--- title: "RTO e RPO: o plano de continuidade que repõe a operação a tempo" description: "Continuidade de negócio gerida: fixar RTO e RPO por sistema, proteger as cópias contra ransomware e provar a reposição com testes. Proposta sem compromisso." language: pt url: https://www.dataroad-it.com/manutencao-informatica/backup-recuperacao-desastres-pme/ source: https://www.dataroad-it.com/manutencao-informatica/backup-recuperacao-desastres-pme/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Continuidade de negócio gerida: fixar RTO e RPO por sistema, proteger as cópias contra ransomware e provar a reposição com testes. Proposta sem compromisso. # RTO e RPO: o plano de continuidade que repõe a operação a tempo Em resumo Para decisores com pouco tempo. - 01 Backup é ter cópias; continuidade é voltar a faturar dentro de um prazo definido. - 02 A administração fixa RTO (tempo parado) e RPO (dados perdidos) para cada sistema. - 03 Contra ransomware: 3-2-1 com uma cópia imutável e testes de reposição sem erros. - 04 Teste trimestral cronometrado e ensaio anual com a administração presente. ### Neste artigo Um plano de continuidade bem feito dá à administração duas garantias por escrito: em quantas horas a empresa volta a faturar depois de um incidente, e quanto trabalho, no limite, terá de ser refeito. Esses dois compromissos chamam-se RTO e RPO. Ter cópias de segurança é condição necessária, mas não chega: o que protege a receita é a capacidade de repor tudo dentro do prazo, e um ensaio documentado que o demonstre. ## Porque é que “temos backup” não responde ao risco? Porque a cópia é só o ponto de partida. Pense num servidor que morre numa manhã de segunda-feira, com uma cópia feita na véspera num disco USB. A cópia existe; a empresa continua parada. Para repor a operação faltam quatro coisas: - **Hardware de substituição** O servidor avariado não pode receber os dados de volta. - **Competência e credenciais** Um técnico que conheça o sistema e tenha à mão senhas e chaves de licença. - **Horas de trabalho** Transferir os dados, pôr as aplicações a correr e validar o resultado. - **Religar o escritório** Postos, impressoras e permissões que apontavam para a máquina antiga. É nestes quatro passos que uma avaria de uma manhã se transforma numa semana sem faturar. Muitas PME só o descobrem quando já aconteceu. ## Que dois números deve a administração fixar? **RTO: Recovery Time Objective.** O tempo máximo de paragem que o negócio tolera antes de as perdas se tornarem sérias. **RPO: Recovery Point Objective.** A janela de dados que se aceita perder, contada para trás a partir do incidente. Com a última cópia feita à meia-noite, um problema às 17h custa o dia inteiro de trabalho. Lido em conjunto: RTO de 4 horas e RPO de 1 hora querem dizer “estamos operacionais em 4 horas e, no pior caso, perdemos a última hora”. A decisão é de negócio. O parceiro de IT traduz esses valores numa arquitetura e num preço, e quanto mais apertados, mais caro. Exigir recuperação instantânea para todos os sistemas é desperdiçar orçamento. ### Quatro passos para os definir numa reunião - **Listar dependências**: correio eletrónico, ERP e faturação, pastas partilhadas, software do setor, telefonia, site. - **Perguntar pelo impacto**: a cada responsável: “a partir de que hora de paragem começamos a perder clientes ou receita?” A resposta dá o RTO. - **Perguntar pelo retrabalho**: “quantas horas de trabalho estamos dispostos a repetir?” Daí sai o RPO. - **Exigir prova**: passar a lista ao fornecedor e pedir a solução acompanhada do ensaio que a valida. ## Como ficam os valores numa empresa real? Cenário ilustrativo: empresa de serviços, 40 postos, faturação todos os dias, parte da equipa a trabalhar a partir de casa. Os números servem de referência, não de receita. | Serviço | RTO | RPO | Arquitetura habitual | | --- | --- | --- | --- | | ERP e faturação | 2 a 4 horas | 15 minutos a 1 hora | Várias cópias por dia e um sistema-espelho pronto a entrar em produção | | Correio e agendas no Microsoft 365 | 4 horas | 24 horas | Cópia diária fora da infraestrutura da Microsoft | | Pastas partilhadas | 1 dia útil | 4 a 24 horas | Cópias ao longo do dia, no escritório e num local externo | | Software de setor (clínica, hotel, gabinete de projeto) | 2 a 8 horas | 1 a 4 horas | Servidor virtual replicado, capaz de arrancar noutro hardware | | Telefonia | 1 hora | Não aplicável | PBX na cloud com desvio para os telemóveis | | Site da empresa | 1 a 2 dias | 1 semana | Cópia semanal no fornecedor de alojamento | | Histórico de anos anteriores | 1 semana | 1 semana | Cópia mensal num suporte à parte | A diferença entre a primeira e a última linha é o argumento económico: proteger o arquivo como se fosse o ERP é gastar dinheiro sem ganho; proteger o ERP como se fosse o arquivo é aceitar um risco que ninguém aprovou. ## Que arquitetura de cópias resiste a ransomware? A base continua a ser o 3-2-1: três cópias, dois suportes distintos, uma delas fora das instalações. Hoje isso já não chega. Os ataques modernos localizam e destroem as cópias acessíveis pela rede antes de cifrar os servidores, por isso é preciso uma cópia imutável, que ninguém consegue apagar durante um período fixado, e um último teste sem erros. A agência norte-americana CISA aconselha guardar cópias cifradas e desligadas da rede dos dados críticos e verificar com regularidade que estão íntegras e disponíveis. Quem trabalha em Microsoft 365 tem um ponto cego adicional: a reciclagem nativa guarda os dados por pouco tempo. Explicamos o problema em [porque o Microsoft 365 precisa de uma cópia própria](https://www.dataroad-it.com/manutencao-informatica/backup-microsoft-365-empresas/). ## Contra que incidentes deve o plano proteger? - **Falha de hardware** Disco, servidor, switch ou firewall que deixa de responder. - **Ataque informático** Ransomware ou acesso indevido que cifra ou apaga dados, cópias incluídas quando estão na mesma rede. - **Engano de um utilizador** Pasta eliminada, documento substituído, conta removida por engano. - **Corte de energia ou de ligação** Várias horas sem rede elétrica, como em 28 de abril de 2025. Analisamos esse dia em [oito horas sem energia nem internet: o escritório aguentava?](https://www.dataroad-it.com/cablagem-de-rede-informatica/apagao-empresa-preparada-sem-luz-internet/) - **Dano no edifício** Fogo, água ou roubo de equipamento. ## Como se vê isto num projeto concreto? A [União de Freguesias de Massamá e Monte Abraão](https://www.dataroad-it.com/manutencao-informatica/contrato-publico-2022-massama-monte-abraao/) contratou a DataRoad em 2022, por procedimento público, para um projeto que reúne as três camadas de que falamos: um servidor empresarial novo, instalado e configurado; uma UPS para proteger e manter os sistemas em funcionamento; e backup corporativo em duas frentes, local e cloud, criado e depois validado. A informação e as configurações anteriores passaram para a nova infraestrutura sem perdas. A camada local garante reposição rápida. A camada cloud cobre o desastre no edifício. A validação transforma ambas em compromissos verificados, e não em suposições. ## Com que frequência se deve provar a recuperação? Trimestralmente, no mínimo, com uma reposição de um servidor em ambiente isolado e o tempo registado. Anualmente, com um exercício completo a que a administração assiste. Sem esse registo, RTO e RPO são apenas intenções. Deixámos o procedimento em [o ensaio de reposição de 30 minutos a exigir ao seu fornecedor](https://www.dataroad-it.com/manutencao-informatica/teste-backup-reposicao-30-minutos/). Se o incidente já