O objetivo de ponto de recuperação (RPO) é a quantidade máxima de dados — medida em tempo — que sua organização pode perder após uma interrupção não planejada e ainda assim operar dentro de limites aceitáveis.

Pense no RPO como um relógio de perda de dados: ele começa a contar regressivamente a partir do momento em que ocorre uma interrupção, um ataque cibernético ou um erro humano, e para no seu último ponto de backup ou replicação utilizável. Cada segundo entre esses dois pontos representa dados que você talvez nunca consiga recuperar.

NISTdefine o RPOcomo “o momento no tempo até o qual os dados devem ser recuperados após uma interrupção”. Essa definição é aparentemente simples. Na prática, definir o RPO adequado levanta questões importantes sobre quais cargas de trabalho são mais importantes, com que frequência você faz backups e quanto investe na infraestrutura de replicação.

Ataques cibernéticos, interrupções na nuvem e exclusões acidentais ocorrem em momentos que estão fora do seu controle. As organizações que definem metas claras de RPO — e as cumprem por meio de backups automatizados e orientados por políticas — se posicionam para se recuperar dentro dos limites de tolerância da empresa, em vez de terem que correr atrás do prejuízo depois que o problema já ocorreu.

Este guia explica como funciona o RPO, em que ele difere do objetivo de tempo de recuperação (RTO), quais são alguns exemplos práticos, como calcular o RPO e o papel fundamental do RPO na resiliência cibernética.

Como o RPO funciona no planejamento de continuidade de negócios

O RPO é o “relógio de perda de dados” que determina a frequência dos seus backups. Se o seu RPO para um banco de dados for de uma hora, os backups devem ser executados pelo menos a cada 60 minutos. Se você não mantiver essa cadência, poderá já ter excedido sua tolerância antes mesmo que algo dê errado.

Em um plano de continuidade de negócios, o RPO, juntamente com o RTO, constitui um dos dois pilares da recuperação. Enquanto o RTO responde à pergunta “Em quanto tempo podemos colocar os sistemas em funcionamento novamente?”, o RPO responde à pergunta “Quão atualizados estarão os dados recuperados?”. Ambos fazem parte da estratégia mais ampla de recuperação de desastres — e ambos devem ser validados por meio de testes regulares, não apenas documentados em uma pasta.

O RPO também pode ter uma dimensão de conformidade:

• Normas como a HIPAA geralmente exigem que as instituições de saúde mantenham cópias recuperáveis das informações eletrônicas sobre a saúde dos pacientes.
• A SOX inclui disposições relativas à manutenção de registros financeiros auditáveis e intactos.
• O RGPD prevê que o tratamento de dados pessoais deva poder ser restabelecido em tempo hábil após um incidente técnico.

Quando um ataque criptografa os dados de produção, a diferença entre seu último backup válido e o carimbo de data/hora da criptografia corresponde aos dados que você perde. Essa diferença é o seu RPO em ação — e ajuda a determinar se a recuperação levará horas ou se se tornará uma crise.

Conclusão prática: o RPO não é um valor que se define uma vez e depois se esquece. Ele deve refletir as taxas atuais de alteração de dados, as exigências de conformidade e a realidade do cenário de ameaças — e deve ser aplicado por meio de políticas automatizadas de backup.

RPO x RTO: Qual é a diferença?

RPO e RTO são dois lados da mesma moeda no que diz respeito à Recovery, mas medem aspectos diferentes.

O RPO analisa retrospectivamente a partir do momento da falha. Ele questiona: “Quanta informação podemos nos dar ao luxo de perder?” A resposta é expressa em tempo — minutos, horas ou dias —, representando o intervalo entre o último backup válido e a interrupção.

O RTO enxerga o futuro a partir do momento da falha. Ele questiona: “Em quanto tempo os sistemas devem estar de volta ao ar?” A resposta também é expressa em tempo, mas mede a tolerância ao tempo de inatividade, e não a tolerância à perda de dados.

Ambas as métricas devem ser definidas em conjunto. Uma organização com um RPO de 15 minutos, mas um RTO de 24 horas, tem dados recentes que ficam ociosos por um dia inteiro. Por outro lado, um RTO de quatro horas combinado com um RPO de 24 horas significa que os sistemas voltam a funcionar rapidamente — mas com dados desatualizados.

