Czego Microsoft 365 nie backupuje

Umowa z Microsoftem dotyczy usługi: tego, że serwery działają, że centra danych mają zasilanie awaryjne, że dane są zreplikowane w kilku miejscach i że po awarii dysku nikt w Waszej firmie niczego nie zauważy. Ta część jest dotrzymywana w sposób, jakiego żadna trzydziestoosobowa firma nie osiągnęłaby sama, i właśnie za to warto płacić za chmurę. Awaria sprzętu przestała być Waszym problemem.

To, co jest w środku usługi — poczta, pliki, rozmowy w Teams, konta i uprawnienia — pozostaje Waszymi danymi i Waszą odpowiedzialnością. Replikacja niczego tu nie zmienia, bo nadmiarowość nie jest kopią zapasową: replikacja powiela skasowanie równie wiernie jak dokument. W OneDrive skasowanie pliku dociera do wszystkich replik — żadna z nich nie jest wersją sprzed skasowania, więc wrócić można tylko do tego, co przechwyci kosz. Nadmiarowość chroni przed awarią infrastruktury. Nie chroni przed człowiekiem, przed złośliwym oprogramowaniem ani przed źle ustawioną zasadą.

Google Workspace działa na tej samej zasadzie. Nazwy koszy i ustawień są inne, panel administracyjny wygląda inaczej, a podział odpowiedzialności jest identyczny — dostawca odpowiada za usługę, firma za to, co w niej trzyma. Jeśli więc czytacie ten tekst z Workspace, a nie z Microsoft 365, wystarczy podmienić nazwy.

Microsoft 365 ma wbudowane mechanizmy odzyskiwania i naprawdę bywają pomocne. Skasowana wiadomość ląduje w elementach usuniętych, plik w koszu, a dokument zapisany po niewłaściwej edycji da się cofnąć do wcześniejszej wersji. Do tego jest kosz drugiego poziomu, z którego administrator wyciągnie rzeczy usunięte także z pierwszego. Mechanizmy te są zaprojektowane pod jeden konkretny scenariusz: pomyłkę zauważoną szybko.

Poza tym scenariuszem kończą się bardzo szybko. Okno jest skończone, liczone raczej w dniach i tygodniach niż w latach, konfigurowalne przez administratora i niemal zawsze krótsze, niż zakłada osoba, która na nie liczy. Brak wychwycony przy zamknięciu kwartału — folder korespondencji, do którego od czerwca nic nie wpadło, zauważony w październiku — mieści się w tym oknie tylko wtedy, gdy ktoś je u Was wcześniej wydłużył. Kosz chroni też wyłącznie przed pomyłką, nie przed decyzją: to, co ktoś świadomie opróżnił, znika w tym samym tempie.

Konkretnych liczb dni celowo tu nie podajemy i odradzamy branie ich z jakiegokolwiek artykułu, łącznie z tym. Zależą od planu licencyjnego, od konfiguracji Waszego tenanta i od zasad, które ktoś kiedyś ustawił albo zmienił, a producent ma prawo je modyfikować. Jedyna wartość, która ma znaczenie dla Waszej firmy, to ta ustawiona dziś u Was — i jest to rzecz do sprawdzenia w panelu administracyjnym, a nie do przyjęcia na wiarę.

Utrata danych w chmurze rzadko wygląda jak awaria. Nie ma alarmu, komunikatu ani telefonu od dostawcy — jest brak czegoś, czego nikt jeszcze nie szukał. Cztery wzorce pokrywają praktycznie wszystko, co spotykamy w firmach tej wielkości.

Z tej czwórki mała firma najczęściej spotyka scenariusz drugi, i to nie dlatego, że jest najbardziej dramatyczny, tylko dlatego, że wygląda na porządki. Ktoś odszedł, licencja kosztuje co miesiąc, więc osoba prowadząca biuro robi rzecz rozsądną: zwalnia to, za co nie ma powodu płacić. Nikt nie myśli o skrzynce jak o archiwum firmy, a dla handlowca albo kierownika projektu jest ona jedynym miejscem, w którym zapisały się ustalenia z klientami — łącznie z tymi, których nie ma w żadnej umowie.

