Un director recibe la llamada que nadie quiere atender: un usuario ha eliminado una carpeta de SharePoint con contratos, presupuestos y documentación operativa. Han pasado varias semanas y nadie sabe exactamente cuándo ocurrió. Microsoft 365 sigue funcionando, el correo está disponible y las licencias están al día, pero recuperar esa información puede no ser inmediato ni posible. Ese es el punto que suele quedar fuera de la conversación sobre respaldo Microsoft 365.
La nube aporta disponibilidad, colaboración y capacidad de trabajo desde cualquier lugar. Sin embargo, disponibilidad no significa que exista una copia independiente, con la retención adecuada y preparada para restaurar un dato concreto cuando la operación lo exige. Para una empresa, esa diferencia afecta a la continuidad operativa, la respuesta ante un incidente y la reputación frente a clientes, proveedores y autoridades.
Microsoft 365 protege la plataforma, no todos sus datos
Microsoft mantiene la infraestructura de Microsoft 365: centros de datos, servicios, actualizaciones y disponibilidad de la plataforma. Es una responsabilidad esencial, pero no sustituye por completo la responsabilidad de cada organización sobre su información.
Los datos de negocio viven dentro de Exchange Online, OneDrive, SharePoint y Teams. También cambian de forma constante: se editan propuestas, se eliminan conversaciones, se reorganizan bibliotecas, se crean usuarios y se cierran cuentas. Cuando una acción legítima o maliciosa borra un archivo, modifica contenido crítico o cifra información sincronizada, el problema no es que la nube haya dejado de estar disponible. El problema es recuperar la versión correcta en el plazo que necesita el negocio.
Conviene distinguir entre la papelera, el historial de versiones y una solución de copia de seguridad. Las primeras funciones son útiles para incidencias cotidianas y disponen de periodos definidos. Un respaldo independiente, en cambio, permite aplicar políticas propias de retención, conservar copias durante más tiempo y restaurar con mayor control. No son alternativas excluyentes: cumplen funciones diferentes.
Qué riesgos cubre un respaldo Microsoft 365
La pérdida de datos rara vez empieza con un fallo espectacular. Con frecuencia se origina en un borrado accidental, una mala asignación de permisos o la salida de un empleado que tenía información relevante en su cuenta. También puede ser consecuencia de una sincronización equivocada que propaga cambios no deseados entre equipos y servicios.
El ransomware añade otra capa de riesgo. Si un dispositivo comprometido cifra archivos que se sincronizan con OneDrive o SharePoint, el daño puede extenderse rápidamente a los documentos compartidos. Las capacidades de detección y las versiones anteriores ayudan, pero una copia aislada y recuperable proporciona una vía adicional para volver a un punto limpio.
El phishing también puede derivar en una pérdida de información. Un atacante que toma control de una cuenta puede eliminar correos, crear reglas de reenvío, modificar archivos o acceder a información comercial sensible. Por eso, el respaldo no debe analizarse aislado de la protección de correo, la autenticación multifactor, el EDR y la monitorización de actividad sospechosa.
Hay, además, un escenario menos técnico y muy frecuente: la necesidad de conservar información por motivos legales, contractuales o de auditoría. Un correo con una aceptación de condiciones, un archivo de recursos humanos o la conversación que documenta una decisión comercial pueden necesitarse meses o años después. La retención estándar no siempre coincide con las obligaciones internas de la empresa.
Qué debe incluir una política de copia de seguridad
La pregunta correcta no es solo «¿tenemos backup?». La pregunta útil para Dirección y TI es: «¿qué datos podemos recuperar, durante cuánto tiempo, en qué plazo y quién puede autorizarlo?». Si estas respuestas no están documentadas, la organización depende de supuestos.
El alcance debe cubrir, como mínimo, el correo de Exchange Online, los archivos de OneDrive, las bibliotecas y listas relevantes de SharePoint y la información operativa generada en Teams. En algunos casos también conviene valorar canales, pestañas, conversaciones y equipos asociados, según el uso que cada área haga de la plataforma.
La retención debe responder al valor del dato. Una empresa puede requerir restauraciones diarias durante un periodo corto para documentos operativos, mientras que los expedientes financieros, jurídicos o de clientes pueden necesitar conservación durante años. Mantenerlo todo indefinidamente tampoco es una política madura: eleva costes, dificulta la gestión y puede entrar en conflicto con criterios de privacidad. La decisión depende del sector, los contratos y las reglas internas de gobierno del dato.