Alinhar as metas de RPO e RTO antes de um incidente — e validá-las por meio de testes regulares de Recovery — pode ser a diferença entre uma resposta planejada e uma reação desorganizada.

Níveis de RPO e exemplos da prática

Nem toda carga de trabalho merece o mesmo RPO. Classificar os RPOs por nível de importância para os negócios ajuda a manter a proteção rigorosa onde é essencial e os custos sob controle onde não é.

Nível 0: RPO próximo de zero (segundos a minutos): Bancos de dados de transações financeiras, prontuários eletrônicos de pacientes e plataformas de negociação em tempo real geralmente exigem proteção contínua de dados (CDP) ou replicação síncrona. Essas cargas de trabalho geram receita ou têm implicações regulatórias a cada segundo; portanto, mesmo alguns minutos de perda de dados podem ser difíceis de suportar. As organizações que implementam um RPO próximo de zero geralmente utilizam CDP ou replicação síncrona para ajudar a minimizar a janela de perda de dados.

Nível 1: 1 a 4 horas: os sistemas de gestão de relacionamento com o cliente (CRM), plataformas de e-mail e sistemas de processamento de pedidos costumam se enquadrar nessa categoria. Backups incrementais frequentes — a cada 15 a 60 minutos — ajudam a manter a perda de dados dentro dos limites de tolerância. O custo é moderado, e o impacto nos negócios decorrente da perda de algumas horas de e-mails ou atualizações do CRM é, em geral, administrável por meio da reinserção manual dos dados.

Nível 2: 4 a 12 horas: Ferramentas de colaboração interna, ambientes de desenvolvimento e plataformas de gerenciamento de projetos geralmente operam nesse intervalo. Backups programados a cada 4 a 6 horas podem proporcionar um equilíbrio entre proteção e custos de armazenamento.

Nível 3: 12– 24 horas: Arquivos de análises de marketing, registros históricos e documentação de referência geralmente permitem backups diários na nuvem. Os dados mudam lentamente e a reconstrução é viável, tornando as frequências diárias de backup economicamente viáveis.

A classificação por camadas ajuda as organizações a concentrar o máximo de recursos na proteção das cargas de trabalho em que cada minuto de perda de dados acarreta o maior custo, evitando, ao mesmo tempo, gastos excessivos com arquivos que são atualizados apenas uma vez por semana.

RPO e resiliência cibernética

O ransomware não se importa com sua programação de backup –, mas seu RPO determina o grau de vantagem que os invasores têm. Um RPO restrito significa que há menos dados entre seu último backup imutável e o evento de criptografia, o que ajuda a reduzir o alcance de um ataque.

A resiliência cibernética não depende apenas da frequência dos backups. Cópias de backup imutáveis e isoladas (air-gapped) ajudam a proteger contra invasores que comprometem ambientes de produção, impedindo que eles acessem ou alterem os dados de recuperação. Quando esses backups são armazenados fora da conta principal na nuvem, você adiciona um nível de isolamento que o ransomware simplesmente não consegue ultrapassar.

É aqui que o Clumio da Commvault se encaixa na sua estratégia de RPO. ComClúmio, você armazena os dados de backup em um ambiente isolado e totalmente gerenciado, fora da sua conta principal da AWS. A recuperação granular em um ponto específico no tempo permite que você restaure os dados a um momento preciso anterior ao ataque — ajudando a minimizar a perda de dados de acordo com o RPO que você definiu. Projetado para ajudar você a manter o controle sobre a recuperação sem depender da mesma infraestrutura que foi comprometida pelo invasor.

As organizações que mantêm RPOs rigorosos com backups imutáveis e isolados podem evitar o pagamento de resgate, pois conseguem recuperar dados intactos de forma independente.

A fórmula é simples: um RPO mais restrito, aliado a backups imutáveis e isolados, geralmente resulta em uma superfície de ataque menor e em uma recuperação mais rápida e limpa. Essa é a base da resiliência cibernética.