Orígenes de datos en eDiscovery

En Microsoft 365, los datos se almacenan en tres plataformas: Exchange, Teams y SharePoint. Estas plataformas sirven como troncal para organizar y administrar datos dentro de aplicaciones de Microsoft 365. La mayoría de las aplicaciones de Microsoft 365 almacenan datos en uno o varios de los siguientes contenedores:

• Usuarios: datos asociados a usuarios individuales, como su correo, mensajes de Teams 1:1 y archivos de OneDrive.
• Grupos: datos propiedad de la organización o de un grupo de usuarios dentro de una organización. Estos grupos a menudo se conocen como Grupos unificados o Teams.

En eDiscovery, el concepto de origen de datos simplifica el proceso de identificación y administración de datos en las plataformas de Microsoft 365. Los usuarios de eDiscovery seleccionan un usuario o grupo, lo que crea un origen de datos y eDiscovery identifica y organiza automáticamente los datos pertinentes almacenados entre plataformas. El origen de datos recopila ubicaciones relacionadas con el usuario o grupo (buzones, sitios de OneDrive, sitios de SharePoint) y agrega las ubicaciones de la jerarquía del origen de datos. Los usuarios de eDiscovery refinan el ámbito seleccionando o excluyendo ubicaciones específicas según sea necesario.

Un origen de datos de usuario suele incluir:

• Buzón de usuario
• Sitio de OneDrive

Los grupos unificados se clasifican en tres tipos, cada uno de los cuales abarca ubicaciones de datos específicas:

• Teams: incluye almacenamiento de buzones de Exchange para chats y correos electrónicos de Teams, así como todos los sitios de SharePoint asociados para canales y el equipo.
• Yammer: incluye el almacenamiento de buzones de Exchange para los mensajes de Yammer.
• Clásico: solo incluye sitios de SharePoint.

Los usuarios de eDiscovery también pueden usar orígenes de toda la organización para realizar búsquedas en toda la organización. Entre los orígenes de toda la organización se incluyen:

• Todas las personas y grupos: incluye todos los usuarios y todos los grupos de la organización.
• Todas las carpetas públicas: incluye todo el contenido de los buzones de carpetas públicas de Exchange.

Es un caso común en el que se debe buscar un conjunto de buzones de usuario y la lista se administra como una lista de distribución. Se admite la adición de listas de distribución y solo se buscan los buzones de Exchange que aparecen en el grupo.

Puede buscar orígenes de datos o ubicaciones de datos específicos mediante nombres de usuario o grupo, direcciones de protocolo simple de transferencia de correo (SMTP) de buzón y direcciones URL de sitio de OneDrive o SharePoint. Al crear una búsqueda mediante orígenes de datos específicos, solo se buscan las ubicaciones especificadas en el origen de datos.

Si usa el origen de toda la organización Todos los usuarios y grupos, la búsqueda abarca todos los buzones de Exchange, OneDrive y sitios de SharePoint. Si solo desea buscar en todos los buzones de Exchange, seleccione buzones en Todas las personas y grupos y anule la selección de los sitios. Si necesita buscar solo en todos los sitios de SharePoint y OneDrive, seleccione sitios en Todas las personas y grupos y anule la selección de los buzones.

La sincronización del origen de datos en tiempo real ayuda a garantizar que siempre esté informado sobre los cambios más recientes en las ubicaciones de datos asociadas a usuarios y grupos. Puede consultar si se agregan orígenes de datos específicos a una búsqueda, si una suspensión incluye ubicaciones de datos recién aprovisionadas o si se quitan ubicaciones de datos.

Por ejemplo, si se crea un canal privado para un grupo de Teams, la característica de sincronización del panel de origen de datos le avisa de la nueva ubicación, lo que le permite incluirla rápida y fácilmente en búsquedas o retenciones. Esta sincronización garantiza que los nuevos datos no pasan desapercibidos y se incluyen en las investigaciones. Esta sincronización también ayuda a evitar posibles pérdidas de datos por los cambios de ubicación.

