Guía clave para Backups de Office 365 en Europa: Normativa y Prácticas
Microsoft 365, anteriormente conocido como Office 365, es un conjunto de servicios basados en la nube ampliamente utilizados por organizaciones y usuarios individuales, con un número de clientes de Microsoft 365 en Europa en constante crecimiento. Microsoft ofrece varias ventajas con sus servicios en la nube, como fiabilidad, disponibilidad, colaboración eficaz, etc. Sin embargo, a pesar de la alta fiabilidad de los servicios en la nube de Microsoft, es necesario hacer backup de los datos de Microsoft 365 en la nube para evitar la pérdida de datos. Existen aspectos específicos en cuanto a la protección de datos de Office 365 para los países europeos, y se tratan en esta entrada del blog.
Por qué los backups de Office 365 son fundamentales para las organizaciones europeas
Para evitar perder datos de Office 365, es muy recomendable que las organizaciones hagan backup de sus datos. Los datos almacenados en la nube pueden perderse debido a eliminaciones accidentales por parte de los usuarios, eliminaciones intencionadas iniciadas por atacantes, ataques de ransomware, etc. Además, hay motivos específicos de Europa para hacer backup de los datos de Office 365.
La importancia de la gestión de datos en Europa
La gestión de datos para las organizaciones europeas exige el cumplimiento de normativas, como el Reglamento General de Protección de Datos. Es crucial garantizar una gestión adecuada de los datos en múltiples jurisdicciones. Los servicios de Microsoft 365 se rigen por el modelo de responsabilidad compartida, lo que significa que Microsoft es responsable del funcionamiento de sus centros de datos. Al mismo tiempo, los clientes son responsables de la protección de los datos y de hacer backups de los mismos.
GDPR y protección de datos
El Reglamento General de Protección de Datos (RGPD) es una estricta normativa sobre privacidad de la información que incluye requisitos sobre cómo las organizaciones deben almacenar, manejar y proteger los datos personales de los usuarios. Microsoft 365 cuenta con eficaces funciones de seguridad integradas, pero las organizaciones son responsables de la protección de datos a largo plazo, incluidas las copias de seguridad y la conservación de datos.
Amenazas a la ciberseguridad y violación de datos
Por desgracia, las amenazas a la ciberseguridad son comunes en todo el mundo, incluida Europa. Estas amenazas incluyen ataques de ransomware o phishing y amenazas internas. Las violaciones y pérdidas de datos provocan graves daños financieros y de reputación. Las multas por infringir las normas de protección de datos, ya sean requisitos legales o reglamentarios, son elevadas.
Las organizaciones que almacenan datos en la nube cuando los usuarios trabajan en Office 365 e intercambian grandes cantidades de datos pueden ser un destino atractivo para los atacantes. Si los ciberdelincuentes corrompen o eliminan los datos del usuario, por ejemplo, iniciando un ataque de ransomware, la única forma de restaurar los datos es utilizar un backups válido.
Normativa sobre transferencia transfronteriza de datos
Cuando los datos personales de los usuarios europeos salen del Espacio Económico Europeo (EEE), también están muy regulados. Esta medida garantiza la protección de los datos personales de los ciudadanos europeos durante las transferencias transfronterizas de datos. Microsoft 365 utiliza una infraestructura de nube global que supone el uso de servidores en centros de datos de todo el mundo en diferentes regiones geográficas.
Según el GDPR, está restringida la transferencia de datos personales a países fuera del EEE si este proceso no proporciona suficientes medidas de protección de datos. Dado que los datos de Office 365 pueden almacenarse en varios centros de datos, las organizaciones que utilicen Microsoft 365 deben asegurarse de que las transferencias de datos cumplen el RGPD.
Protección de datos y cumplimiento de la normativa
La gran presión a la que se ven sometidas las organizaciones europeas para cumplir las estrictas leyes de privacidad de datos, incluido el GDPR, les obliga a aplicar estrategias fiables de protección de datos. Infringir la normativa acarrea fuertes multas y sanciones: es mejor cuidar la privacidad de los datos y el cumplimiento de la normativa configurando backups de datos de Microsoft 365.
Minimizar los datos almacenados y los ajustes de retención es otro principio del GDPR. Las organizaciones deben recopilar únicamente los datos necesarios, pero nada más. Existen políticas de retención integradas en Office 365, pero el uso de soluciones especiales de protección de datos puede hacer que las medidas de protección de datos sean más eficaces y granulares. Como resultado, las organizaciones pueden configurar las políticas de backups para eliminar los datos innecesarios y obsoletos y conservar sólo los datos críticos.
