Ponto de restauração do Windows não é backup: a diferença tem 72 horas

A Microsoft publicou um guia atualizado de recuperação de dispositivos Windows para equipes de TI, dois anos depois do apagão global que derrubou milhões de máquinas em 2024. O documento reúne três ferramentas novas e organiza o assunto por ordem de gravidade: começa pela solução menos invasiva e só chega à reinstalação completa quando não há alternativa.

É um avanço real, e vale entender o que ele resolve. Vale ainda mais entender o que ele não resolve — porque a leitura apressada desse tipo de anúncio produz uma conclusão perigosa: a de que a empresa passou a estar protegida.

O que a Microsoft entregou, em português

Recuperação rápida de máquina. Quando um computador não consegue mais iniciar, ele entra sozinho no ambiente de recuperação, conecta na rede e baixa do Windows Update uma correção publicada pela Microsoft. Serve para o caso específico do apagão em massa: milhares de máquinas quebradas pelo mesmo motivo, com a mesma correção.

Restauração pontual. O sistema tira, sozinho, uma fotografia completa do estado da máquina — sistema, programas, configurações e arquivos locais — e permite voltar a um momento anterior em minutos.

Reconstrução em nuvem. Ainda em prévia. Reinstala o Windows do zero, baixando a imagem e os drivers direto da nuvem, sem pen drive e sem alguém precisar ir até a máquina.

Some-se a possibilidade de dar ao funcionário um computador temporário na nuvem enquanto o equipamento físico é consertado, e o desenho fica claro: a Microsoft resolveu, com competência, o problema da ESTAÇÃO DE TRABALHO.

O detalhe que decide tudo, e está na documentação

A restauração pontual é a ferramenta que mais parece backup — e é justamente a que mais precisa ser lida com atenção. A documentação oficial da Microsoft é explícita em três pontos:

• Os pontos de restauração ficam no próprio disco da máquina. Não vão para a nuvem, não vão para outro lugar. São gravados localmente, pelo serviço de cópias de sombra do próprio Windows.
• A retenção máxima é de 72 horas. O padrão captura um ponto a cada 24 horas e apaga automaticamente tudo o que passa de três dias. Pontos também são descartados quando o espaço livre do disco cai a 20 GB.
• Só o volume do sistema é restaurado. Em máquina com mais de um disco ou mais de uma partição, o resto fica de fora.

Leia de novo a segunda linha, porque ela é a história inteira: três dias, no mesmo disco.

Os três testes que separam recuperação de backup

Uma cópia só merece o nome de backup se passar em três perguntas. Elas não são nossas: são a leitura prática da regra internacional 3-2-1, que pede três cópias do dado, em dois tipos de mídia, com uma delas fora do local.

1. A cópia sobrevive à perda do original? Se o disco falha, os pontos de restauração gravados nele falham junto. Se a máquina é roubada, eles vão junto. Se um programa malicioso criptografa o disco, ele alcança tudo o que está no disco.

2. A cópia alcança longe o suficiente no tempo? Setenta e duas horas cobrem uma atualização ruim na terça-feira. Não cobrem o arquivo que alguém apagou há duas semanas, a fraude descoberta no fechamento do mês, nem o programa malicioso que entrou na sexta e só se revelou na segunda.

3. Alguém já provou que ela volta? Esta é a que quase ninguém responde. A própria Microsoft lista, na documentação, os riscos declarados: falha ao capturar o ponto, falha ao restaurar, falha de inicialização depois da reversão e perda dos dados criados após o ponto escolhido. São riscos honestos e normais — e são exatamente o motivo pelo qual restauração se testa antes de precisar.

E o dado que derruba a empresa não está na estação

Aqui está o ponto que o anúncio não cobre, e nem deveria: quando uma operação para, quase nunca é porque o computador da recepção não liga. É porque o sistema não abre. E o sistema mora num servidor — próprio, alugado ou em nuvem — junto com o banco de dados, os arquivos compartilhados e o histórico de anos.

Nenhuma das ferramentas acima toca nisso. Elas devolvem a máquina do funcionário ao estado de ontem. Não devolvem o prontuário, a nota fiscal, o processo, a planilha de fechamento nem o arquivo do cliente.

