In-Place eDiscovery en Exchange 2013

Se aplica a: Exchange Server 2013

Si su organización cumple los requisitos de detección legales (relacionados con la directiva de la organización, el cumplimiento o las demandas), In-Place eDiscovery en Microsoft Exchange Server 2013 puede ayudarle a realizar búsquedas de detección de contenido relevante dentro de buzones de correo. Exchange 2013 también ofrece funcionalidad de búsqueda federada e integración con Microsoft SharePoint 2013. Con el Centro de exhibición de documentos electrónicos en SharePoint, puede buscar y contener todo el contenido relacionado con un caso, incluidos sitios web de SharePoint 2013, documentos, recursos compartidos de archivos indexados por SharePoint, contenido de buzón en Exchange y contenido archivado de Lync 2013. También puede usar la exhibición de documentos electrónicos local en un entorno híbrido de Exchange para buscar en buzones locales y de nube en la misma búsqueda.

Importante

In-Place eDiscovery es una característica eficaz que permite a un usuario con los permisos correctos obtener potencialmente acceso a todos los registros de mensajería almacenados en toda la organización de Exchange 2013. Es importante controlar y supervisar las actividades de detección, como la incorporación de miembros al grupo de roles de administración de detección, la asignación del rol de administración de búsqueda de buzones y la asignación de permisos de acceso a los buzones para buzones de detección.

Cómo funciona la exhibición de documentos electrónicos local

La exhibición de documentos electrónicos local usa los índices de contenido creados por Exchange Search. El control de acceso basado en roles (RBAC) proporciona el grupo de roles administración de detección para delegar tareas de detección al personal no técnico, sin necesidad de proporcionar privilegios elevados que puedan permitir a un usuario realizar cambios operativos en la configuración de Exchange. El Centro de administración de Exchange (EAC) proporciona una interfaz de búsqueda fácil de usar para el personal no técnico, como funcionarios legales y de cumplimiento, administradores de registros y profesionales de recursos humanos (RR. HH.).

Para realizar una búsqueda de exhibición de documentos electrónicos local, los usuarios autorizados seleccionan los buzones y, después, especifican criterios clave como palabras clave, fechas de inicio y finalización, direcciones de remitentes y destinatarios, y tipos de mensaje. Una vez completada la búsqueda, los usuarios autorizados pueden seleccionar una de las siguientes acciones:

• Cálculo de resultados de búsqueda Esta opción devuelve una estimación del tamaño y la cantidad totales de elementos que devolverá la búsqueda en función del criterio especificado.

• Vista previa de los resultados de búsqueda Esta opción proporciona una vista previa de los resultados. Se muestran los mensajes devueltos de cada buzón en el que se realizó la búsqueda.

• Copiar resultados de búsqueda Esta opción permite copiar los mensajes a un buzón de detección.

• Exportar resultados de búsqueda Una vez copiados los resultados de la búsqueda a un buzón de detección, puede exportarlos a un archivo PST.

Búsqueda de Exchange

La exhibición de documentos electrónicos local usa los índices de contenido creados por Exchange Search. Exchange Search se ha rediseñado para utilizar Microsoft Search Foundation, una eficaz plataforma de búsqueda con un rendimiento muy mejorado en la indización y la consulta, así como en la funcionalidad de búsqueda. Dado que otros productos de Office también usan Microsoft Search Foundation, incluido SharePoint 2013, esta característica ofrece una gran interoperabilidad y una sintaxis de consulta similar a estos productos.

Con un solo motor de indización de contenido, no es necesario usar recursos adicionales para rastrear e indizar bases de datos para la exhibición de documentos electrónicos local cuando los departamentos de TI reciben solicitudes de exhibición de documentos electrónicos.

La exhibición de documentos electrónicos local utiliza el lenguaje de consulta de palabras clave (KQL), una sintaxis de consulta similar a la sintaxis de consulta avanzada (AQS) que la Búsqueda instantánea usa en Microsoft Outlook y en Outlook Web App. Los usuarios muy familiarizados con KQL pueden construir fácilmente consultas de búsqueda eficaces para buscar índices de contenido.

Para obtener más información acerca de los formatos de archivo indizados por la búsqueda de Exchange, vea Formatos de archivo indizados por la búsqueda de Exchange.

