Backups que resistem ao ransomware — A regra 3-2-1, armazenamento que não pode ser sobrescrito e verificar se é possível restaurar

Em ataques de ransomware, há muitos casos em que a organização tinha backups e mesmo assim não conseguiu restaurar. A causa mais comum é que os backups foram criptografados junto com todo o resto. Este artigo explica como montar backups que resistam a ataques, para os PCs com Windows e os servidores de arquivos de pequenas e médias empresas.

Há três pontos principais: ter uma cópia que um PC infectado não consiga sobrescrever, não usar as «versões anteriores» no lugar dos backups e verificar se é realmente possível restaurar. A regra 3-2-1 define quantas cópias manter e onde, mas sozinha deixa lacunas como defesa contra ransomware.

Os comandos deste artigo são apenas para Windows, e a saída foi verificada em um prompt de comando de administrador no Windows Server 2022. As telas de configuração e os preços dos produtos podem mudar, então consulte a documentação mais recente de cada fornecedor ao implantá-los.

Muitas empresas tinham backups, mas não conseguiram restaurar

A Agência Nacional de Polícia do Japão pergunta às empresas e organizações atingidas por ransomware sobre a situação dos seus backups. No relatório do primeiro semestre de 2025, 51 das 53 que responderam faziam backups. No entanto, das 48 às quais se perguntou se tinham conseguido voltar a partir do backup ao estado de logo antes do ataque, apenas 7 conseguiram e 41 não¹.

Das 35 que informaram o motivo de não conseguirem restaurar, 23 responderam «o backup também foi criptografado», 8 «falhas de operação» e 4 «outros»¹. O mesmo relatório diz que os grupos de ransomware apagam os logs e os backups das vítimas para eliminar seus rastros e impedir a recuperação. Em seguida, pede que os backups sejam guardados em um ambiente offline².

flowchart TB
        accTitle: Como é possível ter backups e não conseguir restaurar
        accDescr: Diagrama que mostra que, mesmo fazendo backups, eles são criptografados junto com o resto se estiverem ao alcance do PC infectado, e que, se o procedimento de restauração não foi verificado, falhas de operação impedem a restauração.
        A["Os backups são feitos"] --> B{"O PC infectado consegue alcançá-los?"}
        B -->|"Consegue"| C["Também são criptografados ou apagados"]
        B -->|"Não consegue"| D{"O procedimento de restauração foi verificado?"}
        D -->|"Não foi verificado"| E["Não é possível restaurar por falhas de operação"]
        D -->|"Foi verificado"| F["É possível restaurar"]

Figura 1: Os backups servem quando o PC infectado não consegue alcançá-los e o procedimento de restauração foi verificado.

Também há casos em que foi possível restaurar. A 4ª edição das «Diretrizes de medidas de segurança da informação para pequenas e médias empresas» do IPA traz o caso de uma construtora cujos servidores de arquivos e outros sistemas foram criptografados depois de uma invasão por um equipamento de VPN. Em parte porque a empresa fazia simulações de restauração duas vezes por ano, cinco dias depois de descobrir o ataque ela colocou seus sistemas principais de volta em funcionamento a partir dos backups. Mesmo assim, levou 41 dias para retomar cada sistema interno e quatro meses para retomar o acesso remoto, e perdeu pouco mais de 20 % dos seus arquivos internos³. Conseguir restaurar a partir dos backups não faz o dano desaparecer.

No diagrama, uma linha contínua indica uma relação que sempre se aplica e uma linha tracejada indica uma relação condicional (as condições aparecem em cada relação, na página de detalhes). A lista completa das relações (13 no total, com evidências e grau de certeza) e as definições dos principais conceitos estão reunidas na página de detalhes do mapa de conhecimento (em japonês). Dados: JSON-LD / Turtle

Os atacantes apagam os backups que conseguem alcançar

O guia #StopRansomware publicado pela CISA e outros órgãos dos Estados Unidos diz que muitas variantes de ransomware tentam encontrar e apagar ou criptografar os backups acessíveis, para que a vítima não consiga se recuperar sem pagar o resgate. Por isso, considera importante guardar os backups offline⁴.

A Microsoft também escreve que os atacantes se concentram em desativar o software de backup e recursos do sistema operacional, como as cópias de sombra de volume⁵. Entre os backups que um PC infectado consegue alcançar estão os seguintes.

