Backups: completo × incremental × diferencial; regra 3-2-1; sites hot/warm/cold; BIA/BCP/DRP

A ideia que organiza o assunto

Ninguém faz becape para ter cópia. Faz-se becape para restaurar — e é por isso que quase todo item deste tópico se resolve olhando para a restauração, não para a cópia.

O modelo que torna o resto derivável cabe em duas perguntas que você faz a qualquer tipo de becape:

Desde quando ele copia?
Ele zera o marcador depois de copiar?

O marcador é o bit de arquivamento: o sistema o liga quando um arquivo é criado ou alterado, e o becape o desliga quando copia aquele arquivo. Com essas duas perguntas:

O completo copia tudo e zera o marcador.
O incremental copia o que mudou desde o último becape, seja ele qual for — e zera o marcador. Como zera, o becape de amanhã não repete o de hoje: cada conjunto guarda uma fatia distinta do tempo.
O diferencial copia o que mudou desde o último becape completo — e não zera o marcador. Como não zera, cada dia reacumula tudo desde o domingo: os conjuntos se sobrepõem e crescem.

Tudo o mais é consequência aritmética disso. O incremental ocupa menos espaço e tem a menor janela de becape, mas para restaurar exige o completo mais todos os incrementais na ordem. O diferencial ocupa mais e demora mais a gravar a cada dia que passa, mas para restaurar bastam dois conjuntos: o completo e o último diferencial. Não decore as duas listas de vantagens: derive-as das duas perguntas, porque a banca cruza as metades justamente para quem decorou.

Um detalhe que a prova gosta: na segunda-feira seguinte a um completo de domingo, incremental e diferencial são idênticos. Eles só divergem a partir da terça, quando o diferencial recopia o que o incremental já havia copiado.

Por que se usa (e o que custa)

O becape existe porque disponibilidade e integridade não sobrevivem a exclusão acidental, corrupção, desastre físico e ransomware — e RAID não cobre nenhum dos quatro: RAID protege contra falha de disco, e replica fielmente o apagamento e a criptografia maliciosa.

O custo aparece como um par de janelas que se empurram. Encurtar a janela de becape (quanto tempo a cópia leva, e quanto espaço consome) empurra para o incremental. Encurtar a janela de restauração (o RTO) empurra para o completo frequente ou para o diferencial. Não há escolha gratuita: o que você economiza na gravação, paga na recuperação, e vice-versa.

Há ainda o custo que ninguém contabiliza: um becape não testado não garante nada. Para efeito de auditoria, a organização só pode afirmar que recupera até a data da última restauração real bem-sucedida — o que veio depois é promessa.

Como funciona

Os três tipos, em operação. O ciclo típico é um completo semanal mais cópias diárias. Se as diárias forem incrementais, cada uma grava só o que mudou desde a anterior; se forem diferenciais, cada uma grava tudo o que mudou desde o completo. A escolha é entre gravar rápido e restaurar rápido.

Rotação GFS (grandfather-father-son) organiza a retenção em três níveis: conjuntos diários (filho), semanais (pai) e mensais (avô). O diário roda a cada dia e serve de base para o semanal; o semanal roda a cada semana e serve de base para o mensal. É o esquema que permite atender exigências de retenção de anos sem guardar um completo por dia — e a retenção contratada tem de alcançar o prazo exigido, senão a política não atende, por mais mídia que consuma.

A regra 3-2-1 é o mínimo aceito: 3 cópias dos dados (a original e dois becapes), em 2 tipos diferentes de mídia, com 1 delas fora do site. A cópia remota é o que sobrevive a incêndio, alagamento e roubo — e o becape em nuvem a atende por construção, guardando os dados em ambiente fisicamente seguro e geograficamente distante. Variante endurecida contra ransomware: 3-2-1-1-0, com uma cópia imutável ou desconectada (air gap) e zero erros na verificação.

Deduplicação elimina blocos ou arquivos redundantes, guardando uma única instância e substituindo as demais por referência. Não é compactação — compactar reduz a redundância dentro de um arquivo; deduplicar elimina repetição entre arquivos e entre becapes. Ela se classifica por dois eixos independentes: onde (na origem, no cliente, antes de transmitir — o que economiza rede além de armazenamento; ou no destino, depois que os dados chegam ao servidor de becape) e quando (in-line, no caminho de gravação, antes de os dados serem escritos; ou pós-processamento, gravando tudo primeiro e deduplicando depois, o que exige área temporária).

