Empresas ignoram planos de recuperação e podem agravar impactos de ataques cibernéticos

Ter um backup não significa, necessariamente, estar preparado para uma crise. Em um cenário de aumento dos ataques cibernéticos, empresas brasileiras ainda concentram grande parte de seus esforços na prevenção, enquanto a capacidade de recuperação após um incidente permanece como um ponto de atenção.

O alerta foi divulgado pela Penso Tecnologia, que chama atenção para a fragilidade dos planos de recuperação de muitas organizações. Segundo Erik de Lopes Morais, COO da empresa, é justamente durante um incidente que muitas companhias descobrem que seus planos não são suficientes para garantir a continuidade das operações.

“A maioria das empresas descobre a fragilidade do seu plano de recuperação no momento em que mais precisa dele.”

A questão vai além de possuir cópias de segurança. Um plano de recuperação precisa estabelecer, previamente, quanto tempo a empresa pode permanecer indisponível e quanto de informação pode ser perdido sem comprometer significativamente o negócio.

RTO e RPO: duas métricas que não podem ser ignoradas

Nesse contexto, dois indicadores são fundamentais: RTO (Recovery Time Objective) e RPO (Recovery Point Objective).

O RTO estabelece o tempo máximo aceitável para que um sistema, processo ou operação seja restaurado após uma interrupção. Já o RPO determina o volume máximo de dados que a organização está disposta a perder, considerando o período entre o último backup disponível e o momento do incidente.

Na prática, não basta estabelecer números de forma genérica.

Uma empresa pode, por exemplo, possuir backups diários, mas descobrir durante um ataque de ransomware que perder até 24 horas de dados compromete operações financeiras, contratos, pedidos de clientes ou processos críticos.

Da mesma forma, ter um sistema de backup capaz de restaurar informações não significa que a empresa conseguirá recuperar sua operação dentro do tempo necessário.

Por isso, RTO e RPO precisam ser definidos a partir da realidade de cada negócio, considerando processos críticos, sistemas utilizados, dependências tecnológicas, impacto financeiro e obrigações perante clientes e parceiros.

O problema começa antes do ataque

A fragilidade dos planos de recuperação também precisa ser analisada em conjunto com outras vulnerabilidades presentes nos ambientes corporativos.

De acordo com levantamento citado pela Penso Tecnologia, 98% das contas em nuvem de empresas brasileiras operam sem autenticação multifator (MFA), enquanto 91% possuem privilégios excessivos.

Essas condições aumentam o risco de acessos indevidos e podem ampliar significativamente o impacto de um ataque.

A ausência de MFA, por exemplo, faz com que uma credencial comprometida possa representar uma porta de entrada para ambientes corporativos. Já privilégios excessivos podem permitir que um invasor, depois de obter acesso, alcance sistemas e informações que não seriam necessários para a execução daquela conta.

Isso demonstra que resiliência cibernética não deve ser tratada como uma etapa isolada. Prevenção, detecção, resposta e recuperação precisam funcionar de forma integrada.

Ransomware aumenta a pressão sobre a recuperação

Entre as ameaças que tornam esse planejamento ainda mais importante está o ransomware.

Segundo dados da SonicWall citados pela Penso, o Brasil registrou mais de 3.600 incidentes de ransomware no primeiro semestre de 2025, representando crescimento de 25%.

O cenário também é influenciado pelo modelo de Ransomware como Serviço (RaaS), no qual ferramentas e estruturas para realização dos ataques podem ser disponibilizadas a criminosos com menor conhecimento técnico.

Outro fator de preocupação é a chamada extorsão dupla.

Nesse modelo, o criminoso não apenas criptografa os dados da organização, mas também ameaça divulgar as informações roubadas caso o resgate não seja pago. Assim, mesmo que a empresa consiga restaurar seus sistemas a partir de backups, ainda pode enfrentar consequências relacionadas ao vazamento de informações.

O incidente, portanto, deixa de ser apenas um problema de disponibilidade.

Ele pode gerar impactos operacionais, financeiros, jurídicos, regulatórios e reputacionais.

