Creare blocchi di eDiscovery in un caso di eDiscovery

È possibile usare un caso Microsoft Purview eDiscovery (Premium) o (Standard) per creare blocchi per mantenere il contenuto che potrebbe essere rilevante per il caso. È possibile inserire un blocco nelle cassette postali di Exchange e OneDrive for Business account degli utenti in cui si sta analizzando il caso. È anche possibile inserire un blocco nelle cassette postali e nei siti associati a Microsoft Teams, ai gruppi di Microsoft 365 e Viva Engage Gruppi. Quando si posizionano i percorsi del contenuto in attesa, il contenuto viene mantenuto fino a quando non si rimuove il percorso del contenuto dal blocco o fino a quando non si elimina il blocco.

Dopo aver creato un blocco di eDiscovery, potrebbero essere richieste fino a 24 ore prima che il blocco dia effetto.

Quando si crea un blocco, sono disponibili le opzioni seguenti per definire l'ambito del contenuto conservato nei percorsi di contenuto specificati:

• Creare una sospensione infinita in cui tutti i contenuti nelle posizioni specificate vengono messi in attesa. In alternativa, è possibile creare una sospensione basata su una query, in cui vengono messi in attesa solo i contenuti nelle posizioni specificate che corrispondono a una query di ricerca.
• Specificare un intervallo di date per conservare solo i contenuti inviati, ricevuti o creati in quell'intervallo di date. In alternativa, è possibile contenere tutto il contenuto in posizioni specificate, indipendentemente da quando è stato inviato, ricevuto o creato.

Come creare un blocco di eDiscovery

Per creare un blocco di eDiscovery associato a un caso di eDiscovery (Premium) o (Standard):

1. Passare a Portale di conformità di Microsoft Purview e accedere usando le credenziali per l'account utente con le autorizzazioni eDiscovery appropriate.

2. Nel riquadro di spostamento a sinistra selezionare Mostra tutto e quindi selezionare eDiscovery > Premium o eDiscovery > Standard.

3. Nella pagina eDiscovery > Premium o eDiscovery (Standard) selezionare il nome del caso in cui si vuole creare il blocco.

4. Nella home page del caso selezionare la scheda Blocco .

5. Nella pagina Blocco selezionare Crea.

6. Nella pagina Assegnare un nome al flusso di lavoro di blocco assegnare al blocco un nome e aggiungere una descrizione facoltativa e quindi selezionare Avanti. Il nome del blocco deve essere univoco nell'organizzazione.

7. Nella pagina Scegliere i percorsi del flusso di lavoro scegliere i percorsi del contenuto da mettere in attesa. È possibile piazzare un blocco per cassette postali, siti e cartelle pubbliche.

   

   1. Cassette postali di Exchange: impostare l'interruttore su Attivato quindi selezionare Scegliere utenti, gruppi o team per specificare le cassette postali da bloccare. Utilizzare la casella di ricerca per trovare le cassette postali degli utenti e i gruppi di distribuzione da mettere in attesa (per mettere in attesa le cassette postali dei membri del gruppo). È anche possibile inserire un blocco nella cassetta postale associata per un team Microsoft, un gruppo di Microsoft 365 e un gruppo di Viva Engage. Per altre informazioni sui dati dell'applicazione conservati quando una cassetta postale viene messa in attesa, vedere Contenuto archiviato nelle cassette postali per eDiscovery.

   Importante

   Quando si seleziona una lista di distribuzione da mettere in attesa, il blocco viene inserito in ogni cassetta postale membro nella lista di distribuzione al momento della creazione dei criteri. Le modifiche successive nella lista di distribuzione non modificano o aggiornano i blocchi o i criteri.

   2. Siti di SharePoint: impostare l'interruttore su Attivato quindi fare selezionare Scegli siti per specificare i siti di SharePoint e gli account di OneDrive da mettere in blocco. Digitare l'URL per ogni sito che si desidera mettere in blocco. È anche possibile aggiungere l'URL per il sito di SharePoint per un team Microsoft, un gruppo di Microsoft 365 o un gruppo di Yammer.

   Importante

   Per creare un blocco per un sito secondario correlato a un sito di SharePoint Online, è necessario utilizzare la proprietà Path in un filtro di query per selezionare un sito secondario specifico.

   3. Cartelle pubbliche di Exchange: impostare l'interruttore su attivato per mettere in stato di blocco tutte le cartelle pubbliche nell'organizzazione di Exchange Online. Non è possibile scegliere cartelle pubbliche specifiche da mettere in blocco. Lasciare l'interruttore disattivato se non si vuole impostare un blocco sulle cartelle pubbliche.