está em curso, leia primeiro [o que fazer nas horas iniciais de uma recuperação de dados](https://www.dataroad-it.com/manutencao-informatica/recuperacao-dados-primeiras-horas/). ## O que entrega a DataRoad num serviço gerido de continuidade? Num contrato IT Unlimited, a DataRoad - IT Services and Consulting fixa os objetivos de recuperação com a direção, dimensiona os [backups geridos e monitorizados](https://www.dataroad-it.com/backups-solucoes-de-backup/) para os cumprir e guarda o registo de cada teste. A camada de [continuidade de negócio e disaster recovery](https://www.dataroad-it.com/disaster-recovery-continuidade-negocio/) acrescenta a sequência de arranque, as prioridades e o plano de comunicação durante o incidente. Quando a operação não pode esperar pelo dia útil seguinte, o [plano Premium 365](https://www.dataroad-it.com/it-unlimited-premium-365/) estende a cobertura a noites, fins de semana e feriados. ## Perguntas de quem decide ### O que distingue o RTO do RPO? O RTO mede tempo de paragem; o RPO mede dados perdidos. O primeiro dita a rapidez da reposição, o segundo dita de quanto em quanto tempo se fazem cópias. ### Qual deve ser a periodicidade das cópias? A que o RPO de cada sistema impuser. Um ERP com RPO de uma hora precisa de cópias, no mínimo, horárias; para documentação histórica, semanal ou mensal costuma ser suficiente. ### Basta um disco externo? Não, se for a única cópia. Ligado ao servidor, pode ser cifrado no mesmo ataque e está sujeito ao mesmo incêndio ou inundação; é obrigatória uma cópia externa e outra imutável. ### Que investimento exige a recuperação de desastres? Depende diretamente dos objetivos fixados: repor em quatro horas fica muito mais barato do que repor em quinze minutos. Primeiro definem-se RTO e RPO sistema a sistema; só depois se escolhe a tecnologia. ## Fontes - [NIST SP 800-34: definição de RTO](https://csrc.nist.gov/glossary/term/recovery_time_objective) - [NIST SP 800-34: definição de RPO](https://csrc.nist.gov/glossary/term/recovery_point_objective) - [CISA: guia de resposta a ransomware](https://www.cisa.gov/stopransomware/ransomware-guide) ## Próximo passo: o mapa de continuidade da sua empresa em 10 dias úteis Fixamos consigo o RTO e o RPO de cada sistema, medimos o que a sua infraestrutura de cópias cumpre hoje e entregamos o plano de correção por prioridades. Veja o serviço de [disaster recovery e continuidade de negócio](https://www.dataroad-it.com/disaster-recovery-continuidade-negocio/) e peça proposta sem compromisso. **Mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.** Ligue +351 211 459 950 * ou escreva para sales@dataroad.pt. **Chamada para a rede fixa nacional.* Escolhida por empresas conceituadas e internacionais ★★★★★ 5,0 · 52 avaliações no Google ★★★★★ 5,0 · 52 avaliações no Google DataRoad ## Artigos relacionados [IT gerido e cibersegurançaEquipas em viagem: portáteis, telemóveis e Wi-Fi público segurosO risco real de uma viagem é o portátil perdido sem cifra, não o Wi-Fi do hotel. Com disco cifrado, gestão central, MFA e ligação controlada…12 de outubro de 2026 · 7 min de leitura](https://www.dataroad-it.com/manutencao-informatica/viagens-ferias-seguranca-portateis-wifi-publico/)[IT gerido e cibersegurançaSuperfície de ataque externa: o que a internet vê da sua empresaAtaques automáticos procuram versões vulneráveis e o tamanho da empresa não conta. Em 2025, o CERT.PT registou 3.864 incidentes, mais 40% do…12 de outubro de 2026 · 5 min de leitura](https://www.dataroad-it.com/manutencao-informatica/superficie-ataque-externa-empresa/)[IT gerido e cibersegurançaNOC e cibersegurança gerida: quem vigia a sua PME, e quandoA questão não é ter um SOC: é saber quem recebe o alerta às 22h de sábado e o que faz a seguir. Na DataRoad, noites, fins de semana e feriad…12 de outubro