Cópias de segurança para pequenas empresas: a regra 3-2-1 em 20 minutos por semana

Uma pequena empresa tem as cópias de segurança em ordem quando guarda três cópias de tudo o que precisa para trabalhar, em dois tipos de armazenamento, com uma cópia fora do local e desligada, e quando alguém restaurou um ficheiro de cada cópia no último mês. É a regra 3-2-1 que o National Cyber Security Centre (NCSC, o centro nacional de cibersegurança do Reino Unido) recomenda, custa cerca de £10 por mês mais um disco de £90, e a rotina cabe em 20 minutos por semana. Este guia mostra o que copiar, onde guardar e como testar.

A maioria dos donos de empresas acha que está protegida porque o portátil sincroniza com a nuvem. O Cyber Security Breaches Survey do governo britânico, publicado em abril de 2026, concluiu que 43% das empresas do Reino Unido identificaram uma violação ou um ataque no ano anterior, 46% entre as pequenas empresas, e que 74% fazem cópias de segurança para um serviço na nuvem. No entanto, quando o ataque de ransomware à Tuckers Solicitors encriptou 972,191 ficheiros em 2020, as cópias de segurança do escritório foram encriptadas com eles, e o Information Commissioner aplicou-lhe uma coima de £98,000. As cópias de segurança de pequenas empresas falham de duas maneiras: a cópia está na mesma rede que aquilo que copia, ou ninguém nunca tentou restaurá-la.

Em seguida: o que significa 3-2-1 e quem o inventou, a lista do que uma pequena empresa precisa mesmo de copiar, as três cópias e quanto custa cada uma em outubro de 2026, os prazos de retenção que as suas ferramentas na nuvem já oferecem, o teste de restauro que a maioria das empresas ignora e as tarefas administrativas que um agente de IA pode assumir para que a verificação semanal aconteça, quer se lembre ou não.

Como avaliámos

1. Primeiro, as orientações oficiais. As regras vêm do guia do NCSC para pequenas organizações, publicado a 9 de abril de 2026, e do seu conselho "Offline backups in an online world", atualizado em julho de 2026.
2. Estatísticas do governo. Os números sobre violações e cópias de segurança são do Cyber Security Breaches Survey 2025/26 do Department for Science, Innovation and Technology.
3. Casos reais. As notificações de sanção do ICO, não as histórias de terror dos fornecedores.
4. Preços consultados a 24 de outubro de 2026 nas páginas dos próprios fornecedores, em libras quando o fornecedor indica libras.
5. Nada que uma empresa de uma só pessoa não consiga fazer. Todos os passos funcionam com um portátil, um disco externo e uma conta de nuvem para consumidores.

O que significa a regra 3-2-1

Três cópias dos seus dados, em dois tipos diferentes de armazenamento, com uma cópia fora do local. O fotógrafo Peter Krogh cunhou a expressão ao escrever a primeira edição de The DAM Book em meados dos anos 2000, e o NCSC enuncia-a da mesma forma: pelo menos três cópias, em dois dispositivos, um deles fora do local. A variante "3-2-1-1-0" da Veeam acrescenta uma cópia offline ou imutável e zero erros após um restauro verificado. Para uma pequena empresa, a versão prática é esta:

Sincronizar não é fazer cópia de segurança. Se um ficheiro for encriptado ou apagado no portátil, a pasta de sincronização copia fielmente o estrago. O histórico de versões da nuvem dá-lhe uma janela para desfazer, mas essa janela é curta e fecha-se.

