Comunicaciones

Mejor compatibilidad con Exchange Server 2007

Alan Maddison

Resumen:

• Carpetas administradas
• Reglas de transporte
• Clasificación de mensajes
• Registro en diario

Los analistas estiman que un 75 por ciento de la documentación corporativa se crea y se comunica mediante correo electrónico. Sin duda, una cantidad considerable de la propiedad intelectual de su organización se encuentra en sus servidores de mensajería. Esto supone mucha responsabilidad en

manos de los administradores que mantienen los servidores de mensajería, que almacenan muchos de los datos críticos de la compañía. Además, el número creciente de normas nacionales y locales (en Estados Unidos y en otros países/regiones) que especifican los requisitos de archivado y retención para datos corporativos sólo hacen este trabajo más complejo y más crítico.

La necesidad de proteger activos corporativos y de garantizar el cumplimiento de las disposiciones legales impone una carga considerable. Al diseñar Exchange Server 2007, Microsoft implementó varios cambios y nuevas características para mejorar drásticamente las capacidades de cumplimiento de Exchange a la vez que se facilita la administración real. En este artículo, se estudian los cambios principales en Exchange Server 2007 que serán de ayuda en el cumplimiento de las disposiciones legales.

Descripción del cumplimiento

Antes de profundizar en Exchange Server 2007, debo analizar los requisitos que se tratan. Generalmente, hay tres amplias áreas de requisitos de compatibilidad: la retención de la información, el control de acceso y la integridad de los datos. Por ejemplo, en Estados Unidos, la SEC Rule 17A-4 especifica las directivas de retención de datos para determinados miembros de la bolsa de valores, los agentes de bolsa y los distribuidores, y requiere que las organizaciones financieras puedan capturar, indexar, archivar, buscar y recuperar su correo electrónico. El control de acceso a los datos se incorpora a varias leyes muy conocidas, incluyendo las siguientes: Health Insurance Portability and Accountability Act (HIPAA), Gramm-Leach-Bliley Act (o GLB Act) y California Senate Bill 1386 (o SB 1386). HIPAA y GLB Act regulan la seguridad y la confidencialidad de los datos personales mientras que SB 1386 se aplica a la divulgación pública de infracciones de seguridad de equipos informático que implican datos confidenciales.

Además, los requisitos de la integridad de datos se han incorporado a otras leyes importantes, como Sarbanes-Oxley (SOX), PATRIOT Act y Basel II. Sin embargo, estas disposiciones legales de alto rango sólo constituyen una mínima parte del conjunto. Algunas estimaciones sitúan el número de disposiciones legales aplicadas en todo el mundo en más de 35.000. Hay una clara motivación para las compañías de controlar el riesgo asociado a la manera de retener la información, controlar el acceso a los datos, así como garantizar su integridad. De modo que ¿cómo se puede, como administrador, administrar este riesgo y qué se puede hacer para cumplir con todas estas obligaciones normativas?

El primer paso es documentar las directivas de cumplimiento y de retención. El paso siguiente es implementar y administrar continuamente estas directivas. Exchange Server 2007 puede ayudarle a adoptar estas directivas, mediante el uso de carpetas administradas, el agente de reglas de transporte, la clasificación de mensajes y el agente del Registro en diario.

Carpetas administradas

La retención de datos (o la administración de registros) es una parte crítica de su marco de cumplimiento. Exchange Server 2007 ha dado un gran salto hacia adelante en la manera de permitir a los administradores que administren los datos. En Exchange Server 2007, la administración de registros se basa en tres principios: los mensajes en desuso se eliminan, se conservan los mensajes necesarios y los usuarios son responsables de clasificar sus propios mensajes.

La mayoría de los administradores de Exchange conocen las directivas del Administrador de buzones de Exchange Server 2003, que podrían aplicarse a buzones. En Exchange Server 2007, las carpetas administradas ofrecen una manera administrada de forma centralizada para que los administradores creen e implementen nuevas carpetas predeterminadas o personalizadas que no se pueden mover, cambiar de nombre o, en la mayoría de los casos, eliminar. Mediante SDK, también es posible crear aplicaciones basadas en web de autoservicio que proporcionan a los usuarios la capacidad de elegir qué carpetas deberían agregarse a sus buzones.

Como se muestra en la figura 1, la Consola de administración de Exchange ofrece un enfoque basado en asistentes para la creación de carpetas. (Esta funcionalidad se expone también a través de la nueva carpeta administrada cmdlet del Shell de administración de Exchange).