   Importante

   Quando si aggiungono caselle postali di Exchange o siti di SharePoint a una sospensione, è necessario aggiungere esplicitamente almeno una posizione di contenuto alla sospensione. In altre parole, se si imposta l'interruttore su Sì per le cassette postali o i siti, è necessario selezionare cassette postali o siti specifici da aggiungere al blocco. In caso contrario, il blocco di eDiscovery verrà creato ma non verranno aggiunte caselle di posta o siti al blocco.

8. Al termine dell'aggiunta di posizioni al blocco, selezionare Avanti.

9. Per creare un blocco basato su query utilizzando parole chiave o condizioni, eseguire la procedura seguente. Per mantenere tutto il contenuto nei percorsi di contenuto specificati, selezionare Avanti.

   

   1. Nella casella Parole chiavedigitare una query per mantenere solo il contenuto corrispondente ai criteri della query. È possibile specificare parole chiave, proprietà dei messaggi di posta elettronica o proprietà del sito, ad esempio i nomi di file. È anche possibile usare query più complesse, che usano un operatore booleano, ad esempio AND, OR, o NOT.
   2. Selezionare Aggiungi condizione per aggiungere una o più condizioni per limitare la query per il blocco. Ogni condizione aggiunge una clausola alla query di ricerca KQL creata ed eseguita quando si crea il blocco. Ad esempio, è possibile specificare un intervallo di date in modo da preservare le e-mail o i documenti del sito creati entro tale intervallo. Una condizione è collegata logicamente alla query con parola chiave (specificata nella relativa casellaparola chiave) e altre condizioni dall'operatore AND. Di conseguenza, gli elementi devono soddisfare sia la query con parole chiave sia la condizione da mantenere.

   Per ulteriori informazioni sulla creazione di una query di ricerca e sull'uso delle condizioni, vedere Query di parole chiave e condizioni di ricerca per eDiscovery.

10. Dopo aver configurato un blocco basato su query, selezionare Avanti.

11. Rivedere le impostazioni (modificarle, se necessario), quindi selezionare Invia.

Dopo aver creato un blocco, verificare che il blocco venga applicato correttamente passando alla scheda Blocco nel caso e selezionando i criteri di blocco. Per altre informazioni sulla risoluzione dei problemi relativi ai blocchi con errori, vedere Risolvere gli errori di blocco di eDiscovery.

Blocchi basati su query inseriti nei siti

Quando si inserisce un blocco di eDiscovery basato su query nei documenti che si trovano nei siti di SharePoint, tenere presente quanto segue:Keep the following things in mind when you place a query-based eDiscovery hold on documents located in SharePoint sites:

• Un blocco basato su query conserva inizialmente tutti i documenti di un sito per un breve periodo di tempo dopo la loro eliminazione. Ciò significa che quando un documento viene eliminato, viene spostato nella raccolta di archiviazione anche se non corrisponde ai criteri del blocco basato su query. Tuttavia, i documenti eliminati che non corrispondono a una richiesta di conservazione saranno rimossi da un lavoro temporizzato che elabora la libreria di conservazione. Il processo timer viene eseguito periodicamente e confronta tutti i documenti nella raccolta di archiviazione con i blocchi di eDiscovery basati su query (e altri tipi di blocchi e criteri di conservazione). Il processo timer elimina i documenti che non corrispondono a un blocco basato su query e mantiene i documenti che lo fanno.
• I blocchi basati su query non devono essere usati per eseguire la conservazione di destinazione, ad esempio conservando i documenti in una cartella o un sito specifico o usando altri criteri di blocco basati sulla posizione. Questa operazione potrebbe avere risultati imprevisti. È consigliabile usare criteri di blocco non basati sulla posizione, ad esempio parole chiave, intervalli di date o altre proprietà del documento per conservare i documenti del sito.

Percorsi di ricerca nel blocco di eDiscovery

Quando si cerca contenuto in un caso di eDiscovery (Standard), è possibile configurare rapidamente la ricerca per cercare solo i percorsi di contenuto che sono stati inseriti in un blocco associato al caso.