O que uma pequena empresa precisa mesmo de copiar

Faça a lista antes de escolher as ferramentas. Para a maioria das empresas, é mais curta do que temem:

• Contabilidade e impostos. Faturas, recibos, exportações bancárias e o ficheiro de contabilidade. A HMRC espera que os registos sejam guardados pelo menos cinco anos após o prazo de entrega de 31 de janeiro, por isso perder um ano é um problema fiscal e também administrativo.
• Registos de clientes. A exportação do CRM, a lista de marcações, a lista de endereços de email, os contratos assinados e os orçamentos.
• Email. Uma caixa de correio é um registo da empresa. O Google Workspace e o Microsoft 365 guardam-na nos seus servidores, mas uma conta encerrada ou comprometida leva-a consigo; exporte-a duas vezes por ano.
• O site e a loja. A base de dados, as imagens dos produtos, o tema e o acesso ao domínio. A maioria dos alojamentos faz as suas próprias cópias, mas veja durante quanto tempo.
• Fotografias e designs. Os ficheiros do logótipo, as fotografias de antes e depois, a arte do folheto.
• Palavras-passe e chaves. A exportação encriptada do gestor de palavras-passe, os códigos de recuperação impressos e os códigos de reserva da autenticação de dois fatores, guardados com o disco local, não no portátil.

Tudo o que precisaria para reconstruir a empresa numa semana está na lista. Tudo o que pudesse descarregar de novo a um fornecedor não está.

Cópia um: a cópia de trabalho e o que a sincronização realmente oferece

A pasta de sincronização na nuvem já é a sua primeira cópia e é melhor do que nada. Todos os grandes serviços guardam ficheiros apagados e versões antigas durante algum tempo, e conhecer o prazo é importante, porque é a diferença entre desfazer e perder:

O padrão: um mês é o valor por defeito em quase todo o lado. Se o ransomware encriptar os seus ficheiros numa sexta-feira e só reparar seis semanas depois, o serviço de sincronização já se esqueceu das boas versões. É para isso que servem as cópias dois e três.

Cópia dois: o disco externo que desliga

Compre um disco rígido externo de 2 TB, que os sites de comparação de preços listavam por cerca de £85 a £100 em outubro de 2026, e deixe o sistema operativo fazer o trabalho. Num Mac, o Time Machine é gratuito: ligue o disco e ele guarda cópias de hora a hora durante 24 horas, diárias durante um mês e semanais até o disco encher, e a Apple recomenda um disco com pelo menos o dobro da capacidade do Mac. No Windows, o File History e as ferramentas de cópia integradas fazem o mesmo.

Depois desligue-o. O guia do NCSC para pequenas organizações diz que o disco de cópias de segurança não deve ficar ligado quando não está a ser usado, porque o ransomware encripta todas as unidades que consegue ver, e o caso Tuckers mostra o que isso significa: o escritório não tinha autenticação multifator, uma correção crítica foi aplicada com cinco meses de atraso e os atacantes chegaram às cópias de segurança pela mesma rede que tudo o resto.

Guarde o disco noutro sítio que não ao lado do portátil. Uma gaveta da secretária protege contra uma avaria do portátil; o porta-luvas ou a sua casa protegem contra um assalto ao espaço de trabalho.

Cópia três: fora do local e automática

A terceira cópia deve acontecer sem si. Duas vias funcionam para uma pequena empresa:

• Um serviço de cópias de segurança. O Backblaze cobra $9 por mês ou $99 por ano por dados ilimitados de um computador, com 30 dias de histórico de versões por predefinição e um ano grátis quando o ativa. Funciona em segundo plano e pode testar um restauro no site em dois minutos.
• Uma segunda nuvem com uma janela maior. O iCloud+ de 2 TB custa £8.99 por mês; o Dropbox Standard guarda 180 dias de versões; o Microsoft 365 para empresas reúne o armazenamento do OneDrive por utilizador. Use-a para uma cópia mensal das pastas que importam, separada da conta de sincronização diária.

Proteja a cópia fora do local com verificação em dois passos e uma palavra-passe que não seja usada em mais lado nenhum. O NCSC coloca isso como último passo por uma razão: uma conta de cópias de segurança que abre com a mesma palavra-passe do email violado não está fora do local em nenhum sentido que importe.

