Backup e recuperação em escolas: RPO, RTO e LGPD na prática

Definir RPO e RTO para uma instituição de ensino começa por uma pergunta concreta: quantos lançamentos de nota a secretaria aceita redigitar depois de uma queda? A Simples Solução TI faz esse mapeamento com escolas e faculdades no Rio de Janeiro e em São Paulo desde 2008, começando pelo diário de classe e pela matrícula, não pelo servidor de arquivos.

• RPO é a perda máxima aceitável de dados; RTO é o tempo máximo para o sistema voltar a funcionar.
• Diário de classe e matrícula pedem RPO de 15 minutos e RTO de até 4 horas; biblioteca tolera 24 horas.
• A LGPD não cita backup, mas o Art. 46 exige medidas de segurança proporcionais ao risco dos dados de alunos.
• Backup imutável, cópia offline e teste de restore trimestral são o mínimo contra ransomware.

Como definir RPO e RTO para sistemas acadêmicos sem travar a secretaria?

Comece pelo sistema cuja parada impede a escola de operar: o diário de classe. Defina o RPO a partir da frequência real de lançamento, porque uma janela de 24 horas já perde o registro do dia. Depois defina o RTO com a secretaria, não com o fornecedor de TI, porque é ela que informa quanto tempo consegue trabalhar em contingência.

O que muda, na prática, entre RPO e RTO

RPO responde quanto você perde; RTO responde quanto você espera. Confundir os dois gera contratos com tempo de resposta rápido e tempo de restauração lento. Um SLA que garante atendimento em 1 hora, mas restauração em 3 dias, não resolve nada para quem perdeu o fechamento bimestral.

A tabela é ponto de partida, não regra fixa. Instituições com fechamento bimestral e corpo docente grande devem endurecer o RPO do diário de classe. Quem opera sistema acadêmico integrado com banco único precisa alinhar o RPO do banco ao do módulo mais crítico, como explicamos em TI para instituições de ensino.

Regra prática para calibrar RPO e RTO por departamento

• Frequência de lançamento: quanto mais vezes por dia o dado é gravado, menor o RPO necessário.
• Custo de redigitação: se a informação está em papel ou no e-mail do professor, o RPO pode ser maior.
• Exigência de guarda: histórico escolar e diploma têm guarda longa e não admitem reconstrução.
• Janela de contingência: pergunte à secretaria quanto tempo ela trabalha em planilha paralela antes de precisar do sistema.

Qual RPO e RTO usar no diário de classe, na matrícula e no AVA?

Use 15 minutos de RPO e 4 horas de RTO para diário de classe e matrícula. Para AVA, portal do aluno e e-mail, 1 hora de RPO e 8 horas de RTO resolvem. A diferença existe porque o primeiro grupo concentra dado que nenhum terceiro consegue reconstruir.

Diário de classe e notas: o dado que não pode ser redigitado

Aqui o backup precisa ser do banco, não apenas do arquivo. No SQL Server, configure backup de log de transações a cada 15 minutos. No PostgreSQL, use arquivamento contínuo de WAL com pgBackRest ou WAL-G para permitir point-in-time recovery até o minuto anterior à falha.

Matrícula e financeiro: o calendário manda

Matrícula e rematrícula têm picos previsíveis em dezembro e janeiro. Nesses períodos, antecipe o backup e congele mudanças de infraestrutura. Um deploy de firewall no primeiro dia de matrícula é risco desnecessário, e o RTO de 8 horas só é aceitável fora do pico.

AVA, portal do aluno e Microsoft 365: onde o RPO pode ser mais folgado

Moodle e Google Workspace têm versionamento e lixeira nativos, o que reduz o impacto de exclusões acidentais. Ainda assim, ransomware criptografa o servidor Moodle e os backups conectados a ele. Configure retenção de 30 dias na lixeira do Microsoft 365 e backup próprio do banco MySQL ou PostgreSQL do AVA.

Quais ferramentas entram em cada camada

• Veeam Backup & Replication: imagem da VM, backup de aplicação e repositório imutável com suporte a hardening.
• pgBackRest e WAL-G: backup contínuo de PostgreSQL com restauração por ponto no tempo.
• S3 Object Lock: modo compliance impede exclusão do objeto mesmo por administrador.
• Microsoft 365 Backup: cobre OneDrive, SharePoint e Exchange, que a retenção nativa não protege contra exclusão em massa.

O que a LGPD exige do backup de dados de alunos?

A LGPD não tem artigo que obrigue a fazer backup. O Art. 46 exige medidas de segurança técnicas e administrativas capazes de proteger dados pessoais de acessos não autorizados e de perda acidental. Para uma escola, backup criptografado com teste de restauração é a forma mais direta de demonstrar esse controle.

• Art. 46 da LGPD: medidas de segurança proporcionais ao risco, o que inclui backup, criptografia e controle de acesso.
• Art. 48 e Resolução CD/ANPD nº 15/2024: incidente com risco relevante deve ser comunicado à ANPD e aos titulares em até 3 dias úteis.
• Art. 14: dados de crianças e adolescentes exigem tratamento no melhor interesse delas, o que restringe quem acessa o repositório de backup.
• Art. 16: dados devem ser eliminados após o término do tratamento, então a política de retenção do backup precisa de prazo definido.
• Art. 37: mantenha registro das operações de tratamento e de quem acessou o console de backup.

Backup não transfere responsabilidade, apenas reduz risco

Nenhuma cópia de segurança isenta a escola de responder por um vazamento. O que o backup faz é reduzir a chance de perda definitiva e sustentar a continuidade das aulas. A responsabilidade da instituição permanece, inclusive quando o armazenamento está em nuvem de terceiro, como detalhamos em segurança de dados.

