Backup para clínicas no Rio: como definir RPO, RTO e SLA

Para prontuários eletrônicos em clínicas e consultórios no Rio de Janeiro, o padrão que sustenta a operação é RPO de até 15 minutos, RTO de até 4 horas e SLA com teste de restauração trimestral documentado. A Simples Solução TI, empresa de TI corporativa fundada em 2008 com hub operacional no Rio de Janeiro, calibra esses três números pelo volume de atendimentos e pelo sistema de prontuário em uso. O restante do artigo mostra o critério de escolha de cada métrica e o que exigir do fornecedor por escrito.

• Resumo (TL;DR): RPO é quanto de prontuário a clínica aceita perder e deve ficar em 15 minutos ou menos.
• RTO é o tempo máximo para o sistema voltar ao ar; para agenda e prontuário, 4 horas é o teto razoável.
• SLA sem teste de restauração cronometrado é promessa comercial, não garantia operacional.
• A regra 3-2-1-1-0 com cópia imutável é o mínimo defensável em ambiente de saúde.

O que são RPO, RTO e SLA no backup de prontuários eletrônicos?

RPO (Recovery Point Objective) é o intervalo máximo de dados que a clínica aceita perder. RTO (Recovery Time Objective) é o tempo máximo entre a pane e o retorno do prontuário ao ar. SLA é o contrato que transforma os dois em obrigação mensurável, com escopo, prazo e consequência.

Os três números são interdependentes e não podem ser escolhidos isoladamente. Um RPO de cinco minutos exige replicação contínua ou snapshot frequente, o que encarece a solução. Um RTO de uma hora, por sua vez, praticamente obriga a manter uma cópia local pronta para montagem imediata.

Por que o prontuário muda a conta em relação a outros sistemas

Prontuário não é arquivo qualquer: é o registro do ato clínico, com valor legal e assistencial. Perder meia hora de evolução pode significar repetir anamnese, atrasar conduta e gerar dúvida sobre o que já foi prescrito. Por isso o RPO aceitável em saúde é bem menor do que o de um sistema administrativo interno.

Qual RPO e RTO uma clínica no Rio de Janeiro deve definir?

Comece pelo prontuário e pela agenda, não pelo servidor. Para a maioria das clínicas de 10 a 50 funcionários, RPO de 15 minutos e RTO de 4 horas cobrem a operação com custo defensável. Pronto atendimento, centro cirúrgico e serviços com plantão 24 horas exigem metas mais curtas, como mostra a tabela abaixo.

RPO: quanto de prontuário a clínica aceita perder

RPO de 24 horas, comum em pacotes genéricos de backup, significa perder um dia inteiro de evoluções em caso de pane. Para uma clínica que atende 40 pacientes por dia, isso é refazer registro clínico de todos eles. O alvo prático é snapshot ou replicação a cada 15 minutos, no máximo.

RTO: quanto tempo a recepção e o consultório ficam parados

RTO de 4 horas parece confortável até a sala de espera encher. Acima disso, a clínica precisa acionar contingência em papel e remarcar atendimentos. Restaurar um servidor inteiro é sempre mais lento do que restaurar um arquivo, e o contrato deve separar os dois cenários.

Como calcular o custo de parada antes de escolher o RTO

O RTO deve ser decidido pelo prejuízo por hora parada, não pelo preço do backup. Some receita de atendimentos remarcados, ociosidade da equipe clínica e risco de perda de paciente. O resultado indica quanto faz sentido investir em uma cópia local pronta para montagem.

• Atendimentos remarcados ou cancelados durante o período de indisponibilidade.
• Ociosidade de médicos, enfermagem e recepção enquanto o prontuário está fora.
• Horas extras e custo administrativo para reconstruir registros manualmente.
• Risco regulatório e reputacional associado à perda de dado clínico.

Como escrever o SLA de backup e recuperação no contrato?

O SLA precisa nomear o que é medido, em que prazo, quem aciona e o que acontece se o prazo for descumprido. Cláusula genérica de backup diário não define RPO, não define RTO e não gera evidência. A clínica deve exigir relatório de restauração com data, escopo e tempo medido.

• Escopo coberto: banco do prontuário, anexos, imagens, configurações de servidor e credenciais.
• Frequência e janela: full semanal e incremental a cada 15 minutos, fora do horário de pico.
• RPO e RTO contratados, com o método de medição descrito em anexo técnico assinado pelas partes.
• Horário de atendimento da recuperação: 24x7 ou apenas comercial, explicitado sem ambiguidade.
• Teste de restauração trimestral, com relatório entregue à clínica em até cinco dias úteis.
• Penalidade por descumprimento, expressa em crédito na fatura ou desconto proporcional ao tempo excedido.
• Retenção e descarte: prazo de guarda alinhado ao prontuário e regra de exclusão ao final do contrato.
• Propriedade dos dados: obrigação de exportação em formato aberto na rescisão, sem custo adicional.

