Kopie zapasowe danych SaaS

czym jest

Każda większa platforma SaaS działa w modelu współdzielonej odpowiedzialności: dostawca dba o dostępność usługi i jej odporność na awarie własnej infrastruktury, a klient odpowiada za własne dane, w tym za ich odzyskanie po usunięciu, uszkodzeniu czy przejęciu po stronie klienta.

Okna są krótsze, niż większość zespołów zakłada. W Google Workspace usunięty plik na Dysku leży w koszu 30 dni, po czym administratorzy mają jeszcze mniej więcej 25 dni na jego przywrócenie. W Microsoft 365 elementy skrzynki, które opuściły folder Elementy usunięte, trafiają do Odzyskiwalnych elementów z domyślnym okresem 14 dni (można wydłużyć do 30), a kosze SharePoint i OneDrive działają 93 dni. Po tym oknie: nic, i wsparcie techniczne tego nie przywróci. Wszystko to jest okresem karencji, a nie kopią zapasową.

dlaczego narasta

Luka utrzymuje się, bo platformy wydają się bezpieczne. Pliki się synchronizują, wersje istnieją, nic nigdy nie wygląda na stracone, więc backup znika z listy, na której trzymały go serwery on-prem. Tymczasem biznes przenosi się w całości do SaaS: CRM, system finansowy, dokumenty, kod. Dane, które kiedyś leżałyby na serwerze plików objętym backupem, żyją teraz w dwudziestu platformach, każda z innymi zasadami retencji, a większość bez żadnego backupu.

W badaniu Backupify z 2025 roku, obejmującym ponad 3000 specjalistów IT, 87% respondentów zgłosiło utratę danych SaaS w poprzednim roku, a przypadkowe usunięcie było główną przyczyną. To dane zamówione przez dostawcę, ale spójne z tym, co przewidują opisane wyżej okna retencji.

co to kosztuje

Zwykłym kosztem jest trwała utrata z powodu zwykłych przyczyn: konto osoby odchodzącej usunięte razem z jedyną kopią jej plików, folder opróżniony przez pomyłkę i odkryty dopiero w trzecim miesiącu, klient synchronizacji wiernie przenoszący do kopii w chmurze pliki zaszyfrowane przez ransomware.

Strategiczny koszt ujawnia się przy wymuszeniach. Odporność na ransomware zakłada możliwość odzyskania danych, a w 2025 roku tylko 54% ofiar przywróciło zaszyfrowane dane z kopii zapasowych, najniższy wynik od sześciu lat (Sophos). Firma, której dane biznesowe żyją w SaaS bez niezależnej kopii, po cichu zrezygnowała z połowy tej obrony, tej dotyczącej odzyskiwania. Atakujący, który dostanie się do konta administratora, dostanie się też do ustawień retencji.

Compliance zamyka klamrę: środki bezpieczeństwa w NIS2 wprost wymieniają zarządzanie kopiami zapasowymi, a na pytanie audytora „pokażcie mi przetestowane przywrócenie" nie ma dobrej odpowiedzi, gdy cała strategia brzmi „Google to trzyma".

co działa

Decyzja o backupie zaczyna się od czegoś mniejszego, niż się wydaje. Liczy się lista systemów, których utrata zatrzymuje fakturowanie, dostawy albo sprzedaż, czyli zwykle pięć do dziesięciu platform, a nie całe środowisko trzystu aplikacji. Każdą z nich sprawdza się pod kątem realnych okresów retencji, branych z dokumentacji dostawcy, a nie z zapewnień resellera, zwracając uwagę, które okno to widoczny dla użytkownika kosz, a które to prawdziwy koniec drogi, bo zarówno okres przywracania przez admina w Workspace, jak i okno Odzyskiwalnych elementów w Microsoft 365 wygasają po cichu, bez ostrzeżenia.

Dla tej krótkiej listy kontrolą, która się utrzymuje, jest niezależny backup SaaS-to-SaaS, i to jedna konkretna cecha odwala większość roboty: przynajmniej jedna kopia leży poza zasięgiem administratora samej platformy. Backup, który administrator platformy może usunąć, dzieli los danych, bo atakujący, który przejmie konto administratora, w tej samej sesji dostanie się do danych, ustawień retencji i backupu. To właśnie tę cechę sprawdza wymuszenie, bo odzyskanie po ransomware bez płacenia zakłada czystą kopię, do której atakujący nigdy nie miał dostępu.

Backup, który nigdy niczego nie przywrócił, pozostaje nadzieją z logo, dlatego działającą praktyką jest kwartalne, mierzone czasowo przywrócenie jednego pliku, jednej skrzynki, jednego rekordu. Czas ma tu takie samo znaczenie jak sam sukces: przywrócenie, które technicznie działa, ale trwa tydzień, odpowiada na pytanie audytora, a i tak zawodzi biznes. Ostatnim punktem połączenia jest offboarding, gdzie dane osoby odchodzącej trzeba wyeksportować albo przenieść przed usunięciem konta, jako punkt na liście kontrolnej, a nie ćwiczenie z pamięci, bo usunięcie konta to właśnie zwykłe zdarzenie, które zamienia okno retencji w trwałą utratę.