Czy Microsoft 365 trzeba backupować? Co chroni producent, a co Ty

Microsoft nie robi kopii zapasowej Twoich danych w takim sensie, w jakim rozumie to księgowa, która przypadkiem skasowała folder z umowami. Dba o to, żeby usługa działała, a centra danych nie traciły informacji. Czy po pół roku odzyskasz usuniętą wiadomość albo plik zaszyfrowany przez ransomware, zależy już od Ciebie. Na pytanie, czy Microsoft 365 trzeba backupować, większość firm powinna więc odpowiedzieć „tak”. Albo przynajmniej świadomie uznać, że ryzyko jest akceptowalne.

Model współodpowiedzialności w Microsoft 365

Usługi chmurowe działają w modelu współodpowiedzialności. Dostawca odpowiada za infrastrukturę: serwery, zasilanie, replikację między centrami danych i dostępność usługi. Klient odpowiada za dane, konta użytkowników, uprawnienia i konfigurację.

Microsoft chroni Cię więc przed awarią dysku w swoim centrum danych. Nie chroni przed sytuacją, w której pracownik, administrator albo złośliwe oprogramowanie usunie lub zmieni dane w sposób, który system uzna za prawidłową operację.

Sam Microsoft w umowie o świadczenie usług (Microsoft Services Agreement) zaleca regularne tworzenie kopii zapasowych treści przechowywanych w jego usługach, także przy użyciu aplikacji i usług zewnętrznych.

Co Microsoft 365 daje w standardzie

Platforma ma wbudowane mechanizmy odzyskiwania, które wielu firmom wystarczają na co dzień. Trzeba jednak znać ich granice.

• Usunięta poczta w Exchange Online trafia do folderu Elementy usunięte, a po jego opróżnieniu można ją jeszcze przez pewien czas odzyskać. Ten okres jest ograniczony i konfigurowalny tylko w pewnym zakresie.
• Pliki usunięte przez użytkownika w SharePoint i OneDrive można przywrócić z kosza przez kilka tygodni.
• Historia wersji plików pozwala cofnąć się do wcześniejszej wersji dokumentu, co ratuje przy przypadkowym nadpisaniu.
• Zasady przechowywania i blokady prawne, dostępne w wyższych planach, zatrzymują dane niezależnie od działań użytkownika.
• Microsoft 365 Backup to osobna, płatna usługa Microsoftu do kopii zapasowej Exchange, SharePoint i OneDrive.

Wszystkie te funkcje działają wewnątrz tej samej platformy i tego samego środowiska administracyjnego. A większość poważnych incydentów dotyczy właśnie dostępu do tego środowiska.

Kiedy wbudowane mechanizmy nie wystarczą

Najlepiej widać to na scenariuszach, które w firmach zdarzają się regularnie.

Odejście pracownika i usunięcie konta

Ktoś odchodzi, administrator usuwa konto, żeby nie płacić za licencję. Po kilku miesiącach okazuje się, że w skrzynce tej osoby była korespondencja z klientem potrzebna w sporze. Po upływie okresu przechowywania usuniętego konta danych już nie ma. Jak bezpiecznie zamknąć konto, opisujemy w tekście o odbieraniu dostępów odchodzącym pracownikom.

Ransomware na komputerze z synchronizacją OneDrive

Złośliwe oprogramowanie szyfruje pliki na dysku laptopa, a klient OneDrive posłusznie synchronizuje zaszyfrowane wersje do chmury. Historia wersji i funkcja przywracania OneDrive pomagają, ale przy wielu zainfekowanych kontach odtwarzanie bywa żmudne i niepełne. Szerzej piszemy o tym w artykule o ochronie przed ransomware w małej i średniej firmie.

Przejęcie konta administratora

Atakujący z uprawnieniami globalnego administratora może usunąć dane i opróżnić kosze. Jedyną drogą powrotu jest wtedy kopia przechowywana poza tym środowiskiem, z osobnymi poświadczeniami.

Błąd przy migracji lub porządkowaniu

Skrypt, który miał przenieść foldery, usuwa je. Ktoś masowo zmienia uprawnienia w SharePoint. Dla systemu to poprawne operacje, więc nic ich nie blokuje.

Jak zaplanować backup Microsoft 365 w firmie

Zanim wybierzesz narzędzie, odpowiedz na kilka pytań. Od odpowiedzi zależy, czy wystarczy dobra konfiguracja wbudowanych funkcji, czy potrzebna jest osobna kopia.

