Microsoft 365 nie robi za was backupu. Co chmura naprawdę przechowuje i na jak długo

Handlowiec odszedł 1 marca. Wszystko po bożemu: sprzęt zwrócony, konto w Microsoft 365 skasowane tego samego dnia, licencja zwolniona, żeby nie płacić za nią kolejny miesiąc. Ktoś nawet odnotował to w arkuszu. Co na to Backup Microsoft 365?

W czerwcu dzwoni klient. Pyta o ustalenia z lutego, konkretnie o to, czy obiecaliście termin na koniec kwartału, czy na połowę. Sprawa idzie w stronę sporu o karę umowną. Cała korespondencja była na skrzynce tego handlowca, a szczegóły negocjacji w plikach na jego OneDrive.

IT sprawdza. Konta nie ma. Skrzynki nie ma. OneDrive’a nie ma. Nie dlatego, że ktoś zawinił. Dlatego, że upłynęły okna czasowe, o których w firmie nikt nie wiedział, że istnieją. Trzy miesiące wystarczyły.

To nie jest historia o zaniedbaniu. To historia o założeniu, które w polskich firmach jest niemal powszechne: skoro dane są w chmurze, to ktoś je backupuje.

Czy Backup Microsoft 365 robi kopię zapasową?

Nie w takim sensie, w jakim firma rozumie backup.

Microsoft 365 ma retencję i kosze, czyli mechanizmy pozwalające cofnąć niedawną pomyłkę. Backup to coś innego: niezależna kopia z punktem przywracania, przechowywana poza systemem produkcyjnym, do której da się wrócić po tygodniach albo miesiącach. Retencja odpowiada na pytanie „ile czasu mam, żeby zauważyć błąd”. Backup odpowiada na pytanie „czy w ogóle mogę wrócić”.

Różnica jest niewidoczna w codziennej pracy i ujawnia się dokładnie w najgorszym momencie: przy sporze z klientem, po ataku ransomware, podczas audytu albo trzy miesiące po odejściu pracownika.

Warto od razu rozprawić się z drugim nieporozumieniem. Kosz nie jest backupem. Kosz jest ostatnią szansą dla użytkownika, który przed chwilą kliknął nie tam. Ma z góry ustalony termin ważności, nie jest indeksowany, nie da się w nim wyszukiwać i można go opróżnić jednym kliknięciem, również z premedytacją.

Kto właściwie odpowiada za wasze dane

Microsoft działa w modelu współodpowiedzialności i warto go znać, zanim zacznie się mieć pretensje pod niewłaściwy adres.

Microsoft odpowiada za usługę. Za to, żeby Exchange działał, żeby centra danych były redundantne, żeby awaria po ich stronie nie skończyła się utratą waszych danych. To robią dobrze i nie o to tu chodzi.

Za treść danych odpowiadacie wy. Jeśli pracownik skasuje folder, jeśli ransomware zaszyfruje pliki zsynchronizowane z OneDrive, jeśli ktoś usunie konto razem ze skrzynką, Microsoft nie ma obowiązku tego przywrócić po upływie wbudowanych okien retencji. I nie przywróci, bo technicznie nie ma czego.

To nie jest ukryte drobnym druczkiem. To projektowa cecha usługi chmurowej, która po prostu nie jest tym, za co wiele firm ją bierze.

Co Microsoft 365 naprawdę przechowuje i na jak długo

Tu jest sedno. Poniższa tabela to wartości z dokumentacji Microsoftu, z rozbiciem na to, co jest domyślne, a co maksymalne. Ta różnica jest w praktyce najczęstszym źródłem nieprzyjemnych zaskoczeń, bo firmy zakładają wartości maksymalne, a mają domyślne.

Wartości sprawdzone w dokumentacji Microsoft Learn 4 sierpnia 2026. Microsoft zmienia wartości domyślne i zakres usług, więc warto sprawdzić stan we własnym tenancie, a nie zakładać, że jest tak, jak tu napisano.

Teraz to samo po kolei, bo w każdym z tych obszarów jest pułapka.

Poczta: Exchange Online

Usunięty mail przechodzi przez trzy poziomy. Najpierw trafia do folderu Elementy usunięte, gdzie leży 30 dni i gdzie użytkownik go widzi. Potem, jeśli użytkownik go stamtąd usunie albo opróżni cały folder, mail idzie do Elementów do odzyskania (Recoverable Items) i zostaje tam 14 dni. Nie 30. Czternaście.