• Discos externos sempre conectados ao PC
• Pastas compartilhadas de um NAS ou servidor de arquivos mapeadas para uma letra de unidade
• Pastas de sincronização na nuvem em que a conta de uso diário consegue gravar
• Cópias de sombra (versões anteriores) no mesmo volume

Até com os comandos que vêm no sistema operacional é possível apagar as cópias de sombra e o catálogo de backups. O MITRE ATT&CK classifica essa técnica como «Inhibit System Recovery» (T1490). Ali aparecem exemplos como apagar todas as cópias de sombra com vssadmin.exe delete shadows /all /quiet e apagar o catálogo de backups do Windows com wbadmin.exe delete catalog -quiet⁶. O guia da CISA também pede que se monitore o uso suspeito de vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) e ferramentas semelhantes⁴.

flowchart TB
        accTitle: Backups que um PC infectado consegue e não consegue alcançar
        accDescr: Diagrama que mostra que um PC infectado consegue gravar em discos externos sempre conectados, pastas compartilhadas mapeadas, pastas de sincronização e cópias de sombra, mas não em mídias desconectadas nem em armazenamento que não pode ser sobrescrito.
        P["PC infectado"] --> R["Lugares em que ele consegue gravar"]
        P -.-x N["Mídias desconectadas, armazenamento que não pode ser sobrescrito"]
        R --> A["Disco externo sempre conectado"]
        R --> B["Pasta compartilhada mapeada"]
        R --> C["Pasta de sincronização na nuvem"]
        R --> D["Cópias de sombra"]

Figura 2: Os backups guardados onde um PC infectado consegue gravar se tornam alvo do ataque.

Também é preciso ter cuidado com ataques que levam tempo. A Microsoft escreve que o ransomware às vezes criptografa aos poucos, deixando a chave no sistema. Enquanto isso, os usuários continuam usando os dados normalmente, então os backups de dados criptografados vão se acumulando sem que ninguém perceba. Quando tudo está criptografado e a chave é apagada, nem os backups recentes podem ser lidos⁵. Se você guarda só a geração mais recente, nesse caso não há para onde voltar.

As «versões anteriores» não substituem os backups

As «versões anteriores» do Windows e as cópias de sombra de pastas compartilhadas usam o serviço de cópias de sombra de volume (VSS). O provedor de sistema do VSS que vem com o Windows usa um método de cópia na gravação, que salva o conteúdo de um bloco em uma área de diferenças antes que ele seja sobrescrito, e assim reproduz o volume como estava em um determinado momento⁷.

Na documentação do VSS, a Microsoft explica assim a diferença entre cópias de sombra e backups. Quando os dados de uma cópia de sombra são copiados para uma mídia removível, como uma fita, o conteúdo dessa mídia passa a ser o backup. Depois da cópia, a própria cópia de sombra pode ser excluída⁷. A documentação também diz que, quando falta espaço na área de diferenças, as cópias de sombra mais antigas são excluídas primeiro⁷.

flowchart TB
        accTitle: A diferença entre cópias de sombra e backups
        accDescr: Diagrama que mostra que uma cópia de sombra é um conjunto de diferenças em relação ao volume original e é excluída por falta de espaço ou por um atacante, enquanto um backup copiado para outra mídia permanece mesmo que o volume original se perca.
        V["Volume original"] --> S["Cópia de sombra (diferenças)"]
        S --> L["Excluída a partir da mais antiga quando falta espaço"]
        S --> K["Excluída por um atacante com vssadmin"]
        S -->|"Copiar para outra mídia"| B["Backup"]
        B --> R["Permanece mesmo que o volume original se perca"]

Figura 3: As cópias de sombra dependem dos dados do volume original; o que é copiado para outra mídia é o backup.

As cópias de sombra são práticas para que os usuários recuperem sozinhos arquivos que sobrescreveram por engano. No entanto, como visto na seção anterior, os atacantes às vezes as apagam. O mecanismo e o uso são explicados em detalhes em «Volume Shadow Copy (VSS): The Mechanism and the Practice».

Para listar quais cópias de sombra restam, execute vssadmin list shadows em um prompt de comando de administrador. Esse subcomando pode ser usado tanto em clientes quanto em servidores⁸.

vssadmin list shadows

O histórico de versões e a lixeira do OneDrive e do SharePoint também permitem que os usuários recuperem arquivos. A Microsoft recomenda ensinar os usuários a restaurar todo o OneDrive para um momento anterior. Também diz para só deixar os usuários restaurarem quando houver certeza de que o atacante foi expulso, e para preparar uma medida para o caso de os usuários restaurarem também o malware⁵.