La seguridad de las copias merece el mismo nivel de exigencia que los sistemas de producción. Busque cifrado AES-256 en reposo, cifrado durante la transmisión, controles de acceso por roles, autenticación multifactor para administradores y registros de auditoría. También es recomendable que el entorno de copia mantenga separación lógica respecto a las credenciales y recursos principales de Microsoft 365. Un respaldo al que un atacante puede acceder con las mismas credenciales comprometidas ofrece una protección limitada.
Recuperar no es lo mismo que guardar
Una copia solo tiene valor cuando puede restaurarse con precisión. Recuperar un buzón completo puede ser útil, pero no siempre es la respuesta adecuada. En muchos incidentes se necesita restaurar un correo concreto, una carpeta, un archivo específico o una versión anterior sin alterar el resto del trabajo del usuario.
También cambia el tipo de restauración según la situación. Puede devolverse la información a su ubicación original, restaurarla en un espacio alternativo para validar el contenido o exportarla para una revisión legal. Esta flexibilidad reduce el riesgo de sobrescribir información válida mientras se investiga el incidente.
Para comprobar que el plan funciona, una revisión periódica debería validar cuatro aspectos:
- Que todas las cuentas, sitios y bibliotecas críticas están incluidos en la política.
- Que las copias se completan y las alertas de error se revisan con responsables definidos.
- Que una restauración granular puede ejecutarse dentro del plazo acordado con el negocio.
- Que los permisos de administración y los registros de actividad se mantienen bajo control.
Estas pruebas no requieren esperar a una crisis. Restaurar cada trimestre una muestra de correos, archivos y bibliotecas permite detectar exclusiones, cambios de configuración o expectativas poco realistas antes de que haya presión operativa.
Cómo decidir el nivel de protección necesario
Una pyme de 30 usuarios no necesita el mismo diseño que una organización con sedes, alta rotación, requisitos regulatorios o un uso intensivo de SharePoint. Pero ambas necesitan identificar qué información detendría su operación si desapareciera. La dimensión de la empresa influye en el volumen, no elimina el riesgo.
El primer paso es elaborar un inventario práctico: cuentas directivas, buzones compartidos, información de clientes, bibliotecas de proyectos, documentación financiera y repositorios vinculados a ventas. Después, conviene establecer objetivos de recuperación. El RPO define cuánta información se acepta perder entre una copia y otra; el RTO determina cuánto tiempo puede tardar la restauración sin generar un impacto inaceptable.
Un equipo comercial, por ejemplo, puede necesitar recuperar con rapidez documentos de propuestas y comunicaciones con clientes para no frenar una negociación. Finanzas puede priorizar la conservación prolongada y la trazabilidad. Recursos humanos requerirá controles de acceso especialmente estrictos. La política debe reflejar estas diferencias, no aplicar una configuración genérica a toda la organización.
También debe definirse quién actúa ante un incidente. TI puede ejecutar la restauración, pero Dirección, Legal o el responsable del área afectada pueden necesitar validar qué contenido se recupera y dónde se deposita. La claridad en este flujo evita que una incidencia técnica se convierta en una decisión improvisada.
El respaldo como parte de la continuidad operativa
Pensar en copias de seguridad solo después de un borrado es costoso. El respaldo forma parte de una estrategia más amplia que incluye protección contra phishing, seguridad de endpoints, segmentación de accesos, monitorización y un plan de recuperación ante desastres. Cada capa reduce una parte distinta de la exposición.
Para equipos internos de TI con recursos limitados, la dificultad no suele ser adquirir una herramienta, sino mantener el control: revisar alertas, verificar coberturas, documentar cambios y probar recuperaciones. Un servicio administrado aporta valor cuando combina la tecnología con supervisión, criterios claros y personas que conocen la operación del cliente. RealNet aborda este tipo de protección desde el diagnóstico de activos críticos hasta la revisión continua de las políticas y los resultados de recuperación.
La pregunta final no es si Microsoft 365 es fiable. Lo es. La cuestión es si su empresa podría recuperar mañana el correo, el archivo o la biblioteca exacta que sostiene una decisión, una venta o un compromiso con un cliente. Esa respuesta merece comprobarse antes de que la urgencia la convierta en un problema de negocio.