Snapshot é uma cópia instantânea do estado de um volume, que consome armazenamento apenas para os blocos novos ou alterados. Serve a recuperação rápida e a cópias frequentes, mas normalmente vive no mesmo storage do dado original — por isso não substitui o becape.

Mídia. Fita LTO é sequencial: capacidade alta, custo por terabyte baixo, durabilidade de décadas em condições adequadas e, por ficar fora da rede, imune a ransomware. Em compensação, recupera devagar — o que a torna má escolha para arquivos pequenos e dinâmicos, cenário do disco. Nuvem entrega distância geográfica e elasticidade, ao custo de banda e de tarifas de saída.

Becape lógico × físico. No PostgreSQL, o dump é o becape lógico: gera um arquivo com os comandos necessários para reconstruir a base. O físico copia os arquivos de dados. No Windows, a cópia do estado do sistema abrange registro e arquivos de inicialização — coisa que uma cópia de arquivos comuns não pega.

Sites alternativos. Quando o dado sobrevive mas o sítio não, é preciso um lugar para subir. O hot site é réplica completa, com equipamento, software e dados replicados, assumindo em minutos; a configuração de reserva a quente (hot-spare) aplica continuamente os registros de log de redo à medida que chegam, o que torna a tomada de comando quase instantânea. O warm site tem sala e equipamento, mas os dados precisam ser restaurados: horas a dias. O cold site é só infraestrutura — espaço, energia, refrigeração, enlace — e exige levar máquina e dado: dias a semanas. O custo corre no mesmo sentido do tempo, ao contrário.

Quando o site primário cai, o site remoto de becape primeiro recupera — usa a cópia que tem, talvez desatualizada, mais os registros de log recebidos — e só então assume o processamento. Recuperado o primário original, ele pode inverter papéis e passar a ser o site de becape, desde que receba o log das atualizações feitas enquanto esteve inoperante.

BIA, BCP e DRP são três coisas encadeadas, não sinônimos. A BIA (análise de impacto no negócio) é diagnóstico: levanta os processos críticos e como o prejuízo cresce com o tempo de parada, e é dela que saem o RTO e o RPO. O BCP (plano de continuidade de negócios) é o plano abrangente para manter o negócio funcionando — pessoas, instalações, processos, fornecedores. O DRP (plano de recuperação de desastres) é o componente do BCP voltado a restabelecer a infraestrutura de TI depois do desastre. A ordem é BIA → estratégia → planos; o DRP está dentro do BCP, nunca acima dele.

RTO × RPO. O RTO é quanto tempo o serviço pode ficar fora — olha para frente, e dimensiona o site alternativo. O RPO é quanto dado se aceita perder, medido em tempo — olha para trás, e dimensiona a frequência do becape. Um RPO de quatro horas obriga a copiar de quatro em quatro horas; um RTO de quinze minutos obriga a hot site.

O que decide os itens

O eixo do tópico. Se você levar uma única tabela, leve esta:

	copia o que mudou desde	zera o marcador	para restaurar
completo	— (copia tudo)	sim	1 conjunto
incremental	o último becape, de qualquer tipo	sim	completo + todos os incrementais, em ordem
diferencial	o último becape completo	não	completo + o último diferencial → 2 conjuntos

As consequências, que a banca cobra mais do que a definição:

	janela de becape	espaço ocupado	restauração
completo	a maior	o maior	a mais rápida
incremental	a menor	o menor	a mais lenta
diferencial	intermediária, cresce a cada dia	intermediário, cresce a cada dia	intermediária

Leia a linha do incremental de trás para frente sempre que um item elogiar sua restauração: economia de espaço e rapidez de gravação se pagam com a restauração mais lenta dos três.

Regra 3-2-1 — 3 cópias, 2 mídias, 1 fora do site. Trocar qualquer um dos três números, ou trocar “2 mídias diferentes” por “2 cópias”, é o formato padrão do item errado.

