Por Que Seu Backup do Microsoft 365 Não Existe (e a Microsoft Não Se Importa)
Sua empresa confia que o Microsoft 365 protege seus dados? Descubra por que a Microsoft não faz backup do que é seu, o que diz a LGPD sobre isso e como evitar uma perda catastrófica.
A Mentira Que Você Acredita Sobre o Microsoft 365
Vou ser direto: se a sua empresa usa Microsoft 365 e você acredita que seus dados estão protegidos, você está errado. Não parcialmente errado. Completamente errado.
Essa é uma das ilusões mais perigosas e mais difundidas no mundo corporativo brasileiro. Centenas de milhares de empresas confiam seus e-mails, documentos, projetos e comunicações inteiras ao Microsoft 365 com a convicção tranquila de que, se algo der errado, a Microsoft vai resolver. Afinal, estamos falando de uma das maiores empresas de tecnologia do planeta, certo? Se estou pagando por um serviço em nuvem, meus dados estão seguros na nuvem.
Errado. Perigosamente errado.
A Microsoft não faz backup dos seus dados. Leia de novo. A Microsoft não faz backup dos seus dados. Ela faz backup da infraestrutura dela — servidores, rede, data centers. Mas o conteúdo dos seus e-mails, os arquivos do seu OneDrive, os sites do seu SharePoint, as conversas do seu Teams? Isso é problema seu. E a Microsoft deixa isso claro em letras que ninguém lê.
Se você é gestor de TI, diretor de operações ou dono de empresa e esta informação é nova para você, este artigo pode ser o mais importante que você vai ler este ano. Porque quando a perda acontecer — e estatisticamente, ela vai acontecer — não haverá a quem recorrer.
O Modelo de Responsabilidade Compartilhada da Microsoft
A Microsoft opera sob o que ela chama de Modelo de Responsabilidade Compartilhada (Shared Responsibility Model). Esse é um documento público, acessível a qualquer pessoa, que divide de forma explícita o que é responsabilidade da Microsoft e o que é responsabilidade do cliente.
O que a Microsoft garante:
- Infraestrutura física: data centers, servidores, energia, refrigeração
- Disponibilidade do serviço: SLA de uptime (tipicamente 99,9%)
- Rede global: conectividade entre data centers e regiões
- Segurança da plataforma: proteção contra ataques à infraestrutura
- Replicação geográfica: redundância para continuidade do serviço (não dos dados do cliente)
O que NÃO é responsabilidade da Microsoft:
- Backup dos seus dados: e-mails, arquivos, sites, conversas
- Recuperação de dados excluídos acidentalmente
- Proteção contra ransomware que atinge seus dados
- Retenção de longo prazo além das políticas nativas
- Compliance regulatório (LGPD, HIPAA, etc.)
A analogia mais clara que consigo fazer: a Microsoft é como a empresa que construiu o prédio onde a sua empresa aluga um escritório. A construtora garante que o prédio não vai desabar, que o elevador funciona e que tem energia. Mas se alguém entra no seu andar e destrói seus documentos, a construtora não tem nada a ver com isso. Os documentos eram seus. A proteção deles era sua responsabilidade.
E antes que alguém diga "mas eu não sabia disso" — a própria Microsoft, nos termos de serviço do Microsoft 365, recomenda explicitamente que empresas utilizem soluções de backup de terceiros. Está escrito. Eles avisam. O problema é que quase ninguém lê.
O Que a Microsoft NÃO Protege
Vamos sair da teoria e entrar nos cenários reais que afetam empresas brasileiras todos os dias. Esses são os buracos que existem quando você não tem backup do Microsoft 365:
Exclusão acidental (ou intencional)
Um funcionário deleta uma pasta inteira do OneDrive por engano. Ou pior: um ex-colaborador insatisfeito apaga todos os e-mails da caixa compartilhada do departamento antes de sair. O que acontece?
A lixeira do Exchange Online mantém itens excluídos por 14 dias (recuperáveis pelo usuário) ou até 30 dias (recuperáveis pelo admin). Depois disso, acabou. O OneDrive mantém arquivos excluídos por até 93 dias na lixeira de segundo estágio. Depois disso, acabou. Para sempre. Irreversivelmente.
