Tipos de backup: qual escolher, o que cada um custa e como saber que ele restaura

Autor: Pedro Tebaldi PM do KeepGreen

Publicado set/2026

A janela de backup fechava às 5h da manhã. Há três meses, no entanto, ela invade o horário comercial. O volume cresceu duas vezes, ao mesmo tempo que o tipo de rotina continua o mesmo de 2019.

Nesse ponto a pergunta muda de lugar. Ela deixa de ser “qual é o melhor tipo de backup”. A pergunta certa é outra: quanto tempo de dado a operação aceita perder e quanto tempo ela aceita esperar pela restauração. As duas respostas têm nome: RPO e RTO. São elas que escolhem o tipo.

Este guia trata cada tipo pelo que ele custa em janela, em espaço ocupado e em tempo de restauração. Além disso, traz a coluna que quase nenhum material apresenta: o modo de falha de cada tipo. Ou seja, o jeito particular que cada um tem de quebrar em silêncio.

Quais são os tipos de backup?

Os tipos de backup se distinguem pelo escopo do dado que cada execução copia. Assim, cinco formatos cobrem praticamente todo o mercado corporativo, do mais caro em espaço ao mais barato em janela:

• Completo: copia tudo, toda vez.
• Incremental: copia o que mudou desde o backup anterior.
• Diferencial: copia o que mudou desde o último completo.
• Sintético: monta o completo no destino, sem reler a origem.
• Espelhado: cópia igual à origem, sem histórico.

Existe ainda um segundo eixo, independente desse. Ele responde onde a cópia fica: disco local, fita, nuvem, ambiente híbrido ou repositório imutável. Os dois eixos se combinam livremente, portanto um backup incremental em nuvem imutável é uma escolha perfeitamente coerente.

Backup completo: a base que todos os outros pressupõem

O completo lê a origem inteira e grava a origem inteira, sem consultar nada do que já existe no destino. Por isso ele é o único tipo autossuficiente: qualquer outro formato precisa de pelo menos um completo como ponto de partida.

A vantagem aparece na restauração. Ou seja, você monta uma peça só, sem cadeia, sem ordem de aplicação e sem dependência. Quando o RTO é apertado, essa simplicidade vale mais do que o espaço economizado.

O custo aparece na janela. Um volume que dobrou de tamanho dobra o tempo de leitura. Todavia, o destino também impõe teto: a taxa de gravação depende de quantas operações por segundo o storage sustenta. Na prática, o cálculo de IOPS do destino costuma ser o gargalo real, não a rede.

Modo de falha típico: a janela invade o horário comercial. O sintoma não é o job falhar. É o job terminar tarde demais, competindo por disco com a aplicação em produção.

Backup incremental: janela curta, restauração longa

O incremental copia apenas o que mudou desde a execução anterior, seja ela um completo ou outro incremental. Como resultado, ele grava o menor volume possível e fecha a janela mais rápido que qualquer outro formato.

Em contrapartida, a conta se inverte na restauração. Para voltar ao estado de quinta-feira, o operador precisa do completo de domingo mais todos os incrementais de segunda até quinta, aplicados na ordem. São seis peças em vez de uma, cada uma com seu tempo de leitura.

Modo de falha típico: a cadeia quebra. Um único elo corrompido invalida tudo que veio depois dele. Logo, a perda não é de um dia: é de todos os dias posteriores ao elo defeituoso. Pior, o defeito só aparece na hora do restore, quando ninguém tem tempo de investigar.

Backup diferencial: duas peças para restaurar

O diferencial copia tudo que mudou desde o último completo, ignorando os diferenciais intermediários. Cada execução, portanto, repete o que a anterior já havia gravado, mais as mudanças do dia.

Essa redundância deliberada é o produto. Dessa forma, a restauração usa exatamente duas peças, o completo mais o diferencial mais recente, independentemente de quantos dias se passaram. Quando o RTO manda e o espaço sobra, o diferencial é a escolha certa.

Vale destacar a diferença prática com o incremental, que é a dúvida mais comum. O incremental é rápido para gravar e lento para restaurar; o diferencial é o oposto. Nenhum dos dois é melhor em abstrato.

Modo de falha típico: ele cresce até deixar de compensar. Na sexta-feira, o diferencial já carrega quase o mesmo volume do completo de domingo, sem entregar a autossuficiência dele.

Sintético e incremental para sempre: o que o disco mudou

O backup sintético resolve o dilema anterior movendo o trabalho de lugar. A origem envia apenas o incremental. Em seguida, o próprio destino consolida essa parcela com o completo antigo. O resultado é um completo novo, montado sem tocar no ambiente de produção.

O resultado combina as duas vantagens: janela de incremental na origem, restauração de peça única no destino. Por isso o modelo virou padrão em ambientes baseados em imagem de máquina virtual.

O incremental para sempre leva a ideia ao limite. Existe um único completo, feito na implantação. Daí em diante só entram incrementais, com o software mantendo internamente um ponto de restauração sempre atualizado.

Modo de falha típico: a consolidação propaga o defeito. Como o destino nunca relê a origem, um bloco corrompido entra na síntese. A partir daí, ele passa a integrar todos os pontos de restauração seguintes, sem nenhum alerta.

Espelho, snapshot e replicação: onde cada um para

Os três aparecem em lista de tipos de backup, contudo nenhum deles substitui um. A distinção importa porque a confusão custa caro exatamente no dia em que a cópia é necessária.

O espelho mantém uma cópia idêntica da origem em tempo real. Ele protege contra falha de hardware, mas replica com a mesma fidelidade a exclusão acidental e a criptografia do ransomware. Sem histórico, não existe ponto anterior para o qual voltar.