Sites alternativos:

	o que já existe lá	o que falta	tempo para assumir	custo
hot	equipamento, software e dados replicados	nada	minutos	o maior
warm	equipamento e enlace	restaurar os dados	horas a dias	intermediário
cold	só espaço, energia e refrigeração	equipamento e dados	dias a semanas	o menor

BIA × BCP × DRP:

	é o quê	entrega
BIA	análise, não plano	processos críticos, impacto no tempo, RTO e RPO
BCP	plano abrangente do negócio	continuidade de processos, pessoas, instalações
DRP	componente do BCP, restrito a TI	restabelecimento da infraestrutura tecnológica

RTO × RPO — tempo de parada tolerado × dado perdido tolerado. RTO dimensiona o site; RPO dimensiona a frequência.

Deduplicação, os dois eixos:

	onde ocorre	economiza
origem	no cliente, antes de transmitir	rede e armazenamento
destino	no servidor/appliance, depois do envio	armazenamento
in-line	no caminho de gravação, antes de gravar	espaço desde o primeiro byte; custa latência e CPU
pós-processamento	depois de gravado, em segundo plano	não atrasa a gravação; exige área temporária

Deduplicação × compactação — entre arquivos × dentro do arquivo. Deduplicação independe do tipo de mídia: funciona igualmente em disco, SSD e appliance.

Fita × disco — sequencial, arquivamento longo, custo baixo por TB, fora da rede × acesso aleatório, restauração rápida, bom para arquivos pequenos e dinâmicos.

Snapshot × becape — cópia instantânea de volume no mesmo storage × cópia independente do dado. Snapshot não é a estratégia certa quando o item pede “copiar os arquivos alterados desde o último completo”: isso é diferencial.

RAID × becape — RAID é disponibilidade contra falha de disco; becape é recuperação contra apagamento, corrupção, desastre e ransomware. Nenhum substitui o outro.

Números que caem


regra 3-2-1	3 cópias · 2 tipos de mídia · 1 fora do site
variante endurecida	3-2-1-1-0 — 1 imutável/offline, 0 erros de verificação
conjuntos para restaurar	completo 1 · diferencial 2 · incremental 1 + n
GFS	3 níveis: diário (filho), semanal (pai), mensal (avô)
hot × warm × cold	minutos × horas a dias × dias a semanas
LTO-8 × LTO-9 (nativo)	12 TB × 18 TB (cerca de 2,5:1 com compressão)
dia em que incremental = diferencial	o primeiro após o completo; divergem do segundo em diante

Como a CEBRASPE derruba você aqui

Medido sobre os 22 itens errados já explicados do tópico. Treze deles — quase três em cada cinco — se decidem na mesma palavra: desde quando o becape copia. Desde o último completo é diferencial; desde o último becape, qualquer que seja o tipo, é incremental. Leia essa preposição antes de qualquer outra coisa no item.

Inversão — 36%, o formato mais frequente. A forma mais elegante é descrever corretamente os dois tipos e trocar os nomes: “no backup incremental, apenas os arquivos alterados desde o último backup completo são salvos”; “são copiados todos os dados modificados desde o último backup integral”, dito do incremental. Nada na frase é falso — o que está errado é qual definição ficou sob qual nome. A mesma manobra reaparece um nível adiante, nas consequências: “a criação dos backups diferenciais será mais rápida e estes consumirão menos espaço do que se fossem adotados backups incrementais”; e, do incremental, “ela é mais rápida que a recuperação do becape diferencial”. Quem economiza janela e espaço é o incremental; quem restaura mais rápido, entre os dois, é o diferencial — e a razão é o marcador, que o incremental zera e o diferencial não. A inversão também troca papéis de mídia e de momento: “recomenda-se, para arquivos pequenos e dinâmicos, a tecnologia de becape em fita”, quando fita é acesso sequencial e arquivamento longo, e arquivo pequeno e dinâmico é cenário de disco; e a desduplicação in-line descrita como “iniciada logo após os dados terem sido gravados, praticamente sem tempo de latência”, que é a de pós-processamento. Defesa: confira o par, não cada metade, e derive das tabelas acima em vez de confiar na memória.

