Backup de M365: ventajas principales para las empresas

El término «Copia de seguridad de Microsoft 365 (M365)» puede referirse a dos cosas:

1. El proceso de crear y gestionar copias de los datos almacenados en las aplicaciones y servicios de Microsoft 365, incluidos Exchange Online (correos electrónicos, calendarios y contactos), SharePoint Online (sitios y bibliotecas de documentos), OneDrive para la Empresa (archivos y carpetas) y Microsoft Teams (equipos, canales, publicaciones y pestañas).
2. Solución nativa de copia de seguridad en la nube de M365 para Exchange Online, SharePoint Online y OneDrive para la Empresa, así como el proceso de creación y gestión de backups de las aplicaciones de M365 mediante esta solución.

El objetivo de la copia de seguridad de M365 es proteger los datos de los usuarios contra pérdidas y daños. Para las empresas, la copia de seguridad de M365 ayuda a cumplir los requisitos de cumplimiento normativo y a mantener la continuidad del negocio en caso de interrupciones del servicio, ciberataques (como el ransomware), problemas de software o desastres naturales.

Cada copia de backup es una copia de datos, pero no todas las copias de datos pueden considerarse copias de backup:

• Las copias de backup suelen almacenarse por separado de los datos principales para evitar un único punto de fallo.
• Las copias de backup son recuperables. Debería poder restaurar sus buzones de correo, archivos e incluso cuentas de Microsoft 365 en la ubicación original o en una personalizada.

Realizar backups de M365 es esencial, ya que Microsoft no se hace responsable de sus datos ni de las consecuencias que la pérdida de datos pueda tener en su negocio. Además, la normativa en materia de ciberseguridad obliga a las empresas a utilizar soluciones de backup de M365 para garantizar una protección de datos y gestión adecuadas.

Estos son los tres motivos principales por los que es imprescindible hacer backup de M365.

Seguridad y protección de datos

Microsoft opera basándose en el Modelo de responsabilidad compartida, que establece que los usuarios son siempre responsables de la protección de datos y la gestión del acceso, incluso en caso de interrupciones del servicio.

Existen dos conceptos erróneos comunes sobre el papel de Microsoft en la protección de sus datos:

• Gracias a la replicación integrada de sus centros de datos, Microsoft puede realizar una conmutación por error a otro centro de datos en caso de una interrupción del servicio o un desastre. Sin embargo, la redundancia geográfica no puede considerarse un backup, ya que no tiene acceso a las réplicas y, por lo tanto, no puede garantizar la recuperabilidad de sus datos.
• Las herramientas nativas de Microsoft para la retención de datos, el archivado e incluso los backups son limitadas y requieren un esfuerzo de administración significativo. El principal inconveniente, sin embargo, es la dependencia del proveedor. El backup nativo en la nube de M365 solo está disponible dentro de la infraestructura de Microsoft, por lo que se vuelve muy dependiente de la disponibilidad del servicio de Microsoft.

Continuidad del negocio y Recuperación ante desastres

La recuperabilidad es otro punto débil de las herramientas nativas de Microsoft.

1. Las funciones de retención nativas tienen una recuperación limitada en el tiempo (entre 30 y 90 días, a menos que tenga una política de retención), no permiten la recuperación a un momento determinado y conllevan un alto riesgo de pérdida permanente de datos.
2. La copia de seguridad nativa de Microsoft 365 no está disponible para los datos de Microsoft Teams y ofrece funciones limitadas de copia de seguridad y recuperación de M365. Por ejemplo, no se pueden configurar políticas de retención personalizadas ni almacenar copias de backup en múltiples ubicaciones en línea y fuera de línea (tal y como exigen las prácticas recomendadas de protección de datos y algunas normas de ciberseguridad).
3. Las opciones de recuperación nativas son engorrosas y fragmentadas, requieren múltiples pasos, carecen de transparencia entre aplicaciones y ofrecen opciones de recuperación granular limitadas.
4. Las herramientas nativas no admiten de manera efectiva las prácticas recomendadas de protección de datos, como la regla de backup 3-2-1, el cifrado de los backups o la inmutabilidad (que impide incluso a los administradores modificar o eliminar los datos almacenados).

