Question 1

Minha empresa pequena precisa se adequar à LGPD?

Accepted Answer

Precisa. A LGPD não isenta ninguém por porte — o que existe para agente de pequeno porte é prazo diferenciado em algumas obrigações, não dispensa. A ANPD já abriu processo contra empresas por falhas básicas, como não ter encarregado nomeado e não responder pedido de titular. O caminho realista para uma empresa pequena não é um projeto jurídico caro: é começar pelo essencial — encarregado nomeado e visível, canal para o titular pedir seus dados e plano de resposta a incidente pronto antes de precisar dele.

Question 2

Preciso de um encarregado (DPO)?

Accepted Answer

Sim, e o nome e o contato precisam estar públicos, normalmente no site. É a exigência mais simples da lei e uma das mais fiscalizadas justamente porque é fácil de verificar de fora: basta abrir o site e procurar. O encarregado pode ser alguém interno acumulando a função ou um serviço externo contratado. O papel é ser o ponto de contato entre a empresa, os titulares dos dados e a ANPD — não é um cargo técnico.

Question 3

Em quanto tempo tenho que comunicar um vazamento?

Accepted Answer

Três dias úteis a partir do momento em que a empresa toma conhecimento do incidente, conforme a regulamentação da ANPD, com prazo em dobro para agentes de pequeno porte. Na prática esse prazo não se cumpre improvisando: em três dias você precisa saber o que vazou, quantas pessoas foram afetadas, o que já foi feito para conter e o que ainda será feito. Por isso o plano de resposta é escrito antes, com papéis definidos: quem decide, quem comunica, quem documenta.

Question 4

Qual é a multa da LGPD?

Accepted Answer

Até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. Mas a multa não é a única sanção prevista: a lei também permite advertência, publicização da infração — que é o dano de imagem — bloqueio dos dados envolvidos e até a eliminação deles. Para muita empresa a publicização e o bloqueio doem mais que o valor, porque afetam a operação e o contrato com cliente grande.

Question 5

O que é backup 3-2-1-1-0?

Accepted Answer

É a regra que resume um backup confiável: três cópias dos dados, em dois meios diferentes, com uma fora do escritório, uma imutável e zero erro na verificação. A cópia imutável é a parte que mais falta nas empresas e a mais importante hoje: é ela que impede o ransomware de criptografar ou apagar o backup junto com o resto, que é exatamente o que o ataque moderno tenta fazer primeiro. O zero se refere a testar a restauração e conferir que ela funcionou — não apenas que o job rodou sem erro.

Question 6

Meu backup atual me protege de ransomware?

Accepted Answer

Se ele fica na mesma rede, acessível com a mesma credencial de administrador, e nunca foi testado, provavelmente não. O ataque atual procura o backup antes de criptografar os dados, justamente para tirar a sua saída. Backup em pasta de rede ou em disco externo sempre conectado cai nesse caso. É o primeiro item que a MKNod verifica no diagnóstico, e a checagem não é se o backup existe: é se ele é imutável, se está isolado e quando foi a última restauração testada de verdade.

Question 7

Qual a diferença entre backup e disaster recovery?

Accepted Answer

Backup é a cópia dos dados. Disaster recovery é o plano de voltar a operar, e ele tem dois números definidos: RTO, quanto tempo a empresa aceita ficar parada, e RPO, quanto de dado aceita perder. Ter cópia sem plano é ter arquivo, não continuidade — a diferença aparece no dia em que o servidor morre e ninguém sabe em que ordem restaurar, onde subir e quanto tempo isso leva. O plano define isso antes, e o teste periódico comprova que o prazo prometido é real.

Question 8

Como controlo quem acessa cada arquivo?

Accepted Answer

Com grupos de acesso por área e por função, em vez de permissão dada individualmente a cada pessoa. A permissão individual é o que sempre desanda: alguém muda de setor, ganha o acesso novo e mantém o antigo, e em dois anos metade da empresa enxerga a pasta do financeiro. Com grupos, entrar e sair de uma função ajusta o acesso sozinho. Some a isso a revisão periódica de quem está em cada grupo. É trabalho de organização, e resolve ao mesmo tempo risco de vazamento e exigência de LGPD.

Backup que ninguém testou não é backup

Provavelmente você chegou aqui por um destes motivos

Você tem backup, mas nunca restaurou.

Seu backup está no alcance do ataque.

Você não sabe quem é o seu encarregado.

Todo mundo acessa todas as pastas.

Três dias úteis para comunicar um incidente

O que está incluso

Diagnóstico de LGPD

Estrutura mínima exigida

Plano de resposta a incidente

Backup em nuvem

Teste de restauração

Recuperação de desastre

Servidor de arquivos e permissões

Como funciona

Diagnóstico

Implantação

Operação contínua

Com o que trabalhamos

Perguntas frequentes

Continue navegando

Fale sobre backup e LGPD

Vamos testar se o seu backup volta