Se você descobrir a exclusão depois do prazo — e muitas vezes a descoberta vem semanas ou meses depois — não há nada que a Microsoft ou qualquer pessoa no planeta possa fazer para recuperar esses dados.
Desativação de licença (saída de funcionário)
Quando um colaborador deixa a empresa e sua licença do Microsoft 365 é desativada ou reatribuída, todos os dados associados são agendados para exclusão permanente em 30 dias. E-mails, OneDrive, dados de Teams, tudo.
Agora pense: quantos funcionários saíram da sua empresa nos últimos dois anos? Quanto conhecimento institucional, quantos e-mails com clientes, quantos documentos de projetos, quantos contratos foram perdidos porque ninguém se lembrou de fazer backup antes de desativar a licença?
Ransomware via sincronização
Este é um cenário que assusta até profissionais de TI experientes. O ransomware infecta a máquina local do usuário e criptografa os arquivos. Até aí, nada novo. O problema é que o cliente de sincronização do OneDrive faz exatamente o que deveria fazer: sincroniza. Os arquivos criptografados substituem as versões originais na nuvem.
Sim, o OneDrive tem versionamento. Mas o versionamento padrão mantém apenas 500 versões, e ransomware sofisticado pode forçar mais de 500 alterações em cada arquivo para esgotar o histórico de versões. Variantes mais avançadas usam a API do Microsoft Graph para excluir versões anteriores diretamente. Sua última linha de defesa contra ransomware simplesmente desaparece.
Gaps de compliance e retenção legal
Regulamentações como a LGPD, normas setoriais e obrigações contratuais frequentemente exigem retenção de dados por 5, 10 ou até 30 anos. As políticas de retenção nativas do Microsoft 365 oferecem alguma flexibilidade, mas com limitações sérias: são complexas de configurar corretamente, não funcionam como backup restaurável e estão sujeitas a erros de configuração que podem apagar dados que deveriam ser retidos.
Pior: se a empresa mudar de plataforma (sair do Microsoft 365), toda a retenção configurada deixa de funcionar. Sem backup independente, os dados morrem junto com a assinatura.
Corrupção silenciosa de dados
Nem toda perda de dados é espetacular. Às vezes, arquivos do SharePoint são corrompidos por falhas de sincronização, plugins incompatíveis ou atualizações que dão errado. A corrupção pode passar semanas ou meses sem ser detectada. Quando alguém percebe, a janela de retenção nativa já expirou, e as versões anteriores não existem mais.
Casos Reais de Perda de Dados no Microsoft 365
Esses não são cenários hipotéticos. São situações que acontecem diariamente em empresas ao redor do mundo — incluindo o Brasil.
Cenário 1: O ex-funcionário vingativo. Uma empresa de consultoria em Belo Horizonte demite um gerente de projetos. Antes de devolver o notebook, ele acessa o Outlook Web e exclui sistematicamente cinco anos de e-mails da caixa compartilhada do departamento, incluindo comunicações com clientes, propostas comerciais e contratos. A exclusão é descoberta três semanas depois, quando um sócio procura uma proposta antiga. A lixeira recuperável já expirou. Não há backup. Cinco anos de histórico comercial, perdidos.
Cenário 2: O ransomware que ninguém viu chegar. Uma indústria no interior de São Paulo sofre um ataque de ransomware que criptografa estações de trabalho. O OneDrive sincroniza os arquivos criptografados para a nuvem em minutos. Quando a equipe de TI percebe, os 200 GB de documentos técnicos de engenharia já foram comprometidos tanto localmente quanto na nuvem. O versionamento do OneDrive não cobre todos os arquivos, e a restauração parcial resulta em semanas de retrabalho e projetos atrasados.
Cenário 3: A migração que destruiu tudo. Um escritório de advocacia em São Paulo migra de um tenant Microsoft 365 para outro durante uma fusão societária. Durante o processo, configurações incorretas resultam na exclusão de caixas de correio compartilhadas que continham o histórico completo de casos judiciais dos últimos sete anos. A equipe de TI terceirizada abre chamado com a Microsoft, que responde de forma clara e definitiva: "Dados do cliente fora da janela de retenção não são recuperáveis."