Selezionare l'opzione Posizioni in attesa per cercare tutti i percorsi di contenuto che sono stati messi in attesa. Se il caso contiene più blocchi di eDiscovery, le posizioni del contenuto da tutti i blocchi vengono cercate quando si seleziona questa opzione. Inoltre, se una posizione del contenuto è stata inserita in un blocco basato su query, quando si esegue la ricerca vengono cercati solo gli elementi che corrispondono alla query di blocco. In altre parole, solo il contenuto che corrisponde ai criteri di blocco e ai criteri di ricerca viene restituito con i risultati della ricerca. Ad esempio, se un utente è stato messo in attesa di un caso basato su una query che conserva gli elementi inviati o creati prima di una data specifica, solo questi elementi saranno ricercati. Questa operazione viene eseguita connettendo la query di blocco maiuscole e minuscole e la query di ricerca da un operatore AND .

Di seguito sono riportati alcuni altri aspetti da tenere presenti quando si eseguono ricerche in posizioni in attesa di eDiscovery:

• Se una posizione del contenuto fa parte di più blocchi nello stesso caso, le query di blocco vengono combinate dagli operatori OR quando si esegue la ricerca in tale posizione di contenuto usando l'opzione all case content .If a content location is part of multiple holds within the same case, the hold queries are combined by OR operators when you search that content location using the all case content option. Analogamente, se un percorso del contenuto fa parte di due blocchi diversi, dove uno è basato su query e l'altro è un blocco infinito (in cui tutto il contenuto viene messo in attesa), tutto il contenuto viene cercato a causa del blocco infinito.
• Se una ricerca è configurata per la ricerca di posizioni in attesa e quindi si modifica un blocco di eDiscovery nel caso (aggiungendo o rimuovendo una posizione o modificando una query di blocco), la configurazione della ricerca viene aggiornata con tali modifiche. Tuttavia, è necessario eseguire di nuovo la ricerca dopo la modifica del blocco per aggiornare i risultati della ricerca.
• Se più blocchi di eDiscovery vengono inseriti in un'unica posizione in un caso di eDiscovery e si sceglie di cercare i percorsi in attesa, il numero massimo di parole chiave per la query di ricerca è 500. Ciò è dovuto al fatto che la ricerca combina tutti i blocchi basati su query usando l'operatore OR . Se sono presenti più di 500 parole chiave nelle query di blocco combinate e nella query di ricerca, viene eseguita la ricerca di tutto il contenuto nella cassetta postale, non solo del contenuto corrispondente ai blocchi di maiuscole e minuscole basati su query.
• Se uno stato di blocco di eDiscovery è Attivato (In sospeso), è comunque possibile cercare le posizioni in attesa mentre il blocco è attivato.

Mantenere il contenuto in Microsoft Teams

Le conversazioni che fanno parte di un canale di Microsoft Teams vengono archiviate nella cassetta postale associata al team Microsoft. Allo stesso modo, i file che i membri del team condividono in un canale vengono archiviati nel sito di SharePoint del team. Pertanto, è necessario posizionare la cassetta postale del team e il sito di SharePoint in eDiscovery per mantenere conversazioni e file in un canale.

In alternativa, le conversazioni che fanno parte dell'elenco chat in Teams (chiamate chat 1:1 o chat di gruppo 1:N) vengono archiviate nelle cassette postali degli utenti che partecipano alla chat. I file condivisi dagli utenti nelle conversazioni di chat vengono archiviati nell'account OneDrive dell'utente che condivide il file. Pertanto, è necessario aggiungere le singole cassette postali utente e gli account OneDrive a un blocco di eDiscovery per mantenere le conversazioni e i file nell'elenco di chat. È consigliabile tenere in attesa le cassette postali dei membri di un team Microsoft, oltre a mettere in attesa la cassetta postale e il sito del team.

Per altre informazioni sulla conservazione del contenuto di Teams, vedere Inserire un utente o un team di Microsoft Teams in attesa legale.

Mantenere il contenuto della scheda

Analogamente, il contenuto della scheda generato dalle app nei canali di Teams, nelle chat 1:1 e nelle chat di gruppo 1:N viene archiviato nelle cassette postali e viene conservato quando una cassetta postale viene inserita in un blocco di eDiscovery. Una scheda è un contenitore di interfaccia utente per piccole parti di contenuto. Le schede possono avere più proprietà e allegati e possono includere elementi che attivano azioni della scheda. Per altre informazioni, vedere Schede. Come nel caso di altri contenuti di Teams, il luogo di archiviazione del contenuto delle schede dipende da dove è stata usata la scheda. Il contenuto delle schede usate in un canale di Teams viene archiviato nella cassetta postale di gruppo di Teams. Il contenuto delle schede per chat tra due persone e 1xN viene archiviato nelle cassette postali dei partecipanti alla chat.

