Microsoft 365 protegge la disponibilità della piattaforma e include diverse funzioni di recupero: cestini, cronologia delle versioni, elementi ripristinabili e criteri di conservazione. Queste funzioni sono utili, ma non costituiscono automaticamente una strategia di backup coerente con i requisiti di ogni organizzazione.
Oggi esiste anche Microsoft 365 Backup, un servizio separato a consumo che può essere attivato per Exchange Online, OneDrive e SharePoint. La domanda corretta non è quindi «Microsoft esegue oppure no il backup?», ma: quali dati dobbiamo recuperare, da quale punto nel tempo e in quanto tempo dopo un incidente?
Il backup diventa necessario quando i meccanismi nativi, la retention configurata o il servizio scelto non soddisfano gli obiettivi di recupero dell'azienda. La decisione deve partire da RPO, RTO, durata della conservazione, copertura dei workload, separazione delle copie e capacità reale di eseguire un restore verificato.
Microsoft 365 non equivale automaticamente a un backup configurato
La sottoscrizione include strumenti di resilienza e recupero. Microsoft 365 Backup è invece un servizio aggiuntivo da attivare e gestire. Soluzioni terze o servizi gestiti restano rilevanti quando servono retention più lunghe, copertura più ampia, isolamento ulteriore, monitoraggio o gestione operativa.
Microsoft 365 fa il backup automatico dei dati?
La risposta richiede di distinguere tre livelli. La piattaforma Microsoft protegge la continuità del servizio mediante replica e resilienza infrastrutturale. Le applicazioni forniscono strumenti nativi per recuperare contenuti cancellati o modificati. Un backup, invece, applica una policy esplicita a dati e workload definiti, crea punti di ripristino, conserva le copie per un periodo stabilito e consente di dimostrare che il recupero funziona.
Nessuno di questi livelli sostituisce automaticamente gli altri. La replica mantiene disponibile il servizio, ma può replicare anche una cancellazione o una modifica indesiderata. Il cestino consente il recupero entro una finestra precisa. La retention preserva contenuti in base a regole legali o informative. Il backup risponde a un requisito operativo di ripristino.
Cosa offrono gli strumenti nativi
| Funzione | Cosa consente | Limite da considerare |
|---|---|---|
| Exchange Online - Recoverable Items | Recupero di messaggi eliminati anche dopo lo svuotamento della cartella Posta eliminata. | La retention predefinita degli elementi eliminati è 14 giorni; l'amministratore può portarla fino a 30 giorni, salvo policy o hold specifici (che potrebbero modificarne il comportamento). Il conteggio parte dall'uscita dalla cartella Posta eliminata. |
| SharePoint e OneDrive - cestino | Ripristino di file, cartelle e altri elementi eliminati. | La finestra complessiva è 93 giorni dalla cancellazione originale, condivisa tra cestino di primo e secondo livello. |
| Cronologia versioni | Ritorno a una versione precedente di un file. | Dipende dal tipo di contenuto e dalla configurazione; non risolve da sola un recovery massivo, multi-workload o oltre la finestra disponibile. |
| Microsoft Purview retention | Conservazione o eliminazione di contenuti secondo policy informative, legali e di compliance. | È progettata per governance ed eDiscovery, non come sostituto automatico di un processo operativo di backup e restore. |
| Microsoft 365 Backup | Punti di ripristino per Exchange Online, OneDrive e SharePoint, con restore amministrativo. | È un servizio separato pay-as-you-go, richiede policy, ruoli, monitoraggio e test; la retention è configurabile a 3 mesi, 6 mesi, 1 anno o 2 anni. |
Questi valori non devono essere trasformati in una regola universale: hold, policy Purview, licenze, configurazioni e stato degli account possono modificare il comportamento effettivo. La policy di protezione deve quindi essere documentata per il tenant reale, non dedotta dal solo nome del piano Microsoft 365.
Dove si trovano realmente i dati Microsoft 365
Microsoft 365 non è un archivio unico. I dati sono distribuiti tra servizi differenti e un backup è completo solo rispetto al perimetro dichiarato. L'inventario minimo deve includere:
Exchange Online
Mailbox utente, caselle condivise, archivi online, calendari, contatti e allegati.
OneDrive for Business
File di lavoro individuali, condivisioni e contenuti sincronizzati dai dispositivi.
SharePoint Online
Siti, raccolte documenti, versioni, permessi e metadati.
Microsoft Teams
I file dei canali risiedono normalmente in SharePoint; i file condivisi in chat possono risiedere in OneDrive. Chat, post, canali privati o condivisi, registrazioni e metadati richiedono una verifica specifica della copertura.
Servizi complementari
Planner, Forms, Power BI, Loop e applicazioni SaaS integrate possono contenere dati di business non compresi nel perimetro standard di Exchange, OneDrive e SharePoint.
Trasformare il requisito in una policy verificabile
Nexsys definisce workload, retention, RPO/RTO, livelli di isolamento, ruoli amministrativi, test di ripristino e reportistica. Il risultato è una policy misurabile, non la sola attivazione di un prodotto.