Administrator może to wydłużyć do maksymalnie 30 dni, ale musi to zrobić świadomie, poleceniem Set-Mailbox -RetainDeletedItemsFor 30. Domyślnie tenant ma czternaście dni i to jest realne okno na zauważenie, że coś zniknęło.

Skrzynka pracownika, którego konto skasowano, przechodzi w stan soft-deleted na maksymalnie 30 dni. Potem jest czyszczona bezpowrotnie. Jedyny sposób, by ją zachować dłużej, to wcześniejsze założenie blokady prawnej (Litigation Hold), czyli decyzja podjęta przed skasowaniem konta, nie po.

I teraz pułapka, o której prawie nikt nie wie. Jeśli użytkownik zrobi Shift+Delete na folderze, który sam utworzył, albo usunie folder znajdujący się w Elementach usuniętych, ten folder ginie bezpowrotnie. Nawet przy włączonym Litigation Hold. Zawartość maili trafi do Elementów do odzyskania i da się ją stamtąd wyciągnąć, ale sama struktura folderu jest nie do odtworzenia. Dotyczy to folderów tworzonych przez użytkowników, nie folderów domyślnych typu Skrzynka odbiorcza czy Elementy wysłane.

W praktyce oznacza to, że starannie poukładana przez handlowca struktura „Klienci / 2026 / Przetargi” jest jednym skrótem klawiszowym od zniknięcia.

Pliki: OneDrive i SharePoint

Tu krąży najbardziej uparty mit: „mamy 93 dni, spokojnie”. Owszem, 93 dni. Trzeba tylko wiedzieć, od kiedy liczone.

Usunięty plik idzie najpierw do kosza pierwszego stopnia, potem do kosza kolekcji witryn. 93 dni obejmuje oba etapy łącznie, a licznik startuje w momencie pierwszego usunięcia i nie resetuje się przy przejściu między koszami. Jeśli użytkownik opróżnił swój kosz w piątym dniu, w koszu kolekcji witryn zostaje 88 dni, nie kolejne 93.

Drugi mit jest poważniejszy, bo dotyczy najczęstszego scenariusza w firmie. OneDrive skasowanego użytkownika nie podlega regule 93 dni. Ma osobny, krótszy licznik: domyślnie 30 dni. Dopiero po jego upływie cała witryna OneDrive trafia do kosza kolekcji witryn na 93 dni, ale wtedy wyciągnie ją już tylko administrator SharePointa, przez PowerShell, i nie znajdzie jej w żadnym normalnym koszu.

Te 30 dni można wydłużyć w panelu administracyjnym SharePointa nawet do 3650 dni (Set-SPOTenant -OrphanedPersonalSitesRetentionPeriod). Prawie nikt tego nie robi, bo prawie nikt nie wie, że jest co ustawiać. To jeden z najtańszych możliwych ruchów w całym tenancie i zajmuje pięć minut. Więcej o tym, co jeszcze warto domknąć przy rozstaniu z pracownikiem, piszemy w tekście o offboardingu pracownika z perspektywy IT.

Trzecia rzecz, o której warto wiedzieć: kosz nie jest indeksowany. Oznacza to, że eDiscovery go nie przeszuka i nie obejmie blokadą treści, która w nim leży. Jeśli spodziewacie się sporu prawnego, kosz nie jest miejscem, w którym cokolwiek zabezpieczacie.

Teams: najsłabsze ogniwo

Pliki wysłane w kanałach Teams fizycznie leżą w SharePoincie, więc obowiązują je reguły SharePointa. To dobra wiadomość.

Zła dotyczy rozmów. Historia czatów Teams nie ma natywnego przywracania do punktu w czasie. Nie obejmuje jej także płatna usługa Microsoft 365 Backup, o której za chwilę. Microsoft chroni pliki z kanałów przechowywane w SharePoincie, ale nie treść rozmów przechowywaną na serwerach Teams.

To ma bezpośrednie konsekwencje. Jeśli w waszej firmie ustalenia z klientami, decyzje projektowe albo zgody na zmianę zakresu padają na czacie w Teamsach, to nie jest chronione praktycznie w żaden sposób. Warto zadać sobie pytanie, ile decyzji rocznie istnieje tylko tam.

