Backup Exchange Online e OneDrive: guida 2026 | Nexsys

Exchange Online e OneDrive sono due dei repository più critici di Microsoft 365: nel primo risiedono e-mail, calendari, contatti e informazioni operative; nel secondo documenti personali e di lavoro che vengono sincronizzati continuamente tra cloud e dispositivi. La resilienza della piattaforma Microsoft non coincide però automaticamente con la strategia di backup e recovery richiesta dalla singola organizzazione.

Nel 2026 il tema va affrontato in modo più preciso rispetto al passato: Microsoft offre funzioni native di versioning, cestino e retention e dispone anche del servizio Microsoft 365 Backup. La domanda corretta non è quindi “Microsoft fa o non fa il backup?”, ma quali dati devono essere recuperati, entro quanto tempo, per quanto devono essere conservati e se l’azienda richiede una copia gestita attraverso un piano di protezione indipendente e centralizzato.

Questa guida si concentra su due workload specifici — Exchange Online e OneDrive — e sui criteri con cui definire una strategia di protezione coerente con continuità operativa, rischio ransomware e requisiti di conservazione.

Microsoft 365 è resiliente, ma resilienza e backup non sono la stessa cosa

Microsoft 365 utilizza architetture ridondate e offre diversi meccanismi nativi per ridurre il rischio di perdita dei dati. OneDrive dispone di versioning e funzioni di ripristino; Exchange Online integra meccanismi di recupero degli elementi eliminati e policy di retention configurabili. A queste funzionalità si aggiunge Microsoft 365 Backup, oggi disponibile per Exchange Online, OneDrive e SharePoint.

Secondo la documentazione Microsoft aggiornata a luglio 2026, Microsoft 365 Backup mantiene i dati protetti per un anno e crea punti di ripristino con frequenze differenti in funzione del workload e dell’anzianità del dato. Questo rende errata la vecchia affermazione secondo cui Microsoft 365 non disponga di un vero servizio di backup.

Resta però necessario progettare la protezione in base ai requisiti aziendali. Una soluzione terza può essere preferibile quando servono un piano di backup indipendente, retention differenti, gestione centralizzata di più workload o ambienti, processi di recovery standardizzati e una separazione operativa maggiore rispetto al tenant di produzione.

Quali rischi deve coprire il backup di Exchange Online e OneDrive

Il backup non serve principalmente a proteggersi dal guasto di un datacenter Microsoft. I casi più frequenti riguardano modifiche o cancellazioni che diventano valide anche per il servizio cloud, errori amministrativi, compromissioni degli account e necessità di recuperare dati a una data precedente.

• cancellazione accidentale di e-mail, cartelle o documenti;
• eliminazioni massive effettuate da un utente o da un account compromesso;
• modifica o cifratura di file locali che viene poi sincronizzata verso OneDrive;
• errori nella configurazione di policy, retention o processi di offboarding;
• necessità di recuperare una mailbox, un messaggio o un file a uno specifico punto temporale;
• necessità di mantenere i dati per periodi coerenti con policy interne, obblighi contrattuali o requisiti di compliance.

Il requisito decisivo è quindi la recoverability: il dato deve esistere in una copia utilizzabile, ma soprattutto deve poter essere individuato e ripristinato nei tempi stabiliti dall’organizzazione.

Backup di Exchange Online: cosa deve essere recuperabile

Per Exchange Online una strategia efficace deve partire dagli oggetti realmente critici per il lavoro quotidiano. Non basta considerare il messaggio di posta: una mailbox contiene anche calendari, contatti, cartelle, allegati e altri elementi che possono essere necessari durante un ripristino operativo o un’indagine.

I criteri da verificare sono almeno quattro:

• Granularità del restore: possibilità di recuperare il singolo messaggio o elemento senza dover ripristinare indiscriminatamente l’intera casella.
• Punti di ripristino: frequenza con cui vengono creati e capacità di tornare a uno stato precedente coerente con l’RPO definito.
• Retention: periodo durante il quale l’organizzazione deve poter recuperare dati cancellati o modificati.
• Ruoli e sicurezza: separazione tra chi amministra il tenant Microsoft 365 e chi può modificare o cancellare i backup.

Le caselle condivise, gli account critici e le mailbox di utenti cessati devono rientrare esplicitamente nel piano: l’offboarding è uno dei momenti in cui è più facile creare gap di conservazione o recovery.

Quando valutare un backup indipendente per Microsoft 365

Microsoft 365 Backup è oggi una componente reale dell’offerta Microsoft e deve essere considerata nelle valutazioni. Un backup di terze parti continua però ad avere senso quando l’architettura richiesta dall’azienda prevede caratteristiche o modalità operative differenti rispetto al servizio nativo.

• necessità di centralizzare Microsoft 365 insieme ad altri workload aziendali;
• retention e policy di conservazione definite dal piano di data protection aziendale;
• separazione del piano di gestione del backup rispetto agli account amministrativi del tenant;
• console unica per monitoraggio, policy e restore;
• integrazione del backup Microsoft 365 in una strategia più ampia di resilienza e ransomware recovery.

La scelta va quindi fatta su RPO, RTO, retention, governance, costi e capacità reale di ripristino, non sulla semplice presenza o assenza della funzione “backup”.

Druva per il backup di Exchange Online e OneDrive

Per i progetti in cui è richiesta una piattaforma di data protection indipendente e completamente SaaS, Nexsys utilizza Druva. La piattaforma è cloud-native e non richiede server o appliance di backup locali da installare e mantenere.

Nell’ambiente Microsoft 365, Druva consente di estendere la protezione a Exchange Online, OneDrive, SharePoint e Teams, con gestione centralizzata delle policy e delle attività di ripristino. Questo permette di evitare che ogni workload venga trattato con procedure separate e di inserire Microsoft 365 in una strategia comune di data protection.

I vantaggi operativi più rilevanti sono:

• architettura SaaS cloud-native senza infrastruttura di backup dedicata;
• protezione coordinata di Exchange Online, OneDrive, SharePoint e Teams;
• ripristino granulare e ricerca dei dati da recuperare;
• policy e governance centralizzate;
• integrazione con strategie di protezione che comprendono anche endpoint, server, VMware e altri workload supportati dalla piattaforma.

Per approfondire le caratteristiche della piattaforma, consulta Druva Cloud Backup e Data Protection.

Microsoft 365 Backup o Druva: quali criteri usare

Non esiste una risposta valida per ogni tenant. Il confronto deve partire dall’architettura e dagli obiettivi di recovery.

Le 7 verifiche da fare prima di attivare il backup

1. Definire quali utenti, mailbox, OneDrive e siti devono essere protetti.
2. Definire RPO e RTO per i workload critici.
3. Stabilire retention operativa, legale e contrattuale.
4. Separare i ruoli amministrativi e proteggere con MFA gli account che gestiscono i backup.
5. Documentare il processo di offboarding di utenti e caselle condivise.
6. Eseguire restore test periodici, non limitarsi al controllo “job riuscito”.
7. Monitorare errori, account non protetti, variazioni di licenza e crescita dei dati.

Se l’obiettivo è trasformare il backup in un servizio gestito con policy, monitoraggio e responsabilità operative definite, il riferimento corretto è la soluzione Data Protection as a Service di Nexsys.