eDiscovery sul posto in Exchange Online

Se l'organizzazione rispetta i requisiti di individuazione legale (correlati a criteri, conformità o cause legali dell'organizzazione), In-Place eDiscovery in Exchange Online PowerShell può essere utile per eseguire ricerche di individuazione per il contenuto pertinente all'interno delle cassette postali.

Funzionamento di eDiscovery in locale

eDiscovery in locale utilizza gli indici di contenuto creati da Ricerca di Exchange. Role Based Controllo di accesso (RBAC) fornisce il gruppo di ruoli Gestione individuazione per delegare le attività di individuazione a personale non tecnico, senza la necessità di fornire privilegi elevati che potrebbero consentire a un utente di apportare modifiche operative alla configurazione di Exchange. L'interfaccia di amministrazione di Exchange offre un'interfaccia di ricerca semplice da utilizzare per gli utenti non tecnici, quali addetti al settore legale, responsabili della conformità, record manager e addetti alle risorse umane.

Gli utenti autorizzati possono eseguire una ricerca eDiscovery in locale selezionando le cassette postali e specificando quindi criteri come parole chiave, date di inizio e fine, indirizzi di mittenti e destinatari e tipo di messaggi. Una volta completata la ricerca, gli utenti autorizzati possono selezionare una delle azioni seguenti:

• Stimare i risultati della ricerca: questa opzione restituisce una stima delle dimensioni totali e del numero di elementi che verranno restituiti dalla ricerca in base ai criteri specificati.

• Anteprima dei risultati della ricerca: questa opzione fornisce un'anteprima dei risultati. Vengono visualizzati i messaggi restituiti da ciascuna cassetta postale interessata dalla ricerca.

• Copiare i risultati della ricerca: questa opzione consente di copiare i messaggi in una cassetta postale di individuazione.

• Esportare i risultati della ricerca: dopo aver copiato i risultati della ricerca in una cassetta postale di individuazione, è possibile esportarli in un file PST.

Ricerca di Exchange

eDiscovery in locale utilizza gli indici di contenuto creati da Ricerca di Exchange. Ricerca di Exchange è stata riorganizzato per l'utilizzo di Microsoft Search Foundation, una elaborata piattaforma di ricerca che viene fornita con l'indicizzazione, le prestazioni di query e la funzionalità di ricerca piuttosto migliorati. Poiché la funzionalità Microsoft Search Foundation viene utilizzata anche da altri prodotti Office, incluso SharePoint 2013, offre una maggiore interoperabilità e una sintassi di ricerca migliore per questi prodotti.

Con un singolo motore di indicizzazione del contenuto, non vengono usate risorse aggiuntive per eseguire la ricerca per indicizzazione e indicizzare i database delle cassette postali per In-Place eDiscovery quando le richieste di eDiscovery vengono ricevute dai reparti IT.

In-Place eDiscovery usa KQL (Keyword Query Language), una sintassi di query simile alla sintassi di query avanzata (AQS) usata da Ricerca immediata in Microsoft Outlook e Outlook sul web. Gli utenti che hanno familiarità con la sintassi KQL possono creare facilmente query di ricerca potenti per cercare gli indici del contenuto.

Per ulteriori informazioni sui formati di file indicizzati da Ricerca Exchange, vedere Formati di file indicizzati da Ricerca di Exchange.

Gruppo di ruoli Gestione individuazione e ruoli di gestione

Per consentire agli utenti autorizzati di eseguire ricerche In-Place eDiscovery in Exchange Online PowerShell, è necessario aggiungerle al gruppo di ruoli Gestione individuazione. Questo gruppo contiene due ruoli di gestione: il Ruolo di ricerca di cassette postali, che consente a un utente di eseguire una ricerca eDiscovery in locale e il Ruolo di conservazione legale, che consente a un utente di applicare a una cassetta postale Archiviazione sul posto o la conservazione per controversia legale. Per altre informazioni sui ruoli e sui gruppi di ruoli, vedere Autorizzazioni in Exchange Online.