Mantenere le informazioni su riunioni e chiamate

Le informazioni di riepilogo per le riunioni e le chiamate in un canale di Teams vengono archiviate anche nelle cassette postali degli utenti che hanno partecipato alla riunione o alla chiamata. Questo contenuto viene conservato anche quando viene inserito un blocco di eDiscovery nelle cassette postali degli utenti.

Mantenere il contenuto nei canali privati

A partire da febbraio 2020, è stata inoltre attivata la possibilità di mantenere i contenuti nei canali privati. Poiché le chat del canale privato vengono archiviate nelle cassette postali dei partecipanti alla chat, l'inserimento di una cassetta postale utente nel blocco di eDiscovery mantiene le chat del canale privato. Inoltre, se una cassetta postale utente è stata inserita in un blocco di eDiscovery prima di febbraio 2020, il blocco verrà ora applicato automaticamente ai messaggi del canale privato archiviati in tale cassetta postale. È supportato anche il mantenimento dei file condivisi nei canali privati.

Mantenere il contenuto wiki

Ogni canale team o team contiene anche un wiki per prendere appunti e collaborare. Il contenuto Wiki viene salvato automaticamente in un file con formato MHT. Il file è archiviato nella raccolta documenti di dati Wiki di Teams nel sito di SharePoint del team. È possibile mantenere il contenuto wiki aggiungendo il sito di SharePoint del team a un blocco di eDiscovery.

Gruppi di Microsoft 365

Teams è basato su gruppi di Microsoft 365. Pertanto, l'inserimento di gruppi di Microsoft 365 nel blocco di eDiscovery è simile al blocco del contenuto di Teams.

Quando si posizionano i gruppi di Teams e Microsoft 365 in un blocco di eDiscovery, tenere presente quanto segue:

• Come spiegato in precedenza, per inserire il contenuto in Teams e nei gruppi di Microsoft 365 in attesa, è necessario specificare la cassetta postale e il sito di SharePoint associati a un gruppo o a un team.

• Eseguire il cmdlet Get-UnifiedGroup in Exchange Online PowerShell per visualizzare le proprietà per i gruppi di Teams e Microsoft 365. Questo è un buon modo per ottenere l'URL per il sito associato a un team o a un gruppo di Microsoft 365. Ad esempio, il comando seguente visualizza le proprietà selezionate per un gruppo di Microsoft 365 denominato Senior Leadership Team:

  Get-UnifiedGroup "Senior Leadership Team" | FL DisplayName,Alias,PrimarySmtpAddress,SharePointSiteUrl
  
  DisplayName            : Senior Leadership Team
  Alias                  : seniorleadershipteam
  PrimarySmtpAddress     : seniorleadershipteam@contoso.onmicrosoft.com
  SharePointSiteUrl      : https://contoso.sharepoint.com/sites/seniorleadershipteam
  

  Nota

  Per eseguire il cmdlet Get-UnifiedGroup, è necessario avere il ruolo Destinatari di sola lettura in Exchange Online o essere membri di un gruppo di ruoli assegnato al ruolo Destinatari di sola lettura.

• Quando viene eseguita la ricerca nella cassetta postale di un utente, qualsiasi gruppo di Team o Microsoft 365 di cui l'utente è membro non verrà cercato. Analogamente, quando si inserisce un gruppo team o Microsoft 365 in un blocco di eDiscovery, vengono sospesi solo la cassetta postale del gruppo e il sito del gruppo. Le cassette postali e OneDrive for Business siti dei membri del gruppo non vengono sospese a meno che non vengano aggiunte in modo esplicito al blocco di eDiscovery. Pertanto, se è necessario mettere in attesa un team o un gruppo di Microsoft 365 per un motivo legale, provare ad aggiungere le cassette postali e gli account OneDrive dei membri del team o del gruppo nello stesso blocco.

• Per ottenere un elenco dei membri di un team o di un gruppo di Microsoft 365, è possibile visualizzare le proprietà nella pagina Gruppi nella interfaccia di amministrazione di Microsoft 365. In alternativa, è possibile eseguire il comando seguente in PowerShell di Exchange Online:

  Get-UnifiedGroupLinks <group or team name> -LinkType Members | FL DisplayName,PrimarySmtpAddress
  

  Nota

  Per eseguire il cmdlet Get-UnifiedGroupLinks, è necessario avere il ruolo Destinatari di sola lettura in Exchange Online o essere membri di un gruppo di ruoli assegnato al ruolo Destinatari di sola lettura.