A regra 3-2-1 define quantas cópias e onde

A regra 3-2-1 é uma regra prática sobre como manter as cópias de backup. O documento «Data Backup Options», elaborado para o US-CERT em 2012, a explica assim⁹.

• 3: manter três cópias dos arquivos importantes, o original e dois backups.
• 2: guardá-las em dois tipos diferentes de mídia, para se proteger de tipos diferentes de desastre.
• 1: guardar uma cópia fora de casa ou do local de trabalho.

Como fonte, esse documento cita «The DAM Book», um livro sobre o gerenciamento de fotografias digitais do fotógrafo Peter Krogh⁹. A Microsoft também cita essa regra na documentação sobre backups para proteção contra ransomware, e descreve o «1» como «cópia externa ou fria»⁵.

O que a regra 3-2-1 pede é manter uma cópia fora da empresa. Ela não exige que a cópia externa esteja offline nem que não possa ser sobrescrita. Por isso, se a cópia externa estiver em uma nuvem em que um PC infectado sempre consegue gravar, ela pode ser criptografada junto com as cópias locais. O guia da CISA e a documentação da Microsoft citam o armazenamento offline como defesa contra ransomware. A Microsoft também cita o armazenamento que não pode ser sobrescrito⁴⁵.

flowchart TB
        accTitle: A regra 3-2-1 e a proteção contra ransomware
        accDescr: Diagrama que mostra que à regra 3-2-1 de três cópias, dois tipos de mídia e uma fora da empresa se acrescenta uma cópia offline ou que não pode ser sobrescrita, e depois se verifica se é possível restaurar.
        A["Três cópias"] --> B["Dois tipos de mídia"]
        B --> C["Uma fora da empresa"]
        C --> D["Uma offline ou que não pode ser sobrescrita"]
        D --> E["Verificar se é possível restaurar"]

Figura 4: À regra 3-2-1, acrescente uma cópia que um PC infectado não consegue sobrescrever e a verificação de que é possível restaurar.

O fornecedor de software de backup Veeam divulga isso como a «regra 3-2-1-1-0». Na documentação da Veeam, o «1» adicional significa manter uma cópia offline, isolada (air-gapped) ou imutável, e o «0» significa zero erros na verificação periódica da restauração¹⁰. É um nome que aparece na documentação de um fornecedor, não uma norma oficial. Ainda assim, os dois itens adicionais coincidem com o que a CISA e o IPA pedem.

Ter uma cópia que um PC infectado não consiga sobrescrever

Há duas formas principais de ter uma cópia que não pode ser sobrescrita: desconectar a mídia do PC e guardá-la, ou usar um armazenamento em nuvem em que os dados não podem ser sobrescritos nem apagados durante um período definido. Seja qual for a escolha, separe as permissões para gerenciar os backups do trabalho do dia a dia.

Desconectar a mídia do PC e guardá-la

Como exemplo de medida na sua autoavaliação, as diretrizes do IPA dizem para conectar ao PC os dispositivos e mídias usados para backup somente enquanto o backup é feito. Também citam definir como os backups são feitos, guardá-los em um lugar seguro e verificar regularmente se é possível restaurá-los¹¹.

Para a etapa em que a empresa leva o assunto mais a sério, as diretrizes citam o «isolamento físico». Trata-se de guardar os backups em um lugar fisicamente separado do sistema original, armazenando o armazenamento externo ou as fitas de backup o mais longe possível. Como exemplos de local de armazenamento, citam um cofre bancário, ou um parceiro comercial ou empresa coligada de confiança¹².

Um backup guardado assim, separado dos sistemas de produção, é chamado de backup offline. Um PC infectado não consegue gravar em uma mídia desconectada. Em compensação, são pessoas que conectam, desconectam e transportam as mídias, então backups são esquecidos ou a mídia não é levada para fora. Defina quem conecta a mídia, quem a desconecta e a leva ao local de armazenamento, e quando.

Usar um armazenamento em nuvem que não pode ser sobrescrito

O armazenamento em nuvem tem recursos que impedem que os dados sejam sobrescritos ou apagados durante um período definido. Eles guardam os dados em um estado chamado WORM (Write Once, Read Many).

