Krótka odpowiedź: Microsoft 365 potrzebuje osobnej kopii
Microsoft odpowiada za infrastrukturę: centra danych, zasilanie, replikację między serwerami i dostępność usługi. Za dane w Twoim tenancie, czyli za to, kto je usunie, nadpisze albo zaszyfruje, odpowiadasz Ty. Microsoft opisuje to wprost jako model współodpowiedzialności. W praktyce oznacza to, że kopia zapasowa Microsoft 365 to Twoje zadanie, a kosz i OneDrive są narzędziami do szybkiego cofnięcia drobnych pomyłek, nie planem na poważny incydent.
Różnica jest prosta. Replikacja chroni przed awarią serwera u Microsoftu. Backup chroni przed błędem człowieka, złośliwym działaniem, przejętym kontem i własnymi decyzjami administracyjnymi, których skutki widać dopiero po kilku miesiącach.
Co naprawdę dają wbudowane mechanizmy
Zanim zdecydujesz o dodatkowym narzędziu, warto znać limity tego, co już masz. Każdy z poniższych mechanizmów działa tylko przez określony czas, a konkretne wartości zależą od ustawień domyślnych Microsoftu, Twojego planu licencyjnego i decyzji administratora. Microsoft co jakiś czas je zmienia, więc aktualne limity sprawdź w dokumentacji producenta i w konfiguracji swojego tenanta.
| Mechanizm | Jak długo działa | Gdzie zawodzi |
|---|---|---|
| Kosz SharePoint i OneDrive | ograniczony czas, liczony w tygodniach lub miesiącach | plik usunięty i zauważony po kilku miesiącach przepada |
| Elementy możliwe do odzyskania w Exchange Online | krótki okres, zwykle kilka tygodni | wiadomości wyczyszczone przez użytkownika lub atakującego znikają szybko |
| Historia wersji plików | ograniczona liczba wersji | nie pomoże, gdy usunięto całą bibliotekę lub witrynę |
| Przywracanie OneDrive do wcześniejszego stanu | ograniczony zakres wstecz | cofa cały OneDrive, nie pojedynczy folder z wybranego dnia |
| OneDrive usuniętego użytkownika | określony czas po usunięciu konta | po tym czasie pliki byłego pracownika przepadają |
Żaden z tych mechanizmów nie daje Ci też kopii poza Microsoftem. Jeśli ktoś przejmie konto globalnego administratora, ma dostęp do wszystkich tych ustawień jednocześnie i może skrócić retencję albo wyczyścić kosze.
Scenariusze, w których kosz nie wystarcza
Utrata danych w Microsoft 365 rzadko wynika z awarii po stronie Microsoftu. Zwykle zaczyna się od zwykłej decyzji, która dopiero później okazuje się błędem:
- Odejście pracownika. Ktoś usuwa konto, żeby zwolnić licencję. Po upływie okresu przechowywania OneDrive znika razem z plikami, których nikt nie przeniósł.
- Masowe szyfrowanie przez klienta synchronizacji. Ransomware na laptopie szyfruje pliki, a OneDrive posłusznie wysyła zaszyfrowane wersje do chmury. Historia wersji pozwala to cofnąć, ale przy tysiącach plików i kilku użytkownikach ręczne przywracanie trwa dniami.
- Przejęte konto. Atakujący, który dostał się do skrzynki, często czyści foldery i ustawia reguły przekierowania, żeby zatrzeć ślady.
- Pomyłka przy porządkach. Administrator usuwa „starą” witrynę SharePoint, a po pół roku okazuje się, że były na niej umowy z kontrahentami.
- Spór lub kontrola. Potrzebujesz korespondencji sprzed dwóch lat, a skrzynka osoby, która ją prowadziła, dawno nie istnieje.
Przykład: agencja marketingowa zatrudniająca kilkanaście osób usuwa konto grafika tydzień po jego odejściu. Po sześciu tygodniach klient agencji prosi o pliki źródłowe kampanii sprzed roku. Leżały tylko w OneDrive tej osoby, a okres przechowywania usuniętego konta już minął. Bez osobnej kopii zostaje odtwarzanie materiałów od zera i trudna rozmowa z klientem.
