Auditossauros apresenta
A GUARDA DO BACKUP
Backup, segurança da informação, auditoria interna e continuidade de negócios
O ponto da tirinha
A política foi cumprida. O risco, nem tanto.
Esta tirinha dos Auditossauros trata de uma falha recorrente em auditoria interna, segurança da informação, controles internos e continuidade de negócios: confundir cumprimento formal com controle efetivo.
No papel, o backup está em "local separado". Na prática, está apenas na sala ao lado, no financeiro. A diferença parece pequena, mas é justamente aí que mora o risco.
Análise de auditoria
Separado não é sinônimo de seguro
Um backup pode existir, estar documentado e ainda assim não sustentar a recuperação da operação em caso de incidente. Incêndio, alagamento, falha elétrica, acesso indevido ou indisponibilidade física podem afetar ao mesmo tempo o ambiente principal e a cópia de segurança.
Em auditoria, a pergunta crítica não é apenas se existe backup. A pergunta relevante é se esse backup permite recuperação real, com integridade, prazo aceitável, controle de acesso e evidência de teste de restauração.
Guarda adequada
O local de armazenamento precisa reduzir riscos físicos, ambientais e operacionais.
Controle de acesso
A cópia de segurança deve ter proteção, rastreabilidade e acesso restrito.
Teste de restauração
Backup sem teste pode ser apenas uma evidência de rotina, não um controle efetivo.
Continuidade de negócios
A organização precisa saber se consegue recuperar dados críticos no prazo necessário.
Checklist mínimo
O que a auditoria deve perguntar
- Existe política formal de backup aprovada e atualizada?
- O local de guarda reduz de fato o risco físico e operacional?
- Há teste periódico de restauração com evidência documentada?
- O acesso às cópias de segurança é controlado e rastreável?
- Os prazos de recuperação são conhecidos e testados?
- A cópia protege dados críticos ou apenas arquivos secundários?
Pergunta final
O backup está separado ou está realmente seguro?
Essa distinção é o centro da tirinha. Quando a organização interpreta a política de forma literal, pode parecer que o controle existe. Mas, sob a lente da auditoria, o que importa é a efetividade: capacidade real de proteção, recuperação e continuidade.
Humor corporativo, auditoria, riscos, controles internos e governança
Comentários