Configurar Sophos Backup & Recovery M365 y verificar una recuperación

Sophos Backup and Recovery M365 es una oferta cloud de copia de seguridad y recuperación basada en Rubrik para Exchange, OneDrive, SharePoint y Teams. Se accede desde My Products > Backup and Recovery M365 en Sophos Fusion (anteriormente Sophos Central); la configuración y recuperación reales se realizan en Rubrik Security Cloud. Una licencia activada o redirección correcta no demuestra que los datos previstos ya se estén copiando.

La secuencia segura es: comprobar derechos y tenant, conectar Microsoft 365 con Rubrik, asignar políticas mediante una SLA Domain, verificar copias correctas y validar una recuperación limitada. La secuencia siguiente sigue la ayuda de administración Sophos del 27 de mayo de 2026, releída el 27 de octubre de 2026. Describe el modelo alojado por Rubrik y un ejemplo Exchange, no un procedimiento universal para todas las cargas M365.

Aclarar encargo, tenant y permisos antes de empezar

Registrar qué organización Microsoft 365, usuarios y cargas se protegerán. Los responsables confirman tenant Sophos Fusion, suscripción contratada y estado del aprovisionamiento. Sophos M365 Backup and Recovery no admite Enterprise Master Licensing. Sus licencias no se pueden compartir entre Sub-Estates; si hay varios tenants de cliente, cada uno requiere licencias separadas. Las condiciones de licencia y la asignación de las organizaciones/suscripciones de Microsoft 365 previstas se confirman por separado antes del pedido. Véase Enterprise Master Licensing.

También se necesita una cuenta de administrador Microsoft 365 con los permisos requeridos para conectar. La instrucción general Sophos no indica un rol mínimo universal. Antes del consentimiento deben estar claros permisos realmente solicitados, aplicaciones y persona que autoriza. Los derechos Sophos no sustituyen los de Microsoft.

La planificación debe registrar región de datos, conservación, pérdida admisible y tiempo de recuperación en el ticket del cambio. Los dos últimos se denominan a menudo RPO y RTO: ¿qué antigüedad puede tener la copia recuperada y cuánto puede estar el servicio caído? El backup no sustituye soluciones de archivo, eDiscovery o legal hold requeridas por separado.

Confirmar condiciones comerciales antes de contratar: comprobar cantidad mínima, almacenamiento incluido, duración, ampliaciones y disponibilidad de pruebas o MSP en la oferta vigente. Las condiciones de lanzamiento antiguas no garantizan las actuales. El análisis de Sophos Backup & Recovery con Rubrik aborda compra y arquitectura; esta guía se centra en configuración y evidencias.

1. Conectar la suscripción Microsoft 365 a Rubrik

1. Abrir My Products > Backup and Recovery M365 en Sophos Fusion. Tras redirigirse, comprobar la organización Rubrik y elegir Inventory > SaaS > Microsoft 365 > Add Subscription.
2. Continuar con Next en Microsoft 365 Setup. En Grant Rubrik Access to Azure, introducir el dominio del tenant Entra previsto en Microsoft Entra Domain. Se encuentra en el resumen Entra de dicho tenant. Sign in to Azure abre el acceso; después elegir Add Subscription. Detenerse si el tenant es inesperado o el consentimiento no está claro.
3. Definir la ubicación en Azure Configuration. Sophos recomienda Store data in its original geographic regions; seleccionar también la ubicación central. Comprobar este ajuste con el plan propio de residencia, sin tratarlo como confirmación de todos los requisitos de privacidad.
4. Rubrik genera una clave Azure por defecto. Use your own Azure key es una opción independiente con Azure Tenant ID, Azure Key Vault ID y Azure Key Name. Usar una clave propia solo con operación, accesos y recuperación definidos. La guía no justifica sustituir claves existentes preventivamente. Continuar con Add Subscription.
5. En Authorize Access to Microsoft 365, realizar los accesos previstos para Exchange, OneDrive, SharePoint y Teams. En Grant Access to Microsoft Management App, autorizar mediante Sign in to Microsoft 365 Management app. Comprobar siempre permisos y tenant mostrados y finalizar Add Subscription.

Una suscripción conectada acredita inicialmente la integración. La protección de datos concretos depende también del alcance, asignación SLA y copias correctas. Repetir consentimiento para todas las aplicaciones no resuelve un error de una sola carga; aislar primero el paso y su mensaje.

2. Asignar una SLA Domain adecuada

Una SLA Domain describe la política de backup, especialmente frecuencia y conservación. No es simplemente el dominio de correo ni un tiempo de recuperación garantizado.

En Inventory > SaaS > Microsoft 365, pulsar Assign SLA Domain. En Manage Protection, seleccionar las aplicaciones previstas y continuar con Next. En Assign an SLA Domain, elegir una política existente adecuada. Sophos documenta estos valores predeterminados:

La oferta general indica hasta diez años de conservación y copias inmutables. No significa que un perfil configure ya diez años o la inmutabilidad deseada. Si se necesitan otros valores, planificar una Custom SLA Domain según la ayuda Rubrik actual y verificar derechos y configuración efectivos. Los nombres no son recomendaciones para todos los clientes.