Según el RGPD, las personas tienen derecho a solicitar a una organización que elimine sus datos. Las organizaciones que utilizan Office 365 deben tener la capacidad de rastrear, gestionar y eliminar datos si el usuario final lo solicita, de una manera conforme a las normas. Cuando las organizaciones disponen de backups, no hay que preocuparse por eliminar datos críticos para la empresa cuando se gestionan los datos de los usuarios.
Automatización en la gestión de datos
Las organizaciones necesitan configurar backups automatizados de Microsoft 365 para garantizar que los datos estén siempre protegidos. Configurar los programas de backup y los ajustes de retención para hacer backups automáticamente y eliminar los datos antiguos que no se necesitan es fundamental para cumplir los requisitos normativos.
Las herramientas de automatización y las basadas en inteligencia artificial pueden ser una dirección prospectiva de Microsoft 365 en el futuro. Las herramientas basadas en IA pueden supervisar automáticamente las actividades que incumplen la normativa. La detección de patrones inusuales de acceso a los datos que no son típicos de las operaciones normales puede indicar una violación de los datos o del cumplimiento de la normativa. Esta detección permite a los administradores tomar medidas, proteger los datos y resolver el problema a tiempo.
Cómo hacer backups de Office 365 conformes con el GDPR
Para garantizar que los backups de Office 365 cumplen con el GDPR, las organizaciones deben implementar un conjunto de medidas, entre las que se incluyen el cifrado de datos, las políticas de retención y la accesibilidad de los backups.
Cifrado de datos
El cifrado de datos es una de las principales medidas para proteger los datos personales durante su tránsito y en reposo (en el almacenamiento de destino). El GDPR declara que las organizaciones deben aplicar medidas para proteger los datos de violaciones y accesos no autorizados. El cifrado de los backups ayuda a las organizaciones a garantizar que, si un tercero accede a los datos o los intercepta ilegalmente, estos datos cifrados sean ilegibles sin la clave de descifrado. El cifrado fuerte AES-256 reduce los riesgos de acceso no autorizado y filtración de datos, lo que ayuda a las organizaciones a cumplir las normas de protección de datos GDPR. Puede consultar el artículo 32 del GDPR para comprobar esta afirmación. Cifrar los backups de Office 365 es lo que necesitan las organizaciones para cumplir los requisitos del GDPR.
Políticas de conservación y minimización de datos
El principio de minimizar los datos de los usuarios almacenados por las organizaciones es uno de los más importantes del GDPR. Las organizaciones pueden recoger y almacenar (conservar) sólo los datos necesarios durante un periodo limitado. Esto significa que las organizaciones que hacen backups de Office 365 deben asegurarse de que las copias de seguridad no incluyan datos innecesarios u obsoletos. Esto es preocupante si los datos se almacenan durante más tiempo que el periodo de conservación legalmente exigido.
Las organizaciones deben configurar políticas de retención para evitar los riesgos de conservar los datos personales de los usuarios más tiempo del necesario. Esta medida reduce el riesgo de incumplimiento del GDPR. Las soluciones profesionales de backup permiten a los administradores configurar los ajustes de programación y retención con un alto grado de granularidad y amplias opciones de personalización. Aplicando estos ajustes de retención, las organizaciones pueden garantizar que los datos personales se eliminan cuando ya no son necesarios. Esto es lo que exige el artículo 5 (5.1.e) del GDPR.
Derechos de los interesados y accesibilidad de los backups
Los usuarios individuales tienen derecho a acceder, rectificar y eliminar sus datos personales. Estos derechos se denominan derechos del interesado. Cuando se trata de hacer backups de datos, las organizaciones deben asegurarse de que pueden procesar las solicitudes de acceso, comprobación y eliminación de datos de los usuarios, aunque estos datos estén almacenados en backups.
En el contexto de los backups de Office 365, esto significa lo siguiente:
- Debe ser posible recuperar los datos si es necesario para satisfacer las solicitudes de acceso a los datos realizadas por los usuarios. Una solución de backups de Office 365 debe ser capaz de restaurar los datos rápidamente y permitir acceder a los datos restaurados en un formato utilizable.
- Una solución de backups debería ofrecer la función de eliminar de forma flexible datos específicos de todo el backup sin restaurar el conjunto completo de datos. Si una solución tiene la capacidad de eliminar selectivamente datos específicos de los backups, el riesgo de sanciones por incumplimiento se reduce significativamente.
