Microsoft 365 no incluye un backup real de tus datos, aunque lo parezca por la papelera de reciclaje y el historial de versiones que ves en el día a día. Lo que Microsoft ofrece es retención temporal bajo un modelo de responsabilidad compartida: la plataforma se encarga de que la infraestructura esté disponible y funcione, pero la protección de tus datos —contra borrado accidental, malicioso o cifrado por ransomware— es responsabilidad del cliente. Es una distinción que la mayoría de pymes descubre solo cuando ya es tarde: cuando un buzón vaciado hace 100 días no aparece en ningún sitio, o cuando un ransomware cifra archivos en SharePoint y la única copia "anterior" también está comprometida.
Qué es exactamente la "retención nativa" de Microsoft 365
Microsoft ofrece varios mecanismos que a menudo se confunden con un backup, pero que están diseñados para otra cosa: recuperación rápida de errores puntuales, no continuidad de datos a largo plazo.
| Mecanismo | Qué cubre | Límite principal |
|---|---|---|
| Papelera de Exchange/SharePoint/OneDrive | Recuperación de elementos borrados recientemente | Ventana de retención de 30-93 días según configuración; pasado ese plazo, desaparece de forma irrecuperable |
| Historial de versiones | Volver a una versión anterior de un archivo modificado | No protege si el archivo se elimina completamente o la biblioteca se cifra |
| Litigation Hold / retención por directiva | Conservar datos por motivos legales o de cumplimiento | No está pensado como backup operativo; su gestión y restauración es compleja y no está diseñada para recuperaciones masivas |
Ninguno de estos tres mecanismos protege frente al escenario que más preocupa a una pyme: un ransomware que cifra archivos en SharePoint u OneDrive y se propaga durante días antes de ser detectado, momento en el que las versiones "anteriores" disponibles pueden estar ya comprometidas o fuera de la ventana de retención.
Los tres escenarios donde la retención nativa falla
1. Borrado malicioso o accidental fuera de plazo
Un empleado (o un atacante con acceso a una cuenta comprometida) vacía una carpeta o un buzón completo. Si nadie lo detecta dentro de la ventana de retención, los datos se pierden de forma permanente. No hay "capa 2" a la que recurrir.
2. Ransomware que cifra o corrompe archivos durante días
El historial de versiones guarda versiones del archivo, pero si el ransomware permanece activo varias semanas cifrando progresivamente y la detección llega tarde, las versiones "limpias" pueden haber salido ya de la ventana de retención por antigüedad.
3. Requisitos de retención superiores a los que ofrece Microsoft por defecto
Sectores regulados, auditorías o simplemente buenas prácticas de gobernanza de datos exigen a menudo conservar información varios años, muy por encima de los 30-93 días que cubre la papelera nativa.
Qué es un backup real de Microsoft 365
Un backup real cumple tres condiciones que la retención nativa no cumple:
- Independencia de la plataforma de origen — si el tenant se ve comprometido, la copia de seguridad no debe estar accesible desde ese mismo tenant.
- Retención a largo plazo configurable, no limitada a semanas.
- Restauración granular — poder recuperar un buzón, un sitio de SharePoint o un archivo concreto sin tener que restaurar todo el entorno.
Esto es exactamente lo que resuelve nuestra Copia de Seguridad de Microsoft 365: backup gestionado con retención de hasta 7 años, independiente del tenant de origen, desde 2€/usuario/mes. No sustituye a Microsoft 365, lo complementa exactamente donde la responsabilidad compartida deja de cubrirte.
Backup como evidencia técnica de cumplimiento
Más allá de la recuperación ante desastres, disponer de un histórico de backups con retención prolongada e independiente aporta un beneficio secundario relevante para empresas que están trabajando en madurar su gobernanza de datos: sirve como evidencia técnica verificable de que existen controles de continuidad y recuperación de la información, un punto que suele aparecer en auditorías de cumplimiento normativo. No es necesario tener un marco de certificación formal para que esta evidencia tenga valor documental desde ya.
Cómo encaja el backup en una estrategia de seguridad más amplia
El backup es la última línea de defensa, no la primera. Antes de necesitar restaurar nada, conviene tener bien cubiertas la identidad (MFA, acceso condicional) y el correo (políticas anti-phishing), que son las puertas de entrada más habituales a un incidente que termine requiriendo una restauración. Si quieres revisar el estado general de tu tenant antes de llegar a ese punto, tenemos un checklist de seguridad de Microsoft 365 en 30 minutos, y si buscas cobertura más amplia con vigilancia continua, revisa nuestra guía sobre qué mirar antes de contratar una empresa de ciberseguridad gestionada en España.
Preguntas frecuentes
¿Microsoft 365 no tiene ningún backup incluido?
Incluye mecanismos de retención temporal (papelera, historial de versiones, retención por directiva) pensados para errores puntuales recientes, no un backup independiente con retención a largo plazo. Microsoft lo indica explícitamente en su modelo de responsabilidad compartida: la protección de los datos del cliente es responsabilidad del cliente.
¿Cuánto tiempo se pueden recuperar los correos o archivos borrados por defecto?
Depende del elemento y la configuración, pero en general entre 30 y 93 días. Pasado ese plazo, sin un backup independiente, los datos no son recuperables por ningún medio nativo de Microsoft.
¿Un backup de Microsoft 365 protege contra ransomware?
Sí, siempre que la copia esté aislada del tenant de origen y con versiones históricas suficientes para volver a un punto anterior al cifrado. Si el ransomware compromete también el almacenamiento de backup (por ejemplo, si el backup vive dentro del mismo entorno cifrable), no ofrece protección real.
¿Necesito backup si ya tengo protección avanzada de correo y un SOC 24/7?
Sí. Son capas complementarias, no sustitutivas: el SOC y la protección de correo reducen la probabilidad de que ocurra un incidente, mientras que el backup garantiza que, si ocurre de todas formas, puedas recuperar los datos sin pagar rescate ni perder información de forma permanente.
