Resposta direta
A escolha depende de quanto tempo o dado pode ficar indisponível e de quem autoriza a exclusão. Cópia versionada protege contra apagamento e alteração, mas depende da janela de guarda. Retenção imutável impede remoção dentro do prazo definido, com custo de armazenamento e dificuldade para corrigir dado retido por engano. Replicação com atraso dá tempo de detectar o erro antes que ele chegue à segunda cópia. Aprovação prévia reduz a frequência do erro, não a consequência. Nenhuma substitui a outra. A decisão prática é comparar cobertura, tempo de recuperação e responsável por autorizar cada operação que remove dado.
- Objetivo
- Comparar alternativas
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Coloca as proteções lado a lado por cobertura, tempo de recuperação e responsável, em vez de tratar cada uma isoladamente.
O que cada proteção cobre
Cópia versionada guarda estados anteriores do dado. Cobre apagamento e alteração. O limite está no prazo: passada a janela de guarda, a versão anterior deixa de existir. Retenção imutável bloqueia qualquer remoção dentro do período definido, inclusive por credencial administrativa. O custo é armazenamento e a dificuldade de corrigir um dado retido por engano.
Replicação com atraso mantém uma segunda cópia defasada em relação à principal e dá tempo para detectar a exclusão antes que ela se propague. Aprovação prévia muda o momento da decisão: a operação destrutiva passa por um responsável antes de rodar. Isso reduz a frequência do erro, não a consequência quando ele ocorre.
Decidir pelo intervalo, não pela frequência
A comparação útil é por intervalo de exposição. Some o tempo até alguém perceber a exclusão com o tempo para restaurar o dado. Subtraia a janela em que a cópia permanece recuperável. Resultado positivo indica uma faixa em que o dado não volta por nenhum caminho conhecido.
A frequência do erro engana. Exclusões indevidas são raras, então a média sugere risco baixo. O que decide a perda é o intervalo até a detecção, que depende de conferência e de quem observa. Esse tempo raramente é medido e costuma ser o maior termo da conta.
O que a comparação não resolve
A comparação não indica qual proteção adotar. Ela mostra onde cada uma cobre e onde fica a lacuna. Nenhuma combinação elimina a perda. Sempre resta a faixa entre o dado desaparecer e alguém notar, e é essa faixa que define o dano real.
Também não se aplica a dado que muda o tempo todo, sem versão estável de referência, porque a cópia guarda estados que ninguém consegue comparar. E não substitui a decisão sobre quem pode executar operação destrutiva: proteção técnica não define responsabilidade.
Recurso prático
Janela de risco entre a exclusão e a recuperação
Janela de risco (horas) = tempo até detecção + tempo de restauração − janela de retenção
- tempo até detecção
- horas
- intervalo entre a exclusão feita pela automação e o momento em que alguém percebe
- tempo de restauração
- horas
- intervalo entre a decisão de recuperar e o dado voltar disponível para uso
- janela de retenção
- horas
- período em que a versão anterior ou a cópia permanece recuperável
O ponto ignorado é o tempo até detecção. Sem medi-lo, a comparação acaba usando a frequência do erro, que é baixa, e trata como seguro um cenário em que ninguém percebe a exclusão durante dias.
Sobre o que está escrito aqui
Conceitos relacionados: retenção imutável · cópia versionada · replicação com atraso · exclusão lógica · janela de restauração. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Automação sem dono: como levantar o que sobrou — fluxo criado por pessoa que saiu da empresa
- Fluxo de quem saiu da empresa: como reorganiz… — fluxo criado por pessoa que saiu da empresa
Páginas relacionadas
O mesmo problema em outro objetivo
- Erro que apaga dado sem backup: como achar a origem — Diagnosticar
- Deleção de dado por automação: o critério antes do erro — Organizar um processo
- Exclusão sem backup: como medir o erro na automação — Explicar medição
- Automação que apaga dado sem backup: o que implantar antes — Orientar implementação
- Erro que apaga dado sem backup: o que exigir na contratação — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Log sem assinatura de integridade: adulteração detectável — O que uma trilha de automação precisa registrar para que a alteração de um evento seja detectável, quem responde pela prova e o que a assinatura não cobre.
- Falha em automação: prazo de resposta no contrato — O que definir no contrato de automação para haver prazo de resposta quando a rotina falha: severidade, ponto de contato, registro e limites.
- Fornecedores em operação: como diagnosticar cada um — Avaliação de fornecedores de automação já contratados a partir de chamados, incidentes, mudanças e permissões ainda ativas na operação.
- Revisão de acesso apenas na admissão: o que comparar — Compara formas de revisar acesso depois da admissão, o gatilho de cada uma e o que cada formato deixa de cobrir.
- Automação sem ambiente de teste: onde limitar o estrago — O que fazer quando não há ambiente de teste: limitar escopo e volume da primeira execução real, definir reversão e acompanhar de perto.