Figura 1** Uso de la Consola de administración de Exchange para crear una carpeta nueva **(Hacer clic en la imagen para ampliarla)

Esto inicia el asistente que se muestra en la figura 2. El proceso de crear las carpetas es muy sencillo; basta con escribir el nombre y la descripción de la carpeta y, a continuación, presionar el botón Nuevo. Una vez que se complete la carpeta, recibirá una confirmación.

Figura 2** Un asistente intuitivo facilita la creación de una nueva carpeta administrada **(Hacer clic en la imagen para ampliarla)

Con una directiva de retención de datos implementada, tiene que ofrecer a los usuarios un medio sencillo de clasificar y almacenar sus mensajes, asegurando que los datos se retienen en conformidad con los requisitos de la organización. Imagínese que necesita implementar tres carpetas personalizadas a sus usuarios para que puedan identificar el correo para tres, cinco o siete años de retención. Una vez creadas las carpetas administradas, el paso siguiente es aplicar la configuración de contenido a cada carpeta. Esto se hace mediante el Asistente para configuración de contenido administrado.

El administrador de mensajería controla la configuración del vencimiento de contenido (que se mide en días) y la acción que debería llevarse a cabo sobre el contenido una vez que caduca realmente. Hay cinco acciones entre las que elegir:

• Eliminar y permitir la recuperación
• Marcar como límite pasado de retención
• Mover a una carpeta administrada personalizada
• Mover a la carpeta de elementos eliminados
• Eliminar permanentemente

Hay tres parámetros a los que debe prestar especial atención al configurar estos valores. El primero es el valor para el vencimiento del mensaje; puesto que se calcula en días, debe tener en cuenta los años bisiestos. La administración corporativa (por no mencionar a un juez) no apreciará que el contenido se elimine antes de lo que debiera, incluso aunque sólo sea por un día. El segundo parámetro es cuando se inicia el período de vencimiento. Normalmente, es el día en el que se entrega el mensaje al buzón, a menos que su equipo legal le indique lo contrario. El tercer parámetro es la acción que se realiza una vez caducado el contenido. Una recomendación es eliminar siempre el elemento de manera permanente. La configuración del contenido también le permite registrar en diario mensajes reenviándolos a una dirección SMTP.

Las carpetas administradas se aplican a los buzones que usan directivas de buzón de carpeta administrada. La Consola de administración de Exchange ofrece otro asistente para crear estas directivas. Las directivas le permiten seleccionar y agrupar varias carpetas. Esto le permite vincular varias carpetas a una sola directiva.

Normalmente, aplicaría la directiva de buzón de carpeta administrada durante la creación de buzón. Otra alternativa es usar el Shell de administración de Exchange para aplicar una directiva a un buzón existente que usa el cmdlet set-mailbox. Digamos que desea aplicar una directiva de buzón de carpeta administrada denominada retención a una cuenta de correo electrónico con el alias USER1. Para ello, usaría el comando siguiente:

Set-Mailbox –Identity USER1 
–ManagedFolderMailboxPolicy “retention”

Las carpetas administradas y la configuración de contenido correspondiente ofrecen un mecanismo eficaz para administrar la retención y el proceso de cumplimiento. No sólo permite a los usuarios clasificar el correo electrónico pertinente y almacenar datos en carpetas administradas de forma centralizada, sino que permite el registro en diario de estos elementos para asegurar que en el caso de una solicitud de presentación de pruebas o pedido de conservación, se puede atender con facilidad a la solicitud del tribunal.

Reglas de transporte

Hay dos agentes de reglas de transporte en Exchange Server 2007. Sin embargo, en términos del cumplimiento, sólo está realmente interesado en el agente que se ejecuta en los servidores de transporte del concentrador. Este agente le ayuda a aplicar las reglas de cumplimiento basadas en directivas en los mensajes que fluyen por su organización de Exchange. (Por otra parte, el agente de reglas del servidor de transporte perimetral le ayuda a proteger la organización frente a correo electrónico no deseado y virus).