Grupo de roles de administración de detección y roles de administración

Para que los usuarios autorizados realicen búsquedas de exhibición de documentos electrónicos locales, debe agregarlos al grupo de roles de Administración de la detección. Este grupo de roles consta de dos roles de administración: Rol Búsqueda entre buzones, que permite a los usuarios realizar búsquedas de exhibición de documentos electrónicos locales, y Rol Retención legal, que permite a los usuarios poner un buzón en retención local o en retención por juicio.

De forma predeterminada, los permisos para realizar tareas relacionadas con la exhibición de documentos electrónicos local no se asignan a ningún usuario ni a ningún administrador de Exchange. Los administradores de Exchange que son miembros del grupo de roles de administración de la organización pueden agregar usuarios al grupo de roles de administración de detección y crear así grupos de roles personalizados para limitar el ámbito de los administradores de detección respecto a un subconjunto de usuarios. Para obtener más información sobre cómo agregar usuarios al grupo de roles de administración de detección, vea Asignar permisos de exhibición de documentos electrónicos en Exchange.

Importante

Si un usuario no se agregó al grupo de roles de administración de detección o no está asignado al rol de búsqueda de buzones de correo, la interfaz de usuario de Suspensión y exhibición de documentos electrónicos local no se mostrará al usuario en el EAC, y los cmdlets de exhibición de documentos electrónicos local no estarán disponibles en el Shell de administración de Exchange.

La auditoría de los cambios de roles de RBAC, que se habilita de forma predeterminada, garantiza que se conserven los registros adecuados para realizar un seguimiento del grupo de roles de administración de detección. Puede usar el informe de grupo de roles de administrador para buscar los cambios realizados en los grupos de roles de administrador. Para obtener más información, vea Search the role group changes or administrator audit logs.

Ámbitos de administración personalizados para la exhibición de documentos electrónicos local

Puede usar un ámbito de administración personalizado para permitir que personas o grupos específicos usen In-Place eDiscovery para buscar un subconjunto de buzones en la organización de Exchange 2013. Por ejemplo, quizás quiera permitir que un administrador de detección realice búsquedas solo en los buzones de los usuarios de un departamento o una ubicación en particular. Para ello, se crea un ámbito de administración personalizado que usa un filtro de destinatarios personalizado para controlar los buzones en los que se pueden realizar búsquedas. Los ámbitos de filtro de destinatario usan filtros para dirigirse a destinatarios específicos en función del tipo de destinatario o de otras propiedades del destinatario.

Para la exhibición de documentos electrónicos local, la única propiedad de un buzón de usuario que puede usar para crear un filtro de destinatarios para un ámbito personalizado es la pertenencia al grupo de distribución. Si usa otras propiedades, como CustomAttributeN, Department o PostalCode, se produce un error en la búsqueda cuando la ejecuta un miembro del grupo de roles al que se asigna el ámbito personalizado. Para más información, vea Crear un ámbito de administración personalizado para las búsquedas de exhibición de documentos electrónicos local.

Integración con SharePoint Server

Exchange Server ofrece integración con SharePoint Server, lo que permite a un administrador de detección usar el Centro de exhibición de documentos electrónicos en SharePoint para realizar las siguientes tareas:

• Buscar y conservar contenido desde una sola ubicación: un administrador de detección autorizado puede buscar y conservar contenido en SharePoint y Exchange, incluido el contenido de Lync, como conversaciones de mensajería instantánea y documentos de reunión compartidos archivados en buzones de Exchange.

• Administración de casos: el Centro de exhibición de documentos electrónicos usa un enfoque de administración de casos para eDiscovery, lo que le permite crear casos y buscar y conservar contenido en repositorios de contenido diferentes para cada caso.

• Exportar resultados de búsqueda: un administrador de detección puede usar el Centro de exhibición de documentos electrónicos para exportar los resultados de la búsqueda. El contenido de los buzones incluido en los resultados de la búsqueda se exporta a un archivo PST.

SharePoint también utiliza Microsoft Search Foundation para indexar el contenido y realizar consultas. Independientemente de si un administrador de detección usa el EAC o el centro de exhibición de documentos electrónicos para buscar contenido de Exchange, se devuelve el mismo contenido de buzón.