No armazenamento imutável do Azure Blob Storage, ao definir uma política de retenção baseada em tempo, durante esse período os dados podem ser criados e lidos, mas não modificados nem excluídos¹³. A política é criada primeiro em estado desbloqueado, e você a bloqueia depois de testar. Uma política bloqueada não pode ser excluída, e seu período de retenção pode ser estendido, mas não encurtado¹³. A Microsoft explica que nem os usuários com permissões de administrador da conta conseguem modificar ou excluir os dados¹³.

O Object Lock do Amazon S3 tem dois modos. No modo de conformidade, ninguém, nem mesmo o usuário raiz da conta da AWS, pode sobrescrever ou excluir uma versão de objeto durante o período de retenção. No modo de governança, só os usuários com permissões especiais podem alterar ou remover as configurações de retenção¹⁴. O Object Lock só pode ser usado em buckets com o versionamento do S3 habilitado¹⁴.

flowchart TB
        accTitle: Dois exemplos de armazenamento que não pode ser sobrescrito
        accDescr: Diagrama que mostra que no armazenamento imutável do Azure Blob Storage uma política bloqueada não pode ser excluída nem ter o período de retenção encurtado, e que com o S3 Object Lock nem o usuário raiz pode excluir no modo de conformidade, enquanto no modo de governança permissões especiais permitem alterações.
        W["Armazenamento que não pode ser sobrescrito"] --> AZ["Armazenamento imutável do Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Depois de bloquear, a retenção não pode ser encurtada"]
        S3 --> C["Modo de conformidade"]
        S3 --> G["Modo de governança"]
        C --> C1["Nem o usuário raiz pode excluir"]
        G --> G1["Permissões especiais permitem alterações"]

Figura 5: Os dois armazenamentos recusam a sobrescrita e a exclusão durante um período definido; o rigor depende das configurações.

No Azure, mesmo que você perceba um erro de configuração depois de bloquear a política, não é possível encurtar o período de retenção¹³. O guia da CISA menciona que alguns provedores de nuvem oferecem armazenamento que não pode ser sobrescrito, e alerta que um erro de configuração pode gerar custos elevados. Também observa que ele pode não atender aos requisitos de certas regulamentações⁴. Se você definir um período de retenção longo e bloqueá-lo, durante esse período não poderá apagar os dados e continuará pagando pelo armazenamento. Comece testando sem bloquear ou com um período curto, verifique se é possível restaurar e só então aplique as configurações definitivas.

Separar as permissões para gerenciar os backups

Mesmo usando um armazenamento que não pode ser sobrescrito, se as configurações e políticas de backup puderem ser alteradas com a conta de administrador do dia a dia, um atacante pode alterá-las. A Microsoft recomenda exigir uma etapa adicional, como a autenticação multifator ou um PIN de segurança, antes que os backups online possam ser modificados ou excluídos. Também cita limitar as operações de backup e restauração a usuários com funções designadas, e reduzir os compartilhamentos de arquivos em que muitos usuários podem gravar e excluir⁵.

Mesmo que a mesma pessoa gerencie os PCs e os backups, não use a conta de gerenciamento do destino dos backups para entrar no PC no dia a dia, e proteja-a com autenticação multifator.

Manter várias gerações

As diretrizes do IPA citam o «gerenciamento de gerações», que consiste em manter backups de vários momentos. Isso permite voltar a um momento específico quando os dados são danificados ou perdidos¹². Como visto em uma seção anterior, se demorar para perceber a criptografia, os backups mais recentes conterão dados já criptografados. Defina quantas gerações manter com base no tempo que pode levar para perceber a criptografia e no custo do armazenamento.

flowchart TB
        accTitle: Três medidas para ter uma cópia que não pode ser sobrescrita
        accDescr: Diagrama que mostra guardar mídias desconectadas ou usar armazenamento que não pode ser sobrescrito, separar as permissões para gerenciar os backups das contas do dia a dia e manter várias gerações.
        A["Uma cópia que não pode ser sobrescrita"] --> B["Guardar mídias desconectadas"]
        A --> C["Armazenamento que não pode ser sobrescrito"]
        B --> D["Separar as permissões de gerenciamento"]
        C --> D
        D --> E["Manter várias gerações"]

Figura 6: Depois de definir onde guardá-la, separe as permissões de gerenciamento e mantenha gerações para poder voltar mesmo que perceba tarde.