Para obtener más información sobre el uso eficaz de orígenes de datos, consulte el siguiente vídeo:

Adición de orígenes de datos a casos

Después de habilitar las características de eDiscovery premium para un caso, use las siguientes opciones para agregar orígenes de datos a un caso:

Importación masiva de orígenes de datos a un caso

En un caso de eDiscovery, puede agregar varios orígenes de datos a un caso agregando una lista de direcciones SMTP o direcciones URL. La característica de importación valida las entradas antes de agregar los orígenes, por lo que puede corregir posibles problemas, como errores tipográficos. Este proceso simplificado le ayuda a ahorrar tiempo y a agregar muchos orígenes de datos a los casos de forma más eficaz.

Antes de importar orígenes de datos, revise las consideraciones siguientes:

• Puede importar hasta 500 orígenes de datos a la vez. Para minimizar el tiempo de procesamiento para buscar y agregar ubicaciones, divida la importación en varias importaciones en lugar de importar el número máximo de orígenes de datos a la vez.

• Debe usar el delimitador en la ; lista de direcciones SMTP o direcciones URL. La lista debe seguir el formato del ejemplo siguiente:

  abh784@contoso.ms;https://contosodemos2.sharepoint.com/sites/Logistics;https://contosodemos2.sharepoint.com/sites/Mark8Project-UETConference;https://contosodemos2.sharepoint.com/sites/WG-ProjectObsidian;maib31@contoso.ms;rma230@contoso.ms;sva561@contoso.ms;mmz776@contoso.ms;LogisticsDSIGoldenSetDataToloka1@contoso.ms;jka132@contoso.ms;shafar929@contoso.ms;ika636@contoso.ms;brobet@contoso.ms;koka81@contoso.ms;rash95@contoso.ms;mvga66@contoso.ms;mra715@contoso.ms;abe543@contoso.ms;kto888@contoso.ms;moba80@contoso.ms;mian41@contoso.ms;inch48@contoso.ms;Mario.Smith_0803@contoso.ms;yape61@contoso.ms;mwo365@contoso.ms;fasi19@contoso.ms;HumanResourcesDugoPlannerTest@contoso.ms;kamo78@contoso.ms;bga844@contoso.ms;salesteam@contoso.ms;cko475@contoso.ms;ProjectZ@contoso.ms;TalentSourcingDanieltest5@contoso.ms;las450@contoso.ms;elfl69@contoso.ms;jch952@contoso.ms;asch81@contoso.ms;gmu955@contoso.ms;okbo68@contoso.ms

• Los grupos de distribución no se expanden a miembros individuales durante el proceso de importación.

• Para importar un buzón inactivo como origen de datos, agregue un . prefijo a la dirección de correo electrónico del buzón inactivo. Por ejemplo, .sarad@contoso.onmmicrosoft.com.

• No se agregan direcciones SMTP no verificadas, pero se admiten direcciones URL no verificadas. Una dirección URL no verificada significa que el origen de datos no se puede comprobar con un sitio de SharePoint válido que esté en un estado bloqueado.

Para importar de forma masiva orígenes de datos a un caso, siga estos pasos:

1. Vaya al portal de Microsoft Purview e inicie sesión con las credenciales de los permisos de exhibición de documentos electrónicos asignados a una cuenta de usuario.
2. Seleccione la tarjeta de solución eDiscovery y, a continuación, seleccione Casos en el panel de navegación izquierdo.
3. Seleccione un caso y, a continuación, seleccione la pestaña Orígenes de datos para agregar orígenes de datos al caso. Una vez que agregue orígenes a esta pestaña, estos orígenes de datos estarán disponibles para elegir en todas las búsquedas y retenciones en el caso.
4. Seleccione Importación masiva.
5. En Agregar orígenes de datos, escriba o copie una lista de direcciones SMTP o direcciones URL separadas por un punto y coma.
6. Seleccione Siguiente.
7. En Confirmar orígenes de datos, se comprueba la lista de orígenes de datos y se muestra el estado de comprobación.
8. Una vez completada la comprobación de los orígenes de datos, los orígenes no comprobados se resaltan en rojo y se marcan como No comprobados para que pueda revisarlos. Si necesita actualizar orígenes no comprobados, active la casilla situada junto al origen de datos y seleccione Editar para actualizar la información del origen de datos. Puede corregir cualquier error tipográfico, de ruta de acceso o de formato. Después de editar el origen seleccionado, seleccione Guardar y los orígenes de datos actualizados se reverifican automáticamente.
9. Cualquier entrada con varias coincidencias se muestra con (Duplicado) delante. Puede incluir un subconjunto de orígenes coincidentes duplicados en función de sus necesidades.
10. Si necesita quitar cualquier origen de datos de la importación, seleccione el origen de datos y seleccione Eliminar.
11. Cuando esté listo para agregar cualquiera de los orígenes de datos enumerados, asegúrese de seleccionar todos los orígenes de datos que desea agregar seleccionando la casilla para cada elemento y, a continuación, seleccione Agregar. En función del número de orígenes seleccionados, puede tardar algún tiempo en procesar y agregar los orígenes de datos al caso.