Pułapka polega na tym, że zdjęcie licencji nie jest tym samym co zachowanie danych. Dokładne zachowanie zależy od planu i od konfiguracji tenanta, więc nie warto zgadywać; bezpieczne założenie jest takie, że odebranie licencji uruchamia zegar, a nie zamraża skrzynkę. Zanim ktoś sięgnie po tę korespondencję — przy sporze, reklamacji albo pytaniu z urzędu wiele miesięcy później — zegar może już dawno dobiec do końca, a dowiecie się o tym dopiero wtedy.

Poprawne pożegnanie pracownika to dwie osobne czynności, wykonywane w innym tempie. Pierwsza jest natychmiastowa i dotyczy bezpieczeństwa: w ostatnim dniu pracy wylogowujemy konto ze wszystkich sesji, zmieniamy hasło, odbieramy drugi składnik logowania i dostępy do systemów, z których korzystał. Druga jest decyzją o danych: co ma się stać ze skrzynką i plikami, komu zostają przekazane i czy trafiają do kopii zapasowej, zanim cokolwiek zostanie zwolnione. Dopiero po tym licencja może wrócić do puli. Kolejność jest tu całym sensem — odwrotna kosztuje dane.

Między „mamy backup” a posiadaniem kopii zapasowej leży pięć warunków. Cztery pierwsze kupuje się razem z narzędziem i można je odhaczyć przy podpisywaniu umowy z dostawcą. Piąty jest innego rodzaju — i to on decyduje, czy pozostałe cztery cokolwiek znaczą.

Tym piątym jest wykonane odtworzenie. Zakup narzędzia jest decyzją zakupową, a sprawdzenie go jest procesem: w ustalonym rytmie ktoś musi wybrać skrzynkę albo bibliotekę, odtworzyć z niej coś naprawdę i potwierdzić, że plik się otwiera i zawiera to, co powinien. U nas nadzór nad kopiami zapasowymi i testy odtwarzania są elementem stałej obsługi w zakresie zapisanym w umowie, bo dopiero odtworzenie zamienia wydatek w zabezpieczenie.

Osobno od wypadków istnieje obowiązek. Część dokumentów firma musi mieć pod ręką lata później — przy kontroli, sporze, reklamacji albo pytaniu klienta o umowę sprzed kilku sezonów. Jak długo i które dokładnie, to pytanie do księgowej i prawnika, nie do informatyka; naszą rolą jest dopilnować, żeby odpowiedź dało się technicznie zrealizować. Żaden kosz w chmurze nie sięga tak daleko i nie został do tego stworzony.

W praktyce warto rozdzielić dwie różne rzeczy, które w rozmowach zlewają się w jedną. Odzyskiwanie bieżące ma być szybkie i sięgać tygodni — to ono ratuje po pomyłce i po ransomware. Archiwum ma sięgać lat, jest rzadko używane i może leżeć na tańszym nośniku. Firma, która traktuje je jak jeden temat, albo przepłaca za długie przechowywanie wszystkiego, albo odkrywa po trzech latach, że ma za mało. Uczciwie trzeba też powiedzieć, że przy sześcioosobowym zespole sensowne bywa węższe rozwiązanie — poczta i jedna biblioteka SharePointa zamiast wszystkiego — o ile jest to świadoma decyzja, a nie przypadek.

Nie trzeba dziś niczego kupować ani zmieniać. Wystarczą dwie odpowiedzi, żeby wiedzieć, gdzie stoi firma. Pierwsza: ile naprawdę wynosi retencja ustawiona w Waszym tenancie — nie w planie, nie w broszurze, tylko w panelu, dziś. Druga: czy ktokolwiek kiedykolwiek coś z tej retencji odtworzył.

Pierwsze pytanie to zadanie dla administratora — odpowiedź odczytuje się w panelu. Drugie jest pytaniem do osoby, która zajmuje się u Was informatyką, i ma jedną poprawną formę odpowiedzi: data, nazwa pliku albo skrzynki i to, czy się udało. „Na pewno mamy backup” nie jest odpowiedzią, tylko wspomnieniem czyjegoś założenia.

Jeśli żadna z tych odpowiedzi nie istnieje, nie znaczy to jeszcze, że firma jest zagrożona. Znaczy, że tego nie wie — a to zupełnie co innego niż być bezpiecznym. Różnica ujawnia się zwykle w najgorszym możliwym tygodniu.