A importância dos dados é cada vez mais decisiva nas Organizações e a sua proteção um imperativo para a continuidade dos negócios. Convém apostar na proteção correta… de preferência antes que algo aconteça!
Há várias décadas que a chamada “lei de Murphy” é associada às Tecnologias da Informação e as acompanha com uma premissa simples: “se algo pode correr mal, vai certamente correr mal”. E, acrescentamos nós, tal irá invariavelmente acontecer na pior altura possível.
No entanto, quando este princípio remete para os dados de uma organização, a curiosidade normalmente associada a esta “lei” termina e o espectro do risco emancipa-se - ou não fossem esses dados o principal ativo de valor das organizações.
A perda, exposição ou corrupção dos dados representam custos avultados, quer devido ao impacto direto nas operações (paragem dos processos de negócio, penalizações), quer pelo impacto indireto, muitas vezes intangível (perda reputacional, perda de propriedade intelectual, etc.).
De acordo com o Veeam Data Protection Report 2021, 58% dos dados protegidos em backup nas empresas revelaram limitações de recuperabilidade, o que indica uma vulnerabilidade operacional gritante.
Perante este cenário, será de esperar que os decisores de uma empresa assumam uma posição, empiricamente, simples: assegurar que nada pode correr mal, removendo da equação quaisquer contingências relacionadas com a “lei de Murphy”. Mas será realmente assim tão simples?
O Backup
O conceito de Data Protection tende a ser minimizado no princípio do backup. É importante referir que o backup, na sua essência, é um processo operacional onde é criada uma (ou várias) cópia(s) de segurança, que permitem repor um conjunto de dados para um estado anterior no tempo, num contexto em que a disponibilidade dos dados originais se perdeu.
O princípio parece fácil de aplicar, mas é substancialmente mais desafiante por diversos motivos: há que contar com o RTO (Recovery Time Objective), que obriga a adequar a tecnologia de backup a implementar (hardware e software); a taxa de retenção, ou RPO (Recovery Point Objective), que implica dimensionar cuidadosamente a capacidade disponível; e o tipo de dados a armazenar, que influencia inevitavelmente a estratégia de backup a tomar - quer ao nível tecnológico, quer da capacidade.
Para os perfis de gestão C-Level todos os fatores enunciados são pouco relevantes, sendo pertinente apenas uma questão: em caso de perda, em quanto tempo a organização repõe a informação crítica para o negócio?
A estratégia de Data Protection
A abordagem à expressão Data Protection deve, por isso, ser feita num contexto muito mais abrangente. Há que considerar as exigências de negócio e de disponibilidade, a sensibilidade dos próprios dados, assim como os diferentes níveis de exposição ao risco, sejam eles tecnológicos ou humanos.
De um modo sintético, há quatro fatores preponderantes que devem ser integrados na construção do modelo de Data Protection:
- Performance (Baixo RTO) - A reposição de dados críticos com impacto na operação obriga à adoção de estratégias eficientes e passa, de um modo geral, pela implementação de tecnologias de Snapshots de Storage, que permitem restaurar vários TB de informação em minutos;
- Retenção (médio RTO) - Indexado a políticas organizacionais, que obrigam a armazenar períodos variáveis em função do tipo de dados, são processos tipicamente canalizados para appliances de deduplicação, que asseguram um equilíbrio entre performance, capacidade de retenção e custo por TB;
- Arquivo (alto RTO) - Procedimento cada vez mais pertinente e necessário num mundo que regista uma explosão de dados, e cuja retenção de dados tende a ser perpétua. Obriga ao estudo de sistemas do tipo Scale Out, com custo por TB baixíssimo, assumindo modelos de replicação multi-nó e integração de repositórios em Cloud;
- Cyber Protection - Possivelmente o elemento mais pertinente, que deve ser assumido como trave-mestra de todas as decisões: um modelo de implementação que assegura que a informação se mantém imutável dentro de um ciclo de vida predefinido, de modo a assegurar que a mesma não é comprometida por ciberataques - sejam eles tecnológicos (ransomware) ou por mecanismos de engenharia social (captura de credenciais e remoção manual de backups).
Como começar? 3-2-1-zero
Diz-se em diferentes quadrantes que “o clássico está sempre na moda” e a razão é simples: porque funciona!
Aplicando esta ideia ao domínio da proteção de dados, a conhecida estratégia 3-2-1 continua a ser um bom ponto de partida, nomeadamente:
- 3 cópias;
- 2 suportes/mídias de armazenamento diferentes;
- 1 cópia fora do datacenter.
Acrescentemos ainda um “0” para promover um “Zero chance to fail”.
Com base neste modelo, o desenho de uma estratégia de Data Protection deverá sempre assegurar que, quaisquer que sejam as falhas tecnológicas, constrangimentos de dados ou ciberataques, a possibilidade de reposição da informação consistente se mantém estável e permanentemente disponível.
Deste modo, as organizações estarão muito mais perto de eliminar a possibilidade de que a “lei de Murphy” possa acontecer.
