Microsoft 365 Backup po wdrożeniu: jak odróżnić backup od retencji i policzyć realny zakres ochrony w firmie

Retencja, kosz i backup to nie to samo

W praktyce administracyjnej Microsoft 365 najłatwiej pomylić trzy różne porządki: bieżące mechanizmy przechowywania danych w usłudze, zasady retencji oraz usługę backupu. Warto je rozdzielić już na poziomie pytań operacyjnych. Jeżeli administrator pyta, jak długo organizacja przechowuje dane, mówi o retencji. Jeżeli pyta, czy usunięty plik lub wiadomość nadal gdzieś istnieje w ramach działania usługi, dotyka mechanizmów takich jak kosz lub przechowywanie elementów do odzyskania. Jeżeli zaś pyta, czy da się odtworzyć wskazany zasób do wcześniejszego punktu w czasie w ramach odrębnej ochrony backupowej, wchodzi w obszar Microsoft 365 Backup.

Z udostępnionego przez Microsoft opisu wynika, że Microsoft 365 Backup jest usługą zaprojektowaną po to, aby dane organizacji były chronione i możliwe do odzyskania, a ochrona może obejmować wszystkie albo wybrane witryny SharePoint, konta OneDrive i skrzynki Exchange. Microsoft akcentuje przy tym nie sam fakt istnienia kopii, lecz możliwość szybkiego przywrócenia danych do zdrowego stanu po incydencie lub błędzie. To ważne rozróżnienie: backup w tym ujęciu nie jest ogólną etykietą na każde zachowane dane, tylko usługą ochrony i odtwarzania dla określonych obiektów.

Dlatego w rozmowie z partnerem IT warto unikać skrótu myślowego typu „mamy kosz, więc mamy backup”. Z materiałów źródłowych nie wynika, że kosz lub sama retencja Purview są odpowiednikiem Microsoft 365 Backup. Wynika natomiast, że w modelu cenowym backupu Microsoft uwzględnia niektóre dane usunięte przechowywane na potrzeby odzyskiwania, co nie zmienia faktu, że są to elementy rozliczenia usługi backupowej, a nie dowód tożsamości między backupem a retencją lub koszem.

Jak działa Microsoft 365 Backup po stronie zakresu ochrony i odzyskiwania

Microsoft podaje, że Microsoft 365 Backup obejmuje SharePoint, OneDrive oraz Exchange Online. Granularność ochrony zależy od usługi: dla OneDrive mowa o koncie OneDrive, dla SharePoint o witrynie SharePoint, a dla Exchange o koncie użytkownika. To praktycznie oznacza, że realny zakres ochrony w firmie należy liczyć nie tylko liczbą licencji czy użytkowników, ale listą konkretnych obiektów objętych polityką ochrony.

Z punktu widzenia odtwarzania ważne są dwa elementy: okno odzysku i punkty odzyskiwania. Według opisu Microsoft okno odzysku można konfigurować na 3 miesiące, 6 miesięcy, 1 rok albo 2 lata. Jednocześnie Microsoft opisuje częstotliwość punktów odzyskiwania: dla OneDrive i SharePoint co 10 minut dla dwóch wcześniejszych tygodni oraz cotygodniowe migawki dla okresu od 2 do 52 tygodni wstecz, a dla Exchange co 10 minut dla wcześniejszych 52 tygodni. Już sama ta tabela pokazuje, że pytanie „czy mamy backup” jest zbyt ogólne. Znacznie ważniejsze brzmi: dla którego obiektu, na jaki okres i z jaką szczegółowością czasową można wrócić.

W scenariuszu odtwarzania SharePoint i OneDrive Microsoft opisuje przywrócenie jako operację cofającą stan witryny lub konta do wcześniejszego punktu w czasie. Dla Exchange wskazuje możliwość pełnego przywracania elementów skrzynki albo odtwarzania granularnego przy użyciu wyszukiwania dla elementów zmodyfikowanych lub całkowicie usuniętych. Dla MŚP to praktyczna wskazówka: przy ocenie ochrony nie wystarczy zapytać, czy narzędzie „odzyska pocztę”. Trzeba ustalić, czy organizacja potrzebuje przywrócenia całego zasobu, czy raczej szybkiego odzyskania pojedynczych elementów w skrzynkach użytkowników.