Verificar se é possível restaurar

No relatório da Agência Nacional de Polícia, o segundo motivo mais comum para não conseguir restaurar foram as «falhas de operação»¹. Só é possível saber se um backup pode realmente ser restaurado tentando. O trabalho de restaurar de fato a partir do backup para verificar isso se chama teste de restauração.

As diretrizes do IPA dividem a operação de backup em três partes: fazer, guardar e recuperar. Para a recuperação, pedem que se elabore um plano de recuperação e se verifique que é possível restaurar corretamente³. Para os sistemas importantes para o negócio, pedem que a forma de fazer os backups e os procedimentos sejam ajustados ao objetivo de tempo de recuperação (RTO) e ao objetivo de ponto de recuperação (RPO), e que a eficácia seja verificada com simulações. O RTO é o tempo necessário para voltar ao nível desejado, e o RPO é o momento ao qual se volta, ou seja, o do backup mais recente¹⁵. O guia da CISA também pede que se verifique regularmente, pensando na recuperação de desastres, se os backups estão disponíveis e íntegros⁴.

flowchart TB
        accTitle: Como fazer um teste de restauração
        accDescr: Diagrama que mostra o fluxo de definir a ordem de restauração, restaurar em outro ambiente, comparar o tempo gasto e o ponto restaurado com o RTO e o RPO, e corrigir o manual de procedimentos.
        A["Definir a ordem de restauração"] --> B["Restaurar em outro ambiente"]
        B --> C["Comparar o tempo gasto com o RTO"]
        B --> D["Comparar o ponto restaurado com o RPO"]
        C --> E["Corrigir o manual de procedimentos"]
        D --> E
        E -.->|"Próxima verificação"| A

Figura 7: Tente restaurar, verifique se o tempo e o ponto atendem às metas e leve o resultado para o manual de procedimentos.

O que verificar

Com base na documentação do IPA e da Microsoft, o que verificar pode ser organizado assim.

A Microsoft recomenda primeiro identificar os sistemas indispensáveis para o negócio e fazer backup deles regularmente. A lista de prioridades de backup resultante se torna diretamente a lista da ordem de restauração. Como alta prioridade, cita em primeiro lugar os sistemas de autenticação, como o Active Directory, necessários para entrar em todos os outros sistemas⁵. Também recomenda fazer regularmente simulações de colocar o negócio de volta em funcionamento a partir de um estado em que todos os sistemas estão parados. Nessas simulações, considere que o e-mail e o chat também estão indisponíveis⁵.

A Microsoft escreve que os atacantes visam de propósito os manuais de restauração e os diagramas de rede. Recomenda protegê-los ou manter cópias impressas à mão⁵. Se o manual de procedimentos só existir no servidor de arquivos, não será possível lê-lo quando esse servidor de arquivos estiver criptografado.

Cuidados ao restaurar depois de um ataque

Depois de um ataque real, remova o próprio ransomware do ambiente antes de restaurar⁵. A Microsoft cita escolher um backup de um momento em que se sabe que não havia infecção, e verificar se o backup contém malware antes de restaurar⁵. O relatório da Agência Nacional de Polícia diz que os grupos de ransomware às vezes instalam software que pode ser controlado remotamente como porta dos fundos, para poder entrar de novo mesmo depois que o ponto de entrada for fechado². Antes de restaurar, é preciso investigar o caminho da invasão e o que os atacantes deixaram para trás.

flowchart TB
        accTitle: A ordem para restaurar a partir do backup depois de um ataque
        accDescr: Diagrama que mostra remover o próprio ransomware e o caminho da invasão, escolher um backup de um momento sem infecção, verificá-lo em busca de malware e então restaurar primeiro os sistemas de maior prioridade.
        A["Remover o próprio ransomware"] --> B["Investigar o caminho da invasão e o que foi deixado"]
        B --> C["Escolher um momento sem infecção"]
        C --> D["Verificar o backup"]
        D --> E["Restaurar primeiro o de maior prioridade"]

Figura 8: Depois de um ataque, remova o que os atacantes deixaram e confirme um momento sem infecção antes de restaurar.