Per impostazione predefinita, le autorizzazioni a eseguire attività associate a eDiscovery in locale non vengono assegnate a un qualsiasi utente o agli amministratori di Exchange. Gli amministratori di Exchange che sono membri del gruppo di ruoli Gestione organizzazione possono aggiungere utenti al gruppo di ruoli Gestione individuazione e creare gruppi di ruoli personalizzati per restringere l'ambito di un responsabile dell'individuazione a un sottoinsieme di utenti. Per altre informazioni sull'aggiunta di utenti al gruppo di ruoli Gestione individuazione, vedere Assegnare autorizzazioni di eDiscovery in Exchange.

Il controllo delle modifiche del ruolo controllo degli accessi in base al ruolo, abilitato per impostazione predefinita, garantisce che vengano mantenuti record adeguati per tenere traccia dell'assegnazione del gruppo di ruoli Gestione individuazione. È possibile utilizzare il rapporto del gruppo di ruoli di amministratore per cercare le modifiche apportate ai gruppi di ruoli di amministratore. Per ulteriori informazioni, vedere Search the role group changes or administrator audit logs.

Ambiti di gestione personalizzata per eDiscovery in locale

È possibile usare un ambito di gestione personalizzato per consentire a utenti o gruppi specifici di usare In-Place eDiscovery per eseguire ricerche in un subset di cassette postali nell'organizzazione Exchange Online. Ad esempio, è possibile consentire a un responsabile dell'individuazione di cercare solo nelle cassette postali di utenti di una specifica sede o reparto. A tale scopo, creare un ambito di gestione personalizzato che usa un filtro destinatario personalizzato per controllare quali cassette postali è possibile cercare. Gli ambiti del filtro destinatario utilizzano filtri per mirare a specifici destinatari in base al tipo o altre proprietà.

Per In-Place eDiscovery, l'unica proprietà di una cassetta postale utente che è possibile usare per creare un filtro destinatario per un ambito personalizzato è l'appartenenza a un gruppo di distribuzione. Se si usano altre proprietà, ad esempio CustomAttributeN, Department o PostalCode, la ricerca ha esito negativo quando viene eseguita da un membro del gruppo di ruoli a cui è assegnato l'ambito personalizzato. Per ulteriori informazioni, vedi Creazione di un ambito di gestione personalizzato per le ricerche di eDiscovery sul posto.

Cassette postali di individuazione

Una volta creata una ricerca eDiscovery in locale, è possibile copiare i risultati della ricerca in una cassetta postale di destinazione. L'interfaccia di amministrazione di Exchange consente di selezionare una cassetta postale di individuazione come cassetta postale di destinazione. Una cassetta postale di individuazione è un tipo speciale di cassetta postale che offre le funzionalità seguenti:

• Selezione della cassetta postale di destinazione più semplice e sicura: quando si usa EAC per copiare In-Place risultati della ricerca di eDiscovery, solo le cassette postali di individuazione vengono rese disponibili come repository in cui archiviare i risultati della ricerca. Non è necessario esaminare un elenco lungo di cassette postali disponibili nell'organizzazione. Questa funzionalità elimina anche la possibilità che un gestore di individuazione selezioni accidentalmente la cassetta postale di un altro utente o una cassetta postale non protetta in cui archiviare i messaggi potenzialmente sensibili.

• Quota di archiviazione delle cassette postali di grandi dimensioni: la cassetta postale di destinazione deve essere in grado di archiviare una grande quantità di dati dei messaggi che possono essere restituiti da una ricerca di eDiscovery In-Place. Per impostazione predefinita, le cassette postali di individuazione dispongono di una quota di archiviazione delle cassette postali di 50 gigabyte (GB). Questo limite di archiviazione può essere aumentato.

• Più sicuro per impostazione predefinita: come tutti i tipi di cassetta postale, a una cassetta postale di individuazione è associato un account utente di Active Directory. Tuttavia, questo account è disabilitato per impostazione predefinita. Solo gli utenti autorizzati ad accedere alla cassetta postale di individuazione, potranno utilizzarlo. Ai membri del gruppo di ruoli Gestione individuazione vengono assegnate le autorizzazioni di accesso completo per la cassetta postale di individuazione predefinita. Le autorizzazioni di accesso alla cassetta postale non verranno assegnate a qualsiasi utente di altre cassette postali di individuazione create.