Backups y recuperación de Office 365 Prácticas recomendadas en Europa
Las prácticas recomendadas para hacer backups de Office 365 en Europa incluyen centrarse en las medidas de protección de datos y el cumplimiento de los requisitos de la normativa, incluido el GDPR. Este planteamiento incluye la aplicación de una estrategia avanzada de recuperación ante desastres.
Elegir la solución de backups adecuada
Elija una solución de protección de datos que sea compatible con backups y recuperaciones de Microsoft 365, teniendo en cuenta los requisitos de la normativa europea sobre protección de datos. Tenga en cuenta los siguientes factores clave:
- Cumplimiento del GDPR. Una solución de backups debe ser compatible con la normativa de protección de datos en Europa. En otras palabras, debería ser posible configurar una solución de backup para la protección de datos de Microsoft 365 de forma que cumpla los requisitos de la normativa. Asegúrese de que puede configurar el almacenamiento de backups en servidores situados geográficamente en Europa.
- Protección de los servicios de Microsoft 365. Asegúrese de que la solución de protección de datos es compatible con todos los servicios de Microsoft 365 necesarios, incluidos Exchange Online, OneDrive, SharePoint, Teams, etc. Todos los datos críticos deben estar protegidos con la posibilidad de recuperarlos.
- Seguridad y cifrado. La solución de backup debe ser compatible con el cifrado de datos en tránsito (durante la transferencia a través de la red) y en reposo (al almacenar los datos en el almacenamiento de backups). También debe ser compatible con algoritmos de cifrado potentes, como AES-256. Considere una solución de backup que sea compatible con el control de accesos basado en roles para evitar el acceso no autorizado a los backups de Microsoft 365.
- Recuperación granular. Elija una solución que admita la recuperación granular de datos de Microsoft 365. La recuperación granular es una función que permite recuperar objetos específicos, como correos electrónicos seleccionados, datos de OneDrive de usuarios concretos (Archivos y carpetas), sitios de SharePoint, listas, archivos, etc. Al utilizar la recuperación granular, puede recuperar sólo los datos necesarios sin necesidad de recuperar todo el conjunto de datos (recuperar los archivos necesarios en lugar de recuperar toda la cuenta de OneDrive, por ejemplo).
- Herramientas de automatización. Considere la posibilidad de utilizar una solución de backup de Microsoft 365 que admita backups automatizados, verificación de backups y pruebas de recuperación ante desastres. Automatizar los jobs de protección de datos te permite asegurarte de que se hacen backups de los datos de forma regular y de que no tienes lagunas en la protección de datos. La automatización de los backups simplifica su gestión y reduce el riesgo de errores humanos.
Frecuencia y conservación de los backups
Configure la frecuencia de los backups y los ajustes de retención para cumplir los requisitos del GDPR y otras normativas. Al mismo tiempo, debe tener en cuenta las necesidades de producción de la organización.
- Backups periódicos. Realice jobs de backups de Microsoft 365 con regularidad para asegurarse de que siempre se realiza una copia de seguridad de los datos cuando sea necesario. Para ello, configure jobs de backups automáticos en función de los valores de RPO (Recovery Point Objective) aceptados. En función de las necesidades de producción, los backups pueden ejecutarse diariamente o incluso cada hora (para datos que se modifican o actualizan con frecuencia).
- Programación. Este parámetro define la frecuencia con la que se realiza un job de backups. Configure la programación automática de Microsoft 365, esto puede incluir backups completos e incrementales para un mayor nivel de fiabilidad en términos de protección de datos.
- Retención. Las opciones para programar la retención de backups definen durante cuánto tiempo se almacenan los backups. Configure la retención de backups para garantizar que la política de retención cumple los requisitos del GDPR. Recuerde el principio de minimización de datos, que significa que los datos personales no deben conservarse más tiempo del necesario. Al configurar los ajustes de retención, recuerde que debe tener suficientes datos de backups para garantizar la continuidad operativa de la organización. El periodo de conservación para organizaciones jurídicas o financieras puede ser más largo que para organizaciones que trabajan en otros sectores.
- Versiones a recuperar. Los ajustes de programación y retención de backups deben configurarse para permitir la recuperación de distintas versiones de objetos protegidos escritos en distintos momentos. Por ejemplo, el ransomware puede destruir las últimas versiones de los archivos, y estos datos dañados pueden incluirse en los últimos backups (puntos de recuperación). El uso de puntos de recuperación más antiguos hace posible la recuperación de datos.
