Backup na nuvem: um guia prático para equipes de TI e MSPs

De acordo com o Relatório Kaseya sobre a Situação dos MSPs de 2026, 50% dos MSPs relataram um crescimento ano a ano na receita de BCDR, impulsionado por clientes que perceberam que as plataformas em nuvem não substituem o backup. Esse é um dos sinais comerciais mais evidentes no setor managed services : a demanda por um backup que realmente funcione em situações de pressão está crescendo, e não diminuindo.

A expressão “backup na nuvem” é usada para descrever três problemas fundamentalmente diferentes. Fazer backup de servidores locais na nuvem é um desafio diferente de fazer backup de cargas de trabalho em execução na AWS ou no Azure, o que, por sua vez, difere de fazer backup de dados armazenados em aplicativos SaaS, como o Microsoft 365. Cada um deles tem seus próprios modos de falha, requisitos de recuperação e soluções adequadas.

Este guia aborda todas as três abordagens. A Datto, que faz parte da família Kaseya, já protegeu mais de 500.000 empresas por meio de MSPs em todo o mundo, o que nos dá uma visão detalhada de onde cada abordagem tem sucesso e onde falha sob pressão real de recuperação.

Backup na nuvem: protegendo servidores locais

Este é o caso de uso mais comum. Servidores locais, máquinas virtuais e terminais geram cópias de backup que são replicadas para o armazenamento em nuvem, a fim de garantir proteção fora do local. A nuvem é o destino, não o ambiente que está sendo protegido.

O principal desafio é a tensão entre a velocidade de recuperação e o custo. Um terabyte de dados, às velocidades típicas de recuperação pela Internet, pode levar horas ou dias para ser recuperado. A recuperação exclusivamente na nuvem é insuficiente para requisitos de RTO inferiores a uma hora. As organizações que se deparam com essa limitação durante um incidente real enfrentam um tempo de inatividade medido em dias, e não em horas.

A solução é o modelo híbrido de dispositivo físico combinado com a nuvem. Um dispositivo de backup local, como o Datto SIRIS, lida com a recuperação rápida de dados recentes na velocidade da rede local, incluindo virtualização local instantânea para que um servidor com falha possa voltar a funcionar em minutos. O mesmo backup é replicado simultaneamente para a Datto Cloud para proteção fora do local e retenção de longo prazo. Se o local principal for totalmente perdido, a virtualização na nuvem permite que as cargas de trabalho sejam iniciadas na Datto Cloud enquanto o ambiente físico é restaurado.

Esta é a arquitetura que melhor atende à maioria dos clientes de pequenas e médias empresas: recuperação local rápida quando a velocidade é fundamental, e uma cópia imutável e independente na nuvem quando a resiliência é fundamental.

O erro que os MSPs cometem aqui: tratar a replicação na nuvem como se fosse a estratégia completa de backup e dispensar o dispositivo local para reduzir o custo inicial. A proposta parece mais vantajosa no papel. No entanto, em caso de um ataque de ransomware que criptografe o ambiente local e exija a recuperação total do servidor pela internet, o cliente leva dias para se recuperar, em vez de horas, e o MSP arca com o custo dessa demora.

Conheça o Datto SIRIS backup híbrido e recuperação de desastres

Backup na nuvem: protegendo cargas de trabalho da AWS e do Azure

A infraestrutura em nuvem não faz backup de si mesma. A AWS e o Azure operam sob um modelo de responsabilidade compartilhada: o provedor é responsável pela resiliência da infraestrutura; o cliente é responsável pelos dados e pelas cargas de trabalho em execução nela. Uma instância EC2 ou VM do Azure que seja criptografada por ransomware, excluída acidentalmente ou corrompida por uma implantação incorreta é de responsabilidade do cliente recuperar.

Os riscos específicos do backup nativo na nuvem:

Ferramentas nativas como o AWS Backup e o Azure Backup oferecem alguma proteção, mas operam dentro do ecossistema do provedor. Uma conta na nuvem comprometida, um ataque de ransomware que acesse as credenciais da nuvem ou um incidente do lado do provedor podem afetar simultaneamente tanto as cargas de trabalho principais quanto os backups da mesma conta. Além disso, o backup nativo raramente atende aos requisitos de independência das apólices de seguro cibernético, que exigem cópias imutáveis e armazenadas fora do local.