Adición de uno o varios orígenes de datos a un caso

1. Vaya al portal de Microsoft Purview e inicie sesión con las credenciales de los permisos de exhibición de documentos electrónicos asignados a una cuenta de usuario.

2. Seleccione la tarjeta de solución eDiscovery y, a continuación, seleccione Casos en el panel de navegación izquierdo.

3. Seleccione un caso y, a continuación, seleccione la pestaña Orígenes de datos para agregar orígenes de datos al caso. Una vez que agregue orígenes a esta pestaña, estos orígenes de datos estarán disponibles para elegir en todas las búsquedas y retenciones en el caso.

4. Seleccione Agregar y elija opciones en las siguientes áreas de origen de datos:

   Nota:

   Al buscar orígenes, es posible que algunos orígenes aparezcan con un objeto ? delante del origen y etiquetados como No comprobados. Estos orígenes (sitios o buzones) no se pueden comprobar como orígenes válidos cuando se seleccionan. Estos buzones o sitios son externos o el sitio es privado o está bloqueado. Se admite la adición de orígenes no comprobados a búsquedas o retenciones y la comprobación de estos orígenes se vuelve a intentar cuando se ejecuta la búsqueda. Los resultados finales de búsqueda y retención se incluyen en la ubicación .csv archivo en el informe de procesos.

   1. En el lado izquierdo del panel se muestran las opciones de filtro para los orígenes.

   2. En la sección Scope items by (Elementos de ámbito por ), solo todos los orígenes del inquilino (valor predeterminado) están disponibles. Seleccione cualquier origen de datos disponible en su organización.

      Nota:

      La lista predeterminada muestra 100 personas o grupos aleatorios, no todos los usuarios o grupos de la organización. Para buscar un origen de datos específico, use la barra de búsqueda.

   3. Use una de las siguientes opciones del filtro Mostrar para ayudar a definir el ámbito de los orígenes en la sección Buscar :

      • Todas las personas y grupos (valor predeterminado)
      • solo Personas
      • Solo grupos

   4. Si procede, seleccione Excluir usuarios inactivos para reducir el ámbito de los orígenes a solo los usuarios activos actualmente en su organización.

   5. Después de filtrar orígenes de datos, use el control de búsqueda y los selectores de la sección Buscar para agregar orígenes de datos, usuarios y grupos específicos a la consulta de búsqueda. Escriba los usuarios, grupos u ubicaciones de organización específicos que quiera agregar en el campo de búsqueda y seleccione Buscar. Puede usar ";" como delimitador para desencadenar varias búsquedas a la vez. Por ejemplo, input john@contoso.com;david@contoso.com permite buscar y buscar coincidencias en ambos buzones a la vez. El ; delimitador no admite direcciones URL de sitio.

      Busque personas que usen los valores siguientes:

      • Nombre y apellido del nombre para mostrar del usuario (por ejemplo, John Smith)
      • Solo nombre
      • Dirección SMTP de usuario
      • Alias de usuario
      • Exchange GUID
      • Dirección URL del sitio de OneDrive del usuario

      Busque grupos con los valores siguientes:

      • Dirección SMTP del buzón de grupo

      • Dirección URL del sitio de grupo. La dirección URL de un sitio de canal de Teams resuelve el grupo de Teams como origen de datos.

        Si agrega un grupo de distribución, la lista de miembros del grupo no aparece y el grupo se agrega a la búsqueda como buzón de origen de datos. Cuando se ejecuta la búsqueda, los buzones de correo miembros del grupo de distribución se expanden y se buscan por completo.