En implementaciones locales, antes de usar el Centro de exhibición de documentos electrónicos en SharePoint para buscar en buzones de Exchange, primero debe establecer una confianza entre ambas aplicaciones. En Exchange 2013 y en SharePoint 2013, esto se hace mediante la autenticación OAuth. Para obtener más información, vea Configurar Exchange para el Centro de exhibición de documentos electrónicos de SharePoint. Exchange autoriza las búsquedas de exhibición de documentos electrónicos realizadas en SharePoint a través de RBAC. Para que un usuario de SharePoint pueda realizar una búsqueda de exhibición de documentos electrónicos en buzones de Exchange, debe tener asignado el permiso de administración de detección delegado en Exchange. Para poder obtener una vista previa del contenido de buzones devuelto en una búsqueda de exhibición de documentos electrónicos realizada a través del Centro de exhibición de documentos electrónicos de SharePoint, el administrador de detección debe tener un buzón en la misma organización de Exchange.

Exhibición de documentos electrónicos en una implementación híbrida de Exchange

Para realizar con éxito búsquedas de exhibición de documentos electrónicos entre locales en una organización híbrida de Exchange 2013, tendrá que configurar la autenticación OAuth (Open Authorization) entre sus organizaciones de Exchange locales y de Exchange Online para que pueda usar la exhibición de documentos electrónicos local para buscar buzones locales y en nube. La autenticación OAuth es un protocolo de autenticación de servidor a servidor que permite a las aplicaciones autenticarse mutuamente.

La autenticación OAuth admite los siguientes escenarios de exhibición de documentos electrónicos en una implementación híbrida de Exchange:

• Buzones locales de búsqueda que usan el Archivado de Exchange Online para buzones de archivo basados en la nube.

• Búsqueda de buzones locales y en nube en la misma búsqueda de exhibición de documentos electrónicos.

• Búsqueda de buzones locales mediante el centro de exhibición de documentos electrónicos en SharePoint Online.

Para obtener más información acerca de los escenarios de exhibición de documentos electrónicos que requieren autenticación OAuth para configurarse en una implementación híbrida de Exchange, vea Uso de la autenticación de OAuth para admitir la exhibición de documentos electrónicos en una implementación híbrida de Exchange. Para obtener instrucciones paso a paso para configurar la autenticación OAuth para admitir la exhibición de documentos electrónicos, vea Configurar la autenticación OAuth entre organizaciones de Exchange y Exchange Online.

Buzones de detección

Después de crear una búsqueda de exhibición de documentos electrónicos local, puede copiar los resultados de la búsqueda en un buzón de destino. El EAC permite seleccionar un buzón de detección como buzón de destino. Un buzón de detección es un tipo especial de buzón que ofrece la siguiente funcionalidad:

• Selección de buzón de destino más fácil y segura: cuando se usa el EAC para copiar In-Place resultados de búsqueda de eDiscovery, solo los buzones de detección están disponibles como repositorio en el que almacenar los resultados de búsqueda. No necesita revisar una posible lista extensa de buzones disponibles en la organización. Esto también elimina la posibilidad de que un administrador de detección seleccione accidentalmente otro buzón de correo del usuario o un buzón de correo no seguro en donde almacenar mensajes potencialmente confidenciales.

• Cuota de almacenamiento de buzones de correo de gran tamaño: el buzón de correo de destino debe poder almacenar una gran cantidad de datos de mensajes que puede devolver una búsqueda In-Place eDiscovery. De forma predeterminada, los buzones de detección tienen una cuota de almacenamiento de buzones de 50 gigabytes (GB). No se puede incrementar la cuota de almacenamiento.

• Más seguro de forma predeterminada: al igual que todos los tipos de buzón de correo, un buzón de detección tiene una cuenta de usuario de Active Directory asociada. Sin embargo, esta cuenta está deshabilitada de forma predeterminada. Solamente los usuarios explícitamente autorizados para tener acceso al buzón de correo de detección tienen acceso al mismo. A los miembros del grupo de roles de administración de detección se les asignan permisos de acceso total al buzón de detección predeterminado. Los buzones de detección adicionales que crea no tienen permiso de acceso al buzón de correo asignado a ningún usuario.

• Entrega de correo electrónico deshabilitada: aunque está visible en las listas de direcciones de Exchange, los usuarios no pueden enviar correo electrónico a un buzón de detección. La entrega de correo electrónico a los buzones de detección está prohibida por restricciones de entrega. Esto conserva la integridad de los resultados de la búsqueda que se copiaron a un buzón de detección.

