Microsoft 365 non è un backup: come provare il ripristino di email e file

Hai mai provato a recuperare un'email cancellata tre mesi fa? O a ripristinare un file di SharePoint sovrascritto per errore?

Se la risposta è "no", c'è un problema. Un backup che non viene mai testato non è un backup: è una speranza. E nel mondo delle PMI ticinesi, dove ogni ora di fermo può costare migliaia di franchi, affidarsi alla speranza è un lusso che nessuno può permettersi.

In questo articolo vediamo esattamente come testare il ripristino di Microsoft 365 — mailbox, OneDrive e SharePoint — con procedure pratiche, tempistiche e criteri di accettazione. Niente teoria astratta, solo passaggi concreti.

Perché Microsoft 365 non è un backup

Partiamo da un punto fermo: Microsoft 365 non è un backup. Lo dice Microsoft stessa nei suoi Termini di Servizio: la piattaforma garantisce disponibilità e resilienza dei data center, ma non protegge da:

• Cancellazioni accidentali da parte di utenti o admin
• Attacchi ransomware che crittografano i file su OneDrive e SharePoint
• Dipendenti malintenzionati che eliminano dati prima di lasciare l'azienda
• Scadenza delle retention policy che rimuove definitivamente i dati dopo 30 o 93 giorni
• Errori di sincronizzazione che si propagano a tutti i dispositivi

Per capire la differenza, pensa a una banca: la banca protegge il caveau, ma non ti restituisce i soldi che hai accidentalmente buttato nella spazzatura. Microsoft 365 è la banca del caveau; il backup indipendente è la tua polizza assicurativa.

Abbiamo già parlato in dettaglio del perché Microsoft 365 non è un backup. Qui ci concentriamo sulla parte pratica: come verificare che il tuo sistema di backup funzioni davvero.

I due numeri che devi conoscere: RPO e RTO

Prima di testare qualsiasi ripristino, devi stabilire due parametri fondamentali:

RPO (Recovery Point Objective): quanto dato puoi permetterti di perdere. Se fai backup ogni 24 ore, in caso di disastro perdi fino a un giorno di lavoro. Se ogni ora, perdi un'ora. Per una PMI, un RPO di 4-6 ore è tipico per email e documenti condivisi.

RTO (Recovery Time Objective): quanto tempo hai per ripristinare tutto. Se un'azienda può stare senza email per due giorni, l'RTO è 48 ore. Se la posta elettronica è il cuore dell'operatività, l'RTO scende a poche ore.

Questi numeri vanno scritti, condivisi con il team e usati come metro per ogni test di ripristino. Un backup che impiega tre giorni per ripristinare quando il tuo RTO è di quattro ore è inutile.

Come testare il ripristino delle mailbox di Exchange Online

La posta elettronica è spesso il servizio più critico per una PMI. Ecco come testare il ripristino delle cassette postali.

1. Identifica le mailbox da testare

Non serve testare tutti gli utenti. Seleziona un campione rappresentativo:

• Almeno una mailbox con volumi elevati (direttore commerciale, CEO)
• Una mailbox con dati recenti (reparto contabile, HR)
• Una mailbox "datata" (dipendente storico)

2. Prepara l'ambiente di test

La maggior parte delle soluzioni di backup per M365 (Veeam, Backupify, Altaro, Synology Active Backup for M365) permette di ripristinare in una cartella temporanea o in una mailbox di test dedicata. Crea un account di test con licenza Exchange Online e usalo come destinazione del ripristino.

3. Esegui il restore selettivo

Avvia il ripristino di:

• Email specifiche: individua 5-10 messaggi noti (ad esempio fatture, contratti, comunicazioni recenti) e verifica che arrivino integre nella mailbox di test
• Intere cartelle: seleziona una cartella con almeno 50 messaggi e ripristinala completamente
• Elementi del calendario: recupera almeno un appuntamento passato
• Contatti: ripristina la rubrica di un utente

4. Verifica l'RTO

Cronometra il tempo totale: dall'avvio del restore alla completa disponibilità dei dati nella mailbox di test. Se supera l'RTO dichiarato, la configurazione va rivista.

5. Documenta i risultati

Registra per ogni test:

• Data e ora del test
• Mailbox testata e volume di dati
• Tempo di ripristino effettivo
• Percentuale di email recuperate correttamente
• Eventuali anomalie (allegati mancanti, metadati persi, formati corrotti)

Come testare il ripristino di OneDrive

OneDrive è insidioso: la sincronizzazione in tempo reale fa sembrare tutto sicuro, ma un attacco ransomware o una cancellazione erronea si propagano istantaneamente a tutti i dispositivi.

1. Prepara il terreno

Crea una struttura di test con:

• File Office (Word, Excel, PowerPoint) con contenuto noto
• File PDF e immagini
• File condivisi con altri utenti
• Versioni multiple dello stesso file

2. Esegui il ripristino

Due scenari critici da testare:

Scenario A — Cancellazione accidentale: simula un utente che cancella l'intera directory "Documenti condivisi". Verifica che tutti i file, le sottocartelle e le autorizzazioni vengano ripristinate.

Scenario B — Rollback ransomware: simula la crittografia di 50 file in una cartella OneDrive. La soluzione deve permettere di tornare alla versione pre-attacco, non a una versione infetta.

3. Verifica autorizzazioni e metadati

Uno degli errori più comuni è ripristinare i file ma perdere:

• Link di condivisione esistenti
• Autorizzazioni granulari
• Version history
• Metadati dei documenti (autore, data creazione, modifica)

Se ripristini un file ma nessuno può più accedervi, il backup non è completo.

4. Cronometra l'intero processo

Il test su OneDrive deve includere il tempo di discovery (trovare i file da ripristinare nell'interfaccia della soluzione di backup) più il tempo effettivo di restore. Per 50 file crittografati, l'RTO dovrebbe essere sotto l'ora.