Valuta la Data Protection as a ServicePerché può servire un backup separato di Microsoft 365
Il requisito nasce dal rischio residuo dopo l'applicazione delle funzioni native. Gli scenari più frequenti non sono il guasto del data center Microsoft, ma eventi logici e operativi che interessano i dati dell'organizzazione.
Cancellazione scoperta in ritardo
Un file, una mailbox o un sito vengono eliminati e il problema emerge quando la finestra nativa è già trascorsa.
Errore umano su larga scala
Una sincronizzazione, una modifica massiva, uno script o una procedura di migrazione altera migliaia di oggetti.
Account compromesso o abuso di privilegi
Un attaccante o un amministratore non autorizzato elimina dati, versioni o configurazioni di protezione.
Ransomware e corruzione sincronizzata
La cifratura o la corruzione dei file locali può propagarsi verso OneDrive e SharePoint. In un incidente strutturato il backup deve integrarsi con procedure di ransomware recovery per evitare di ripristinare dati ancora compromessi.
Offboarding incompleto
L'eliminazione di un utente o la rimozione di una licenza può rendere più complesso recuperare mailbox e OneDrive a distanza di tempo.
Ripristino massivo non sostenibile
Il recupero manuale di singoli file può funzionare per un errore limitato, ma non per centinaia di utenti o un intero sito.
Retention non allineata al business
L'azienda deve conservare dati per più anni, applicare policy diverse o fornire evidenze di restore che i meccanismi disponibili non soddisfano.
Backup, retention, versioning e disaster recovery non sono sinonimi
| Meccanismo | Obiettivo | Domanda a cui risponde |
|---|---|---|
| Backup | Creare punti di recupero secondo una policy e ripristinare dati dopo perdita, alterazione o incidente. | Posso recuperare il dato corretto dal punto temporale richiesto? |
| Retention | Conservare o eliminare informazioni per un periodo stabilito, spesso per governance o obblighi legali. | Per quanto tempo il contenuto deve rimanere disponibile o non eliminabile? |
| Versioning | Mantenere più versioni dello stesso oggetto. | Posso annullare una modifica a questo file? |
| Archiviazione | Conservare dati meno attivi in modo organizzato e ricercabile. | Dove mantengo informazioni storiche che devono restare consultabili? |
| Disaster recovery | Ripristinare servizi e operatività entro RTO/RPO definiti. | Come riattivo processi e sistemi dopo un evento grave? |
La confusione tra questi strumenti genera due errori opposti: acquistare capacità di backup senza una policy di recovery, oppure considerare una retention legale come prova che il servizio possa essere ripristinato rapidamente dopo un incidente.
Come definire i requisiti di backup Microsoft 365
La scelta della tecnologia deve arrivare dopo la definizione dei requisiti. Un capitolato tecnico minimo dovrebbe contenere i seguenti controlli.
Copertura
Elenco preciso di workload, tipi di oggetto, mailbox condivise, archivi, siti, canali e metadati inclusi o esclusi.
RPO
Quantità massima di modifiche accettabile tra l'ultimo punto valido e l'incidente.
RTO
Tempo massimo entro cui utenti, siti o mailbox devono tornare utilizzabili.
Retention
Durata, granularità e differenziazione per funzione aziendale, classe di dato o requisito normativo.
Separazione e immutabilità
Indipendenza logica delle copie, protezione da modifiche, cancellazioni amministrative e compromissione delle credenziali.
Restore
Ripristino granulare e massivo, nella posizione originale o alternativa, con gestione di permessi, versioni e conflitti.
Sicurezza amministrativa
Least privilege, MFA, segregazione dei ruoli, notifiche multi-amministratore e audit delle operazioni.
Monitoraggio
Stato delle policy, errori, oggetti non protetti, capacità, consumo e anomalie.
Compliance e localizzazione
Residenza dei dati, cifratura, DPA, sub-responsabili, cancellazione e capacità di produrre evidenze.
Exit strategy
Modalità di esportazione, tempi di conservazione dopo offboarding, costi di uscita e procedura di cambio fornitore.
Microsoft 365 Backup o piattaforma di terze parti?
Microsoft 365 Backup è una possibilità concreta e non va confuso con i soli cestini inclusi nella sottoscrizione. Protegge attualmente Exchange Online, OneDrive e SharePoint con un modello pay-as-you-go; la finestra di ripristino e configurabile a 3 mesi, 6 mesi, 1 anno o 2 anni. È coerente quando questi tre workload, la retention prevista e il modello operativo Microsoft soddisfano il requisito.
Una piattaforma di terze parti o un servizio gestito diventa rilevante quando l'organizzazione richiede retention pluriennale, copertura di altri SaaS o workload infrastrutturali, console unificata, controllo operativo esterno al tenant, reportistica specifica, supporto al restore o delega delle attività quotidiane. La valutazione deve confrontare requisiti e risultati, non limitarsi al prezzo per utente o per gigabyte.
