Plano De Salvação Passo A Passo

O que é um plano de salvamento e por que ele existe

Um plano de salvamento é o documento que descreve como você recupera dados, sistemas ou processos depois que algo dá errado. A maioria das pessoas pensa nele como uma lista genérica de backups, mas na prática é muito mais específico do que isso. Envolve cronogramas, responsabilidades, procedimentos de restauração e testes periódicos. Se você simplesmente Copia e Cola arquivos para um HD externo todo mês e torce para que dê certo, isso não é um plano de salvamento passo a passo. Isso é esperança com computador.

Vejo isso acontecer todo dia. Empresas chegam até mim com um disco rígido de 2 terabytes cheio de pastas com nomes como backup_final_e_actualizado_e_nao_sera_excluido.zip. Depois de abrir o arquivo, a data da cópia é de março de 2023. Eles perderam meses de trabalho porque nunca testaram se os backups eram realmente íntegros.

plano de salvação passo a passo na prática

Aqui está como eu estruturo isso quando monto um plano real para um cliente, e não o texto teórico que todo mundo copia da internet.

Fase 1: Inventário dos ativos críticos. Antes de escrever uma linha de procedimento, você precisa saber exatamente o que está em risco. Não "todos os dados da empresa." Liste os sistemas, os bancos de dados, os arquivos de configuração, as chaves de criptografia, os certificados digitais. Eu once passei três horas tentando restaurar um sistema inteiro só para descobrir que a chave de criptografia do banco de dados estava em um pen drive que ninguém mais tinha acesso. Perdi meia manhã. Desde então, exijo que todas as credenciais e chaves sejam documentadas em um cofre acessível antes de qualquer plano ser considerado válido. Fase 2: Definição de RPO e RTO. RPO é a quantidade máxima de dados que você pode aceitar perder. RTO é o tempo máximo que você pode ficar fora do ar. Essas duas métricas ditam tudo o que vem depois. Se o RPO é de 4 horas e o RTO é de 30 minutos, você não pode depender de restore a partir de fita. Você precisa de replicação em tempo quase real. Se o RPO é de 24 horas e o RTO é de 8 horas, talvez um backup diário em disco já resolva. A maioria dos planos falha porque as pessoas escolhem a tecnologia primeiro e definem os requisitos depois. A ordem correta é oposta.

Fase 3: Escolha do método de backup. Full, incremental, diferencial, snapshot. Cada um tem trade-offs que não aparecem em tutoriais genéricos. Backup incremental economiza espaço e banda, mas a cadeia de restauração depende de todos os backups incrementais serem íntegros. Se um deles corromper, você perde tudo depois dele. Backup full é mais lento e ocupa mais espaço, mas a restauração é direta. No meu caso, uso uma estratégia híbrida: full semanal, incremental diário, e uma validação automática de integridade rodando toda madrugada. O script de validação verifica checksums e compara tamanhos de arquivo. Se algo falhar, ele gera um alerta antes que você precise restaurar e descubra que o backup está corrompido. Fase 4: Documentação procedural. Aqui é onde a maioria para e chama de pronto. Documentar é o trabalho mais ignorado e o mais importante. Cada passo precisa ter quem faz, o quê, quando e como. Não escreva "restaurar o backup." Escreva "executar restore_db.sh no servidor primário, verificar log de sucesso em /var/log/restore.log, confirmar conectividade com a aplicação."

Erros comuns que fazem planos falharem

Backup sem teste de restauração. Isso soa óbvio, mas é o erro mais frequente. Você pode passar semanas configurando um sistema de backup perfeito e ainda assim não saber se ele funciona até tentar restaurar. Eu já vi DBAs confiarem em scripts de backup que pareciam bem-sucedidos nos logs enquanto, na verdade, estavam salvando arquivos vazios por um erro de path que só apareceu no teste de restore. Teste de restauração deve ser parte obrigatória do plano, não uma ideia para "talvez fazer um dia." Armazenamento no mesmo local físico. Se o backup está no mesmo datacenter que os dados originais, um incêndio, um vazamento de água ou um corte de energia destrói ambos. O mínimo aceitável é uma cópia em local fisicamente distante. Cópias em nuvem contam, mas verifique a latência de restore. Recuperar terabytes de objetos S3 pode levar horas ou dias, dependendo da configuração.

Falta de versionamento adequado. Se você sobrescreve backups antigos sem controle de versão, pode acabar num cenário onde o backup mais recente está corrompido e não há cópia anterior válida. Mantenha pelo menos 7 rodízios de backups diários, 4 semanais e 12 mensais. Isso cobre a maioria dos cenários de corrupção silenciosa que passam despercebidas por semanas. Não considerar ransomware. Backups são o último recurso contra ransomware, mas se eles estiverem conectados à rede, o ransomware vai criptografar eles também. A solução é imutabilidade. Armazenamentos S3 com WORM, backups em mídiaWrite Once Read Many, ou snapshots imutáveis no nível do storage. Se alguém comprometer suas credenciais, pelo menos o backup não será alcançável por ransomware.

Quando um plano de salvamento não resolve

Existem cenários onde um plano de salvamento bem feito simplesmente não é suficiente. Se a causa da queda for erro humano operacional — alguém apagou uma tabela inteira e o backup mais recente também contém aqueles dados — você precisa de point-in-time recovery com logs de transação. MySQL com binlog, PostgreSQL com WAL, SQL Server com transaction log backup. Sem isso, você restaura o backup e perde os dados criados desde a última cópia. Outro caso é a corrupção lógica. Um bug no software que grava dados errados em todas as linhas de uma tabela. O backup está íntegro, mas o conteúdo é lixo. Nesse caso, você precisa de replicação assíncrona com lag controlado, ou de snapshorationes frequentes do volume. Isso adiciona complexidade e custo, e muitas vezes as empresas não consideram isso até que seja tarde demais.

Se o volume de dados for muito grande — mais de 50 terabytes — o tempo de restore pode exceder o RTO mesmo com infraestrutura adequada. Nesse cenário, a estratégia muda de "restaurar do backup" para "failover para um site secundário." O backup continua sendo necessário, mas como plano B, não como plano A.

Um resumo do que funciona

O plano de salvação passo a passo que funciona é aquele que foi testado pelo menos uma vez em condições reais. Não precisa ser um teste de desastre completo, mas deve cobrir o restore de um banco de dados crítico, a recuperação de arquivos corrompidos e a validação de que a aplicação volta a funcionar normalmente. Sem isso, você tem um plano no papel que só vai funcionar se o acaso estiver do seu lado. E acaso não entra em nenhum cálculo de RPO ou RTO.