O custo de não estar preparado

Os números apresentados pela Penso ajudam a dimensionar o problema.

Estimativas de mercado citadas pela empresa apontam que os prejuízos anuais relacionados a falhas de segurança digital no Brasil ultrapassam R$ 126 bilhões.

Além disso, em fevereiro de 2026, o país teria registrado uma média de 3.736 ataques cibernéticos por semana por organização, aumento de 37% em relação ao mesmo período do ano anterior.

Outro dado chama atenção para a dimensão estratégica do problema: uma pesquisa realizada pela Grant Thornton e Opice Blum, também referenciada pela Penso, indica que 79% das organizações consideram estar mais expostas a ataques em razão da evolução tecnológica, enquanto apenas 44% afirmam contar com envolvimento da alta administração no tema.

Esse descompasso pode dificultar a construção de uma estratégia efetiva de resiliência.

Cibersegurança não deve ser tratada exclusivamente como uma responsabilidade da área de TI. Quando um ataque interrompe sistemas essenciais, o impacto alcança toda a organização — incluindo operações, financeiro, jurídico, atendimento, recursos humanos e alta administração.

Backup não é sinônimo de recuperação

Um dos principais erros no planejamento de continuidade é considerar que a existência de backups, por si só, garante a recuperação.

Não garante.

Um backup pode estar corrompido, desatualizado, inacessível ou conectado ao mesmo ambiente comprometido pelo atacante. Além disso, a organização pode não saber quanto tempo levará para restaurar seus sistemas ou quais aplicações precisam ser recuperadas primeiro.

Por isso, um plano de recuperação efetivo deve responder a perguntas práticas:

• Quais sistemas são críticos para o negócio?

• Qual é o RTO de cada sistema?

• Qual é o RPO aceitável?

• Quando foi realizado o último teste de restauração?

• Os backups estão isolados do ambiente de produção?

• Existem cópias imutáveis ou protegidas contra alteração?

• Quem é responsável pela tomada de decisão durante uma crise?

• Qual sistema deve ser restaurado primeiro?

• Como será realizada a comunicação com clientes, fornecedores e colaboradores?

• O plano continua válido após mudanças na infraestrutura tecnológica?

  
  

Se essas perguntas não tiverem respostas claras, existe o risco de a organização possuir um documento de recuperação, mas não necessariamente capacidade real de recuperação.

Recuperação precisa ser testada

Outro ponto fundamental é a realização de testes.

Um plano que nunca foi colocado à prova pode apresentar falhas justamente quando a empresa mais precisa dele.

Testes de restauração, simulações de incidentes e exercícios de continuidade permitem identificar problemas relacionados a procedimentos, responsáveis, dependências entre sistemas, capacidade da infraestrutura e tempo necessário para retomada.

Além disso, os resultados dos testes devem ser utilizados para atualizar os planos.

A infraestrutura muda. Sistemas são substituídos, fornecedores são contratados, novos processos são criados e novas ameaças surgem. Consequentemente, o plano de recuperação também precisa evoluir.

Resiliência deve fazer parte da estratégia empresarial

O avanço das ameaças cibernéticas mostra que nenhuma organização pode depender exclusivamente da prevenção.

Firewalls, antivírus, EDR, MFA, gestão de vulnerabilidades e outras medidas de segurança são fundamentais, mas não eliminam completamente a possibilidade de um incidente.

A pergunta estratégica passa a ser:

“Se um ataque acontecer hoje, quanto tempo nossa empresa levará para voltar a operar?”

Responder a essa pergunta exige mais do que tecnologia. É necessário conhecer os processos críticos, definir prioridades, estabelecer RTO e RPO, proteger os backups, determinar responsabilidades e testar regularmente os procedimentos.

Como resume Erik de Lopes Morais, da Penso Tecnologia:

“Resiliência não é apenas ter backup. É saber em quanto tempo você consegue voltar a operar, com quais dados e sem comprometer a integridade do ambiente.”

No cenário atual, estar preparado para um ataque não significa apenas tentar impedir que ele aconteça. Significa também estar preparado para continuar funcionando quando as barreiras de prevenção falharem.