Pięć sytuacji, w których retencja nie wystarczy

1. Odejście pracownika. Najczęstszy scenariusz i jednocześnie najkrótsze okna: 30 dni na skrzynkę, 30 dni na OneDrive. Firma zwykle odkrywa brak po kwartale.

2. Ransomware w zsynchronizowanym folderze. Zaszyfrowane pliki na dysku lokalnym synchronizują się do chmury jako nowe wersje. Chmura nie wie, że to atak. Widzi zmianę pliku i posłusznie ją replikuje. Więcej o przygotowaniu firmy na ten scenariusz w tekście o ransomware.

3. Skasowanie zauważone po kwartale. Przy zamknięciu roku, audycie, kontroli albo sporze. Wszystkie okna dawno zamknięte.

4. Działanie z premedytacją. Ktoś z uprawnieniami kasuje dane i opróżnia kosz. Wszystkie natywne mechanizmy są zaprojektowane pod pomyłkę, nie pod złą wolę.

5. Wymóg dłuższego przechowywania. Umowa z klientem, obowiązek branżowy, toczący się spór. Trzydzieści dni to nie jest odpowiedź, którą można wpisać do ankiety bezpieczeństwa.

Microsoft 365 Backup: natywna usługa Microsoftu

Microsoft ma dziś własną, płatną usługę backupu i uczciwie trzeba powiedzieć, że jest dobra. Pominięcie jej byłoby nierzetelne, a także bezcelowe, bo znajdziecie ją w pięć minut.

Co daje:

• Ochronę Exchange Online, SharePoint i OneDrive
• Punkty przywracania co 10 minut: dla Exchange przez cały rok wstecz, dla SharePoint i OneDrive przez ostatnie 14 dni, a od 14. do 365. dnia tygodniowo
• 365 dni retencji. To wartość stała: nie da się jej ani skrócić, ani wydłużyć
• Rozliczenie pay-as-you-go: 0,15 USD za GB miesięcznie chronionej zawartości, bez dodatkowych opłat za samo przywracanie
• Bardzo szybkie odtwarzanie, liczone w terabajtach na godzinę
• Magazyn typu append-only, czyli odporny na nadpisanie istniejących kopii przez malware
• Niezależność od zasad Purview: polityki retencji nie wpływają na retencję backupu

Czego nie daje:

• Czatów Teams. Stan na 2026 rok, Microsoft zapowiada zmianę
• Kopii poza własną infrastrukturą. Backup powstaje w granicach danych chronionych usług
• Pełnej niezmienialności. To niuans, ale ważny: magazyn jest append-only, więc nikt nie nadpisze istniejącej kopii, ale usuwanie backupów nie jest zablokowane. Microsoft świadomie zostawił tę możliwość, żeby dało się zrezygnować z usługi i żeby nie kolidowała ona z prawem do usunięcia danych. Zabezpieczeniem jest 90-dniowy okres łaski, w którym można odzyskać kopie po ich wyłączeniu
• Retencji dłuższej niż rok. Jeśli musicie trzymać dane pięć lat, to nie jest narzędzie do tego

Kiedy natywna usługa wystarcza: mały lub średni tenant, niewiele danych na użytkownika, brak wymogu rozdzielenia infrastruktury, brak Teamsów jako miejsca podejmowania decyzji, brak potrzeby retencji dłuższej niż rok. Dla wielu firm to szczery i sensowny wybór. Próg opłacalności wobec rozwiązań zewnętrznych przebiega w okolicy kilkudziesięciu gigabajtów danych na użytkownika.

Kiedy nie wystarcza: gdy scenariuszem ryzyka jest przejęte konto administratora globalnego. Wtedy backup żyjący w tej samej domenie administracyjnej jest w zasięgu atakującego. Owszem, z 90-dniowym okresem łaski, ale to zabezpieczenie proceduralne, nie architektoniczne. Podobnie gdy potrzebujecie retencji wieloletniej albo ochrony czatów.