Después de Next, comprobar todo el alcance y política en Confirmation, y solo entonces elegir Assign. Para el primer piloto, comprobar objetos de prueba y protección en el portal; seleccionar aplicaciones en el asistente no demuestra una delimitación arbitrariamente granular del piloto.

3. Demostrar las copias antes de necesitar restauración

Elegir un buzón de prueba autorizado y crear un mensaje inocuo claramente identificado, por ejemplo Backup-Pilot-2026-10-27. No contendrá credenciales ni datos empresariales o de clientes. Registrar previamente ventana de backup y punto de recuperación esperados.

Después comprobar en Rubrik suscripción, alcance, SLA Domain asignada y ejecución correcta. Solo un snapshot disponible con el objeto previsto permite la evidencia de recuperación siguiente. Integración verde, SLA configurada o copia antigua no demuestran que el nuevo mensaje esté incluido.

4. Realizar una recuperación Exchange limitada

Recuperar escribe datos o crea un export. Destino, alcance y autorización deben quedar definidos antes del último Recover. Un buzón de prueba sirve para el piloto; no restaurar un buzón productivo in-place por precaución.

1. Abrir Inventory > SaaS > Microsoft 365. En Selected Subscription, elegir la suscripción confirmada y pulsar Enter Subscription.
2. Seleccionar Exchange en Data Source. Elegir la persona de prueba autorizada en Username y una hora adecuada del calendario en Snapshots.
3. Abrir el snapshot con Recover. En Exchange Recovery, elegir Mailbox y continuar con Next hasta carpetas o mensajes. Seleccionar únicamente el mensaje acordado; usar búsqueda si hace falta.
4. Elegir conscientemente la ruta. Restore to original user utiliza la persona original; Restore to another user, otra. Download from Cloud genera un ZIP con uno o más PST; Recover to a different subscription implica otro contexto de tenant/suscripción. Las variantes requieren permisos distintos y no son opciones de prueba intercambiables.
5. En la continuación documentada, elegir In-place recovery o Recover to a new folder. Para la prueba limitada, usar una carpeta nueva en el destino confirmado si el flujo elegido la ofrece. Según la ayuda, Recover to a new folder permanece en la región original. Revisar destino, región y alcance antes de Next.
6. Revisar el resumen y solo entonces confirmar Recover. Comprobar finalización y mensajes del trabajo en el portal. Con la persona responsable de la prueba, verificar que el mensaje esperado es legible en el destino correcto. Comparar asunto, contenido y posible adjunto con el original.

El informe de validación recoge hora del snapshot, ID o referencia trazable del trabajo, objetos origen y destino, alcance, resultado y duración medida. Recuperar un mensaje no valida un buzón completo, sitio SharePoint o estructura Teams. Programar pruebas representativas separadas para esas tareas.

Para archivos de OneDrive, contenido de SharePoint y datos de Teams, preparar y validar un restore M365 para otras cargas de trabajo explica cómo delimitar origen, destino y comportamiento ante conflictos, con tres escenarios de prueba separados. Antes de restaurar, comprobar los permisos y snapshots adecuados para cada carga.

Una recuperación terminada no tiene un botón universal para deshacer. Tras verificar, limpiar carpetas de prueba adicionales, objetos recuperados o PST únicamente dentro del alcance y conservación acordados. No borrar mensajes productivos o snapshots como supuesto rollback.

Si fallan el acceso, backup o recuperación

Rubrik vuelve al acceso Fusion después de un timeout: Sophos enumera PHISH-11524 en los problemas conocidos leídos el 27 de octubre de 2026. Afecta a una sesión SSO Rubrik caducada mientras la de Fusion sigue vigente. La solución temporal documentada es volver a iniciar sesión en Sophos Fusion y reabrir Rubrik SSO. No es una corrección permanente ni un motivo para eliminar la suscripción o ampliar permisos.

La suscripción está conectada, pero faltan snapshots previstos: comprobar por separado tenant, carga, alcance real, SLA, hora y error específico. Copias correctas de otra suscripción no sirven de evidencia sustitutiva.

La recuperación no ofrece resultados utilizables: contrastar persona de origen, hora del snapshot, mensaje, destino y resultado del trabajo con el ticket. No repetir la misma escritura mientras el resultado sea incierto. Aclarar primero si los datos ya se recuperaron.

Para ayuda detallada, abrir Help en Rubrik y buscar el título exacto, por ejemplo Setting up a Microsoft 365 subscription for Rubrik hosting o Recovering email messages to the original location. Sophos advierte que los enlaces directos pueden pedir inicialmente un acceso. Permanecer en el flujo autorizado del portal; este artículo no presupone acceso adicional ni aumento de permisos.

Para escalar, indicar suscripción, carga, hora con zona horaria, paso, error depurado y referencia conocida del trabajo. Tokens, claves, contenido PST y mensajes confidenciales no deben aparecer en descripciones públicas. Usar caso y canal de transferencia confirmados según Preparar y abrir un ticket de soporte.