Linee guida fondamentali per i backup di Office 365 in Europa: conformità e pratiche
Microsoft 365, precedentemente noto come Office 365, è un insieme di servizi basati su cloud ampiamente utilizzati da organizzazioni e utenti individuali, con un numero di clienti Microsoft 365 in Europa in costante crescita. Microsoft offre numerosi vantaggi con i suoi servizi cloud, tra cui affidabilità, disponibilità, collaborazione efficace, ecc. Tuttavia, nonostante l’elevata affidabilità dei servizi cloud Microsoft, è necessario eseguire il backup dei dati Microsoft 365 nel cloud per prevenire la perdita di dati. Esistono aspetti specifici in termini di protezione dei dati di Office 365 per i paesi europei, che vengono trattati in questo post del blog. 
Perché i backup di Office 365 sono fondamentali per le organizzazioni europee
Per evitare la perdita dei dati di Office 365, si consiglia vivamente alle organizzazioni di eseguire il backup dei propri dati. I dati archiviati nel cloud possono andare persi a causa di cancellazioni accidentali da parte degli utenti, cancellazioni iniziate da malintenzionati, attacchi ransomware, ecc. Oltre a ciò, esistono motivi specifici per l’Europa per eseguire il backup dei dati di Office 365.
L’importanza della gestione dei dati in Europa
La gestione dei dati per le organizzazioni europee richiede la conformità a normative quali il Regolamento generale sulla protezione dei dati. È fondamentale garantire una corretta gestione dei dati in più giurisdizioni. I servizi Microsoft 365 sono regolati dal modello Responsabilità condivisa, il che significa che Microsoft è responsabile del funzionamento dei propri data center. Allo stesso tempo, i clienti sono responsabili della protezione dei dati e del backup dei dati.
GDPR e protezione dei dati
Il Regolamento generale sulla protezione dei dati (GDPR) è una normativa rigorosa sulla privacy delle informazioni che include requisiti su come le organizzazioni devono archiviare, gestire e garantire la sicurezza dei dati personali degli utenti. Microsoft 365 dispone di efficienti funzionalità di sicurezza integrate, ma le organizzazioni sono responsabili della protezione dei dati a lungo termine, compreso il backup e la conservazione dei dati.
Minacce alla sicurezza informatica e violazioni dei dati
Purtroppo, le minacce alla sicurezza informatica sono comuni in tutto il mondo, compresa l’Europa. Queste minacce includono attacchi ransomware o phishing e minacce interne. Le violazioni dei dati e la perdita di dati comportano gravi danni finanziari e reputazionali. Le sanzioni per la violazione delle normative sulla protezione dei dati, sia legali che regolamentari, sono elevate. Le organizzazioni che archiviano i dati nel cloud quando gli utenti lavorano in Office 365 e scambiano grandi quantità di dati possono essere un bersaglio interessante per gli aggressori. Se i criminali informatici corrompono o cancellano i dati degli utenti, ad esempio avviando un attacco ransomware, l’unico modo per ripristinare i dati è utilizzare un backup valido.
Normative sul trasferimento transfrontaliero dei dati
Quando i dati personali degli utenti europei lasciano lo Spazio economico europeo (SEE), sono soggetti a una rigorosa regolamentazione. Questa misura garantisce che i dati personali dei cittadini europei siano protetti durante i trasferimenti transfrontalieri. Microsoft 365 utilizza un’infrastruttura cloud globale che presuppone l’utilizzo di server in data center in tutto il mondo in diverse aree geografiche. Secondo il GDPR, il trasferimento di dati personali verso paesi al di fuori del SEE è limitato se tale processo non fornisce misure di protezione dei dati sufficienti. Poiché i dati di Office 365 possono essere archiviati in vari data center, le organizzazioni che utilizzano Microsoft 365 devono garantire che i trasferimenti di dati siano conformi al GDPR.
Privacy dei dati e conformità
La forte pressione esercitata sulle organizzazioni europee affinché rispettino le severe leggi sulla privacy dei dati, tra cui il GDPR, rende obbligatorio l’implementazione di strategie affidabili di protezione dei dati. La violazione delle normative comporta multe e sanzioni pesanti: è meglio occuparsi della privacy dei dati e della conformità configurando i backup dei dati di Microsoft 365. Ridurre al minimo i dati archiviati e le impostazioni di conservazione è un altro principio del GDPR. Le organizzazioni devono raccogliere solo i dati necessari e nient’altro. In Office 365 sono integrate politiche di conservazione, ma l’utilizzo di soluzioni speciali per la protezione dei dati può rendere le misure di protezione dei dati più efficaci e granulari. Di conseguenza, le organizzazioni possono configurare criteri di backup per eliminare i dati non necessari e obsoleti e conservare solo quelli critici. Secondo il GDPR, gli individui hanno il diritto di richiedere a un’organizzazione di eliminare i propri dati. Le organizzazioni che utilizzano Office 365 devono avere la possibilità di tracciare, gestire ed eliminare i dati se l’utente finale lo richiede, in modo conforme. Quando le organizzazioni dispongono di backup, non c’è alcun problema nell’eliminare i dati critici per l’azienda durante la gestione dei dati degli utenti.