        Para confirmar que los buzones buscaron los miembros del grupo de distribución, use la Locations_la fecha y hora de la información del informe en el informe proceso una vez completada la búsqueda. Para confirmar la pertenencia a grupos antes de ejecutar la búsqueda, seleccione el menú de puntos suspensivos del grupo y Miembros.

5. Seleccione Agregar para agregar el origen de datos al caso seleccionado. Este origen de datos ya está disponible al agregar orígenes de datos para búsquedas y retenciones en el caso.

Adición de orígenes de datos a búsquedas y retenciones

Complete los pasos siguientes para agregar orígenes de datos a una búsqueda o retención específica:

1. En una nueva búsqueda o suspensión, seleccione Agregar orígenes o seleccione +Agregar orígenes de datos en la lista desplegable. Puede buscar y seleccionar orígenes de datos específicos en los que buscar o conservar.

   Si necesita realizar la búsqueda en buzones o sitios de toda la organización, seleccione Agregar orígenes del lado inquilino en la búsqueda vacía o seleccione el + botón y elija un origen de toda la organización en la lista desplegable.

   Nota:

   Los orígenes de toda la organización solo están disponibles en las búsquedas, no en las retenciones.

2. En el lado izquierdo del panel se muestran las opciones de filtro para los orígenes. Use filtros para limitar los orígenes de datos mediante:

   • Todos los orígenes del inquilino (valor predeterminado): Use esta opción para buscar desde orígenes de datos disponibles en su organización.

   Nota:

   La lista predeterminada muestra 100 personas o grupos aleatorios, no todos los usuarios o grupos de la organización. Para buscar un origen de datos específico, use la barra de búsqueda.

   • Todos los orígenes en este caso: use esta opción para elegir entre orígenes de datos agregados en el nivel de caso. Esta opción le permite usar rápidamente los orígenes de datos agregados al caso en una búsqueda o suspensión sin tener que buscar en toda la organización.

   • Use una de las siguientes opciones del filtro Mostrar para ayudar a definir el ámbito de los orígenes en la sección Buscar :

     • Todas las personas y grupos (valor predeterminado)
     • solo Personas
     • Solo grupos

   • Si procede, seleccione Excluir usuarios inactivos para reducir el ámbito de los orígenes a solo los usuarios activos actualmente.

   • Use Ubicaciones para incluir el control para especificar si los orígenes de datos seleccionados agregados a la búsqueda o la suspensión incluyen:

     • Buzones de correo y sitios (valor predeterminado): los orígenes de grupo o personas seleccionados incluyen el buzón y el sitio para la búsqueda o la suspensión. Esto significa que al seleccionar el usuario se incluyen tanto el buzón como OneDrive para el usuario. La selección de un grupo de Microsoft 365 incluye el buzón de grupo y todos los sitios de grupo asociados.
     • Solo buzones: solo se incluye el buzón asociado al usuario o grupo seleccionado. No se incluyen los sitios de OneDrive y SharePoint.
     • Solo sitios: solo se incluyen los sitios asociados al usuario o grupo seleccionado. Los buzones no se incluyen.

3. Después de filtrar los orígenes de datos, use el control de búsqueda y los selectores de la sección Buscar para agregar orígenes de datos, usuarios y grupos específicos a la consulta de búsqueda. Escriba los usuarios, grupos u ubicaciones de organización específicos que quiera agregar en el campo de búsqueda y seleccione Buscar. Use un punto y coma como delimitador para varias búsquedas a la vez. Por ejemplo, john@contoso.com;david@contoso.com busca y busca coincidencias para ambos buzones a la vez. El delimitador de punto y coma no admite direcciones URL de sitio.

4. Seleccione Guardar y cerrar para agregar el origen de datos a la búsqueda o suspensión actual.

5. Como alternativa, seleccione Administrar para ajustar los buzones y sitios pertinentes en los orígenes seleccionados. La vista Administrar proporciona una vista detallada de todos los buzones y sitios asociados a cada origen, que muestra detalles como la dirección SMTP del buzón y la dirección URL del sitio. En el caso de los orígenes de Teams, también incluye los nombres de canal correspondientes y la información de tipo.