Jak policzyć realny koszt ochrony

Microsoft opisuje Microsoft 365 Backup jako usługę rozliczaną w modelu pay-as-you-go na podstawie chronionej zawartości, ze stawką 0,15 USD za GB miesięcznie. W praktyce oznacza to, że koszt nie wynika wyłącznie z nominalnego rozmiaru aktywnych danych produkcyjnych, ale z tego, co po objęciu ochroną liczy się jako chroniona zawartość.

Źródło cenowe dzieli to rozliczenie na dwie kategorie. Pierwsza to suma rozmiaru chronionej zawartości widocznej dla użytkownika. Dla SharePoint i OneDrive jest to rozmiar witryn i kont pokazywany w raportach użycia dla aktywnych zasobów, obejmujący kosz pierwszego poziomu. Dla Exchange jest to rozmiar aktywnej skrzynki użytkownika lub skrzynki współdzielonej wraz z archiwum online, jeśli jest używane. Druga kategoria to dane przechowywane do odzyskiwania w backupie: dla SharePoint i OneDrive Microsoft wskazuje usuniętą zawartość w koszu drugiego poziomu, a dla chronionych skrzynek pocztowych usunięte i wersjonowane elementy.

To rozróżnienie ma duże znaczenie dla budżetu. Jeżeli firma patrzy tylko na rozmiar aktywnej witryny albo skrzynki, może zaniżyć koszt ochrony. Microsoft wprost podaje przykład, w którym usunięcie części danych nie obniża od razu kolejnego rachunku, ponieważ backup nadal przechowuje te dane przez okres odzyskiwania. Dopiero po wygaśnięciu tego okresu dana zawartość przestaje być liczona do zużycia. Innymi słowy, koszt ochrony trzeba liczyć nie tylko przez pytanie „ile danych mamy dziś”, ale również „ile danych pozostaje utrzymywane do odzyskania”.

Proponujemy więc prosty model kontrolny dla MŚP. Najpierw spisz obiekty objęte ochroną: witryny SharePoint, konta OneDrive i skrzynki Exchange. Następnie dla każdego obiektu oddziel rozmiar aktywny od danych, które nadal wpływają na rozliczenie odzyskiwania zgodnie z opisem Microsoft. Na końcu porównaj wynik z wymaganym oknem odzysku. Taka tabela lepiej pokazuje realny koszt niż sama suma pojemności tenantu.

Czego nie załatwia samo podejście retencyjne

Z dostarczonych źródeł nie wynika, by sama retencja była przedstawiana jako zamiennik usługi backupowej. Wręcz przeciwnie, Microsoft opisuje backup przez pryzmat ochrony określonych obiektów i szybkiego odtworzenia do wcześniejszego stanu, a nie przez same zasady przechowywania. Dla firmy oznacza to, że polityka retencji odpowiada na inne pytania niż backup. Retencja dotyczy utrzymania danych zgodnie z regułami organizacji, natomiast backup służy odtworzeniu po zdarzeniu operacyjnym lub incydencie.

Warto też zauważyć, że Microsoft precyzyjnie opisuje zakres usług objętych Microsoft 365 Backup. Jeśli firma ma procesy zależne od danych lub obiektów spoza wskazanego zakresu SharePoint, OneDrive i Exchange, nie należy zakładać ochrony tylko dlatego, że w organizacji istnieją polityki retencyjne albo ogólne przekonanie o bezpieczeństwie SaaS. Proponujemy sprawdzić to obiekt po obiekcie i udokumentować odpowiedź dla każdego obszaru biznesowego osobno.

W praktyce decyzyjnej MŚP oznacza to, że rozmowa o retencji powinna być oddzielona od rozmowy o odtwarzaniu. Jeżeli właściciel firmy oczekuje odpowiedzi na pytanie, jak szybko da się wrócić do stanu sprzed błędu lub ataku, potrzebuje mapy odzyskiwania i zakresu backupu, a nie wyłącznie opisu zasad przechowywania.

Współdzielona odpowiedzialność w modelu SaaS

Model SaaS nie przenosi całej odpowiedzialności na dostawcę usługi. Brytyjskie NCSC opisuje model współdzielonej odpowiedzialności jako wspólną odpowiedzialność za bezpieczeństwo i dostępność danych oraz obciążeń w usłudze chmurowej, dzieloną między dostawcę a klienta. Zakres odpowiedzialności każdej strony zależy od rodzaju usługi i sposobu jej implementacji.