Automazione nella gestione dei dati
Le organizzazioni devono configurare backup automatici di Microsoft 365 per garantire che i dati siano sempre protetti. L’impostazione di pianificazioni di backup e impostazioni di conservazione per eseguire automaticamente i lavori di backup e l’eliminazione dei vecchi dati di backup non necessari è fondamentale per soddisfare i requisiti normativi. Gli strumenti di automazione e quelli basati sull’intelligenza artificiale possono rappresentare una direzione futura per Microsoft 365. Gli strumenti basati sull’intelligenza artificiale possono monitorare automaticamente le attività non conformi. Il rilevamento di modelli di accesso ai dati insoliti, non tipici delle normali operazioni, può indicare una violazione dei dati o una violazione della conformità. Questo rilevamento consente agli amministratori di adottare misure, proteggere i dati e risolvere il problema in tempo.
Come garantire backup di Office 365 conformi al GDPR
Per garantire che i backup di Office 365 siano conformi al GDPR, le organizzazioni devono implementare una serie di misure, tra cui la crittografia dei dati, le politiche di conservazione e l’accessibilità dei backup.
Crittografia dei dati
La crittografia dei dati è una delle misure principali per garantire la sicurezza dei dati personali durante il trasferimento e quando sono inattivi (nell’storage di destinazione). Il GDPR stabilisce che le organizzazioni devono implementare misure per garantire la sicurezza dei dati da violazioni e accessi non autorizzati. La crittografia dei backup aiuta le organizzazioni a garantire che, se una terza parte accede o intercetta i dati illegalmente, questi dati crittografati siano illeggibili senza la chiave di decrittografia. La crittografia AES-256 riduce i rischi di accesso non autorizzato e di fuga di dati, aiutando le organizzazioni a soddisfare gli standard di protezione dei dati del GDPR. È possibile fare riferimento all’articolo 32 del GDPR per verificare questa affermazione. La crittografia dei backup di Office 365 è ciò di cui le organizzazioni hanno bisogno per soddisfare i requisiti del GDPR.
Politiche di conservazione e minimizzazione dei dati
Il principio di minimizzare i dati degli utenti conservati dalle organizzazioni è uno dei principi più importanti del GDPR. Le organizzazioni possono raccogliere e archiviare (conservare) solo i dati necessari per un periodo di tempo limitato. Ciò significa che le organizzazioni che eseguono backup di Office 365 devono garantire che i backup non includano dati non necessari o obsoleti. Ciò rappresenta un problema se i dati vengono conservati per un periodo di tempo superiore a quello obbligatorio. Le organizzazioni dovrebbero configurare criteri di conservazione per evitare il rischio di conservare i dati personali degli utenti più a lungo del necessario. Questa misura riduce il rischio di non conformità al GDPR. Le soluzioni di backup professionali consentono agli amministratori di configurare le impostazioni di pianificazione e conservazione con un’elevata granularità e ampie opzioni di personalizzazione. Applicando queste impostazioni di conservazione, le organizzazioni possono garantire che i dati personali vengano eliminati quando non sono più necessari. Questo è quanto è obbligatorio secondo l’articolo 5 (5.1.e) del GDPR.
Diritti degli interessati e accessibilità dei backup
I singoli utenti hanno il diritto di accedere, rettificare e cancellare i propri dati personali. Questi diritti sono denominati diritti dell’interessato. Per quanto riguarda il backup dei dati, le organizzazioni devono garantire di poter elaborare le richieste di accesso, verifica ed eliminazione dei dati degli utenti anche se tali dati sono archiviati nei backup. Nel contesto dei backup di Office 365, ciò significa quanto segue:
- Dovrebbe essere possibile recuperare i dati se necessario per soddisfare le richieste di accesso ai dati effettuate dagli utenti. Una soluzione di backup di Office 365 deve essere in grado di ripristinare rapidamente i dati e consentire l’accesso ai dati ripristinati in un formato utilizzabile.
- Una soluzione di backup dovrebbe offrire la funzione di rimuovere in modo flessibile dati specifici dall’intero backup senza ripristinare l’intero set di dati. Se una soluzione ha la capacità di eliminare in modo selettivo dati specifici dai backup, il rischio di sanzioni per non conformità si riduce in modo significativo.