A realidade do ransomware para empresas com e sem cópias de segurança

O relatório State of Ransomware 2026 da Sophos, um inquérito a 2,158 organizações com 100 a 5,000 colaboradores realizado entre janeiro e março de 2026, concluiu que 56% tiveram dados encriptados num ataque. Destas, 66% restauraram a partir de cópias de segurança e 48% pagaram um resgate, com um custo médio de recuperação de $1.70 milhões e uma mediana de $375,000. Na amostra do Reino Unido, publicada em julho de 2026, a percentagem das que pagaram desceu de 54% em 2025 para 18% em 2026, enquanto a das que recuperaram a partir de cópias subiu de 39% para 78%. São empresas maiores do que a maioria dos leitores deste blogue, mas a direção é a lição: as empresas que pagaram eram, na maioria, as que não conseguiam restaurar.

O NCSC não aconselha pagar. O seu conselho é o mesmo para uma empresa de duas pessoas e para um hospital: guarde cópias recentes offline, verifique que consegue restaurar a partir delas e analise a cópia antes de restaurar, para não reinstalar o problema.

O teste de restauro que ninguém faz

O relatório de cópias de segurança de 2025 da Kaseya, com base em mais de 3,000 profissionais de TI, concluiu que 60% acreditavam conseguir restaurar em 24 horas, mas só 35% o tinham demonstrado, e que apenas 15% testam as cópias diariamente e 25% semanalmente. Uma pequena empresa não precisa de testes diários. Precisa de um teste mensal que demora dez minutos:

1. Escolha um ficheiro que editou na semana passada. Apague-o do portátil.
2. Restaure-o a partir do disco externo. Abra-o.
3. Restaure a versão do mês passado de um segundo ficheiro a partir da cópia na nuvem. Abra-o.
4. Escreva a data e o resultado num registo de uma linha.

Se qualquer dos passos falhar, a cópia nunca foi uma cópia de segurança. Descobri-lo numa terça-feira calma custa dez minutos; descobri-lo depois de um roubo custa a empresa.

Os 20 minutos por semana

• Segunda-feira, 5 minutos. Ligue o disco, deixe o Time Machine ou o File History correr e desligue-o quando a luz parar.
• Segunda-feira, 5 minutos. Abra o serviço de cópias de segurança e verifique a data da última execução bem-sucedida e o tamanho. Uma cópia que está "a correr" há três semanas é uma cópia que parou.
• Segunda-feira, 5 minutos. Exporte tudo o que vive apenas dentro de uma aplicação web: a lista de marcações, os contactos do CRM, as encomendas da loja. Coloque a exportação na pasta que tem cópia de segurança.
• Primeira segunda-feira do mês, 5 minutos extra. O teste de restauro acima e a verificação de que os códigos de verificação em dois passos das contas de cópias de segurança continuam impressos e fáceis de encontrar.

Como um agente de IA ajuda a cumprir a regra

A parte difícil do 3-2-1 não é a tecnologia. É fazer a mesma pequena tarefa todas as semanas durante anos. É o tipo de trabalho que um agente faz sem se aborrecer.

• Executa as exportações semanais. Dê ao agente acesso à ferramenta de marcações, ao CRM e à loja e ele faz as exportações todas as segundas-feiras para a pasta com cópia de segurança, nomeando-as pela data. As automatizações do Jobbit correm com horário marcado sem que abra um portátil.
• Verifica se a cópia correu mesmo. Lê o estado do serviço de cópias de segurança e diz-lhe a data da última execução bem-sucedida, numa mensagem de uma linha, em vez de um painel que nunca abre.
• Mantém o registo de restauros. Lembra-o na primeira segunda-feira, regista o resultado e assinala um mês que tenha ficado em falta.
• Escreve o plano de recuperação. Um documento de uma página: onde fica cada cópia, que conta a restaura, quem guarda os códigos, pela ordem em que precisaria deles no pior dia.
• Vigia os prazos de retenção. Quando o Dropbox ou a Google mudam uma política, ou uma subscrição caduca, avisa-o antes de a janela fechar.
• Prepara a notificação se o pior acontecer. O ICO espera um relatório de violação em 72 horas; o agente prepara os factos no formato do regulador enquanto trata do negócio.