Entre los requisitos comunes de cumplimiento y de disposiciones legales que los administradores son responsables de implementar se incluyen:

• Limitar la interacción entre grupos diferentes de remitentes y destinatarios
• Evitar que contenido inadecuado entre o salga de la compañía
• Filtrar información confidencial
• Seguir o archivar los mensajes que se envían a usuarios y grupos específicos y se reciben de ellos
• Redireccionar los mensajes entrantes y salientes para la inspección antes de la entrega
• Aplicar renuncias

El servidor concentrador de transporte se eligió para este agente debido a la función que desempeña en una topología de Exchange 2007. Los cambios a la topología de Exchange 2007 son considerables y, como resultado, Exchange está mucho más integrado con la topología de Active Directory®. Conforme el correo fluye por la organización, se procesará en algún punto mediante un servidor concentrador de transporte. Este servidor concentrador de transporte consultará a Active Directory la configuración actual de reglas de transporte y aplicará las reglas a todos los mensajes que administre.

Cualquier regla de transporte configurada en un servidor concentrador de transporte se replicará a los demás servidores concentradores de transporte mediante el servicio de Active Directory. Tiene que conocer cómo su sitio y topología tendrán un impacto en la réplica y, a su vez, deberá determinar con qué rapidez puede implementar una regla en toda la organización.

Además, tiene que tener en cuenta que un servidor concentrador de transporte mantiene una caché para la búsqueda de destinatarios y listas de distribución. El intervalo de actualización, que es de cuatro horas de forma predeterminada, afectará al tiempo de reglas que se aplica a sus mensajes.

Las reglas de transporte en los servidores concentradores de transporte evalúan todas las convocatorias de reuniones, los mensajes normales, los mensajes cifrados y los mensajes protegidos con derechos que se envían entre usuarios autenticados. Se evalúan todos mensajes de correo electrónico que se envían de manera anónima, independientemente del tipo de mensaje, el remitente y el destinatario.

Cada regla de transporte consta de los componentes siguientes: condiciones, excepciones y acciones. Las condiciones se usan para indicar qué atributos de mensaje, como por ejemplo, encabezados, destinatarios o remitentes, se emplean en el proceso de identificación del mensaje. Una vez que un mensaje cumpla todas las condiciones para una regla en particular, se aplicarán las acciones a menos que el mensaje coincida con una excepción configurada. Las excepciones son opcionales. Si se configura, una excepción hará que la regla de transporte no procese los mensajes que cumplan cualquiera de los criterios de excepción. Las acciones, que son un componente necesario para cada regla de transporte, especifican la manera en la que se debería procesar un mensaje. En la figura 3 se incluye una lista de las acciones disponibles que se pueden aplicar según las reglas de transporte que se configuran en un servidor concentrador de transporte.

Figure 3 Acciones disponibles para reglas de transporte en un servidor concentrador

Para crear una regla de transporte, puede usar la Consola de administración de Exchange y el asistente para reglas de transporte, que se muestra en la figura 4. Otra alternativa es usar el Shell de administración de Exchange para redactar la creación de reglas.

Figura 4** Inicio del asistente para reglas de transporte para configurar una regla de transporte en un servidor concentrador de transporte **(Hacer clic en la imagen para ampliarla)

Tenga en cuenta que también es posible usar el SDK para escribir agentes de transporte personalizados que procesen mensajes según los eventos SMTP dentro de Exchange. Sin embargo, esto no es apto para los temerosos.

Clasificación de mensajes

La nueva herramienta de clasificación de mensajes usa los metadatos para describir el público o el uso destinado de un mensaje específico. En el cliente, estos metadatos los puede usar Outlook® Web Access (OWA) u Outlook 2007 para mostrar una descripción legible por el usuario de la clasificación. En el servidor, los agentes de reglas de transporte pueden actuar sobre el mensaje en función de su clasificación.

Las clasificaciones de mensajes predeterminadas incluidas con Exchange Server 2007 son A/C (abogado/cliente) con privilegios, Datos adjuntos quitados, Confidencial de la empresa e Interno de la compañía. Sin embargo, muchas organizaciones desearán crear sus propias clasificaciones. Puede crear clasificaciones nuevas usando el cmdlet new-MessageClassification en el Shell de administración de Exchange. Por ejemplo, si tiene que restringir el acceso a datos financieros, podría crear una clasificación de mensajes denominada Financiero—Confidencial:

new-MessageClassification –Name finance –Dis­playName “Financial—Confidential” 
-RecipientDescription “This message contains confidential financial data.” 
–SenderDescription “Restricts recipients of messages that contain confidential financial data”

Tenga en cuenta que aunque se necesitan sólo tres parámetros (Name, DisplayName y SenderDescription) debe agregar al menos RecipientDescription para lograr un nivel básico de funcionalidad. En la figura 5 se muestra esta nueva clasificación ahora incluida en una lista en la interfaz de OWA.