Procedure consigliate per il backup e il ripristino di Office 365 in Europa
Le procedure consigliate per il backup di Office 365 in Europa includono l’attenzione alle misure di protezione dei dati e la conformità ai requisiti normativi, compreso il GDPR. Questo approccio include l’implementazione di una strategia avanzata di ripristino di emergenza.
Scegliere la soluzione di backup giusta
Scegli una soluzione di protezione dei dati che supporti il backup e il ripristino di Microsoft 365, tenendo conto dei requisiti della normativa europea sulla protezione dei dati. Tenere presente i seguenti fattori chiave:
- Conformità al GDPR. Una soluzione di backup deve essere compatibile con le normative sulla protezione dei dati in Europa. In altre parole, dovrebbe essere possibile configurare una soluzione di backup per la protezione dei dati di Microsoft 365 in modo da soddisfare i requisiti normativi. Assicurarsi di poter configurare l’archiviazione dei backup su server con ubicazione geografica in Europa.
- Protezione dei servizi Microsoft 365. Assicurarsi che la soluzione di protezione dei dati supporti tutti i servizi Microsoft 365 necessari, inclusi Exchange Online, OneDrive, SharePoint, Teams, ecc. Tutti i dati critici devono essere protetti con la possibilità di ripristinarli.
- Sicurezza e crittografia. La soluzione di backup deve supportare la crittografia dei dati in transito (durante il trasferimento sulla rete) e a riposo (quando i dati vengono archiviati su un supporto di backup). Deve inoltre supportare algoritmi di crittografia avanzati, come AES-256. Prendete in considerazione una soluzione di backup che supporti il Controllo degli accessi basato sui ruoli (RBAC) per evitare accessi non autorizzati ai backup di Microsoft 365.
- Recupero granulare. Scegliete una soluzione che supporti il recupero granulare dei dati di Microsoft 365. Il ripristino granulare è una funzione che consente di ripristinare oggetti specifici, come e-mail selezionate, dati OneDrive di utenti particolari (file e cartelle), siti SharePoint, elenchi, file, ecc. Quando si utilizza il ripristino granulare, è possibile ripristinare solo i dati necessari senza dover ripristinare l’intero set di dati (ad esempio, ripristinare i file necessari invece di ripristinare l’intero account OneDrive).
- Strumenti di automazione. Valutare l’utilizzo di una soluzione di backup Microsoft 365 che supporti il backup automatico, la verifica del backup e i test di ripristino di emergenza. L’automazione delle attività di protezione dei dati consente di garantire che il backup dei dati venga eseguito regolarmente e che non vi siano lacune nella protezione dei dati. L’automazione del backup semplifica la gestione dei backup e riduce il rischio di errore umano.
Frequenza e conservazione dei backup
Configurare le impostazioni di frequenza e conservazione dei backup in modo da soddisfare i requisiti del GDPR e altre normative. Allo stesso tempo, è necessario considerare le esigenze di produzione dell’organizzazione.
- Backup regolari. Esegui regolarmente i lavori di backup per Microsoft 365 per garantire che i dati siano sempre sottoposti a backup quando necessario. Configura i lavori di backup automatico a questo scopo in base ai valori RPO (obiettivi di punto di ripristino) accettati. A seconda delle esigenze di produzione, i backup possono essere eseguiti quotidianamente o anche ogni ora (per i dati che vengono modificati o aggiornati frequentemente).
- Pianificazione. Questo parametro definisce la frequenza con cui viene eseguito un lavoro di backup. Configurare la pianificazione automatica di Microsoft 365, che può includere backup completi e incrementali per un livello più elevato di affidabilità in termini di protezione dei dati.
- Conservazione. Le opzioni di pianificazione della conservazione dei backup definiscono per quanto tempo vengono conservati i backup. Configurare la conservazione dei backup per garantire che il criterio di conservazione soddisfi i requisiti del GDPR. Ricordare il principio della minimizzazione dei dati, secondo cui i dati personali non devono essere conservati più a lungo del necessario. Quando si configurano le impostazioni di conservazione, ricordare che è necessario disporre di dati di backup sufficienti a garantire la continuità operativa dell’organizzazione. Il periodo di conservazione per le organizzazioni legali o finanziarie può essere più lungo rispetto a quello delle organizzazioni che operano in altri settori.
- Versioni da ripristinare. Le impostazioni di pianificazione e conservazione dei backup devono essere configurate in modo da consentire il ripristino di diverse versioni degli oggetti protetti scritti in momenti diversi. Ad esempio, il ransomware può distruggere le versioni più recenti dei file e questi dati danneggiati potrebbero essere inclusi nei backup più recenti (punti di ripristino). L’utilizzo di punti di ripristino più vecchi rende possibile il ripristino dei dati.
