Resposta direta
A proteção contra perda por automação não vem do cuidado do operador, e sim de barreiras que separam a decisão de apagar do apagamento em si. Na prática: retenção obrigatória por janela antes da exclusão definitiva, versão anterior preservada por padrão, autorização nomeada para operações destrutivas e teste periódico de restauração, porque cópia que nunca foi restaurada não é backup. A ordem importa menos do que a existência simultânea das barreiras. Definir quem responde por cada uma evita que todas fiquem sem dono. Se alguma etapa depende de memória ou disciplina individual, ela falha no dia em que alguém estiver com pressa.
- Objetivo
- Orientar implementação
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata exclusão e sobrescrita como operação irreversível que exige barreira própria, e não como falha genérica de automação.
Onde colocar a barreira antes do apagamento
Toda automação que apaga ou sobrescreve precisa de uma etapa que não seja automática. O critério é direto: se a operação remove dado de forma irreversível, ela passa por confirmação nomeada, com registro de quem autorizou e por qual motivo.
Retenção por janela costuma ser a barreira mais barata. O dado sai do uso, mas continua recuperável por um período definido antes da exclusão definitiva. Esse período é decisão de negócio, não de tecnologia, e precisa estar escrita em algum lugar.
Responsabilidade e verificação separadas da execução
Cada rotina destrutiva tem um responsável identificado, não um time genérico. A pergunta que define esse nome é quem responde quando o dado some. Sem essa resposta, a barreira existe no documento e não na operação.
A verificação é separada da execução. Quem apaga não atesta que a cópia serve. A restauração é testada em ambiente próprio, com data e resultado registrados, para que a cópia deixe de ser suposição.
O que essa proteção não resolve
Barreira nenhuma substitui a decisão sobre o que pode ser descartado. Se a política de retenção não define quais dados importam, a automação apenas cumpre uma regra mal escrita com mais rapidez.
Retenção e versionamento aumentam custo de armazenamento e complexidade de operação. Em dado que se regenera ou que só tem valor no momento, manter cópia pode não compensar. Nesses casos, o critério é aceitar a perda e declarar isso, em vez de criar a aparência de proteção.
Recurso prático
Barreiras mínimas para operação destrutiva
- Retenção definida: janela entre a saída de uso e a exclusão definitiva, com prazo decidido pelo negócio.
- Versão anterior preservada por padrão, sem depender de solicitação manual.
- Autorização nomeada para toda operação que apaga ou sobrescreve em lote.
- Restauração testada em ambiente separado, com data e resultado registrados.
- Responsável único por rotina destrutiva, registrado junto ao processo.
- Revisão periódica da lista de rotinas que apagam dado, incluindo as criadas fora do fluxo formal.
O ponto mais ignorado é a automação criada fora do processo formal, que apaga dado sem aparecer em lista alguma. Enquanto ela não for inventariada, as barreiras cobrem apenas parte do risco.
Sobre o que está escrito aqui
Conceitos relacionados: exclusão definitiva · janela de retenção · versão anterior preservada · restauração testada · responsável por rotina destrutiva. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Chave de API sem validade: como separar risco… — chave de API sem prazo de validade
- Chave de API sem validade: como criar prazo e… — chave de API sem prazo de validade
Páginas relacionadas
O mesmo problema em outro objetivo
- Erro que apaga dado sem backup: como achar a origem — Diagnosticar
- Deleção de dado por automação: o critério antes do erro — Organizar um processo
- Apagar dado sem backup: comparar as proteções — Comparar alternativas
- Exclusão sem backup: como medir o erro na automação — Explicar medição
- Erro que apaga dado sem backup: o que exigir na contratação — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Ausência de registros: como medir o que não foi gravado — Mostra onde procurar quando a automação não deixou registro: fontes externas, eventos órfãos e o que passa a ser exigido por contrato.
- Ausência de registros: o que precisa de comprovação — Como definir quais automações exigem registro, a partir das decisões que precisam ser comprovadas, e o que fazer com o período que já ficou sem histórico.
- Parada planejada sem aviso: como comparar formas de comunicar — Compara formas de avisar áreas sobre parada planejada de automação: quem confirma, o que acontece sem confirmação e o custo de manter cada uma.
- Automação sem desligamento: onde o ciclo termina — O que precisa estar definido para encerrar uma automação: dono, gatilho de parada, destinação dos dados e revogação de acessos.
- Automação sem ambiente de teste: o que medir em produção — Medição de automações em produção sem ambiente de teste: o que observar, como calcular exposição e quais conclusões a medição não sustenta.