Copia de seguridad de Microsoft 365: guía para pymes

Es una de las conversaciones que más repetimos con clientes en Tenerife y Gran Canaria. Alguien borra por error una carpeta compartida, un empleado se va y su buzón desaparece, o un correo importante se esfuma de un archivo de 2023. La respuesta suele ser la misma: «tranquilo, está todo en la nube, Microsoft lo tiene guardado». Y ahí es donde empieza el problema, porque esa frase es solo verdad a medias.

Microsoft 365 es una plataforma extraordinariamente fiable. Lo que no es —y Microsoft nunca ha dicho que lo sea— es un sistema de copias de seguridad de tus datos. Son dos cosas distintas, y confundirlas es una de las causas más frecuentes de pérdida de información en pymes que, por lo demás, hacen las cosas razonablemente bien.

El modelo de responsabilidad compartida, en cristiano

Cuando contratas Microsoft 365, firmas implícitamente un reparto de tareas. Microsoft se ocupa de que el servicio funcione; tú te ocupas de que tus datos sigan ahí y sean tuyos. Traducido:

• Microsoft se encarga de la disponibilidad del servicio, la redundancia entre centros de datos, la seguridad física, el mantenimiento de la plataforma y la protección frente a caídas de hardware.
• Tú te encargas de tus datos, la gestión de usuarios y permisos, el control de accesos, la retención a largo plazo y la capacidad de recuperar información borrada o alterada.

Dicho de otro modo: si un centro de datos de Microsoft se cae, tus correos sobreviven. Si un empleado vacía una carpeta de SharePoint en marzo y nadie lo detecta hasta septiembre, es problema tuyo. La redundancia protege frente a fallos de infraestructura, no frente a errores humanos ni frente a un atacante con credenciales válidas.

Las formas más habituales de perder datos en Microsoft 365

En la práctica, casi todos los incidentes que vemos encajan en uno de estos cinco patrones:

1. Borrado accidental. El clásico. Alguien elimina una carpeta de OneDrive o SharePoint pensando que era una copia y resulta que era el original. Es, con diferencia, la causa número uno.
2. Borrado intencionado. Una salida conflictiva, un empleado que «limpia» su buzón antes de irse. Ocurre menos, pero cuando ocurre suele afectar a información sensible.
3. Cuentas comprometidas. Si alguien entra con las credenciales de un usuario legítimo, puede borrar, cifrar o exfiltrar todo lo que ese usuario ve. Para la plataforma es una sesión normal.
4. Ransomware que llega a la nube. Los ficheros cifrados en un equipo local se sincronizan automáticamente a OneDrive o SharePoint. La nube replica el desastre con una eficiencia admirable.
5. Caducidad de la retención. Las políticas por defecto tienen plazos. Cuando expiran, el dato desaparece de forma definitiva, sin aviso ni ceremonia.

La papelera no es una copia de seguridad

Microsoft 365 incluye mecanismos de recuperación, y son útiles: elementos recuperables en Exchange, papelera de reciclaje de primer y segundo nivel en SharePoint y OneDrive, versionado de documentos, papelera de usuarios eliminados. Todo eso está bien y ha salvado más de un lunes complicado.

El detalle es que son redes de seguridad a corto plazo, no archivos históricos. Los plazos por defecto se mueven en el entorno de los 30 días para elementos eliminados y en torno a los tres meses para las papeleras de SharePoint, dependiendo de la configuración de cada tenant. Pasado ese margen, no hay nada que restaurar.

Además, todas estas herramientas comparten una limitación de fondo: viven dentro del mismo sistema que quieres proteger. Si una cuenta con privilegios de administrador está comprometida, esas papeleras también están al alcance del atacante. Una copia de seguridad de verdad vive fuera, en un sitio al que el problema no llega.

Cómo debería ser una copia de seguridad correcta de Microsoft 365

La regla 3-2-1 sigue aplicando aquí igual que en cualquier otro sistema. Estos son los requisitos mínimos que exigimos a una solución de backup para Microsoft 365 en una pyme:

• Cobertura completa: Exchange Online (correo, calendarios, contactos), OneDrive, SharePoint y Teams. Teams se olvida constantemente y es donde hoy vive buena parte de la conversación de la empresa.
• Almacenamiento independiente del tenant de Microsoft, y a poder ser en un proveedor distinto.
• Inmutabilidad: que las copias no se puedan borrar ni modificar durante un periodo definido, ni siquiera con credenciales de administrador.
• Retención configurable a largo plazo, con años en lugar de días, ajustada a lo que exija vuestro sector y el RGPD.
• Restauración granular: poder recuperar un único correo o un documento concreto sin restaurar el buzón entero.
• Restauraciones de prueba periódicas. Una copia que nunca se ha restaurado es una hipótesis, no un respaldo.
• Cumplimiento y ubicación de los datos: saber en qué país se almacenan y bajo qué normativa, algo que conviene tener claro por escrito.

¿Y si la empresa es pequeña?

Es la pregunta que más nos hacen las pymes canarias de cinco o diez empleados, y la respuesta es que el tamaño no cambia el razonamiento, solo la escala del coste. El backup de Microsoft 365 se factura por usuario y mes, y para una plantilla pequeña la cifra suele ser bastante menor que lo que cuesta reconstruir a mano un año de correspondencia comercial, presupuestos y documentación de proyectos. En un tejido empresarial como el canario, donde muchas empresas son pequeñas pero manejan información crítica de clientes, proveedores y administraciones, esa asimetría es difícil de justificar.

Checklist para revisar esta misma semana

1. Comprueba si tu empresa tiene contratada alguna solución de backup de Microsoft 365 más allá de las papeleras nativas. Muchas veces la respuesta sorprende.
2. Revisa las políticas de retención actuales de tu tenant y anota los plazos reales.
3. Verifica que Teams y SharePoint están incluidos en la protección, no solo el correo.
4. Activa el doble factor de autenticación en todas las cuentas, empezando por las de administrador. Es la medida que más reduce el riesgo de cuenta comprometida.
5. Haz una restauración de prueba: recupera un documento borrado hace más de un mes y cronometra cuánto tardas.
6. Documenta quién es responsable de vigilar que las copias se ejecutan y quién las restaura si hace falta.

Si al terminar el checklist te has quedado con más dudas que certezas, es exactamente la situación en la que conviene mirarlo con calma y con alguien que conozca el terreno. En Xenic Technology llevamos años acompañando a pymes de Tenerife, Gran Canaria y el resto del archipiélago en la protección de sus datos, y puedes solicitar una auditoría gratuita de tu entorno Microsoft 365 para saber con datos concretos qué está protegido, qué no lo está y cuánto costaría cerrar esa brecha. Vale la pena descubrirlo antes de necesitarlo.