O que cobrar no contrato com o operador de nuvem

O fornecedor de armazenamento trata dados pessoais em nome da escola e entra na cadeia como operador. Isso muda o que precisa estar escrito no contrato, segundo os Art. 39 e 46 da LGPD.

• Região de armazenamento e transferência internacional, com base no Art. 33 da LGPD.
• Notificação de incidente em prazo menor que o da ANPD, para a escola conseguir cumprir os 3 dias úteis.
• Lista de suboperadores e direito a relatório de auditoria independente.
• Cláusula de eliminação e devolução dos dados ao fim do contrato, com prazo verificável.

Qual arquitetura de backup protege o diário de classe contra ransomware?

A regra 3-2-1-1-0: três cópias, em duas mídias diferentes, uma fora do site, uma offline ou imutável e zero erros no teste de restauração. É o mínimo para o diário de classe, porque ransomware procura justamente o backup conectado ao domínio.

Imutabilidade se implementa com S3 Object Lock no modo compliance, com repositório imutável do Veeam ou com snapshot de storage que não aceita exclusão. Proteja o console de backup com MFA e conta administrativa separada do domínio. Ransomware moderno ataca o console antes de cifrar o servidor.

Como testar a recuperação sem parar as aulas?

Agende o teste fora do horário de pico e restaure em ambiente isolado, com rede separada. O teste não é abrir o arquivo de backup: é subir o sistema e conferir se o diário de classe abre com os lançamentos do dia anterior.

1. Escolha uma data de corte e liste o que deveria existir naquele momento.
2. Restaure banco e aplicação em VLAN isolada, sem apontar para produção.
3. Valide login de professor, lançamento de nota e emissão de boletim.
4. Cronometre cada etapa e registre o tempo total até o sistema ficar utilizável.
5. Compare o tempo medido com o RTO contratado e ajuste o SLA ou a infraestrutura.

Um cenário típico de teste em instituição de ensino

A título de exemplo, uma instituição com secretaria em dois turnos e diário de classe em sistema web pode testar a restauração do banco em um sábado. A secretaria confere se o último lançamento de sexta está presente e se o boletim do bimestre fecha. O resultado do teste vira anexo do contrato de backup, não um relatório guardado na gaveta.

Como contratar backup gerenciado para instituições de ensino no Rio de Janeiro e em São Paulo

A Simples Solução TI atende instituições de ensino no Rio de Janeiro, em São Paulo e remotamente em todo o país desde 2008. O trabalho começa pelo diagnóstico de RPO e RTO por sistema, não pela venda de licença. O valor sai por orçamento após esse diagnóstico, porque depende do volume de dados, do SLA e do número de unidades.

• Qual é o RTO real medido no último teste, e não o número do contrato?
• O repositório é imutável e fica fora do domínio da escola?
• Quem acessa o console de backup e com qual fator de MFA?
• Como o fornecedor notifica um incidente que envolva dados de alunos?
• Qual é o prazo de retenção e como os dados são eliminados ao fim do contrato?

Instituições que comparam propostas devem exigir o mesmo escopo de RPO e RTO de todos os concorrentes. Sem isso, a proposta mais barata parece melhor e entrega um backup que ninguém testou. Veja o serviço de backup e recuperação e o apoio de consultoria de TI para revisar a política de retenção antes da próxima matrícula.

Perguntas frequentes

Qual RPO é aceitável para o diário de classe de uma escola?

Para diário de classe, trabalhe com RPO de 15 minutos, usando backup de log de transações do banco. RPO de 24 horas obriga o professor a redigitar todas as aulas do dia, e isso raramente é aceito pela coordenação. Se o sistema for em nuvem com versionamento, confirme no contrato o intervalo real de snapshot.

Quanto tempo uma escola pode ficar sem o sistema acadêmico?

Depende do calendário. Fora de matrícula e fechamento bimestral, um RTO de 8 horas costuma ser tolerável. Em matrícula e fechamento, o alvo deve cair para 2 a 4 horas, porque a secretaria não sustenta contingência em planilha por muito tempo.

A LGPD obriga a fazer backup dos dados dos alunos?

A LGPD não tem artigo específico sobre backup. O Art. 46 exige medidas de segurança compatíveis com o risco, e backup criptografado com teste de restauração é o controle mais direto contra perda ou destruição de dados pessoais. Documentar o processo ajuda em eventual fiscalização da ANPD.

Por quanto tempo guardar backups com dados de alunos?

O prazo deve constar na política de retenção da instituição e considerar a guarda documental escolar. O Art. 16 da LGPD determina eliminação após o término do tratamento, com exceções legais. Defina prazos distintos para backup operacional, cópia mensal e arquivo histórico.

Backup em nuvem é suficiente ou preciso de cópia local?

Nuvem resolve o desastre físico, mas não o ransomware quando o repositório está conectado ao domínio. O mínimo é a regra 3-2-1-1-0, com uma cópia offline ou imutável além da nuvem. Escolas com laboratórios e servidores locais devem manter cópia local para restaurar o AVA rápido.

O que fazer se um ransomware criptografar os servidores da secretaria?

Isole a rede, não desligue as máquinas e acione a restauração a partir da cópia imutável. Verifique se o ponto de restauração está limpo antes de subir a produção. Depois avalie se houve vazamento de dados de alunos, o que pode exigir comunicação à ANPD em até 3 dias úteis.

Como escolher uma empresa de backup gerenciado para escolas no Rio de Janeiro e em São Paulo?

Exija diagnóstico de RPO e RTO por sistema, teste de restauração documentado e repositório imutável fora do domínio. A Simples Solução TI faz esse trabalho com instituições de ensino no Rio de Janeiro e em São Paulo desde 2008, com escopo e valor definidos por orçamento após o diagnóstico.