• Email recapito disabilitato: anche se visibile negli elenchi di indirizzi di Exchange, gli utenti non possono inviare messaggi di posta elettronica a una cassetta postale di individuazione. Le restrizioni di recapito vengono usate per impedire il recapito della posta elettronica alle cassette postali di individuazione. Questo divieto mantiene l'integrità dei risultati della ricerca copiati in una cassetta postale di individuazione.

Il programma di installazione di Exchange crea una cassetta postale di individuazione con il nome visualizzato Cassetta postale di ricerca di individuazione. È possibile usare Exchange Online PowerShell per creare cassette postali di individuazione aggiuntive. Per impostazione predefinita, alle altre cassette postali di individuazione create non verranno assegnate le autorizzazioni di accesso alle cassette postali. È possibile assegnare autorizzazioni di accesso completo alle cassette postali di individuazione create in modo che un gestore di individuazione possa accedere ai messaggi copiati in una cassetta postale di individuazione. Per ulteriori informazioni, vedere Creazione di una cassetta postale di individuazione.

eDiscovery in locale utilizza anche una cassetta postale di sistema con il nome visualizzato SystemMailbox{e0dc1c29-89c3-4034-b678-e6c29d823ed9} per conservare i metadati di eDiscovery in locale. Le cassette postali di sistema non sono visibili nell'interfaccia di amministrazione di Exchange o negli elenchi di indirizzi di Exchange. Nelle organizzazioni locali, prima di rimuovere un database delle cassette postali in cui si trova la cassetta postale di sistema eDiscovery in locale, è necessario spostare la cassetta postale in un altro database di cassette postali. Se la cassetta postale viene rimossa o danneggiata, i responsabili dell'individuazione non possono eseguire ricerche eDiscovery fino a quando non si ricrea la cassetta postale. Per ulteriori informazioni, vedere Elimina e ricrea la cassetta postale di individuazione predefinita in Exchange.

Estimate, preview, and copy search results

Dopo aver completato una ricerca In-Place eDiscovery, è possibile visualizzare le stime dei risultati della ricerca nel riquadro Dettagli dell'interfaccia di amministrazione di Exchange. La stima comprende il numero di elementi restituiti e le dimensioni totali di tali elementi. È anche possibile visualizzare le statistiche sulle parole chiave che restituiscono i dettagli sul numero di elementi restituiti per ciascuna parola chiave utilizzata nella query di ricerca. Queste informazioni sono utili nel determinare l'efficacia delle query. Se la query è troppo ampia, può restituire un set di dati molto più grande, che potrebbe richiedere più risorse da esaminare e potrebbe aumentare i costi di eDiscovery. Se la query è troppo ristretta, potrebbe ridurre in modo significativo il numero di record restituiti o non restituirne affatto. È possibile utilizzare le stime e le statistiche sulle parole chiave per ottimizzare la query affinché soddisfi i requisiti.

È anche possibile visualizzare in anteprima i risultati della ricerca per assicurarsi che i messaggi restituiti contengano il contenuto cercato e, se necessario, ottimizzare ulteriormente la query. Anteprima della ricerca eDiscovery visualizza il numero di messaggi restituiti da ciascuna cassetta postale ricercata e il numero totale di messaggi restituiti dalla ricerca. L'anteprima viene generata rapidamente senza che venga richiesto di copiare i messaggi in una cassetta postale di individuazione.

Una volta soddisfatti della quantità e qualità dei risultati della ricerca, è possibile copiarli in una cassetta postale di individuazione. Quando si copiano i messaggi, sono disponibili le seguenti opzioni:

• Includi elementi non ricercabili: per informazioni dettagliate sui tipi di elementi considerati non ricercabili, vedere le considerazioni sulla ricerca di eDiscovery nella sezione precedente.

• Abilita deduplicazione: la deduplicazione riduce il set di dati includendo solo una singola istanza di un record univoco se vengono trovate più istanze in una o più cassette postali ricercate.

• Abilita registrazione completa: per impostazione predefinita, durante la copia degli elementi viene abilitata solo la registrazione di base . È possibile selezionare Registrazione completa per includere informazioni su tutti i record restituiti dalla ricerca.