Ripristino di emergenza e continuità operativa
Creare un piano dettagliato di ripristino di emergenza e un piano di continuità operativa per ridurre al minimo i tempi di inattività in caso di emergenza (guasto del sistema, attacco informatico, ecc.). Un piano di ripristino di emergenza deve essere ben strutturato per garantire che un’organizzazione possa continuare le proprie operazioni senza perdere dati o con una perdita minima di dati e interruzioni del servizio.
- Piano di ripristino di emergenza. Un piano di ripristino di emergenza include informazioni dettagliate che spiegano ogni fase del ripristino dei dati dai backup. Descrive i ruoli di ciascun dipendente nel processo di ripristino dei dati, il tempo di ripristino stimato e altri aspetti. Con un piano di ripristino di emergenza di alta qualità, le organizzazioni possono soddisfare i più rigorosi RTO e ripristinare rapidamente i dati, riducendo al minimo le interruzioni del servizio.
- Piano di continuità operativa. Un piano di continuità operativa viene solitamente utilizzato insieme a un piano di ripristino di emergenza per garantire che le funzioni aziendali di un’organizzazione possano continuare durante e dopo un disastro. Backup affidabili possono aiutare gli utenti ad accedere alle informazioni necessarie per eseguire le attività obbligatorie.
- Test di backup e ripristino. Il test dei backup riduce la probabilità che i dati nei backup non siano coerenti o siano danneggiati e contribuisce a garantire che i backup siano funzionali. Test di ripristino dei dati aumenta la probabilità di ripristinare i dati e i carichi di lavoro senza problemi in caso di disastro. I test consentono alle organizzazioni di garantire che il piano di ripristino di emergenza e il piano di continuità operativa funzionino come previsto.
- Ubicazioni ridondanti per i backup. Secondo la regola di backup 3-2-1, si consiglia di archiviare i backup e le copie di backup in ubicazioni diverse. Questo approccio migliora significativamente la strategia di ripristino di emergenza. Tuttavia, le organizzazioni che lavorano con dati di utenti residenti nell’Unione Europea devono soddisfare i requisiti del GDPR e archiviare i dati su server situati geograficamente nell’Unione Europea. Per questo motivo, prestare attenzione nella scelta dello storage sul cloud per il backup, come AWS o Azure, e selezionare data center situati in regioni europee per lo storage sul cloud pubblico.
NAKIVO Backup & Replication per il backup di Microsoft 365
NAKIVO Backup & Replication & Supporto per il backup di Microsoft 365Il backup di Microsoft 365. La soluzione NAKIVO supporta il backup di Microsoft Exchange Online, OneDrive for Business, SharePoint Online e Teams. Le seguenti funzionalità possono aiutarti a soddisfare i requisiti normativi in Europa:
- Crittografia dei backup alla fonte, in transito e a riposo
- Lavoro di backup
- Verifica dei backup
- Impostazioni flessibili di pianificazione e conservazione
- Recupero granulare di file e oggetti
- Copia di backup e backup su cloud con la possibilità di scegliere una regione in cui archiviare i backup di Microsoft 365 in Europa
- Backup immutabili
Il futuro dei backup di Office 365 in Europa
Le tecnologie continuano ad evolversi e questo significa che in futuro potrebbero esserci nuove sfide nel backup di Office 365 per gli utenti europei.
Nuove normative sulla privacy dei dati
Le preoccupazioni relative alla privacy dei dati continuano a crescere ed è altamente probabile che in Europa vengano implementati nuovi standard normativi più rigorosi oltre al GDPR. Queste normative, a loro volta, avrebbero un impatto sul backup per Microsoft 365 per le organizzazioni che lavorano con utenti europei. I requisiti di protezione dei dati potrebbero diventare più severi e le aziende dovranno adattare le loro strategie di backup. Alcuni paesi europei potrebbero implementare requisiti di protezione dei dati aggiuntivi oltre a quelli generalmente utilizzati in tutta l’Unione Europea.
Nuove tecnologie di backup
Anche le tecnologie di protezione dei dati stanno diventando più sofisticate e offrono funzionalità avanzate. L’intelligenza artificiale può essere utilizzata per rilevare le minacce in anticipo, migliorare i controlli di integrità dei dati e rilevare modelli insoliti utilizzati dal ransomware prima di corrompere i dati. I meccanismi di rilevamento e prevenzione dei ransomware potrebbero essere migliorati.
Conclusione
Per implementare una strategia efficace per il backup di Office 365 in Europa, le organizzazioni devono comprendere le normative europee e gli standard di protezione dei dati, come il GDPR. Tenete conto dei requisiti normativi quando scegliete una ubicazione di backup, la frequenza di backup e le impostazioni di conservazione. Scegliete una soluzione di protezione dei dati che supporti il backup per Microsoft 365 e che possa essere configurata per soddisfare i requisiti europei in materia di protezione dei dati.