Otras consideraciones

• En la vista Administrar orígenes, es posible que algunos orígenes seleccionados no muestren sitios asociados. Este problema puede producirse por varias razones:

  • OneDrive no aprovisionado, retraso de aprovisionamiento o problemas de sincronización: si un usuario no tiene OneDrive aprovisionado, su origen solo incluye un buzón de correo y no un sitio de OneDrive. El sitio de OneDrive existe, pero no se sincroniza en el directorio de cumplimiento debido a la latencia de aprovisionamiento.
  • Usuarios eliminados: si quita un usuario del directorio, es posible que su sitio de OneDrive siga existiendo, pero no esté vinculado a su objeto de usuario. No aparece bajo su origen en la vista Administrar .
  • Usuario de salida: el usuario dejó la organización y su cuenta está en un estado inactivo o eliminado temporalmente.
  • Usuario con licencia: se quitó la licencia de Microsoft 365 del usuario. Esta acción interrumpe el vínculo a su sitio de OneDrive.
  • Buzón convertido: el buzón del usuario se convirtió en un buzón compartido o en un usuario de correo. Este cambio puede afectar a la forma en que el sistema asocia OneDrive.
  • Varios administradores de colecciones de sitios: si el sitio de OneDrive tiene varios administradores y la propiedad no está clara, es posible que el sistema no lo asigne al usuario original.
  • Estado de retención o de solo suspensión: el usuario tiene un buzón de correo inactivo o un estado de solo suspensión, y OneDrive podría limpiarse por directivas de retención.
  • Origen no comprobado: al buscar orígenes de datos, algunos buzones o sitios pueden aparecer con un icono ? y la etiqueta Sin comprobar. Este estado significa que el sistema no pudo confirmar el origen como válido en el momento de la selección, a menudo porque el buzón o sitio es externo, privado o bloqueado. Todavía puede agregar orígenes no comprobados a búsquedas o retenciones. La comprobación se intenta de nuevo cuando se ejecuta la búsqueda y el estado final se refleja en el archivo location.csv del informe de procesos.

• Al agregar un grupo de distribución, no se muestra la lista de miembros del grupo. El grupo de distribución se agrega a la búsqueda como buzón de origen de datos. Al ejecutar la búsqueda, el sistema se expande y busca por completo en los buzones de los miembros del grupo de distribución. Para confirmar que los buzones buscaron los miembros del grupo de distribución, use la información del Locations_*the date/time of the report*informe Proceso una vez completada la búsqueda. Para confirmar la pertenencia a grupos antes de ejecutar la búsqueda, seleccione el menú de puntos suspensivos para el grupo y los miembros.

  Si la pertenencia al grupo de distribución cambia después de agregarlo como origen de datos en la búsqueda, vuelva a ejecutar la búsqueda para incluir elementos para los miembros actuales del grupo. Cada vez que se ejecuta la búsqueda, se incluyen los miembros actuales y se excluyen los miembros anteriores.

Buzones de correo inactivos

Puede buscar, revisar y exportar buzones inactivos almacenados en su organización en eDiscovery. Para contener contenido de buzón inactivo, aplique primero la directiva de suspensión al buzón activo, compruebe que se ha realizado correctamente y, a continuación, cambie el buzón a inactivo.

Al usar buzones inactivos en búsquedas y retenciones de exhibición de documentos electrónicos, tenga en cuenta los siguientes puntos:

• Buscar buzones inactivos en una búsqueda de exhibición de documentos electrónicos. Para obtener una lista de los buzones inactivos de la organización, ejecute Get-Mailbox -InactiveMailboxOnly en Exchange Online PowerShell. Como alternativa, vaya a Administración> del ciclo de vida de datosRetención deMicrosoft 365> en el portal de Microsoft Purview y seleccione Más (los puntos suspensivos de la barra de navegación).

• Si una búsqueda existente incluye un buzón de usuario y actualiza ese buzón a inactivo, la búsqueda continúa buscando en el buzón inactivo al volver a ejecutar la búsqueda.

• Algunos usuarios pueden tener un buzón activo y un buzón inactivo que tengan direcciones SMTP diferentes. En este caso, solo se busca el buzón específico que seleccione como ubicación para una búsqueda. Si agrega el buzón de un usuario a una búsqueda, no puede suponer que se busquen buzones activos e inactivos. Solo se busca el buzón que agrega explícitamente a la búsqueda.

