• 3 cópias dos dados: a original mais 2 cópias.
• 2 tipos de mídia diferentes: por exemplo, disco local mais nuvem, ou disco mais fita.
• 1 cópia fora do local (offsite), protegendo contra incêndio, roubo ou desastre físico no site principal.

A CISA (agência de cibersegurança dos EUA) endossa essa regra como padrão de referência para proteção de dados de pequena e média empresa, e recomenda ainda automatizar o processo, combinar backup local e remoto, proteger o backup com criptografia e cópia offline, e testar restauração regularmente, não só confiar que o backup "está rodando".

O que ransomware mudou na prática

Ransomware moderno não se limita a criptografar os dados de produção: muitas variantes procuram ativamente por pasta de backup acessível na mesma rede e criptografam ou apagam isso também, justamente para eliminar a saída fácil de restaurar sem pagar resgate. Isso torna dois pontos da regra 3-2-1 ainda mais críticos do que eram há dez anos:

• O "offsite" precisa ser genuinamente isolado da rede de produção. Backup em pasta de rede compartilhada, acessível pelo mesmo usuário ou domínio comprometido, não conta como proteção real contra ransomware.
• Cópia imutável ou offline, que o próprio ransomware não consegue alcançar nem com credencial de administrador, virou item quase obrigatório, não mais opcional. A CISA já recomenda formalmente uma variante estendida, 3-2-1-1-0, que adiciona uma cópia imutável e exige zero erro de backup, validado por teste de restauração regular.

O que a nuvem mudou

Nuvem não substitui a lógica do 3-2-1, apenas muda onde as cópias moram. Um erro comum é achar que "está na nuvem" já cumpre a regra sozinha: se a única cópia é um snapshot de nuvem do mesmo provedor onde roda a produção, sem cópia independente em outro provedor ou modalidade, ainda existe ponto único de falha, inclusive para erro de configuração ou exclusão acidental dentro da própria plataforma de nuvem, que backup nativo de alguns serviços não cobre por padrão.

Checklist rápido para revisar hoje

• Sua empresa tem 3 cópias reais, não 3 "referências" ao mesmo arquivo?
• Pelo menos uma cópia está genuinamente isolada de rede e credencial de produção?
• Alguém já testou restaurar um arquivo, não só confirmar que o job de backup "rodou com sucesso"?

Se a resposta a qualquer uma dessas perguntas for "não sei", isso já é o próximo passo. Já cobrimos o básico de por onde começar um backup do zero: este post é o passo seguinte, para quem já tem alguma rotina, mas nunca revisou se ela resiste a ransomware.

Referências

CISA: Back Up Business Data