Backup for Microsoft Azure Datto Backup for Microsoft Azure essa questão replicando máquinas virtuais (VMs) do Azure e arquivos do Azure para a Datto Cloud, totalmente fora do ecossistema do Azure, com armazenamento imutável e um modelo de preços de taxa fixa que elimina a imprevisibilidade dos custos de saída de dados do Azure Backup nativo. A replicação de hora em hora oferece um objetivo de ponto de recuperação de 60 minutos. As opções de recuperação incluem restauração em nível de arquivo, restauração completa da VM e virtualização na nuvem diretamente na Datto Cloud.

O erro que os MSPs cometem aqui: presumir que, só porque um cliente está “na nuvem”, ele está automaticamente protegido. A AWS e o Azure oferecem resiliência de infraestrutura, não backup de dados. Os MSPs que gerenciam ambientes em nuvem sem realizar backups independentes dessas cargas de trabalho estão operando com uma lacuna significativa em termos de responsabilidade.

Backup de aplicativos na nuvem: proteção de dados SaaS

As aplicações SaaS constituem uma categoria distinta da infraestrutura em nuvem. O Microsoft 365, o Google Workspace e plataformas semelhantes gerenciam a aplicação e sua disponibilidade, mas não oferecem backup no sentido de uma recuperação efetiva. As configurações padrão de retenção da Microsoft foram projetadas para fins de conformidade e para cenários de exclusão acidental com prazos curtos. Elas não foram projetadas para a recuperação de um ponto específico no tempo após um ataque de ransomware, exclusão maliciosa por uma conta comprometida ou uma configuração incorreta em massa.

O modelo de responsabilidade compartilhada também se aplica aqui. A Microsoft é responsável pela plataforma. A organização é responsável pelos seus dados contidos nela.

O que realmente está em risco: e-mails, calendários, contatos, sites do SharePoint, arquivos do OneDrive e dados do Teams. Na maioria dos ambientes de pequenas e médias empresas, isso representa a maior parte dos dados operacionais. Um ataque de ransomware que criptografa o SharePoint ou o OneDrive, ou uma conta de administrador comprometida que exclui caixas de correio em massa, pode causar danos significativos dos quais as políticas de retenção nativas não conseguem recuperar.

SaaS Protection Datto SaaS Protection dos dados do Microsoft 365 e do Google Workspace três vezes ao dia para um repositório independente na nuvem da Datto, com retenção ilimitada. A recuperação é granular: e-mails individuais, arquivos, pastas ou contas inteiras podem ser restaurados para qualquer ponto no tempo. SaaS Protection oferece detecção integrada de ameaças, com varredura automatizada contra ransomware e phishing em todo o ambiente do Microsoft 365.

O erro que os MSPs cometem aqui: não oferecer nenhum serviço de backup para SaaS ou vendê-lo apenas como um complemento opcional. Todos os clientes que utilizam o Microsoft 365 ou o Google Workspace têm dados em risco que a plataforma não recuperará para eles. O backup para SaaS deve ser um componente imprescindível de qualquer managed services que inclua o Microsoft 365.

A regra 3-2-1 e por que ela ainda se aplica

A regra 3-2-1 é anterior ao backup em nuvem, mas continua sendo o modelo mais útil para avaliar se uma arquitetura de backup é sólida: três cópias dos dados, em dois tipos diferentes de mídia, com uma cópia fora do local.

O backup na nuvem atende ao requisito de armazenamento externo. O que ele não atende automaticamente é o requisito de independência. Os backups armazenados na mesma conta de nuvem que os dados primários estão expostos às mesmas ameaças: um ataque de ransomware ou o comprometimento da conta que destrua os dados de produção pode atingir os backups da mesma conta com a mesma facilidade.

Para qualquer cliente com obrigações significativas de recuperação, a cópia na nuvem externa deve estar em um ambiente separado e controlado de forma independente, com armazenamento de objetos imutáveis. Isso se aplica aos três casos de uso acima. Os backups locais replicados para a Datto Cloud estão fora do ambiente principal do cliente. As cargas de trabalho do Azure cujos backups são feitos na Datto estão fora do Azure. Os dados de SaaS cujos backups são feitos na Datto SaaS Protection fora do locatário do Microsoft 365. Essa independência é o ponto principal.