Las limitaciones de las herramientas nativas le exponen al riesgo de una recuperación lenta e ineficiente o incluso a la Imposibilidad de recuperar por completo los datos de Microsoft 365.

Cumplimiento normativo

Los propietarios de los datos deben cumplir estrictos requisitos de cumplimiento en materia de seguridad y gestión de los datos de Microsoft 365, incluyendo la frecuencia de las copias de backup, la ubicación de las copias de backup y la capacidad de recuperación.

Aunque Microsoft ofrece una variedad de herramientas de cumplimiento, estas funcionan principalmente para solicitudes de cumplimiento y detección electrónica, y no cumplen plenamente con los marcos de ciberseguridad modernos como NIS2 y NIST.

• Muchas normativas y estándares de ciberseguridad proponen prácticas recomendadas de protección de datos que no se pueden lograr plenamente utilizando únicamente herramientas nativas.
• Normativas como el RGPD y el NIST exigen a las organizaciones almacenar copias de backup fuera de línea y distribuirlas por diferentes ubicaciones geográficas. El RGPD obliga a las organizaciones a almacenar y tratar los datos de los ciudadanos europeos únicamente dentro de Europa.

La frecuencia de los backups depende de la herramienta que utilices.

Los backups nativos de M365 en la nube no permiten configurar la frecuencia de los backups. Microsoft garantiza el siguiente objetivo de punto de recuperación (RPO):

• OneDrive para la Empresa y SharePoint Online: 10 minutos para los datos de las últimas dos semanas y una semana para los datos de entre 2 y 52 semanas de antigüedad.
• Exchange Online: 10 minutos

Backup de M365 realizado por terceros Las soluciones le permiten configurar la frecuencia de los backups y rotar los puntos de recuperación en función del esquema de retención personalizado que elija. Además de las capacidades de la solución, hay otros factores que afectan a la frecuencia de los backups de M365

Factores que afectan a la frecuencia de los backups

• Importancia de los datos y objetivos de punto de recuperación. La importancia de los datos para las operaciones de su empresa determina los objetivos de punto de recuperación (RPO): la pérdida máxima de datos aceptable en caso de un ciberataque, una interrupción del servicio o un fallo.
• Actividad de los usuarios y volumen de datos. Unos niveles más altos de actividad de los usuarios implican cambios de datos más frecuentes, lo que requiere backups más frecuentes. Por otro lado, los volúmenes de datos más grandes afectan al rendimiento de los backups y aumentan los costes de almacenamiento.
• Requisitos de cumplimiento normativo. Las normativas y los estándares del sector pueden exigir intervalos de backups específicos para garantizar la disponibilidad y la retención de los datos.

Programación de backup recomendada para M365

No existe un enfoque único para la frecuencia de los backups. El volumen de datos, los objetivos de RPO, el presupuesto (costes de almacenamiento), los requisitos de cumplimiento normativo y otros factores determinan los intervalos adecuados.

En NAKIVO, recomendamos hacer backups de datos críticos, como los buzones de Exchange Online, a diario o cada 6-8 horas para lograr un RPO estricto. La copia de seguridad de NAKIVO M365 admite copias de seguridad incrementales de Microsoft 365, lo que significa que, después de la copia de seguridad completa inicial, la solución identifica y registra únicamente los bloques de datos que han cambiado desde la última copia de seguridad. Puede realizar copias de seguridad incrementales diarias con copias de seguridad completas periódicas una vez a la semana.

Los esquemas de retención personalizables le permiten rotar los puntos de recuperación de Microsoft 365 diariamente, semanalmente y mensualmente, optimizando el consumo de almacenamiento al tiempo que se conservan los datos críticos.