• Use Security & Compliance PowerShell para crear una búsqueda de un buzón inactivo. Debe anexar un punto a la dirección de correo electrónico del buzón inactivo. Por ejemplo, el siguiente comando crea una búsqueda de contenido que busca en un buzón inactivo con la dirección pavelb@contoso.onmicrosoft.comde correo electrónico :

  New-ComplianceSearch -Name InactiveMailboxSearch -ExchangeLocation .pavelb@contoso.onmicrosoft.com -AllowNotFoundExchangeLocationsEnabled $true

• Evite tener un buzón activo y un buzón inactivo con la misma dirección SMTP. Si necesita reutilizar la dirección SMTP asignada a un buzón inactivo, recupere el buzón inactivo o restaure el contenido de un buzón inactivo en un buzón activo (o el archivo de un buzón activo) y, a continuación, elimine el buzón inactivo. Para más información, consulte los siguientes artículos:

  • Recuperar un buzón inactivo en Office 365
  • Restaurar un buzón inactivo en Office 365
  • Eliminar un buzón inactivo en Office 365

• Las directivas de suspensión no se admiten para buzones inactivos. Debe colocar retenciones en buzones activos antes de eliminar el buzón. Para obtener más información, consulte Creación y administración de buzones inactivos.

Opciones del origen de datos

Después de agregar orígenes a una búsqueda o suspensión, puede editar los orígenes o explorar orígenes relacionados según sea necesario. Seleccione los puntos suspensivos junto al origen que desea editar o quitar.

Las siguientes opciones están disponibles en Opciones de usuario o grupo:

• Administración del origen de datos
• Incluir o quitar un buzón
• Inclusión o eliminación de sitios

Exploración de orígenes relacionados

Puede explorar y agregar orígenes relacionados de orígenes existentes en una búsqueda o suspensión. Estas opciones le ofrecen la capacidad de investigar orígenes potencialmente pertinentes e incorporar más orígenes a una búsqueda o retención específica.

Para los usuarios que agregue en el panel Orígenes de datos , puede explorar las siguientes conexiones:

• Administrador
• Subordinados directos
• Colaboradores frecuentes
• Grupos que posee el usuario
• Grupos de los que el usuario es miembro

Explorar estas relaciones puede ayudarle a identificar e incluir rápidamente a las personas y orígenes de datos pertinentes en un ámbito de búsqueda. Use Administrar para ajustar si se deben incluir solo buzones de correo, solo sitios o ambos orígenes relacionados en una búsqueda o suspensión.

Administrador

Esta opción le permite explorar hacia arriba en la cadena de informes. La selección del administrador del usuario ayuda a incluir el contexto de supervisión o toma de decisiones en la investigación.

Subordinados directos

Explore hacia abajo en la jerarquía de la organización para el usuario. Esta opción es útil cuando el usuario seleccionado es un jefe o jefe de equipo, y desea incluir las comunicaciones o el contenido de sus miembros del equipo.

Colaboradores frecuentes

Busque otros usuarios que colaboren con frecuencia con el usuario seleccionado. Los colaboradores frecuentes son los 10 usuarios principales que son más relevantes para el usuario seleccionado. Puede seleccionar los buzones y sitios de estos usuarios como orígenes de datos para las búsquedas.

Grupos que posee el usuario

Esta opción muestra los grupos que el usuario seleccionado aparece como propietario. Estos grupos pueden contener contenido compartido o comunicaciones pertinentes para la investigación.

Grupos de los que el usuario es miembro

Esta opción incluye todos los grupos de los que el usuario es miembro, incluso si no es el propietario. Estos grupos pueden proporcionar contexto adicional o orígenes de datos compartidos.

Miembros del grupo

Al agregar un grupo en el panel Orígenes de datos , puede explorar y expandir el grupo para ver sus miembros. Esta característica permite:

• Identifique usuarios individuales dentro del grupo que puedan contener datos pertinentes.
• Seleccione miembros específicos como orígenes de datos adicionales para las búsquedas dirigidas.

Esta característica ayuda a investigar el contenido compartido o las comunicaciones procedentes de grupos de colaboración, como Grupos de Microsoft 365, Teams o listas de distribución.