• Invia messaggi al termine della copia: una ricerca di eDiscovery In-Place può potenzialmente restituire un numero elevato di record. La copia dei messaggi restituiti a una cassetta postale di individuazione può richiedere parecchio tempo. Usare questa opzione per ottenere una notifica tramite posta elettronica al termine del processo di copia. Per semplificare l'accesso tramite Outlook sul web, la notifica include un collegamento alla posizione in una cassetta postale di individuazione in cui vengono copiati i messaggi.

Esportare i risultati della ricerca in un file PST

Dopo aver copiato i risultati di una ricerca su una cassetta postale di individuazione, è possibile esportarli su file PST.

Dopo aver esportato i risultati di una ricerca in un file PST, l'utente o altri possono aprirli in Outlook per visualizzare o stampare i messaggi restituiti in tali risultati. Per ulteriori informazioni, vedere Esportazione dei risultati della ricerca eDiscovery in un file PST.

Risultati di ricerca diversi

Poiché In-Place eDiscovery esegue ricerche sui dati in tempo reale, è possibile che due ricerche delle stesse origini di contenuto e l'utilizzo della stessa query di ricerca possano restituire risultati diversi. È inoltre possibile che i risultati della ricerca stimati siano diversi dai risultati effettivi copiati in una cassetta postale di individuazione. Questa varianza può verificarsi anche quando si esegue di nuovo la stessa ricerca in un breve periodo di tempo. Esistono diversi fattori in grado di influenzare la coerenza dei risultati della ricerca:

• Indicizzazione continua della posta elettronica in ingresso, perché Ricerca di Exchange esegue continuamente ricerche per indicizzazione e indicizza i database delle cassette postali e la pipeline di trasporto dell'organizzazione.

• Eliminazione di messaggi di posta elettronica da parte di utenti o processi automatizzati.

• Importazione bulk di grandi quantità di messaggi di posta elettronica, che richiede tempo per l'indicizzazione.

Se si ricevono risultati diversi per la stessa ricerca, si consiglia di adottare i seguenti provvedimenti: archiviare le cassette postali per conservarne il contenuto, eseguire le ricerche nelle ore di minor traffico e concedere il tempo necessario per l'indicizzazione dopo l'importazione di grandi quantità di messaggi di posta.

Registrazione per le ricerche eDiscovery sul posto

Esistono due tipi di registrazione per le ricerche eDiscovery sul posto:

• Registrazione di base: la registrazione di base è abilitata per impostazione predefinita per tutte le ricerche di eDiscovery In-Place. Include informazioni sulla ricerca e sull'utente che l'ha eseguita. Le informazioni acquisite sulla registrazione di base vengono visualizzate nel corpo del messaggio di posta elettronica inviato alla cassetta postale in cui vengono archiviati i risultati della ricerca. Il messaggio si trova nella cartella creata per l'archiviazione dei risultati della ricerca.

• Registrazione completa: la registrazione completa include informazioni su tutti i messaggi restituiti dalla ricerca. Tali informazioni sono contenute in un file con valori delimitati da virgole (.csv) allegato al messaggio di posta elettronica contenente le informazioni sulla registrazione di base. Il nome della ricerca viene utilizzato per denominare il file .csv. Queste informazioni potrebbero essere necessarie per la conformità o per il mantenimento dei record. Per abilitare la registrazione completa, è necessario selezionare l'opzione Abilita registrazione completa quando si copiano i risultati della ricerca in una cassetta postale di individuazione nell'interfaccia di amministrazione di Exchange. Se si usa Exchange Online PowerShell, specificare l'opzione di registrazione completa usando il parametro LogLevel.

Oltre al log di ricerca incluso durante la copia dei risultati della ricerca in una cassetta postale di individuazione, Exchange registra anche i cmdlet usati da EAC o Exchange Online PowerShell per creare, modificare o rimuovere ricerche In-Place eDiscovery. Queste informazioni vengono registrate nelle voci del registro di controllo admin. Per altre informazioni, vedere Visualizzare il log di controllo dell'amministratore.

eDiscovery e Archiviazione sul posto

Come parte delle richieste eDiscovery, all'utente potrebbe essere richiesto di conservare il contenuto della cassetta postale fino al termine di una causa legale. È necessario conservare anche i messaggi eliminati o alterati dall'utente di una cassetta postale o tutti i processi. Questa conservazione viene eseguita usando In-Place blocco. Per ulteriori informazioni, vedere Conservazione in locale.