O snapshot congela o estado de um volume em um instante, quase sempre no mesmo storage da origem. Ele é rápido para desfazer uma mudança ruim, porém desaparece junto com o equipamento que o hospeda.

A replicação síncrona serve à disponibilidade, não à recuperação. Ela é o mecanismo de failover entre nós de um cluster, cuja função é manter o serviço de pé, jamais guardar versões antigas do dado.

Comparação: janela, espaço, restauração e modo de falha

A tabela resume o que cada formato cobra e onde cada um quebra. Leia a última coluna com atenção, porque ela é a que decide o desenho da monitoração.

Onde o dado fica: local, nuvem e a cópia imutável

Escolhido o formato, resta decidir o destino. Além disso, a referência de mercado continua sendo a regra 3-2-1. São três cópias do dado, em dois tipos de mídia diferentes, com uma delas fora do site.

A regra ganhou dois dígitos depois da onda de ransomware. Em 3-2-1-1-0, o primeiro dígito novo pede uma cópia imutável ou desconectada. Isto é, um repositório que nem o administrador consegue apagar dentro do prazo de retenção. O zero final pede zero erro na verificação de restauração.

Esse acréscimo não é teórico. A pesquisa anual da Sophos sobre ransomware ouviu 2.974 profissionais de TI. O recorte dela sobre cópias de segurança traz o dado mais duro do relatório.

Segundo o recorte publicado pelo fornecedor, em 94% dos ataques os criminosos tentaram comprometer as cópias da vítima e 57% conseguiram. Quem perdeu as cópias gastou US$ 3 milhões na recuperação, oito vezes o valor dos demais.

Ou seja, a cópia passou de plano B a alvo primário. Vale a pena revisitar as principais ameaças que atingem o ambiente corporativo antes de decidir onde a última cópia vai morar. Por isso, um repositório acessível com a credencial de domínio não conta como fora do alcance.

O RPO e o RTO escolhem o tipo por você

O RPO define quanto dado a operação aceita perder, medido em tempo. Ele determina, portanto, a frequência. Um RPO de 24 horas cabe em um ciclo diário; um RPO de 15 minutos exige captura contínua, não backup noturno.

O RTO define quanto tempo o serviço pode ficar fora até voltar. Do mesmo modo, ele determina o formato. RTO apertado pede peça única, logo completo, sintético ou diferencial. RTO folgado libera a cadeia incremental e economiza espaço.

Com os dois números na mesa, a pergunta sobre a frequência do completo se responde sozinha. A combinação mais usada no mercado, completo semanal com incremental diário, atende RPO de 24 horas e RTO de algumas horas.

Se o seu contrato promete menos que isso, o desenho precisa mudar. O guia de disaster recovery com RTO e RPO por sistema mostra como derivar esses valores aplicação por aplicação.

Vale lembrar por que a conta importa. O custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, segundo o anúncio oficial do levantamento.

O recorte setorial puxa saúde bem acima dessa média, conforme os números de incidentes no Brasil. Um RPO mal dimensionado transfere parte desse valor para dentro de casa.

Job com sucesso não é dado restaurável

Aqui está a parte que o fornecedor de software não resolve por você. No entanto, o console mostra verde assim que a tarefa termina sem erro de escrita. Essa é uma afirmação bem mais fraca do que “o dado volta”.

Cinco sinais separam uma coisa da outra. Todos eles são medíveis:

Janela real contra janela contratada. Meça a duração de cada execução, não só o resultado. Assim, a tendência de crescimento avisa semanas antes do estouro.

Idade do último restore testado. Um restore de amostra por mês, cronometrado, é o único teste que valida a cadeia inteira. Sem ele, portanto, o RTO do plano não passa de estimativa.

Crescimento do delta diário. Um salto súbito no volume incremental costuma indicar criptografia em massa ou reindexação inesperada. Nesse sentido, as duas hipóteses merecem investigação imediata.

Deriva do RPO real. Compare o horário do último ponto de restauração válido com o RPO prometido. Em síntese, a diferença é o risco que a operação carrega agora.

Cobertura do inventário. Servidor novo que entra em produção sem entrar na rotina é a falha mais banal e a mais frequente. Por isso, cruze o inventário com a lista de jobs.

Esses cinco sinais viram alerta, nunca relatório de fim de mês. O caminho prático de instrumentação está em como monitorar rotinas de backup. Já as práticas de política, retenção e responsabilidade estão reunidas no guia de boas práticas e procedimentos para a empresa.

Em vídeo, a OpServices discute o efeito financeiro dessa cegueira em o custo oculto da falta de monitoramento.

Onde a decisão realmente acontece

Nenhum dos tipos de backup é superior aos outros fora de contexto. O completo compra simplicidade de restauração com janela. Em contrapartida, o incremental compra janela com complexidade. O diferencial fica no meio, o sintético move o esforço para o destino e o espelho protege contra hardware, jamais contra erro humano.

A decisão acontece antes disso, quando alguém escreve quanto dado a empresa aceita perder e quanto tempo aceita ficar parada. Escolhido esse par, o formato quase se deduz sozinho, assim como a retenção e o destino.

Depois disso vem a parte que sustenta tudo. Rotina de backup falha em silêncio. O silêncio dura até o dia em que alguém precisa do dado de volta. Instrumentar janela, delta, cobertura e idade do último restore transforma uma promessa de contrato em número verificável.

Se a sua operação hoje só enxerga o verde do console, vale medir os cinco sinais deste artigo antes do próximo incidente. Fale com um especialista da OpServices para desenhar a monitoração da sua rotina de backup.