Per una vista tecnologica sulle soluzioni adottate da Nexsys sono disponibili la Data Protection as a Service basata su Druva, per scenari multi-workload e requisiti di Data Protection più articolati, e la scheda Cove Data Protection, dedicata al servizio gestito focalizzato su Microsoft 365. L'articolo corrente resta volutamente neutro sul vendor e focalizzato sui criteri decisionali.
Il modello operativo conta più dell'attivazione
Un backup non monitorato può fallire per settimane senza produrre un risultato utile. La protezione diventa affidabile quando è inserita in un ciclo operativo documentato.
Identificare utenti, mailbox, siti, dati Teams, account cessati e workload non standard.
Associare criticità, proprietario, retention, RPO e RTO a ogni insieme di dati.
Applicare policy, ruoli amministrativi, MFA, notifiche e protezioni contro la cancellazione delle copie.
Controllare errori, scostamenti, oggetti esclusi, consumo e capacità di ripristino.
Eseguire restore campione di mailbox, file, cartelle e siti; misurare tempi ed errori; conservare evidenze.
Aggiornare il perimetro dopo migrazioni, acquisizioni, riorganizzazioni e modifiche di licenza.
Il servizio gestito Nexsys per il backup di Microsoft 365
Scegliere la tecnologia è solo metà del lavoro: quello che fa la differenza è chi controlla i job, chi si accorge di un backup fallito e chi esegue il restore quando serve davvero. Nexsys copre tre situazioni diverse:
PMI con Microsoft 365 da proteggere in modo semplice. Backup dei quattro workload (compreso Teams, copertura aggiuntiva di Cove e non del servizio nativo Microsoft) con retention configurabile e ripristino granulare, senza infrastruttura da mantenere: è il perimetro di Cove Data Protection.
Ambienti con più piattaforme da proteggere insieme. Quando accanto a Microsoft 365 ci sono Google Workspace, endpoint e server, la protezione si consolida su un’unica piattaforma: è il caso di Druva.
Protezione dei dati come servizio gestito. Monitoraggio dei job, verifica dei ripristini e responsabilità operativa in capo a noi: è il servizio di Data Protection as a Service.
Qualunque sia la tecnologia, il criterio con cui si disegna lo schema delle copie resta lo stesso: la regola del 3-2-1.
Domande frequenti sul backup Microsoft 365
Microsoft 365 include già un backup?
La sottoscrizione include resilienza del servizio, cestini, versioning, elementi ripristinabili e funzioni di retention. Microsoft offre inoltre Microsoft 365 Backup come servizio separato pay-as-you-go. Una policy di backup completa non è quindi automaticamente attiva per tutti i dati e deve essere progettata, configurata e verificata.
OneDrive può essere considerato un backup?
No. OneDrive è un servizio di archiviazione, sincronizzazione e collaborazione. Versioning e cestino consentono diversi recuperi, ma una cancellazione, una cifratura o una modifica può propagarsi tra dispositivi e cloud. La sufficienza dei meccanismi nativi dipende dalla finestra di recupero e dal rischio accettato.
Qual è la differenza tra retention e backup?
La retention conserva o elimina contenuti secondo una regola informativa o legale. Il backup crea punti di recupero e procedure di restore per riportare dati e servizi a uno stato precedente. Possono collaborare, ma rispondono a obiettivi differenti.
Per quanto tempo Microsoft 365 conserva i dati eliminati?
Dipende dal servizio e dalla configurazione. Exchange Online conserva di default gli elementi eliminati recuperabili per 14 giorni, estendibili fino a 30. SharePoint e OneDrive usano una finestra complessiva di 93 giorni nei cestini. Policy Purview e hold possono modificare la conservazione. Microsoft 365 Backup applica attualmente una retention di un anno.
Il backup di Microsoft 365 comprende Teams?
Teams distribuisce i dati tra più servizi. I file dei canali risiedono normalmente in SharePoint e quelli condivisi nelle chat in OneDrive, mentre conversazioni, post, metadati, canali privati e registrazioni richiedono verifiche specifiche. La copertura deve essere controllata per singolo componente e soluzione.
Serve una soluzione di terze parti se esiste Microsoft 365 Backup?
Non sempre. Microsoft 365 Backup può soddisfare organizzazioni concentrate su Exchange Online, OneDrive e SharePoint con retention annuale. Una piattaforma terza o gestita è rilevante per retention più lunghe, ulteriori workload, console unificata, isolamento operativo, reportistica o supporto continuativo al restore.
Un backup Microsoft 365 garantisce la conformità GDPR o NIS2?
No. Il backup supporta disponibilità, resilienza e capacità di ripristino, ma la conformità richiede anche analisi del rischio, basi giuridiche, minimizzazione, controllo degli accessi, retention, procedure, test, responsabilità e documentazione. Nessun prodotto garantisce da solo la conformità.