Ransomware e os argumentos a favor da imutabilidade

Os operadores de ransomware mudaram suas táticas para atacar especificamente a infraestrutura de backup. O Relatório de Investigações sobre Violações de Dados de 2025 da Verizon associou o ransomware a 75% das violações envolvendo invasão de sistemas. Os invasores que comprometem ou excluem backups antes de criptografar os dados de produção eliminam a possibilidade de recuperação e forçam o pagamento.

Uma arquitetura de backup resistente a ransomware requer três características que o backup tradicional não garante.

Isolamento. As cópias de segurança acessíveis por meio das mesmas credenciais ou da mesma rede que os sistemas de produção podem ser alcançadas por um invasor que tenha comprometido esses sistemas. A cópia externa deve estar verdadeiramente isolada.

Imutabilidade. Uma vez criadas, as cópias de backup não devem poder ser modificadas ou excluídas por nenhum processo, exceto ao atingirem o prazo de retenção designado. O armazenamento de objetos imutáveis com um período de bloqueio definido impede que ransomware e contas de administrador comprometidas destruam os dados de backup. A Datto Cloud foi desenvolvida com base nesse princípio, com uma defesa contra exclusão na nuvem que bloqueia alterações ou exclusões não autorizadas, independentemente do que aconteça ao ambiente protegido.

Recuperabilidade comprovada. De acordo com uma pesquisa da Sophos, 45% das vítimas de ransomware que utilizaram backups conseguiram recuperar seus dados em menos de uma semana. Aqueles que não puderam contar com backups enfrentaram tempos de recuperação de um a seis meses em 31% dos casos. A diferença reside quase sempre no fato de a recuperação ter sido testada antes do incidente. A verificação de capturas de tela com tecnologia de IA SIRISDatto SIRISoferece mais de 99% de precisão, sinalizando tarefas de backup suspeitas antes que se transformem em falhas de recuperação. Um backup não testado não é um backup.

Gerenciamento de backup em nuvem em grande escala como um MSP

Para os MSPs, os requisitos operacionais do backup em nuvem vão além da proteção de clientes individuais. A economia dos managed services que a gestão do backup seja escalável sem aumentar proporcionalmente o tempo de trabalho dos técnicos.

Visibilidade unificada em todos os três casos de uso. A lacuna operacional mais evidente na maioria das pilhas de backup de MSPs é a visibilidade fragmentada: BCDR local em um console, backup de infraestrutura em nuvem em outro e backup de SaaS em um terceiro. A página unificada de status de backup da Datto consolida SIRIS, Endpoint Backup Datto Endpoint Backup Recuperação de Desastres, Backup for Microsoft Azure Datto Backup for Microsoft Azure e SaaS Protection todos os clientes em uma única visualização. Um único console, um único conjunto de alertas, um único fluxo de trabalho de relatórios.

Políticas de proteção padronizadas. Os MSPs que definem políticas de backup padronizadas por nível de cliente e as aplicam de forma consistente em toda a carteira apresentam menos lacunas de cobertura, menores custos de correção e relatórios mais claros para fins de conformidade e seguro cibernético. As configurações ad hoc por cliente são a causa do acúmulo invisível dessas lacunas.

Alertas automatizados e relatórios de desempenho. Falhas no backup que dependem da percepção de um técnico são falhas prestes a ocorrer. Os alertas automatizados sobre falhas em tarefas, backups não realizados e erros de verificação, combinados com relatórios programados para os clientes que mostram o estado do backup, transformam o gerenciamento de backup de uma atividade reativa em um serviço documentado.

Previsibilidade de preços. As plataformas de backup em nuvem com preços por GB ou com tarifas variáveis de saída de dados geram faturamento imprevisível para os clientes e margens imprevisíveis. A adoção de uma tarifa fixa para armazenamento, testes de recuperação de desastres e saída de dados torna o backup uma fonte confiável de margem, em vez de uma variável de custo.