Come testare il ripristino di SharePoint

SharePoint è il componente più complesso da testare perché coinvolge strutture gerarchiche, metadati, flussi di lavoro e permessi granulari.

1. Prepara un sito di test

Idealmente, clona un sito SharePoint esistente in un ambiente di sviluppo. Se non è possibile, prepara almeno una raccolta documenti ben strutturata con:

• 5+ cartelle nidificate
• File con versioni multiple
• Metadati custom (colonne, tag, tipi di contenuto)
• Almeno un flusso Power Automate associato
• Autorizzazioni differenziate (lettura, modifica, controllo completo)

2. Testa tre scenari

Ripristino di un singolo file: rimuovi un documento inserito in un flusso di approvazione. Ripristinalo e verifica che il flusso riparta.

Ripristino di un'intera raccolta documenti: simula la cancellazione accidentale di una raccolta. Verifica che tutte le cartelle, i file, i metadati e le autorizzazioni siano integri.

Ripristino a uno stato precedente (rollback): se un attacco compromette più raccolte, la soluzione deve permettere di tornare a una data pre-attacco. Questo è lo scenario più realistico in caso di ransomware.

3. Verifica i flussi di lavoro

Uno dei problemi più frequenti è che Power Automate e le custom list smettano di funzionare dopo un ripristino. Ogni test deve includere:

• Esecuzione del flusso principale dopo il restore
• Verifica delle connessioni esistenti
• Controllo delle notifiche associate

4. Misura la completezza del ripristino

Crea un "inventario di verifica" con:

• N° file ripristinati / N° file originali
• N° cartelle ripristinate / N° cartelle originali
• Metadati corretti (verifica a campione su 10 file)
• Autorizzazioni funzionanti (test con un utente con accesso limitato)
• Flussi operativi (almeno 2 flussi)

Un ripristino di SharePoint che perde metadati o autorizzazioni richiede giorni di lavoro di ricostruzione. Se il tuo backup non li preserva, il risparmio iniziale si trasforma in un costo enorme.

Frequenza consigliata dei test

Un backup testato una volta non basta. Ecco una cadenza minima:

Il "test base" verifica un ripristino rapido di un singolo elemento. Il "test completo" simula uno scenario di disastro e include la verifica di tutti i criteri sopra descritti.

Consiglio: programma i test completi in calendario con un blocco di 2-3 ore. Invita un membro del team IT e documenta tutto. Se un test fallisce, hai tempo per correggere la configurazione prima che sia un vero disastro.

Cosa fare se un test fallisce

Il test di ripristino non è un esame: è un'opportunità per migliorare. Se un test fallisce:

1. Identifica la causa specifica: la soluzione non ha trovato i dati? Il restore è incompleto? I permessi sono persi?
2. Rivedi la configurazione della soluzione di backup: molte piattaforme hanno impostazioni granulari per tipologia di dato (mailbox, OneDrive, SharePoint). A volte basta attivare una casella.
3. Contatta il supporto del vendor: se la soluzione a pagamento non riesce a ripristinare correttamente, è un problema suo, non tuo. Fai aprire un ticket e chiedi una soluzione.
4. Aumenta la frequenza dei test: se un singolo test fallisce e lo rilevi dopo 3 mesi, hai esposto l'azienda per 90 giorni. Con test mensili, riduci l'esposizione a 30 giorni.
5. Considera un cambio di soluzione: se la piattaforma fallisce sistematicamente i test di ripristino, non è un backup affidabile. Cambia prima che sia troppo tardi.

Un backup che funziona si vede nel ripristino

Microsoft 365 è uno strumento potente, ma non sostituisce un backup indipendente. La differenza tra "avere un backup" e "essere sicuri" sono i test di ripristino.

Inizia oggi: prendi una delle soluzioni di backup per M365 che hai in azienda, esegui un restore selettivo su una mailbox di test e cronometra il tempo. Solo così saprai se, quando arriverà il problema, i tuoi dati torneranno davvero.

FAQ

Ogni quanto va testato il ripristino di Microsoft 365? Almeno una volta al mese per mailbox e OneDrive, ogni due mesi per SharePoint. I test completi vanno fatti a cadenza trimestrale/semestrale.

Quanto tempo serve per un test completo? Un test completo su tutti i componenti richiede 2-3 ore per un ambiente PMI tipico (20-50 utenti). La maggior parte del tempo è nella verifica dei dati ripristinati, non nell'esecuzione tecnica.

Quali soluzioni di backup per M365 esistono? Veeam Backup for Microsoft 365, Synology Active Backup for M365, Altaro M365 Backup, Acronis Cyber Protect, Dropbox Backup e le soluzioni native dei vendor svizzeri sono le più diffuse tra le PMI ticinesi.

Il backup di Microsoft 365 va tenuto in Svizzera? Per le aziende soggette alla nLPD (nuova legge sulla protezione dei dati), i dati vanno preferibilmente conservati in Svizzera o in paesi con adeguata protezione. Verifica con il tuo fornitore di backup dove risiedono fisicamente i dati.

Posso testare il ripristino senza una licenza aggiuntiva? Sì, la maggior parte delle soluzioni permette di ripristinare in una cartella locale o in un account di test gratuito. Per i test su SharePoint è consigliabile comunque un ambiente di sviluppo dedicato.

E se il backup lo gestisce un fornitore esterno? Chiedi al tuo fornitore un report trimestrale dei test di ripristino effettivi, non solo della configurazione. Se non può fornirlo, valuta un secondo parere.

Richiedi una valutazione iniziale della situazione informatica della tua PMI, senza impegno e senza promettere risultati garantiti. Richiedi una consulenza.