1. Jakie dane są krytyczne? Zwykle poczta zarządu i działu sprzedaży, biblioteki SharePoint z dokumentacją, OneDrive najważniejszych osób, czasem Teams.
2. Jak daleko wstecz musisz sięgać? Jeśli przepisy, umowy lub spory wymagają dostępu do danych sprzed lat, kosz i historia wersji nie wystarczą.
3. Jak szybko musisz odzyskać dane? Pojedynczy plik w kilka minut i cała skrzynka w ciągu dnia to dwa różne wymagania.
4. Gdzie ma leżeć kopia? Najlepiej poza głównym środowiskiem, z osobnym kontem i uwierzytelnianiem, zgodnie z zasadą 3-2-1.
5. Kto i jak często sprawdza odtwarzanie? Bez testów nie wiesz, czy kopia działa.

Dobrym punktem wyjścia jest zasada 3-2-1 w praktyce: trzy kopie danych, na dwóch różnych nośnikach lub w dwóch środowiskach, jedna poza główną lokalizacją.

Wbudowane funkcje, Microsoft 365 Backup czy dostawca zewnętrzny

Masz trzy drogi i każda ma swoje zastosowanie.

Same wbudowane funkcje wystarczą w bardzo małej firmie, gdzie dane nie są krytyczne. Trzeba wtedy dobrze skonfigurować zasady przechowywania i pamiętać, że nie chronią one przed przejęciem konta administratora.

Microsoft 365 Backup jest wygodny, bo działa w tym samym ekosystemie i szybko odtwarza dane. Rozlicza się go według ilości chronionych danych. Kopia zostaje jednak w infrastrukturze Microsoftu.

Usługa zewnętrzna trzyma kopię u innego dostawcy, z osobnym panelem i osobnymi poświadczeniami. Uniezależnia Cię od jednej platformy, ale musisz wybrać zaufanego dostawcę i sprawdzić, gdzie fizycznie leżą dane.

Przy wyborze sprawdź zakres (czy obejmuje Teams i kalendarze), możliwość odtworzenia pojedynczego elementu, czas przechowywania kopii, szyfrowanie oraz lokalizację danych w kontekście RODO.

Konfiguracja, o której się zapomina

Najlepsze narzędzie nie pomoże, jeśli podstawy są zaniedbane. Przy przeglądzie środowiska Microsoft 365 sprawdź:

• czy wszystkie konta, zwłaszcza administratorów, mają włączone uwierzytelnianie wieloskładnikowe,
• czy kont z rolą globalnego administratora jest jak najmniej,
• czy konta byłych pracowników zamienia się na skrzynki udostępnione lub obejmuje zasadą przechowywania, a nie usuwa,
• czy narzędzie do backupu ma osobne poświadczenia, niezależne od konta administratora Microsoft 365,
• czy ktoś odpowiada za cykliczny test odtworzenia.

Cennik, którego nie było już w koszu

Weźmy firmę handlową, która przez lata polega wyłącznie na koszu SharePoint. Problem wychodzi przy reorganizacji struktury folderów, gdy po kilku miesiącach ktoś szuka starej wersji cennika. Kosz jest już pusty, a historia wersji nie obejmuje dokumentu usuniętego razem z folderem. Wniosek dla takiej firmy: osobna kopia z dłuższym okresem przechowywania i comiesięczny test.

Test nie musi być skomplikowany. Raz w miesiącu odtwórz losowy plik i losową wiadomość, a raz na kwartał całą skrzynkę do osobnej lokalizacji. Jak to zorganizować, opisujemy w artykule o testowaniu odtwarzania kopii zapasowej.

Trzy pytania, które słyszymy przy każdej rozmowie o backupie

Czy Microsoft może stracić moje dane?

Ryzyko utraty danych przez awarię infrastruktury Microsoftu jest niewielkie, bo usługa korzysta z replikacji. Backup chroni głównie przed błędami ludzi, atakami i usunięciem danych przez osoby z dostępem do Twojego środowiska.

Czy historia wersji w OneDrive zastępuje kopię zapasową?

Nie w pełni. Pomaga przy nadpisaniu lub zaszyfrowaniu pojedynczych plików, ale nie chroni przed usunięciem konta, opróżnieniem kosza ani działaniami osoby z uprawnieniami administratora.

Czy Teams też trzeba backupować?

Pliki z kanałów Teams są przechowywane w SharePoint, a czaty w Exchange, więc ich ochrona zależy od konfiguracji tych usług. Jeśli rozmowy w Teams mają wartość dowodową lub biznesową, sprawdź, czy wybrane narzędzie je obejmuje.

Możemy przejrzeć, jak chronione są dane w Twoim Microsoft 365, i dobrać rozwiązanie do skali firmy. Umów rozmowę o obsłudze IT.