Backup não é segurança — e outras três confusões caras
Backup, antivírus, nuvem e senha forte parecem proteção completa — mas cada um cobre só uma fatia do risco. A pergunta certa é: contra qual cenário isso protege, e contra qual não?
Existe um conjunto de frases que circula nas empresas e que soa tranquilizador sem ser verdadeiro. Elas não são mentira exatamente — são meias-verdades que fazem a empresa parar de investigar cedo demais.
Estas são as quatro que eu mais encontro.
“Temos backup, então estamos protegidos”
Backup protege contra perda. Não protege contra vazamento.
São riscos diferentes e a confusão entre eles é a mais comum de todas. Se um banco de dados com informação de clientes for copiado por alguém que não deveria ter acesso, o backup não ajuda em nada: o dado continua íntegro na sua empresa e, ao mesmo tempo, na mão de outra pessoa. Você nem fica sabendo.
Há ainda um detalhe que costuma passar despercebido: backup conectado permanentemente ao mesmo ambiente do sistema principal é criptografado junto num ataque de ransomware. Para servir de proteção real, ele precisa de uma cópia isolada — e de um teste de restauração que alguém já tenha feito de verdade.
“Temos antivírus”
Antivírus continua sendo útil e não é o caso de abrir mão dele. O que ele não faz é impedir o cenário mais frequente.
A maior parte dos incidentes que eu acompanho não começa com um programa malicioso vencendo uma defesa técnica. Começa com alguém digitando a própria senha numa página que parecia legítima, ou autorizando um acesso que parecia rotineiro. Do ponto de vista do sistema, não houve invasão: houve um login válido.
É por isso que treinamento de equipe e verificação em duas etapas resolvem uma classe de problema que nenhum antivírus alcança.
“Está na nuvem, o provedor cuida”
Provedores de nuvem trabalham com um modelo de responsabilidade compartilhada. Eles respondem pela infraestrutura — o servidor, o datacenter, a disponibilidade do serviço. Você continua respondendo pela configuração: quem tem acesso, que permissões existem, o que está exposto publicamente e como os dados são tratados.
Boa parte dos vazamentos que aparecem no noticiário envolvendo serviços de nuvem não decorreu de falha do provedor. Decorreu de uma configuração de acesso deixada aberta por quem contratou.
Do ponto de vista da LGPD, vale reforçar: contratar um fornecedor não transfere a responsabilidade sobre os dados dos seus clientes. Ela continua com a sua empresa.
“Nossas senhas são fortes”
Senha forte protege contra tentativa de adivinhação. É um risco real, e resolver ajuda.
Só que a maior parte das contas comprometidas hoje não é adivinhada — a senha é obtida por outro caminho: um vazamento em outro serviço onde a mesma senha foi reaproveitada, ou uma página falsa em que a pessoa a digitou voluntariamente. Nesses dois casos, a força da senha é irrelevante. Ela foi entregue inteira.
O que muda o cenário é a verificação em duas etapas, porque ela quebra justamente a premissa de que conhecer a senha basta para entrar.
O padrão por trás das quatro
Em todas elas, a empresa fez alguma coisa — e é por isso que a conversa parou. Ter feito algo cria a sensação de estar coberto, e essa sensação é mais perigosa que não ter feito nada, porque interrompe a investigação.
A pergunta que costuma destravar não é “o que temos?”, e sim: contra qual cenário específico isso nos protege, e contra qual não?
Backup responde por perda. Antivírus responde por uma parte dos programas maliciosos. A nuvem responde pela infraestrutura. A senha responde pela adivinhação. Cada um cobre uma faixa, e as faixas descobertas são exatamente onde os incidentes acontecem.
Considerações finais
Não é preciso resolver tudo de uma vez, e nenhuma empresa resolve. O que ajuda é parar de tratar medidas isoladas como se fossem cobertura completa.
Se você fizer uma única coisa depois de ler isto, faça o teste de restauração do backup. É a confusão mais comum da lista e a única em que a descoberta chega no pior dia possível.
Este texto é uma orientação prática, não um parecer jurídico.