Backup di Microsoft 365: serve davvero? Cosa copre Microsoft

Posta, documenti condivisi, chat dei team: in molte aziende il lavoro quotidiano vive dentro Microsoft 365. È naturale pensare che, essendo un servizio cloud di un grande fornitore, i dati siano automaticamente al sicuro. In parte è vero, ma la protezione offerta dalla piattaforma non è la stessa cosa di un backup.

Il modello di responsabilità condivisa

Microsoft, come gli altri fornitori cloud, adotta un modello di responsabilità condivisa. In termini semplici:

• Microsoft è responsabile dell'infrastruttura: data center, disponibilità del servizio, ridondanza dei sistemi, sicurezza fisica e della piattaforma.
• Il cliente è responsabile dei propri dati e degli accessi: chi può fare cosa, come sono protetti gli account, cosa succede se i dati vengono cancellati, modificati o cifrati.

La ridondanza di Microsoft protegge da un guasto ai suoi data center. Non protegge da un utente che cancella una cartella, da un account compromesso che svuota una casella di posta o da un ransomware che cifra i file sincronizzati su OneDrive.

Cestino e conservazione non sono backup

Microsoft 365 offre strumenti utili per recuperare dati: cestino degli elementi eliminati, versioni precedenti dei file, criteri di conservazione e di blocco per esigenze legali. Sono funzioni preziose, ma hanno limiti che è bene conoscere:

• il cestino ha una durata limitata: dopo un certo periodo gli elementi vengono eliminati definitivamente, e se ci si accorge tardi della cancellazione può non esserci più nulla da recuperare;
• i criteri di conservazione sono pensati per obblighi di compliance e ricerca legale, non per un ripristino rapido e ordinato di intere caselle o siti;
• le versioni dei file aiutano su singoli documenti, ma ripristinare migliaia di file dopo un attacco è lento e complesso;
• tutto resta nello stesso ambiente: se un amministratore malintenzionato o un account compromesso con privilegi elevati modifica le impostazioni, può intervenire anche su queste protezioni;
• gli account rimossi: quando un dipendente lascia l'azienda e la licenza viene revocata, i suoi dati possono essere eliminati dopo un periodo di tolleranza.

Un backup vero, invece, è una copia indipendente, conservata separatamente, con una propria politica di conservazione e ripristinabile in modo selettivo.

Gli scenari di rischio più comuni

• Cancellazione accidentale scoperta settimane dopo.
• Ex dipendente la cui casella o il cui OneDrive sono stati rimossi insieme alla licenza.
• Ransomware che cifra i file locali sincronizzati, propagando le modifiche al cloud.
• Account compromesso usato per cancellare o alterare dati.
• Errore di configurazione o script amministrativo che modifica molti elementi insieme.
• Contenziosi o controlli che richiedono documenti di periodi passati.

Cosa proteggere

Un backup di Microsoft 365 dovrebbe includere almeno:

• caselle di posta Exchange Online, comprese quelle condivise;
• OneDrive degli utenti;
• siti e librerie SharePoint;
• contenuti di Teams, che in buona parte si appoggiano a SharePoint ed Exchange.

Lo stesso ragionamento vale per Google Workspace: anche lì la responsabilità sui dati resta al cliente.

Come scegliere una soluzione di backup

Alcuni criteri pratici:

1. Copia esterna e indipendente rispetto all'ambiente Microsoft 365, possibilmente con protezione contro modifica e cancellazione.
2. Conservazione definita in base alle esigenze aziendali e normative.
3. Ripristino granulare: singola email, singolo file, intera casella o sito.
4. Copertura automatica dei nuovi utenti, per non dimenticare nessuno.
5. Accesso protetto con autenticazione a più fattori e ruoli separati.
6. Collocazione dei dati compatibile con i requisiti GDPR.
7. Monitoraggio dei job e avvisi in caso di errore.

E, come per ogni backup, occorre verificare periodicamente che il ripristino funzioni: ne parliamo in perché e come testare il ripristino dei backup.

Backup e sicurezza degli account vanno insieme

Il backup è l'ultima linea di difesa. Prima vengono le misure che riducono la probabilità dell'incidente: autenticazione a più fattori per tutti, limitazione degli account amministrativi, controllo degli accessi esterni, formazione contro il phishing. Per stabilire quanto spesso fare il backup e in quanto tempo ripristinare, è utile partire da RPO e RTO.

Come può aiutarti Area GUI

Area GUI gestisce Microsoft 365 e Google Workspace per le aziende, dalla configurazione della sicurezza al backup dei dati con test di ripristino periodici. Scopri i servizi posta e archiviazione e Data Availability Service, oppure contattaci.