Backup de VPS: o que verificar antes de contratar

As perguntas a fazer

Frequência e retenção: o que você pode perder

Dois tempos resumem uma política de backup:

• A perda máxima aceitável (RPO, recovery point objective): a quantidade de trabalho que você aceita perder. Um backup toda noite significa no máximo 24 horas; um banco que registra pedidos o dia inteiro ganha em acrescentar o arquivamento contínuo do log de transações.
• O tempo máximo de interrupção (RTO, recovery time objective): o tempo durante o qual o serviço pode ficar parado. Ele depende do volume a restaurar e, sobretudo, de quem restaura, e quando.

A retenção responde a outra pergunta: até quando você pode voltar? Uma exclusão notada no dia seguinte se resolve com o backup da véspera. Uma invasão discreta, uma corrupção silenciosa ou um erro em um processamento automático às vezes só são notados mais tarde: é preciso então um ponto de restauração anterior ao problema. Para os arquivos de longo prazo, contábeis ou regulatórios, uma exportação mensal guardada à parte complementa o backup do servidor.

Onde ficam os backups, e quem pode apagá-los

Um backup protege contra o que acontece com o servidor. Por isso, ele fica em outro lugar:

• Um espelhamento de discos (RAID) protege contra a falha de um disco, e copia fielmente para o segundo disco uma exclusão ou uma criptografia maliciosa feita no primeiro. É uma proteção do hardware, não um backup.
• Um snapshot no mesmo armazenamento faz voltar rápido depois de uma atualização malsucedida, mas desaparece junto com o armazenamento que o contém.
• Um backup fora da máquina, em um armazenamento separado, sobrevive à perda do servidor. Criptografado antes de sair, ele fica ilegível para quem não tem a chave.

Um ponto muitas vezes esquecido: um backup que pode ser apagado a partir do servidor também pode ser apagado por um invasor que assumiu o controle do servidor. Os backups feitos e guardados pelo provedor, fora do alcance do servidor copiado, escapam desse risco.

O caso dos bancos de dados

Um banco de dados grava o tempo todo. Uma cópia dos arquivos dele feita enquanto ele roda o captura como ele estaria depois de uma queda de energia: o PostgreSQL e o MySQL sabem se recuperar desse estado reaplicando o próprio log. Para uma restauração fina, tabela por tabela, ou para outra versão, acrescenta-se um backup lógico:

pg_dump -Fc -d minha_base -f /backups/minha_base-$(date +%F).dump
mysqldump --single-transaction --routines minha_base | gzip > /backups/minha_base-$(date +%F).sql.gz

Programadas para toda noite no cron, antes do horário do backup do servidor, essas exportações entram nele e também podem ser copiadas para um armazenamento seu.

A regra 3-2-1

A regra que as agências de cibersegurança recomendam cabe em três números: 3 cópias de seus dados, em 2 mídias diferentes, sendo 1 fora do local. Em um VPS, ela fica assim: os dados em uso no servidor, o backup feito pelo provedor fora da máquina e uma exportação regular do que mais importa (o banco de dados, os arquivos enviados por seus usuários) para um armazenamento seu.

restic -r sftp:usuario@armazenamento.example.com:/backups init
restic -r sftp:usuario@armazenamento.example.com:/backups backup /backups

Testar uma restauração

Um backup se comprova restaurando-o. Uma vez por trimestre, e depois de cada mudança importante no servidor:

1. Peça ou execute a restauração em um servidor de teste, ao lado da produção.
2. Verifique se a aplicação inicia e responde.
3. Compare alguns números com a produção: quantidade de linhas das tabelas principais, data do último registro.
4. Anote o tempo que a operação levou: é seu tempo real de interrupção.

Em um VPS gerenciado, esses backups, o armazenamento deles fora da máquina e a própria restauração ficam com o provedor: você pede, ele restaura.

Se o servidor guarda dados pessoais, a LGPD pede que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger esses dados de situações acidentais ou ilícitas de destruição e perda (art. 46), e que demonstrem a eficácia dessas medidas (art. 6º, X). Um teste de restauração datado é a prova mais simples.