Tenere presente che:

• Non è possibile utilizzare l'opzione per ricercare tutte le cassette postali. È necessario selezionare le cassette postali o i gruppi di distribuzione.

• Non è possibile rimuovere una ricerca In-Place eDiscovery se la ricerca viene usata anche per l'opzione Blocco sul posto . È innanzitutto necessario disabilitare l'opzione Blocco sul posto in una ricerca e quindi rimuovere la ricerca.

Conservazione delle cassette postali per eDiscovery sul posto

Quando un dipendente lascia un'organizzazione, la relativa cassetta postale viene in genere disabilitata o rimossa. Dopo aver disabilitato una cassetta postale, viene disconnessa dall'account utente, ma rimane nella cassetta postale per un determinato periodo, 30 giorni per impostazione predefinita. Managed Folder Assistant non elabora le cassette postali disconnesse e gli eventuali criteri di conservazione non vengono applicati durante questo periodo. Non è possibile eseguire ricerche nel contenuto di una cassetta postale disconnessa. Al termine del periodo di mantenimento configurato per il database delle cassette postali, la cassetta postale eliminata viene rimossa dal database delle cassette postali.

Nelle distribuzioni locali, se l'organizzazione richiede che le impostazioni di conservazione vengano applicate ai messaggi dei dipendenti che non sono più nell'organizzazione o se potrebbe essere necessario conservare la cassetta postale di un ex dipendente per una ricerca eDiscovery in corso o futura, non disabilitare o rimuovere la cassetta postale. È possibile seguire questa procedura per assicurarsi che non sia possibile accedere alla cassetta postale e che non vengano recapitati nuovi messaggi.

1. Disabilitare l'account utente di Active Directory usando Utenti di Active Directory & Computer o altri strumenti o script di provisioning di account o Active Directory. Questa disabilitazione impedisce l'accesso alla cassetta postale usando l'account utente associato.

   Importante

   Gli utenti con autorizzazioni per la cassetta postale con accesso completo potranno comunque accedere alla cassetta postale. Per impedire l'accesso da parte di altri utenti, è necessario rimuovere le autorizzazioni di accesso completo dalla cassetta postale. Per informazioni su come rimuovere le autorizzazioni delle cassette postali di accesso completo in una cassetta postale, vedere Gestire le autorizzazioni per i destinatari.

2. Impostare su un valore molto basso, ad esempio 1 KB, le dimensioni massime dei messaggi che possono essere inviati o ricevuti dall'utente della cassetta postale. Questo limite impedisce il recapito di nuovi messaggi di posta da e verso la cassetta postale.

3. Configurare le restrizioni di recapito per la cassetta postale in modo che nessuno possa inviarvi messaggi. Per ulteriori informazioni, vedere Configurazione di restrizioni di recapito messaggi per una cassetta postale.

Quando si pianifica l'implementazione della conservazione delle cassette postali per la gestione della conservazione dei messaggi (MRM) o eDiscovery sul posto, è necessario tenere conto dell'avvicendamento dei dipendenti. La conservazione a lungo termine delle cassette postali degli ex-dipendenti richiede spazio di archiviazione aggiuntivo nei server Cassette postali e comporta un aumento delle dimensioni del database di Active Directory, perché è necessario mantenere l'account utente associato per lo stesso periodo di tempo. Potrebbe essere inoltre necessario modificare i processi di gestione e provisioning degli account dell'organizzazione.

Documentazione di eDiscovery sul posto

Nella seguente tabella sono riportati i collegamenti agli argomenti che offrono maggiori informazioni su eDiscovery sul posto e relative modalità di gestione.

Per altre informazioni su eDiscovery in Microsoft Purview, vedere Introduzione a eDiscovery (Standard).For more information about eDiscovery in Microsoft Purview, see the Get started with eDiscovery (Standard).