O que conferir no relatório mensal do fornecedor

• Percentual de janelas de backup concluídas com sucesso no mês.
• Alertas de falha e tempo gasto até a correção de cada um.
• Tempo de restauração medido no último teste, comparado ao RTO contratado.
• Volume ocupado, curva de crescimento e previsão de capacidade.

Qual arquitetura de backup protege prontuários eletrônicos de verdade?

Use a regra 3-2-1-1-0: três cópias, em duas mídias diferentes, uma fora da clínica, uma imutável e zero erro na verificação. Em saúde, a cópia imutável é o item que mais reduz risco de ransomware. Sem ela, um invasor com credencial de administrador apaga o backup junto com a produção.

• Três cópias: produção, cópia local rápida e cópia externa.
• Duas mídias: storage dedicado na clínica e object storage em nuvem.
• Uma fora do site: região de nuvem distinta ou datacenter separado da sede.
• Uma imutável: S3 Object Lock em modo compliance ou Azure Immutable Blob.
• Zero erro: verificação automática com Veeam SureBackup ou checksum do SQL Server.

Ferramentas que fazem sentido em clínicas de 10 a 50 funcionários

A escolha depende do sistema de prontuário e do ambiente, não da preferência do fornecedor. Veeam Backup & Replication cobre servidores Windows e máquinas virtuais com verificação automática. Acronis Cyber Protect aparece com frequência em ambientes menores com estações mistas. Para banco PostgreSQL, pg_dump com retenção versionada resolve o essencial.

• Veeam Backup & Replication: snapshot de VM, cópia para repositório imutável e SureBackup para teste automático.
• Acronis Cyber Protect: imagem de servidor e estação com verificação de integridade integrada.
• AWS Backup com S3 Object Lock: destino externo imutável controlado por política de retenção.
• Azure Backup com Immutable Vault: alternativa equivalente dentro do ecossistema Microsoft.
• pg_dump e SQL Server Backup com CHECKSUM: cópia lógica do banco do prontuário, independente da imagem do servidor.

Imutabilidade: por que ela muda o jogo contra ransomware

Ransomware moderno ataca primeiro o backup, porque sabe que a recuperação depende dele. Object Lock em modo compliance impede a exclusão do objeto mesmo com credencial comprometida, inclusive pelo administrador. Excluir uma cópia passa a exigir abertura de ticket no provedor, o que dá tempo de reação à clínica.

Prontuário em nuvem: o backup ainda é responsabilidade da clínica?

Sim, parcialmente. O provedor do SaaS protege a infraestrutura dele, mas não garante recuperação no prazo que a clínica precisa. O serviço de cloud computing cobre a camada de infraestrutura, e a política de backup continua sendo da clínica. Vale exigir no contrato o RPO do fornecedor e a forma de extração em massa.

Backup em nuvem ou servidor local: qual escolher para consultórios?

O arranjo mais defensável é híbrido: cópia local para restauração rápida e réplica em nuvem para sobreviver a evento físico ou ransomware. Backup só local não protege contra incêndio, enchente ou furto no consultório. Backup só em nuvem alonga o RTO quando o link de internet é o gargalo.

Como testar a recuperação e comprovar o RTO na prática?

Marque um teste trimestral com restauração real em ambiente isolado, cronometrado e registrado em ata. Backup concluído com sucesso não prova nada sobre a capacidade de voltar a operar. O teste precisa reproduzir o cenário mais provável: servidor do prontuário perdido às 9h de uma segunda-feira.

1. Escolha uma amostra de prontuários com anexos e evoluções recentes.
2. Restaure em ambiente isolado, sem tocar no ambiente de produção.
3. Cronometre do acionamento até a validação do registro pelo profissional clínico.
4. Registre tempo, escopo restaurado e falhas em relatório assinado.
5. Compare o tempo medido com o RTO contratado e ajuste a arquitetura.
6. Repita a cada trimestre e após qualquer mudança relevante de infraestrutura.

Teste de backup não é teste de restauração

Verificação de integridade mostra apenas que o arquivo abre, não que a clínica volta a atender. Ferramentas como Veeam SureBackup automatizam a montagem da máquina virtual e o teste de boot. Mesmo assim, a validação clínica do prontuário restaurado continua manual e precisa estar no processo.

LGPD, prontuário e prazo de guarda: o que a clínica precisa documentar

O prontuário deve ser guardado por no mínimo 20 anos, conforme a Resolução CFM nº 1.821/2007. Dado de saúde é dado pessoal sensível e exige medidas de segurança previstas no Art. 46 da LGPD. Backup reduz risco operacional e apoia a continuidade, mas não transfere a responsabilidade jurídica da clínica. As políticas de retenção do backup precisam acompanhar o prazo de guarda do prontuário, incluindo anexos e imagens.