Uma palavra trocada na definição — 32%. Mesmo eixo, sem inverter os dois nomes: só o referencial muda de lugar. “Desde o último becape full”, “desde o último backup completo”, “desde o último becape, seja ele completo ou não” — cada um sob o tipo errado. Fora do par, a troca atinge a técnica vizinha: copiar o que mudou desde o último completo apresentado como “a melhor estratégia a ser empregada é o snapshot dos dados”, quando snapshot é cópia instantânea de um volume inteiro, por blocos; o incremental definido como o que “é a cópia de todo o conteúdo do espaço de armazenamento”, que é o completo; a deduplicação definida como o que “consiste na compactação de dados especificamente no momento em que se realiza o becape”, quando compactar recodifica dentro do arquivo e deduplicar guarda uma instância única de blocos idênticos; e a economia de espaço creditada a “becapes diferenciais combinados”, quando quem poupa é o completo com incrementais. Defesa: isole o complemento da preposição e confira só ele — é a única parte do item que decide.

Causa inventada — 9%. A ação existe, o motivo é ficção: a deduplicação que “não poderia ser utilizada na referida situação, devido a sua incompatibilidade com o SSD”, incompatibilidade que não existe, porque ela compara conteúdo e ignora a mídia; e a cópia entre data centers feita “evitando-se a cópia em nuvem, para que não ocorra a exposição dos próprios dados”, quando a nuvem é hoje um dos destinos padrão do “1” da regra 3-2-1 e a exposição decorre de ausência de controles, não do destino. Quando o item explicar por que determinada tecnologia foi evitada, leia a oração causal como se fosse um item separado.

Absoluto — 9%. “É realizada a cópia completa dos arquivos em cada procedimento realizado” — nenhuma política repete o integral todo dia; “exige que todas as operações de backup sejam realizadas exclusivamente no Oracle Cloud, removendo a opção de backups locais”. Achado o absoluto, procure o contraexemplo que ele exclui.

Três formatos aparecem uma vez cada — 5%. O número: retenção de cinco anos atendida por uma política “para retenção semanal com periodicidade anual”, que não alcança o prazo — é para isso que existe o GFS. O componente: “a central de sincronização do Windows 7 realiza o becape completo do computador”, quando ela administra arquivos offline e quem faz becape ali é a ferramenta Backup e Restauração. E a exceção que o próprio cenário deu: o enunciado informava que os becapes estavam criptografados pelo ransomware, e a assertiva propunha resolver “sem pagar o resgate, utilizando os backups de dados”. A regra geral é verdadeira e não se aplica ao caso — releia o cenário antes de julgar a assertiva.

Erros clássicos

Achar que o incremental restaura rápido porque grava pouco. É o inverso: grava pouco porque cada conjunto é uma fatia distinta, e por isso a restauração precisa de todas as fatias, na ordem. Uma única fita incremental ilegível inutiliza a cadeia dali em diante.

Supor que o diferencial tem tamanho constante. Ele cresce todo dia, porque recopia tudo desde o completo. Na véspera do próximo completo, um diferencial pode estar quase do tamanho de um completo.

Confundir deduplicação com compactação. São técnicas diferentes com o mesmo objetivo. A prova define uma com a frase da outra.

Tratar snapshot como becape. O snapshot vive no mesmo storage; se o storage morre, morrem os dois. Ele é cópia instantânea, não cópia independente.

Confundir RTO com RPO. RTO é tempo de indisponibilidade; RPO é quantidade de dado perdido, também medida em tempo — e é o RPO, não o RTO, que define de quanto em quanto tempo se faz becape.

Colocar o BCP dentro do DRP. É o contrário: o DRP é a parte de TI do BCP. E a BIA não é plano nenhum — é a análise que fornece os prazos aos dois.

Confiar em becape que nunca foi restaurado. Cópia gravada não é cópia recuperável. Só o teste de restauração comprova, e é a data do último teste bem-sucedido que a organização consegue sustentar diante de uma auditoria.

Esquecer que ransomware alcança o becape. Se a cópia está montada na rede, ela é criptografada junto. O que sobrevive é a cópia imutável, desconectada ou em fita — a razão de ser do “1” extra na variante 3-2-1-1-0.