Política de backup alinhada à LGPD e às normas do Banco Central

Quando um auditor, um cliente exigente ou o próprio regulador pergunta “qual é a política de backup da sua empresa?”, a resposta mais comum é constrangedora: “a gente tem backup rodando”. Ter backup rodando e ter uma política de backup são coisas diferentes, e a diferença aparece exatamente no momento em que alguém precisa comprovar como os dados são protegidos. Backup é a rotina técnica. Política é a decisão documentada que governa essa rotina — e é ela que se apresenta numa auditoria, não o print do software.

A ausência de política não é só um problema de papel. Sem ela, cada decisão de backup é improviso: ninguém sabe ao certo por quanto tempo cada tipo de dado deve ser guardado, o que pode ser descartado, quem responde se algo falhar. E numa era em que a LGPD cobra tratamento responsável de dado pessoal e vários setores têm regras próprias de guarda, esse improviso vira risco — de multa, de passivo, de perder um contrato porque não se conseguiu comprovar governança.

O que uma política de backup precisa definir

Uma política de backup útil não é um documento longo e genérico; é um conjunto de decisões claras sobre pontos que, na falta dela, ficam no ar. Alguns são inegociáveis.

O escopo: quais dados e sistemas entram no backup. Parece óbvio, mas é onde moram as surpresas — o banco de dados está coberto, mas e os arquivos naquele servidor esquecido? E os dados na nuvem, que muita gente acha que o fornecedor protege sozinho?

A frequência e o ciclo: com que periodicidade cada tipo de dado é copiado, e como as cópias se sucedem (diárias, semanais, mensais). Isso define quanto de dado se pode perder entre um backup e outro — decisão de negócio, não só técnica.

A retenção: por quanto tempo cada cópia é guardada. Aqui a política encontra a lei de frente. A LGPD trabalha com o princípio de que dado pessoal não deve ser guardado além do necessário — reter para sempre “por segurança” pode virar violação. Já outros dados têm prazo mínimo de guarda imposto por norma. A política precisa equilibrar os dois: guardar o que a lei exige, pelo tempo que ela exige, e não mais que isso quando se trata de dado pessoal.

A responsabilidade: quem é o dono da política, quem executa, quem verifica. Backup sem responsável é backup que um dia falha sem ninguém perceber.

A evidência: como se comprova que o backup rodou, terminou íntegro e é restaurável. Sem evidência registrada, a política é uma promessa. Isso conversa diretamente com o que já tratamos em estratégia de backup 3-2-1, que dá a estrutura técnica que a política formaliza.

LGPD e normas setoriais: o que a política precisa respeitar

A LGPD não escreve a sua política de backup, mas impõe limites que ela precisa respeitar. O dado pessoal deve ser mantido seguro — o que reforça a necessidade de backup e de controlar quem acessa essas cópias, tema das camadas de cibersegurança para empresas —, mas também não deve ser retido além da finalidade, o que significa que a política precisa prever descarte, e não só guarda. Um backup eterno de tudo, sem critério, contraria o espírito da lei quando envolve dado pessoal.

Setores regulados somam camadas. Instituições sob o Banco Central têm expectativas de continuidade e de guarda que a política de backup precisa refletir, no espírito do que tratamos em continuidade sob o BACEN. Cartórios, escritórios contábeis, clínicas e outros têm prazos legais de retenção próprios. A política de cada empresa precisa incorporar as regras do seu setor — motivo pelo qual ela nunca é um modelo pronto copiado da internet, e sim um documento feito sob medida.

Um ponto de honestidade: a Global Data implementa e documenta os controles técnicos que a política descreve — o que é copiado, como, por quanto tempo, com que evidência. A interpretação jurídica da LGPD e das normas do seu setor, e a validação legal da política, são responsabilidade da empresa e da sua assessoria jurídica. Não prometemos conformidade legal; entregamos a execução técnica que a torna sustentável.

Política sem evidência de execução é só papel

E aqui está a tese que vale para backup inteiro: o documento é metade; a outra metade é provar que ele acontece. Uma política que diz “fazemos backup diário com retenção de X e teste mensal de restauração” só tem valor se existir o registro de que o backup diário rodou, de que a retenção é respeitada, e de que o teste de restauração foi feito e funcionou. É a evidência que transforma a política de intenção em governança.

Por isso a política e a execução andam juntas. De um lado, o documento com as decisões; do outro, o monitoramento e os relatórios que comprovam que essas decisões viram realidade todo dia. Uma política linda com uma execução que ninguém verifica é o pior dos mundos: dá falsa segurança e não sobrevive a uma auditoria séria.

É esse conjunto que a Global Data trata como um projeto de backup em nuvem para empresas: ajudar a estruturar a política técnica de backup — escopo, ciclo, retenção, responsabilidade — e, principalmente, implementar a execução com a evidência que a comprova. O objetivo é que, quando alguém perguntar “qual é a sua política de backup?”, a resposta seja um documento sustentado por registros, não um “temos backup rodando”.

O ponto

Política de backup não é ter backup — é documentar as decisões que governam o backup e provar que elas acontecem. Alinhá-la à LGPD e às regras do seu setor é o que a torna defensável; ligá-la à evidência de execução é o que a torna real. Papel sem registro não passa em auditoria, e backup sem política é sorte esperando acabar.

Perguntas frequentes

Qual a diferença entre ter backup e ter uma política de backup?

Ter backup é a rotina técnica rodando. A política é o documento que governa essa rotina: o que é copiado, com que frequência, por quanto tempo é retido, quem responde e como se comprova a execução. É a política, não o software, que se apresenta em uma auditoria.

O que a LGPD exige de uma política de backup?

A LGPD impõe limites: o dado pessoal precisa ser mantido seguro, o que reforça a necessidade de backup protegido, mas também não deve ser retido além do necessário. A política precisa prever tanto a guarda quanto o descarte de dado pessoal, equilibrando segurança e limitação de retenção.

O que precisa constar na política de backup?

No mínimo: o escopo (quais dados e sistemas), a frequência e o ciclo das cópias, a retenção de cada tipo de dado, a responsabilidade por executar e verificar, e a evidência de que o backup rodou íntegro e é restaurável. Cada item cobre uma decisão que, sem a política, fica no improviso.

A Global Data garante a conformidade legal da política?

Não. Implementamos e documentamos os controles técnicos — escopo, ciclo, retenção, evidência de execução. A interpretação jurídica da LGPD e das normas do setor, e a validação legal da política, são responsabilidade da empresa e da sua assessoria jurídica.

Como comprovar que a política é cumprida?

Com evidência de execução: registros de que o backup rodou, de que a retenção definida é respeitada e de que os testes de restauração foram feitos e funcionaram. Sem esses registros, a política é apenas uma intenção. Solicite uma avaliação para estruturar backup com evidência.