O ChatGPT, o Claude, o Gemini, o Microsoft Copilot, o Manus e o Muse da Meta explicam todos as cópias de segurança e escrevem uma lista de verificação. O que não fazem é executar a rotina de segunda-feira durante um ano. Um agente Jobbit cumpre o horário, mantém o registo e, quando o trabalho exige mãos, chama uma pessoa verificada da rede para configurar o disco ou recuperar a loja.

A sua primeira semana

• Dia 1: faça a lista. As seis categorias acima, com a pasta ou a aplicação onde cada uma vive.
• Dia 2: encomende o disco. 2 TB, de uma marca conhecida, e um envelope etiquetado para os códigos de recuperação.
• Dia 3: ative a cópia fora do local. Um serviço de cópias de segurança ou uma segunda conta na nuvem, verificação em dois passos ativa, a palavra-passe no gestor.
• Dia 4: primeira cópia local. Deixe-a terminar, desligue, guarde.
• Dia 5: primeiro teste de restauro. Um ficheiro de cada cópia, registado.
• Dia 7: defina o lembrete de segunda-feira, ou entregue a rotina ao agente.

Leia a seguir

• Best Password & Privacy Tools in 2026 (1Password, Bitwarden, Proton & More)
• AI Scams in 2026: 9 Tricks Aimed at Small Businesses and How to Spot Each One
• 50 AI Automation Ideas for Small Businesses in 2026 (With Examples)

Perguntas frequentes

O que é a regra de cópias de segurança 3-2-1?

Três cópias dos seus dados, em dois tipos diferentes de armazenamento, com uma cópia guardada fora do local. O NCSC recomenda-a exatamente nestes termos. Para uma pequena empresa, isso significa a cópia de trabalho no portátil e na sua pasta de sincronização, uma cópia semanal num disco externo que é desligado depois e uma cópia automática num serviço de cópias de segurança na nuvem ou numa segunda conta na nuvem.

A sincronização na nuvem, como o Google Drive ou o OneDrive, é uma cópia de segurança?

Só em parte. A sincronização copia todas as alterações, incluindo um apagamento ou uma encriptação, por isso protege contra um portátil perdido, mas não contra ransomware nem contra um erro que se detete tarde. O Google Drive guarda os ficheiros apagados durante 30 dias e o OneDrive para trabalho durante 93 dias; depois disso, desaparecem. Trate a sincronização como a cópia um e acrescente as outras duas.

Com que frequência deve uma pequena empresa fazer cópias de segurança?

De forma contínua na pasta de sincronização, semanalmente no disco externo e automaticamente todos os dias no serviço fora do local. Teste um restauro uma vez por mês. O inquérito da Kaseya de 2025 concluiu que só 35% das organizações tinham demonstrado conseguir restaurar em um dia, contra 60% que acreditavam conseguir.

Quanto custa a cópia de segurança de uma pequena empresa?

Cerca de £85 a £100 uma só vez por um disco externo de 2 TB, mais $9 por mês pelo Backblaze ou £8.99 por mês por 2 TB de iCloud+, a preços de outubro de 2026. O software de cópia do sistema operativo, o Time Machine num Mac e o File History no Windows, é gratuito.

Devo pagar um resgate de ransomware se não tiver cópia de segurança?

O NCSC não aconselha pagar, e o pagamento não garante que os dados regressem. No inquérito da Sophos de 2026 ao Reino Unido, 78% das empresas atingidas recuperaram a partir de cópias de segurança e 18% pagaram, contra 54% no ano anterior. A cópia offline num disco desligado é o seguro mais barato para nunca ter de decidir.

Um agente de IA pode gerir as minhas cópias de segurança?

Pode executar as partes que precisam de ser feitas todas as semanas: as exportações das aplicações web, a verificação de que o serviço de cópias terminou, o lembrete mensal de restauro e o registo. Um agente Jobbit faz isso com horário marcado, com 100 créditos gratuitos por dia e sem cartão, e chama uma pessoa verificada quando o trabalho exige alguém no local.