Incidente de segurança com risco relevante aos titulares deve ser comunicado à ANPD e aos pacientes. A Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis para essa comunicação. Sanção da LGPD não é automática: depende da dosimetria da ANPD e dos limites do Art. 52.

O que o contrato com o fornecedor de TI precisa cobrir

• Papel de controlador e operador definido, com a clínica como controladora dos dados.
• Medidas técnicas de segurança aplicadas ao repositório de backup e ao ambiente de restauração.
• Obrigação de comunicar incidente à clínica em prazo compatível com os três dias úteis da ANPD.
• Lista de suboperadores e exigência de contrato equivalente com cada um deles.
• Destino dos dados ao final do contrato, com exportação prévia e exclusão comprovada.

Clínicas e consultórios têm exigências de guarda e sigilo que outras operações não têm. O material sobre TI para o segmento de saúde detalha o restante da infraestrutura, do firewall ao controle de acesso. Para o escopo específico de cópia e restauração, vale conhecer o serviço de backup e recuperação da Simples Solução TI.

Em um cenário típico: clínica de 30 funcionários com prontuário local no Rio

Considere uma clínica com duas unidades no Rio de Janeiro, 30 funcionários e prontuário em servidor local na sede. A agenda está em SaaS e as imagens de exame ficam em um NAS. O plano de backup precisa cobrir os três ambientes com regras diferentes.

• Servidor do prontuário: agente Veeam com snapshot a cada 15 minutos em storage local.
• Réplica externa: envio noturno para object storage com Object Lock de 30 dias e retenção de 90 dias.
• Banco do prontuário: dump lógico diário com checksum, além da cópia por imagem do servidor.
• NAS de imagens: replicação para nuvem com retenção alinhada ao prazo de guarda do prontuário.
• SaaS de agenda: exportação semanal automatizada, já que o fornecedor não cobre o RTO da clínica.
• Teste trimestral: restauração cronometrada com relatório e validação clínica de uma amostra.

Esse desenho entrega RPO de 15 minutos e RTO de 4 horas com evidência documentada. A clínica negocia o SLA com base no que foi testado, não no que foi prometido. A Simples Solução TI atende clínicas e consultórios no Rio de Janeiro e em São Paulo com esse modelo de plano, incluindo o teste trimestral documentado e o relatório entregue à liderança.

Perguntas frequentes

Qual é a diferença prática entre RPO e RTO?

RPO é quanto de dado a clínica aceita perder e define a frequência do backup. RTO é quanto tempo o sistema pode ficar fora do ar e define a arquitetura de recuperação. O SLA transforma os dois em obrigação contratual com prazo, evidência e penalidade.

Qual RPO e RTO devo exigir para prontuário eletrônico?

Para clínicas de 10 a 50 funcionários, RPO de 15 minutos e RTO de 4 horas cobrem a operação com custo defensável. Pronto atendimento, urgência e centro cirúrgico pedem RPO de 5 minutos e RTO de 1 a 2 horas, com teste mensal.

Backup em nuvem dispensa o backup local na clínica?

Não. A cópia local encurta o RTO quando o link de internet é o gargalo, e a cópia em nuvem protege contra incêndio, furto ou ransomware na sede. O arranjo híbrido é o que sustenta as duas metas ao mesmo tempo.

Por quanto tempo a clínica deve guardar o prontuário?

A Resolução CFM nº 1.821/2007 estabelece guarda mínima de 20 anos do prontuário. A política de retenção do backup precisa ser compatível com esse prazo, incluindo anexos e imagens de exame vinculados ao registro.

Com que frequência o teste de restauração deve ser feito?

O mínimo é trimestral, com restauração real em ambiente isolado e cronometragem registrada em relatório. Operações 24 horas, como pronto atendimento, devem testar mensalmente e sempre após qualquer mudança relevante de infraestrutura.

O que a LGPD exige do backup em uma clínica?

O Art. 46 da LGPD exige medidas técnicas e administrativas de segurança para dado pessoal sensível, categoria em que se enquadra o dado de saúde. Incidente com risco relevante deve ser comunicado à ANPD em até três dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Backup reduz risco operacional, mas não transfere a responsabilidade jurídica da clínica.

A Simples Solução TI atende clínicas e consultórios no Rio de Janeiro?

Sim. A Simples Solução TI, fundada em 2008 e com hub operacional no Rio de Janeiro, atende clínicas e consultórios com CNPJ no Rio e em São Paulo, além de atendimento nacional remoto. O foco é B2B, para empresas com operação profissional, não para pessoa física ou uso doméstico.

Como é definido o valor de um projeto de backup e recuperação?

O valor sai por orçamento após diagnóstico, porque depende do número de servidores, do volume de dados, do RPO e RTO escolhidos, do prazo de retenção e do SLA contratado. Não existe preço fechado antes de conhecer o ambiente e o sistema de prontuário em uso.