Cópias de Segurança e Recuperação de Desastres para PME (2026)

Quase nenhuma PME pensa em cópias de segurança até ao dia em que precisa delas. E nesse dia já é tarde. Um disco que morre, um ransomware que cifra tudo, um colaborador que apaga a pasta errada, um erro numa atualização que corrompe a base de dados. Nenhum destes cenários é raro, e todos têm o mesmo desfecho consoante uma única variável: existia uma cópia recente e testada, ou não.

A parte que apanha as empresas desprevenidas é que "ter backups" e "conseguir recuperar" não são a mesma coisa. Há empresas que descobrem, no pior momento possível, que a cópia não corria há meses, que ninguém sabe como a restaurar, ou que o backup estava na mesma máquina que o ransomware cifrou. Uma cópia que nunca foi testada é uma suposição, não uma salvaguarda.

Este guia explica, sem jargão, o que uma PME deve salvaguardar, o que significam os dois números que decidem tudo (RTO e RPO), e quanto custa montar um plano que funciona a sério. A conclusão adianta-se: um plano decente é barato face ao que evita, e a alternativa, não ter nenhum, é a mais cara de todas.

Backup não é o mesmo que recuperação

Fazer uma cópia é metade do trabalho. A outra metade, a que quase toda a gente esquece, é conseguir voltar a pôr tudo a funcionar a partir dela, depressa e sem surpresas. Um plano a sério cobre as duas.

• Cópia. Os dados são copiados regularmente para um sítio seguro. Automático, não "quando alguém se lembra".
• Fora do local. Pelo menos uma cópia vive noutro sítio, fora do escritório e fora da máquina original. Ransomware e incêndios não distinguem o servidor do disco de backup ao lado.
• Testada. A recuperação é ensaiada de tempos a tempos. Restaurar uma cópia num ambiente de teste é a única forma de saber que ela presta antes de a vida depender disso.

RTO e RPO: os dois números que decidem tudo

Todo o plano de recuperação se resume a duas perguntas, e vale a pena respondê-las antes de gastar um euro.

• RTO (Recovery Time Objective). Quanto tempo o negócio aguenta parado? Uma hora? Um dia? Uma semana? É o tempo máximo aceitável entre o desastre e ter tudo de novo a funcionar.
• RPO (Recovery Point Objective). Quantos dados pode perder? Se a última cópia foi há 24 horas, um desastre agora custa-lhe um dia de trabalho. Se o negócio não aguenta perder mais de uma hora, precisa de cópias de hora a hora.

Estes dois números definem o custo. Um RTO de uma semana e um RPO de um dia resolvem-se com pouco. Um RTO de uma hora e um RPO de minutos exigem replicação em tempo real e custam bastante mais. O erro comum é não escolher: sem estes números definidos, compra-se a menos (e descobre-se no desastre) ou a mais (e paga-se por garantias que não precisa).

O que uma PME deve salvaguardar

"Fazer backup ao servidor" já não chega, porque os dados de uma PME de 2026 estão espalhados por muito mais sítios do que uma máquina na cave.

• Ficheiros e documentos. As pastas partilhadas, os contratos, a contabilidade. O óbvio, e ainda assim o mais esquecido quando vive só no portátil de alguém.
• Bases de dados e aplicações de gestão. O ERP, o CRM, o software de faturação. Aqui não basta copiar ficheiros; é preciso salvaguardar a base de dados de forma consistente.
• Microsoft 365 e Google Workspace. Muitas empresas assumem que a Microsoft ou a Google guardam tudo para sempre. Não guardam. O e-mail apagado e o ficheiro do SharePoint têm janelas de retenção curtas, e a responsabilidade pela cópia de longo prazo é sua.
• Sites e lojas online. A loja e a base de dados de encomendas. Uma hora em baixo numa loja online é dinheiro que não volta.
• Configurações e acessos. Saber como estava tudo montado. Recuperar dados sem saber reconstruir o sistema à volta deles é meio caminho.

Quanto custa (e quanto custa não ter)

Ao contrário do que se pensa, um plano de recuperação para uma PME não é um investimento pesado. As faixas típicas em Portugal, em 2026:

• Backup cloud gerido, PME pequena: entre 30€ e 150€ por mês, conforme o volume de dados e a frequência das cópias.
• Backup de Microsoft 365 ou Google Workspace: tipicamente 3€ a 6€ por utilizador por mês, à parte do backup dos servidores.
• Plano de continuidade com RTO curto: replicação e failover para um ambiente secundário levam o valor para várias centenas de euros por mês, e justificam-se quando cada hora parado dói mesmo.

Compare com o outro lado da conta. O custo de um dia parado (salários a correr, encomendas perdidas, clientes que ligam sem resposta) chega quase sempre aos milhares. Um ataque de ransomware sem cópia recente pode fechar a empresa: uma boa parte das PME atingidas sem recuperação viável não sobrevive ao ano seguinte. A pergunta certa não é "quanto custa o plano", é "quanto custa uma semana sem os nossos dados".

Por onde começar

Não é preciso montar tudo de uma vez. A ordem que funciona: primeiro escreva o RTO e o RPO que o negócio realmente tolera, área a área. Depois faça o inventário do que existe e onde vive, incluindo o 365 e as aplicações cloud que ninguém lembra. A seguir automatize as cópias com a regra 3-2-1 e uma cópia imutável. E, o passo que quase ninguém dá, marque no calendário um teste de recuperação a cada trimestre. Uma cópia que nunca restaurou não conta.

Se está a pensar mudar sistemas para a cloud, é o momento certo para desenhar isto de raiz, e o nosso guia de migração para a cloud para PME trata dessa parte. Do lado das ameaças que tornam tudo isto urgente, as principais ameaças de cibersegurança às PME em Portugal mostra contra o que este plano o protege.