Recuperación ante desastres y continuidad empresarial
Cree un plan detallado de recuperación ante desastres y un plan de continuidad de la actividad para minimizar el tiempo de inactividad si se produce un desastre (un fallo del sistema, un ciberataque, etc.). Un plan de recuperación ante desastres debe estar bien estructurado para garantizar que una organización pueda continuar sus operaciones sin perder datos o con un mínimo de pérdidas de datos e interrupciones del servicio.
- Plan de recuperación ante desastres. Un plan de recuperación ante desastres incluye información detallada en la que se explica cada paso de la recuperación de datos a partir de backups. Describe los roles de cada empleado en el proceso de recuperación de datos, el tiempo estimado de restauración y otros aspectos. Con un plan de recuperación ante desastres de alta calidad, las organizaciones pueden cumplir los plazos de recuperación más ajustados y recuperar los datos con rapidez, lo que minimiza las interrupciones del servicio.
- Plan de continuidad de la actividad. Un plan de continuidad de la actividad suele utilizarse junto con un plan de recuperación ante desastres para garantizar que las funciones empresariales de una organización puedan continuar durante y después de una catástrofe. Unos backups fiables pueden ayudar a los usuarios a acceder a la información requerida para hacer las tareas necesarias.
- Backups y pruebas de recuperación. Probar los backups reduce la probabilidad de que los datos de las copias de seguridad no sean coherentes o estén dañados y ayuda a garantizar que los backups funcionan. Las pruebas de recuperación de datos aumentan la probabilidad de restaurar los datos y las cargas de trabajo sin problemas cuando se produce una catástrofe. Probar permite a las organizaciones asegurarse de que un plan de recuperación ante desastres y un plan de continuidad de la actividad funcionan como se espera.
- Ubicaciones redundantes para hacer backups. Según la regla 3-2-1 para hacer backups, se recomienda almacenar los backups y las copias de backups en ubicaciones diferentes. Este planteamiento mejora notablemente la estrategia de recuperación ante desastres. Sin embargo, las organizaciones que trabajan con datos de usuarios residentes en la Unión Europea deben cumplir los requisitos del GDPR y almacenar los datos en servidores ubicados geográficamente en la Unión Europea. Por este motivo, esté atento al seleccionar el almacenamiento en la nube para backups, como AWS o Azure, y seleccione centros de datos situados en regiones europeas para el almacenamiento en la nube pública.
NAKIVO Backup & Replicación para los backups de Microsoft 365
NAKIVO Backup & Replications es compatible con los backups de Microsoft 365. La solución NAKIVO es compatible para hacer backups de Microsoft Exchange Online, OneDrive para la Empresa, SharePoint Online y Teams.
Las siguientes funciones pueden ayudarle a cumplir los requisitos de la normativa en Europa:
- Cifrado de los backups en origen, en tránsito y en reposo.
- Automatización de job de backups
- Verificación de backups
- Programación flexible y ajustes de retención
- Recuperación granular de archivos y objetos
- Copia de seguridad y backups en la nube con la posibilidad de elegir una región para almacenar los backups de Microsoft 365 en Europa.
- Backups inmutables
El futuro de los backups de Office 365 en Europa
Las tecnologías siguen evolucionando y esto significa que puede haber nuevos retos en los backups de Office 365 para los usuarios europeos en el futuro.
Nueva normativa sobre protección de datos
La preocupación por la privacidad de los datos sigue creciendo y es muy probable que en Europa se puedan desarrollar nuevas normas de regulación mejoradas además del GDPR. Estas normativas, a su vez, afectarían al backup de Microsoft 365 para las organizaciones que trabajan con usuarios europeos. Los requisitos de protección de datos pueden volverse más estrictos, y las empresas tendrán que adaptar sus estrategias de backups. Algunos países europeos pueden aplicar requisitos adicionales de protección de datos, además de los requisitos de uso general en toda la Unión Europea.
Nuevas tecnologías de backups
Las tecnologías de protección de datos también son cada vez más sofisticadas y ofrecen mayores posibilidades. La inteligencia artificial puede utilizarse para detectar antes las amenazas, mejorar los controles de integridad de los datos y detectar patrones inusuales utilizados por el ransomware antes de corromper los datos. Los mecanismos de detección y prevención del ransomware podrían mejorarse.
Conclusión
Para poner en marcha una estrategia eficaz de backups de Office 365 en Europa, las organizaciones deben conocer la normativa europea y los estándares de protección de datos, como el GDPR. Tenga en cuenta los requisitos de la normativa a la hora de elegir la ubicación de los backups, la frecuencia de las copias de seguridad y los ajustes de retención. Elija una solución de protección de datos compatible con backups de Microsoft 365 y que pueda configurarse para cumplir los requisitos europeos de protección de datos.