Co powinna obejmować kopia
Dobry backup Microsoft 365 obejmuje więcej niż skrzynki pocztowe. Sprawdź, czy wybrane rozwiązanie chroni:
- skrzynki użytkowników, skrzynki współdzielone i archiwa online, razem z kalendarzami i kontaktami,
- OneDrive wszystkich kont, także tych, które planujesz wkrótce usunąć,
- witryny SharePoint, w tym te tworzone automatycznie dla zespołów Teams,
- wiadomości z kanałów i czatów Teams, jeśli narzędzie to obsługuje (tu możliwości producentów bardzo się różnią),
- w miarę możliwości konfigurację Entra ID, na przykład grupy i zasady dostępu warunkowego, bo ich ręczne odtwarzanie po incydencie jest żmudne.
Na rynku masz kilka typowych dróg. Microsoft oferuje własną, natywną usługę kopii, wygodną w przywracaniu, ale kopia zostaje wtedy w tym samym ekosystemie. Narzędzia takie jak Veeam Backup for Microsoft 365 czy Acronis Cyber Protect Cloud pozwalają trzymać dane w wybranym magazynie, na przykład w obiektowym S3 w UE. Synology Active Backup for Microsoft 365 zapisuje kopię na Twoim NAS-ie, ale wtedy to Ty odpowiadasz za sprzęt, jego ochronę i miejsce na dysku. Są też usługi SaaS w rodzaju Keepit czy AvePoint, gdzie nie utrzymujesz niczego po swojej stronie. Model rozliczeń, zakres chronionych usług i warunki licencji zmieniają się u każdego z tych producentów, więc przed decyzją sprawdź aktualną ofertę bezpośrednio u dostawcy.
Na co zwrócić uwagę przy wyborze
Porównując oferty, patrz nie na cenę za użytkownika, lecz na to, jak wygląda przywracanie w złym dniu:
- Częstotliwość. Kopia raz na dobę oznacza, że możesz stracić cały dzień pracy. Dla poczty rozsądne są kopie co kilka godzin.
- Granularność. Musisz umieć przywrócić jedną wiadomość, jeden folder albo jeden plik z konkretnego dnia, a nie tylko całą skrzynkę.
- Przywracanie w inne miejsce. Przydaje się, gdy oryginalne konto nie istnieje albo jest przejęte, oraz przy eksporcie do PST na potrzeby prawnika.
- Lokalizacja danych. Jeśli przechowujesz dane osobowe klientów, kopia w UE ułatwia rozmowę z IOD. Zasady retencji kopii też warto z nim uzgodnić, bo backup to kolejne miejsce przetwarzania danych w rozumieniu RODO.
- Oddzielne poświadczenia. Konto, którym zarządzasz backupem, nie powinno być tym samym kontem globalnego administratora, które atakujący zdobędzie jako pierwsze. Obowiązkowo z MFA.
- Raporty. Codzienna informacja o nieudanych zadaniach, bo backup, który od miesiąca zgłasza błąd uprawnień, nie chroni niczego.
Częsty błąd: firma kupuje narzędzie do backupu Microsoft 365, dodaje do niego skrzynki z dnia wdrożenia i zapomina o nowych pracownikach. Po roku może się okazać, że spora część kont nie ma żadnej kopii. Ustaw automatyczne obejmowanie nowych użytkowników i sprawdzaj to co miesiąc.
Jak zacząć bez rewolucji
Zacznij od inwentaryzacji: ile masz kont, skrzynek współdzielonych, witryn SharePoint i ile zajmują danych. Potem ustal dwie liczby: jak stare dane musisz umieć odzyskać (na przykład rok lub pięć lat) i ile czasu możesz stracić między kopiami. Dopiero na tej podstawie wybierz narzędzie i miejsce przechowywania. Na koniec zrób pierwsze próbne przywrócenie: jedną skrzynkę i jeden folder z OneDrive, najlepiej na konto testowe.
Warto też uporządkować procedurę odejścia pracownika. Zamiast usuwać konto od razu, zamień je na skrzynkę współdzieloną albo przenieś pliki z OneDrive do przełożonego, a dopiero potem zwolnij licencję.
Co możemy zrobić dla Twojej firmy
Jeśli Twoja firma pracuje na Microsoft 365 i nie masz pewności, co stanie się z danymi po pomyłce albo ataku, zacznij od krótkiego przeglądu obecnych ustawień retencji. Nasz zespół konfiguruje zdalnie backup w chmurze dla Microsoft 365, dobiera narzędzie do liczby kont i wymagań RODO oraz ustawia raportowanie i testy przywracania. Szerzej o tym, jak podchodzimy do ochrony danych, piszemy na stronie kopie zapasowe i odtwarzanie, a jeśli zależy Ci przede wszystkim na ciągłości pracy, zajrzyj do rozwiązania ochrona przed przestojami.
Redakcja Apply
Chmura i oprogramowanie