Mantenere il contenuto negli account di OneDrive

Per raccogliere un elenco degli URL per i siti OneDrive for Business nell'organizzazione in modo da poterli aggiungere a un blocco o a una ricerca associata a un caso di eDiscovery, vedere Creare un elenco di tutte le posizioni di OneDrive nell'organizzazione. Lo script in questo articolo crea un file di testo che contiene un elenco di tutti i siti di OneDrive nell'organizzazione. Per eseguire questo script, è necessario installare e usare SharePoint Online Management Shell. Assicurarsi di aggiungere l'URL del dominio MySite dell'organizzazione a ogni sito OneDrive che si desidera includere nella ricerca. Questo è il dominio che contiene tutti i onedrive; Ad esempio, https://contoso-my.sharepoint.com. Ecco un esempio di URL per il sito di OneDrive di un utente: https://contoso-my.sharepoint.com/personal/sarad_contoso_onmicrosoft.com.

Rimozione di percorsi di contenuto da un blocco di eDiscovery

Dopo che una casella postale, un sito SharePoint o un account OneDrive sono stati rimossi da un blocco di eDiscovery, viene applicato un blocco di ritardo. Ciò significa che la rimozione effettiva del blocco viene ritardata di 30 giorni per evitare che i dati vengano eliminati definitivamente (eliminati) da un percorso di contenuto. Ciò offre agli amministratori l'opportunità di cercare o recuperare contenuto che verrà eliminato dopo la rimozione di un blocco di eDiscovery. I dettagli sul funzionamento del ritardo per le caselle postali e i siti sono diversi.

• Cassette postali: Un blocco di ritardo viene inserito in una cassetta postale la volta successiva che Managed Folder Assistant elabora la cassetta postale e rileva che è stato rimosso un blocco di eDiscovery. In particolare, un blocco di ritardo viene applicato a una cassetta postale quando Managed Folder Assistant imposta una delle proprietà seguenti della cassetta postale su True:

  • DelayHoldApplied: Questa proprietà si applica al contenuto correlato alla posta elettronica (generato da utenti che usano Outlook e Outlook sul web) archiviato nella cassetta postale di un utente.
  • DelayReleaseHoldApplied: Questa proprietà si applica al contenuto basato sul cloud (generato da app non Outlook come Microsoft Teams, Microsoft Forms e Microsoft Yammer) archiviato nella cassetta postale di un utente. I dati cloud generati da un'applicazione Microsoft sono in genere archiviati in una cartella nascosta nella casella di posta elettronica dell'utente.

  Quando nella cassetta postale viene inserito un blocco di ritardo (quando una delle proprietà precedenti è impostata su True), la cassetta postale è ancora considerata in attesa per una durata illimitata, come se la casella fosse in Attesa di contenzioso. Dopo 30 giorni, il blocco di ritardo scade e Microsoft 365 tenterà automaticamente di rimuovere il blocco di ritardo impostando la proprietà DelayHoldApplied o DelayReleaseHoldApplied su False, in modo che il blocco venga rimosso. Dopo che una di queste proprietà è impostata su False, gli elementi corrispondenti contrassegnati per la rimozione vengono eliminati la volta successiva in cui la cassetta postale viene elaborata da Managed Folder Assistant.

  Per altre informazioni, vedere Gestione della permanenza nelle cassette postali .

• Siti di SharePoint e OneDrive: Qualsiasi contenuto di SharePoint o OneDrive conservato nella raccolta di archiviazione non viene eliminato durante il periodo di attesa di 30 giorni dopo la rimozione di un sito da un blocco di eDiscovery. Questo comportamento è simile a quello che accade quando un sito viene rilasciato da un criterio di conservazione. Inoltre, non è possibile eliminare manualmente questo contenuto nella libreria Preservation Hold durante il periodo di ritardo di 30 giorni. Per rilasciare un sito dal periodo di attesa/periodo di tolleranza di 30 giorni, vedere l'articolo Non è possibile eliminare un sito a causa di criteri di conservazione non validi o della risoluzione dei problemi di blocco di eDiscovery.

  Per altre informazioni, vedere Rilascio di un criterio per la conservazione.

Un blocco di ritardo viene applicato anche ai percorsi di contenuto in attesa quando si chiude un caso di eDiscovery (Standard) perché i blocchi vengono disattivati quando un caso viene chiuso. Per altre informazioni sulla chiusura di un caso, vedere Chiudere, riaprire ed eliminare un caso di eDiscovery (Standard).

Limiti di blocco di eDiscovery

Nella tabella seguente sono elencati i limiti per i casi e i blocchi di maiuscole e minuscole di eDiscovery.