Cenário 4: A falha silenciosa da retenção. Uma empresa de contabilidade configura políticas de retenção do Microsoft 365 confiando que isso funcionará como backup para fins de compliance fiscal. Dois anos depois, uma auditoria exige documentação de um período específico. A equipe descobre que uma alteração nas políticas de grupo — feita durante uma atualização de rotina — desativou parcialmente a retenção sem gerar alerta. Meses de dados foram perdidos silenciosamente.
Em todos esses cenários, a resposta da Microsoft é a mesma: "Garantimos a disponibilidade do serviço. A proteção dos dados é responsabilidade do cliente."
O Que Diz a LGPD Sobre Isso
Se a perda de dados já é ruim operacionalmente, a dimensão regulatória torna tudo pior. A Lei Geral de Proteção de Dados (LGPD) é inequívoca sobre a responsabilidade da empresa.
O Artigo 46 da LGPD determina que os agentes de tratamento (ou seja, a sua empresa) devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado.
Perceba: a lei diz que a sua empresa é responsável. Não o provedor de infraestrutura. Não a Microsoft. Você.
Delegar seus dados ao Microsoft 365 sem backup independente e depois alegar que "a culpa é da Microsoft" não vai funcionar perante a ANPD (Autoridade Nacional de Proteção de Dados). A Microsoft é operadora de infraestrutura. A responsabilidade pelo tratamento — e pela proteção — dos dados pessoais é do controlador: a sua organização.
As penalidades são severas:
- Multa de até 2% do faturamento, limitada a R$ 50 milhões por infração
- Bloqueio do banco de dados — imagine não poder operar porque a ANPD bloqueou o acesso aos seus dados
- Publicização da infração — o dano reputacional pode ser mais devastador que a multa
- Obrigação de eliminação dos dados pessoais relacionados à infração
Confiar exclusivamente nas políticas de retenção nativas do Microsoft 365 — que são temporárias, limitadas e configuráveis de forma incorreta — como sua estratégia de compliance LGPD é, no mínimo, uma negligência documentável. E em caso de incidente, a documentação da Microsoft sobre responsabilidade compartilhada será a prova número um contra a sua empresa.
Para uma análise completa dos requisitos legais, recomendo a leitura do nosso guia sobre LGPD e backup.
Como Fazer Backup do Microsoft 365 Corretamente
Agora que ficou claro o problema, vamos à solução. Um backup adequado do Microsoft 365 precisa atender a critérios técnicos específicos. Não basta qualquer solução — precisa ser a solução certa.
Cobertura completa de todos os serviços
O Microsoft 365 não é só e-mail. Um backup completo precisa cobrir:
- Exchange Online: e-mails, contatos, calendários, tarefas, caixas compartilhadas, arquivos mortos
- OneDrive for Business: todos os arquivos, estrutura de pastas, permissões
- SharePoint Online: sites, bibliotecas de documentos, listas, metadados
- Microsoft Teams: conversas, canais, arquivos compartilhados, tabs, configurações
Muitas soluções baratas cobrem apenas Exchange e OneDrive, ignorando SharePoint e Teams. Isso é como trancar a porta da frente e deixar as janelas abertas.
Armazenamento independente da Microsoft
Parece óbvio, mas precisa ser dito: seu backup deve estar em um ambiente completamente independente da Microsoft. Se o backup está no mesmo tenant, no mesmo Azure, na mesma conta — ele está sujeito aos mesmos riscos. Um ataque que comprometa seu ambiente Microsoft 365 pode comprometer também um backup armazenado no ecossistema Microsoft.
A solução correta armazena seus dados em infraestrutura própria, com credenciais independentes, segregação de rede e — idealmente — em data centers no Brasil para compliance com a LGPD.