de 2026 · 6 min de leitura](https://www.dataroad-it.com/manutencao-informatica/soc-noc-gerido-pme/)[IT gerido e cibersegurançaSegurança do Microsoft 365: os 10 controlos que são da empresaNo Microsoft 365, a plataforma é da Microsoft e as chaves são suas. Segundo a Microsoft, MFA e bloqueio da autenticação antiga travam mais d…12 de outubro de 2026 · 6 min de leitura](https://www.dataroad-it.com/manutencao-informatica/seguranca-cloud-responsabilidade-partilhada/)[IT gerido e cibersegurançaRGPD e cibersegurança gerida: os 10 controlos técnicos a provarSem medidas técnicas documentadas, uma violação de dados passa de incidente de IT a problema com a CNPD. Dez controlos em três blocos: saber…12 de outubro de 2026 · 6 min de leitura](https://www.dataroad-it.com/manutencao-informatica/rgpd-informatica-pme-10-passos/)[IT gerido e cibersegurançaPasswords expostas: auditar o domínio e fechar a porta em 5 diasO risco não é o email aparecer numa fuga: é a mesma palavra-passe abrir uma conta de trabalho. Troca do que está exposto, MFA em todas as co…12 de outubro de 2026 · 5 min de leitura](https://www.dataroad-it.com/manutencao-informatica/passwords-expostas-fugas-dados-empresa/)[IT gerido e cibersegurançaInventário de ativos: a base da gestão do parque e da NIS2Sem inventário de ativos não há renovação planeada, segurança demonstrável nem resposta ao CNCS. As entidades NIS2 têm de enviar a lista de …12 de outubro de 2026 · 7 min de leitura](https://www.dataroad-it.com/manutencao-informatica/inventario-ativos-informaticos-empresa/)[IT gerido e cibersegurançaContas break-glass no Microsoft 365: o seguro da empresaUm administrador bloqueado pode deixar email, Teams e ficheiros sem gestão durante dias. As contas break-glass são o administrador de reserv…12 de outubro de 2026 · 5 min de leitura](https://www.dataroad-it.com/manutencao-informatica/contas-emergencia-microsoft-365/)[IT gerido e cibersegurançaWindows 365 nas empresas: quando o PC na cloud reduz custosO PC na cloud compensa em consultores, sazonais, equipas sem escritório e parques mistos Mac e Windows. Para vídeo, CAD ou internet fraca, c…12 de outubro de 2026 · 6 min de leitura](https://www.dataroad-it.com/manutencao-informatica/windows-365-pc-na-cloud-empresas/) Números que pode verificar **11** anos de mercado **232** clientes **< 10 min** tempo médio de resposta **15+** Certificações IT de fabricantes **10+** Países com clientes apoiados **5,0 ★** 52 avaliações no Google Transparência ## O que muitos fornecedores não mostram, nós publicamos. [Ver planos e preços →](https://www.dataroad-it.com/it-unlimited/) - **Preços à vista** Essential desde 395 €/mês + IVA, Premium desde 750 € e Premium 365 desde 1.200 €. - **Sem fidelização** Contrato anual, sem fidelização e sem custos de adesão. - **Tudo por escrito** O que está incluído, o âmbito e o valor, antes de assinar. - **Suporte sem horas contadas** Remoto e telefónico em todos os planos; assistência no local a partir do Premium. Parceiros e certificações DataRoad · Cibersegurança gerida ## One StepAhead of IT. O risco é da direção, a proteção é nossa. Em 11 anos, a DataRoad nunca sofreu um incidente de segurança. - **0** incidentes de segurança na DataRoad em 11 anos - **232** empresas protegidas - **5 ★** no Google · 52 avaliações We do **IT** right. DataRoad IT Unlimited ## Quanto custaria à sua empresa um dia sem sistemas? Peça uma avaliação de risco sem compromisso. [Pedir proposta sem compromisso →](https://www.dataroad-it.com/pt/#contact)+351 211 459 950 **Chamada para a rede fixa nacional · Mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico[Não sabe o que precisa? Fale com o assistente →](https://www.dataroad-it.com/pt/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/manutencao-informatica/backup-recuperacao-desastres-pme/