To ważny kontekst dla Microsoft 365 Backup. Nawet jeżeli dostawca chmury odpowiada za określone elementy działania i zabezpieczeń usługi, klient nadal odpowiada za decyzję, jakie dane obejmuje ochroną, jaki okres odzyskiwania wybiera i czy przyjęty model odtwarzania odpowiada ryzyku biznesowemu. W przypadku MŚP najczęstszym błędem bywa nie brak narzędzia, lecz brak jednoznacznego przypisania odpowiedzialności za konfigurację, kontrolę kosztu i test odtworzenia.

Materiał CISA dotyczący ransomware, wskazany w propozycji źródeł, nie był publicznie dostępny do pobrania w trakcie weryfikacji, dlatego nie opieramy na nim żadnych twierdzeń faktograficznych. Sam artykuł można jednak uczciwie domknąć wnioskiem wynikającym z pozostałych źródeł: w modelu SaaS firma nie powinna zakładać, że odpowiedzialność za możliwość odzyskania danych została rozwiązana automatycznie przez sam fakt korzystania z usługi chmurowej.

Kiedy natywna usługa Microsoft może wystarczyć, a kiedy trzeba dołożyć proces

Na podstawie potwierdzonych źródeł można bezpiecznie powiedzieć tyle: Microsoft 365 Backup zapewnia ochronę dla SharePoint, OneDrive i Exchange oraz definiuje konkretne okna i punkty odzyskiwania. Jeżeli to właśnie te obiekty są krytyczne dla firmy, a oczekiwany sposób odtworzenia mieści się w opisanym modelu przywracania, natywna usługa może być wystarczającym elementem ochrony dla tego zakresu.

Nie należy jednak rozciągać tego wniosku na całą organizację bez weryfikacji. Jeżeli proces biznesowy wymaga kontroli, której nie da się wyrazić samym zakresem chronionych obiektów i oknem odzyskiwania, potrzebny będzie przynajmniej dodatkowy proces organizacyjny. Proponujemy w takim przypadku dopisać do wdrożenia trzy stałe czynności: przegląd listy chronionych obiektów, przegląd kosztu chronionej zawartości oraz próbę odtworzenia na reprezentatywnych danych. To nie jest standard opisany w źródłach, lecz redakcyjna propozycja minimalnej kontroli po wdrożeniu.

Warto też pamiętać o modelu partnerskim. Microsoft wskazuje, że jeśli organizacja korzysta z rozwiązania partnera zbudowanego na platformie Microsoft 365 Backup Storage, rozliczenie za aplikację prowadzi partner, a klient nie dostaje osobnej opłaty bezpośrednio od Microsoft za zużycie Backup Storage. Dla MŚP oznacza to potrzebę sprawdzenia nie tylko zakresu technicznego, lecz także tego, kto faktycznie wystawia koszt ochrony i jak prezentuje metrykę zużycia.

Checklist dla MŚP przed decyzją lub przeglądem wdrożenia

Na koniec warto przejść przez krótką listę pytań kontrolnych. Po pierwsze: które konkretne witryny SharePoint, konta OneDrive i skrzynki Exchange są objęte polityką ochrony. Po drugie: jakie okno odzyskiwania ustawiono dla każdej grupy danych. Po trzecie: czy firma potrzebuje odtworzenia całych zasobów, czy częściej pojedynczych elementów pocztowych. Po czwarte: jak partner lub administrator liczy chronioną zawartość do rozliczenia, w tym dane utrzymywane do odzyskiwania.

Po piąte: czy osoba odpowiedzialna za usługę potrafi pokazać, które składniki kosztu wynikają z rozmiaru aktywnych danych, a które z danych nadal przechowywanych dla odzyskiwania. Po szóste: czy usunięcie obiektu z polityki ochrony zmienia przyszły koszt zgodnie z zasadami opisanymi przez Microsoft. Po siódme: kto po stronie firmy odpowiada za okresowy przegląd zakresu ochrony i za test odtworzenia.

Taka checklista nie zastępuje projektu bezpieczeństwa, ale pomaga odróżnić deklarację „mamy backup Microsoft 365” od odpowiedzi opartej na faktach: co jest chronione, do jakiego punktu w czasie można wrócić, ile to kosztuje i za które decyzje nadal odpowiada klient.