Com que frequência verificar

Tanto as diretrizes do IPA quanto o guia da CISA pedem que se verifique «regularmente» se é possível restaurar, mas não indicam um número de vezes¹¹⁴. A empresa do caso do IPA apresentado antes fazia simulações de restauração duas vezes por ano³. Defina por quanto tempo o negócio pode ficar parado e quão antigo pode ser o ponto ao qual se volta, e verifique com uma frequência que permita confirmar que isso é cumprido.

O que definir primeiro

O que foi visto até aqui pode ser resumido como o que uma pequena ou média empresa deve definir primeiro.

flowchart TB
        accTitle: A ordem para definir backups que resistem ao ransomware
        accDescr: Diagrama que mostra a ordem de definir o escopo, definir onde guardar as cópias e a cópia que não pode ser sobrescrita, definir as permissões e as gerações, definir o RTO e o RPO e verificar se é possível restaurar.
        A["Definir o escopo"] --> B["Definir onde guardar as cópias"]
        B --> C["Definir a cópia que não pode ser sobrescrita"]
        C --> D["Definir permissões e gerações"]
        D --> E["Definir o RTO e o RPO"]
        E --> F["Verificar se é possível restaurar"]

Figura 9: Defina tudo em uma única sequência, do escopo até a verificação final de que é possível restaurar.

Na 4ª edição das diretrizes do IPA, «Faça backup!» foi acrescentado aos «cinco princípios básicos de segurança da informação» com os quais se começa, que passaram a ser seis¹⁶. Como percorrer as diretrizes como um todo está resumido em «Where Should SMEs Start on Security?». Se você planeja substituir servidores, veja também «Preparing for Windows Server 2016 End of Support».

Artigos relacionados

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Referências

Artigos relacionados

Artigos recentes que compartilham as mesmas tags. Aprofunde seu conhecimento com temas próximos.

Tópicos relacionados

Páginas de tópicos próximos a este tema. A partir do artigo, você pode seguir para serviços relacionados e outros artigos.

Serviços ligados a este tema

Este artigo se conecta às páginas de serviço abaixo. Escolha a porta de entrada mais próxima.

Perguntas frequentes

Reunimos as perguntas mais comuns, em consultas, sobre o tema deste artigo.

Se eu fizer backups, consigo restaurar tudo depois de uma infecção por ransomware?

Muitas vezes, só fazer backups não basta para restaurar. Nos danos compilados pela Agência Nacional de Polícia do Japão para o primeiro semestre de 2025, 41 das 48 empresas e organizações que faziam backups e responderam não conseguiram voltar ao estado de logo antes do ataque. O motivo mais comum foi que os backups também tinham sido criptografados. É preciso ter uma cópia que um PC infectado não consiga sobrescrever e verificar se é possível restaurar a partir dela.

Se o Windows tem as «versões anteriores», ainda preciso de backups?

Sim. As versões anteriores são cópias de sombra de volume, ou seja, diferenças guardadas no volume original. A Microsoft considera backup aquilo que é copiado de uma cópia de sombra para uma mídia como uma fita. O ransomware às vezes apaga as cópias de sombra com ferramentas como o vssadmin, então combine-as com backups em outra mídia.

Seguir a regra 3-2-1 basta para se proteger do ransomware?

Às vezes não basta. A regra 3-2-1 pede três cópias, dois tipos de mídia e uma cópia fora da empresa, mas não exige que a cópia externa esteja offline nem que não possa ser sobrescrita. Uma cópia na nuvem em que um PC infectado sempre consegue gravar pode ser criptografada da mesma forma. Acrescente uma cópia em mídia offline ou em um armazenamento que não pode ser sobrescrito.

Com que frequência devo verificar se consigo restaurar a partir dos backups?

Tanto as diretrizes do IPA quanto o guia da CISA dizem «regularmente» e não indicam um número de vezes. As diretrizes do IPA trazem o caso de uma empresa que fazia simulações de restauração duas vezes por ano e voltou a colocar seus sistemas principais em funcionamento cinco dias depois de descobrir o ataque. Defina por quanto tempo o negócio pode ficar parado e quão antigo pode ser o ponto ao qual se volta, e verifique com uma frequência que permita confirmar que isso é cumprido.

Perfil do autor

Página de perfil do autor do artigo.

Go Komura

Representante da KomuraSoft LLC

Atua principalmente com desenvolvimento de software para Windows, consultoria técnica e investigação de falhas, com especial força em projetos em que ativos existentes permanecem e em investigações de falhas cuja causa é difícil de enxergar.