Figura 5** En la lista de clasificaciones de mensajes se incluye la recientemente creada Financiero—Confidencial **(Hacer clic en la imagen para ampliarla)

Este comando no usa el parámetro de configuración regional y por tanto, se aplicaría a todas las configuraciones regionales de su organización de Exchange. Si admite operaciones globales, probablemente deseará hacer sus clasificaciones personalizadas de mensajes específicas de la configuración regional.

Además, recuerde establecer correctamente los permisos en las clasificaciones. De forma predeterminada, todas las clasificaciones de mensajes nuevas se crean con permisos de lectura asignados a usuarios autenticados. Sin embargo, debería dividir las clasificaciones de mensajes de manera que los usuarios sólo tengan acceso a las clasificaciones de mensajes adecuadas para sus funciones. Además, tenga en cuenta que cada clasificación puede tener una prioridad relativa respecto a otras clasificaciones de mensajes. Esta prioridad especifica el orden de las descripciones y determina qué clasificaciones se asocian con un mensaje reenviado o contestado.

Una vez creadas las clasificaciones necesarias, el siguiente paso será crear reglas de transporte que usen las clasificaciones. (Por supuesto, estas clasificaciones de mensajes, no tienen que estar relacionadas con acciones; pueden ser meramente informativas). Como se muestra en la figura 6, tiene muchas opciones al combinar las clasificaciones de mensajes con reglas de transporte. He creado una regla de transporte que supervisa mensajes clasificados como Financiero. Si un mensaje está marcado como tal, el agente de la regla de transporte examinará los destinatarios. Si cualquiera de los destinatarios no es miembro del grupo de distribución Dpto. financiero, el mensaje se devuelve al remitente con un mensaje de no entrega personalizado.

Figura 6** Creación de una regla de transporte para mensajes clasificados como Financiero **(Hacer clic en la imagen para ampliarla)

La clasificación de mensajes también se puede usar para implantar "límites éticos" en su organización. Por ejemplo, a veces es necesario restringir las comunicaciones entre determinadas personas y departamentos. La clasificación de mensajes se puede usar para este propósito.

Agente de registro en el diario

Al garantizar el cumplimiento, el registro en diario puede ser un arma eficaz, aunque a veces, suponga un reto. Afortunadamente, Exchange Server 2007 ofrece capacidades de registro en diario mucho más flexibles. Ahora es compatible con el registro en diario estándar (en el nivel de base de datos de buzón) y el nuevo registro en diario premium (por destinatario), que habilita el registro en diario para usuarios individuales y grupos de distribución. Esto hace mucho más sencillo el proceso para cumplir con solicitudes, como custodias u órdenes de conservación emitidas por tribunal. Además, tiene más control sobre la repercusión en el registro en diario en el almacenamiento y el rendimiento.

Por ejemplo, una de las nuevas opciones más flexibles se presenta como compatibilidad para el registro en diario basado en grupos de distribución dinámica. Imaginemos que su organización tiene una necesidad progresiva de suspender los mensajes de correo electrónico de determinadas personas. Puede que se deba a investigación interna de Recursos Humanos o a un caso del tribunal. Con un grupo de distribución dinámica, el administrador puede agregar y quitar usuarios a un grupo establecido que ya se esté registrando en diario. Esto ofrece una manera rápida y sencilla de suministrar registro en diario ad hoc.

Mediante la Consola de administración de Exchange y el Asistente para nuevo grupo de distribución dinámica, tiene la opción de seleccionar el contenedor de usuarios y, como se muestra en la figura 7, de filtrar los buzones incluidos según el valor de determinados atributos de Active Directory. La selección de uno de los atributos personalizados, como también se muestra en la figura 7, permite al administrador controlar qué usuarios se están registrando en diario agregando o quitando este valor.

Figura 7** Uso del Asistente para nuevo grupo de distribución dinámica para configurar reglas de registro en diario **(Hacer clic en la imagen para ampliarla)

Para obtener un análisis exhaustivo del registro en diario en Exchange 2007, consulte el artículo de David Strome de diciembre 2006 "Una elaboración de diarios más eficaz en Exchange 2007". Encontrará información adicional en "Introducción al registro en diario".

Alan Maddison trabaja como consejero superior en la práctica de tecnología de Microsoft de MTI Technology Corporation. Su trabajo se centra principalmente en Active Directory, Exchange Server y en la virtualización.

© 2008 Microsoft Corporation and CMP Media, LLC. Reservados todos los derechos; queda prohibida la reproducción parcial o total sin previa autorización.