A pergunta que importa para quem responde por uma empresa, portanto, não é "minhas máquinas se recuperam?". É: se o servidor parar hoje à noite, em quanto tempo a gente volta a atender — e como sabemos disso?

O que precisa existir do lado do servidor

Três coisas, e nenhuma delas é cara perto do que custa não tê-las.

Cópia fora do local. O dado precisa existir em um lugar que não morre junto com o original: outro prédio, outra infraestrutura, outra conta. Incêndio, roubo e criptografia não escolhem arquivos — levam o que estiver ao alcance.

Cópia que não pode ser apagada. Programa malicioso moderno procura o backup antes de criptografar o dado, porque backup intacto anula o resgate. A defesa é a cópia imutável: uma trava que impede alteração e exclusão durante um prazo definido, inclusive por quem tem senha de administrador.

Restauração testada. Backup que ninguém restaurou não é backup — é esperança. Restaurar é subir a cópia em um ambiente separado, abrir o sistema e conferir: os dados estão lá, a data bate, a aplicação funciona. É a única forma de trocar "o relatório diz concluído com sucesso" por "eu vi voltar".

O que um sequestro de dados faz com esse desenho

Vale seguir o caminho de um ataque comum, porque ele expõe o limite das três ferramentas sem precisar de nenhuma opinião.

O invasor entra numa sexta-feira, por um acesso remoto mal fechado ou por um anexo aberto sem pensar. Ele não criptografa nada de imediato: primeiro anda pela rede, mapeia o que existe e procura as cópias. Encontrar o backup é a parte que importa para ele, porque cópia intacta transforma o resgate em inconveniente.

Na segunda de manhã, tudo está criptografado. Os pontos de restauração da estação? Estavam no mesmo disco, e o disco está criptografado. E, mesmo que estivessem intactos, o mais antigo teria sido apagado no domingo — porque a retenção é de 72 horas e o relógio não perdoa fim de semana.

O que salva, nesse cenário, é sempre a mesma coisa: uma cópia que o invasor não conseguiu alcançar porque ela não estava ao alcance dele, e que alguém já tinha testado antes.

Por que isso pesa mais em clínica, laboratório e escritório

Há um grupo de negócios em que essa conta é mais dura, e não por acaso: clínica, hospital, laboratório, contabilidade e advocacia guardam dado por obrigação legal, trabalham com prazo fatal e lidam com informação sensível.

Numa clínica, a parada não é um inconveniente de TI: é o paciente sentado na cadeira e o prontuário que não abre. Num escritório contábil, cair na semana da entrega da obrigação custa multa — e a multa é do escritório, não do sistema. Nesses casos, retenção de 72 horas não chega nem perto do que a norma exige guardar.

A ordem de retomada, que quase ninguém tem escrita

Existe um item que costuma faltar mesmo em empresas com backup bem feito: a ordem. No dia da parada, o que volta primeiro? A autenticação, para as pessoas conseguirem entrar? O banco de dados? O sistema de atendimento? A rede, antes de tudo?

Sem essa lista escrita, a retomada vira improviso na pior hora possível — com telefone tocando e três pessoas mexendo no mesmo servidor. Com a lista, é execução.

O que dá para fazer nesta semana, sem contratar ninguém

1. Pergunte a quem cuida da TI onde ficam as cópias do sistema principal — no mesmo prédio ou fora dele.
2. Pergunte quando foi a última restauração testada. Não "quando foi o último backup": quando alguém restaurou e conferiu.
3. Pergunte por quanto tempo a cópia mais antiga ainda existe. Se a resposta for medida em horas, você tem retenção de estação, não de empresa.
4. Peça a ordem de retomada por escrito. Se ela não existir, essa é a tarefa mais barata da lista.

As ferramentas novas do Windows são bem-vindas e reduzem trabalho real de suporte. Elas deixam a estação de trabalho mais resistente. Só não confunda isso com continuidade do negócio — são camadas diferentes, e a que sustenta a empresa é a de baixo.