Backup zewnętrzny: na co patrzeć

Świadomie nie polecam tu konkretnego produktu, bo dobór zależy od wielkości tenantu, wymogów branżowych i budżetu. Kryteria są jednak niezmienne:

• Niezależna infrastruktura i osobna tożsamość administracyjna. Konto, którym zarządza się backupem, nie może być tym samym kontem, którym zarządza się produkcją
• Niezmienialność kopii i ochrona przed usunięciem samego backupu
• Zakres: poczta, OneDrive, SharePoint, czaty Teams, uprawnienia, metadane, historia wersji
• Granularność przywracania: jeden mail, jeden plik, cała skrzynka, przywrócenie do innego użytkownika
• Udokumentowany test odtworzenia, nie zielona ikonka w panelu
• Model rozliczenia i to, co się z nim stanie, gdy dane wzrosną dwukrotnie

To dobre pytania również do obecnego dostawcy IT. Więcej o tym, co warto mieć zapisane w umowie, w tekście o negocjowaniu umowy i SLA.

Reguła 3-2-1 w świecie chmury

Klasyczna zasada mówi: trzy kopie danych, na dwóch różnych nośnikach, jedna poza siedzibą. Powstała w czasach serwerów i taśm i w SaaS wymaga tłumaczenia.

„Druga lokalizacja” nie oznacza drugiego centrum danych Microsoftu, bo to nadal ten sam dostawca, ta sama płaszczyzna zarządzania i ta sama tożsamość. W praktyce oznacza innego dostawcę albo przynajmniej inną, niezależną domenę administracyjną.

W kontekście ransomware mówi się dziś raczej o modelu 3-2-1-1-0: dodatkowa kopia niezmienialna lub offline, oraz zero błędów w testach odtwarzania. To ostatnie zero jest najważniejsze i najczęściej pomijane. Kopia, której nigdy nie odtworzono, jest hipotezą, nie zabezpieczeniem. Piszemy o tym szerzej w tekście o zachowaniu ciągłości działania po awarii IT.

Czego wymagają przepisy i ubezpieczyciel

RODO. Art. 32 ust. 1 lit. c wymienia wprost, jako jeden ze środków bezpieczeństwa, zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Przepis nie mówi „kupcie backup Microsoft 365″. Mówi, że musicie umieć przywrócić dane. Jeśli w tenancie nie ma nic poza domyślnymi czternastoma dniami, warto zadać sobie pytanie, czy tę zdolność da się udokumentować.

NIS2 i ustawa o KSC. Dla podmiotów objętych zakresem kopie zapasowe i testy odtwarzania są elementem wymaganych środków zarządzania ryzykiem. Kogo dokładnie to dotyczy, rozbieramy w tekście o NIS2 i ustawie o KSC.

Ubezpieczyciel. Pytanie o backup i o datę ostatniego testu odtworzenia jest dziś standardowym punktem ankiety przy polisie cyber. Odpowiedź „mamy chmurę” nie jest odpowiedzią. Więcej o tym, co sprawdza ubezpieczyciel, w tekście o ubezpieczeniu cyber.

Test, który warto zrobić w tym tygodniu

Pięć kroków. Zajmują godzinę i dają odpowiedź lepszą niż jakikolwiek artykuł.

1. Sprawdźcie retencję Elementów do odzyskania. Czternaście dni czy trzydzieści? Jeśli nikt tego nigdy nie zmieniał, to czternaście.
2. Sprawdźcie w panelu SharePointa, ile dni trzymany jest OneDrive skasowanego użytkownika. Domyślnie trzydzieści.
3. Wybierzcie jeden plik i jeden mail z zeszłego kwartału i spróbujcie je odzyskać. Mierzcie czas. To jest właściwy test: nie to, czy backup „jest”, ale czy dane wracają i jak szybko.
4. Zapytajcie zespół, gdzie ustalane są rzeczy z klientami. Jeśli odpowiedź brzmi „na Teamsach”, sprawdźcie, co to obejmuje.
5. Zapiszcie wynik z datą. Macie gotową odpowiedź na ankietę bezpieczeństwa od klienta, pytanie ubezpieczyciela i punkt do audytu.

Jeśli krok trzeci się nie udał, macie odpowiedź na pytanie, od czego zacząć.

Nie wiecie, jak są ustawione okna retencji w waszym tenancie? To jeden z pierwszych punktów, które sprawdzamy w ramach audytu IT, razem z tym, co realnie da się odtworzyć i w jakim czasie. Napiszcie do nas, przejrzymy konfigurację i powiemy wprost, gdzie są dziury.

Zobacz też: Wyciek danych w firmie | NIS2 w Polsce