Backup e segurança para empresas que não podem perder dados.

Depende do volume de dados, de quantas versões antigas você quer guardar, de ter servidor e de quantos computadores entram na rotina. Some o espaço na nuvem e o trabalho de configurar, acompanhar e testar. Na Infcamp, o valor sai do diagnóstico gratuito, para o seu caso.

São três cópias de cada arquivo importante (o original e dois backups), em dois tipos de mídia diferentes, com uma delas fora da empresa. A regra está num guia feito para o US-CERT e publicado pela CISA, a agência de cibersegurança dos EUA, que lembra: um único backup pode não bastar.

Sozinhos, não. Eles sincronizam: se um arquivo é apagado ou criptografado no computador, a mudança vai para a nuvem. O Microsoft 365 permite desfazer até 30 dias de alterações no OneDrive, e a lixeira do Drive guarda o que foi apagado por 30 dias. Ajuda, mas não substitui uma cópia separada e testada.

Restaurando. De tempos em tempos, recupere arquivos e pastas a partir do backup e confira se abrem. A CISA recomenda testar a disponibilidade e a integridade das cópias, e o CERT.br pede para acompanhar as notificações do backup. Cópia que nunca foi restaurada é só uma suposição.

Mantenha sistemas e programas atualizados, use antivírus corporativo, ative a verificação em duas etapas e treine a equipe para desconfiar de links e anexos. Não deixe a área de trabalho remota (RDP) aberta na internet. E guarde backup atualizado fora da rede: para o CERT.br, ter backup atualizado é a única garantia de recuperar os dados.

Isole na hora as máquinas afetadas: tire o cabo de rede ou desconecte do Wi-Fi. Só desligue o aparelho se não der para desconectar, porque desligar apaga evidências da memória. Depois, ache por onde o ataque entrou e restaure do backup offline, começando pelo que é crítico. Pagar o resgate não garante os dados de volta.

Muda a burocracia, não o dever de proteger os dados (art. 46): não precisa indicar encarregado (DPO), basta um canal para o titular, e o prazo para comunicar incidentes dobra. Fica de fora a empresa que faz tratamento de alto risco ou passa do teto de receita de pequeno porte, sozinha ou com o grupo econômico.

Três dias úteis, contados de quando a empresa soube que dados pessoais foram atingidos; para pequeno porte fora do alto risco, o prazo dobra. Vale para incidente que possa causar risco ou dano relevante, e o aviso vai à ANPD, pelo SEI, e aos titulares. Todo incidente, mesmo o não comunicado, deve ficar registrado por pelo menos 5 anos.