Retenção ilimitada e independente
A retenção do backup deve ser independente das políticas do Microsoft 365 e ilimitada (ou pelo menos configurável de acordo com suas necessidades regulatórias). Se um ex-funcionário teve a licença desativada há dois anos, seus dados ainda devem estar acessíveis no backup. Se uma regulamentação exige retenção de 10 anos, o backup deve cobrir esses 10 anos sem depender de assinaturas ativas no Microsoft 365.
Restauração granular
Você deve poder restaurar um único e-mail, um único arquivo, uma única conversa — sem precisar restaurar o ambiente inteiro. A restauração granular é essencial para responder a incidentes específicos sem causar disrupção adicional.
Criptografia ponta a ponta
Os dados devem ser criptografados em trânsito (durante a transferência) e em repouso (armazenados), com chaves de criptografia gerenciadas de forma independente. O padrão mínimo é AES-256.
Automação e monitoramento
O backup deve ser automático e monitorado continuamente. Um backup que depende de alguém lembrar de clicar um botão é um backup que vai falhar. E um backup que falha silenciosamente é tão ruim quanto não ter backup.
DataBackup para Microsoft 365: A Proteção Que Falta
A DataBackup foi projetada exatamente para resolver o problema que este artigo descreve. Nosso serviço de backup para Microsoft 365 oferece tudo o que a Microsoft não oferece — e faz isso como serviço gerenciado, sem jogar a complexidade no colo da sua equipe de TI.
O que você recebe:
- Cobertura completa: Exchange Online, OneDrive, SharePoint, Teams — tudo protegido, sem exceções
- Backup automático até 3x ao dia: seus dados são copiados automaticamente para data centers exclusivamente no Brasil
- Retenção ilimitada: independente das políticas da Microsoft, seus dados ficam acessíveis pelo tempo que você precisar
- Restauração granular: recupere um único e-mail, um arquivo, uma conversa — ou um ambiente inteiro
- Criptografia AES-256: em trânsito e em repouso, com gestão independente de chaves
- Monitoramento 24/7: equipe especializada acompanha seus backups e age proativamente em caso de anomalias
- Compliance LGPD nativo: dados no Brasil, relatórios automatizados, documentação para auditorias
- Suporte em português, 24/7: quando você precisar restaurar dados às 3h da manhã, vai falar com alguém que entende o seu problema — em português
Diferente de soluções como Veeam Backup for Microsoft 365 ou Acronis, que exigem infraestrutura própria e equipe técnica para operar, a DataBackup é um serviço gerenciado completo. Você contrata a proteção; nós cuidamos de tudo. Para uma comparação detalhada entre essas soluções, confira nosso artigo Veeam vs Acronis vs DataBackup.
E o custo? Planos de backup corporativo começam em R$ 159,90/mês, em reais, sem exposição cambial, sem surpresas na renovação. Provavelmente menos do que sua empresa gasta com café em uma semana.
Conclusão — Não Confie Seus Dados a Quem Não Se Importa
Eu não estou dizendo que a Microsoft é uma empresa ruim. O Microsoft 365 é uma plataforma extraordinária de produtividade. Mas a Microsoft é transparente sobre uma coisa: seus dados são sua responsabilidade. Ela construiu a plataforma; o conteúdo é seu. E a proteção desse conteúdo cabe a você.
O problema é que essa transparência vem na forma de documentação técnica que quase ninguém lê, termos de serviço que quase ninguém entende e um modelo de responsabilidade compartilhada que quase ninguém conhece. E quando a perda acontece — uma exclusão acidental, um funcionário que sai, um ransomware que entra — a resposta é sempre a mesma: "A responsabilidade pelos dados é do cliente."
Não espere a perda acontecer para agir. O custo de um backup adequado é uma fração insignificante comparado ao custo de perder anos de e-mails, documentos, projetos e histórico institucional. Sem falar nas multas da LGPD, que podem chegar a R$ 50 milhões.
A pergunta não é "devo fazer backup do Microsoft 365?". A pergunta é: "por que eu ainda não comecei?"
Proteja seus dados agora. Fale com os especialistas da DataBackup pelo WhatsApp e descubra como proteger seu Microsoft 365 em minutos. Ou, se preferir, conheça nossos planos e comece o teste gratuito de 14 dias — sem necessidade de cartão de crédito.