El programa de instalación de Exchange crea un buzón de detección con el nombre para mostrar Buzón de búsqueda de detección. Puede usar el Shell para crear buzones de correo de detección adicionales. De forma predeterminada, los buzones de correo de detección que cree no tendrán permisos de acceso al buzón de correo asignado. Puede asignar permisos de acceso total para que un administrador de descubrimiento tenga acceso a los mensajes copiados a un buzón de detección. Para obtener información más detallada, vea Crear un buzón de correo de detección.

La exhibición de documentos electrónicos local también usa un buzón del sistema con el nombre para mostrar SystemMailbox{e0dc1c29-89c3-4034-b678-e6c29d823ed9} para retener los metadatos de la exhibición de documentos electrónicos local. Los buzones del sistema no se pueden ver en el EAC ni en las listas de direcciones de Exchange. En las organizaciones locales, antes de quitar una base de datos de buzones de correo donde esté ubicado el buzón del sistema de exhibición de documentos electrónicos local, mueva el buzón a otra base de datos de buzones de correo. Si el buzón se elimina o está dañado, los administradores de detección no podrán realizar búsquedas de exhibición de documentos electrónicos hasta que vuelva a crear el buzón. Para obtener más información, vea Eliminar y volver a crear el buzón de detección predeterminado en Exchange 2013.

Uso de la exhibición de documentos electrónicos local

Los usuarios que se han agregado al grupo de roles Administración de detección pueden realizar In-Place búsquedas de eDiscovery. Puede realizar una búsqueda mediante la interfaz basada en web en el EAC. Esto facilita a los usuarios no técnicos, como los administradores de registros, los responsables de cumplimiento normativo o los profesionales legales y de recursos humanos, el uso de In-Place eDiscovery. También puede usar el Shell para realizar una búsqueda. Para obtener más información, vea Crear una búsqueda In-Place eDiscovery.

Nota:

En organizaciones locales, puede utilizar la exhibición de documentos electrónicos local para buscar en buzones ubicados en servidores de buzones de correo de Exchange 2013. Para buscar en buzones ubicados en servidores de buzones de correo de Exchange 2010, utilice la búsqueda en varios buzones en un servidor de Exchange 2010. > > En una implementación híbrida, que es un entorno en el que existen algunos buzones en los servidores de buzones locales y algunos buzones de correo de una organización basada en la nube, puede realizar In-Place búsquedas de exhibición de documentos electrónicos de los buzones basados en la nube mediante el EAC de la organización local. Si piensa copiar mensajes en un buzón de detección, primero debe seleccionar un buzón de detección local. Los mensajes de los buzones basados en nube que se devuelven en los resultados de las búsquedas se copian en el buzón de detección local especificado. Para obtener más información acerca de las implementaciones híbridas, vea Exchange Server 2013 Hybrid Deployments.

El asistente para la suspensión y exhibición de documentos electrónicos local del EAC permite crear una búsqueda de exhibición de documentos electrónicos local y usar la retención local para retener los resultados de la búsqueda. Al crear una búsqueda de exhibición de documentos electrónicos local, se crea un objeto de búsqueda en el buzón del sistema de exhibición de documentos electrónicos local. This object can be manipulated to start, stop, modify, and remove the search. After you create the search, you can choose to get an estimate of search results, which includes keyword statistics that help you determine query effectiveness. You can also do a live preview of items returned in the search, allowing you to view message content, the number of messages returned from each source mailbox and the total number of messages. You can use this information to further fine-tune your query if required.

Cuando esté satisfecho con los resultados de la búsqueda, cópielos a un buzón de detección. También puede usar el EAC o Outlook para exportar un buzón de detección o parte de su contenido a un archivo PST.

Al crear una búsqueda de exhibición de documentos electrónicos local, debe especificar los siguientes parámetros:

• Nombre: el nombre de búsqueda se usa para identificar la búsqueda. Al copiar los resultados de la búsqueda en un buzón de detección, se crea una carpeta en el buzón de detección con el nombre de la búsqueda y la marca de tiempo para identificar los resultados de la búsqueda de manera exclusiva en un buzón de detección.

• Buzones de correo: puede elegir buscar en todos los buzones de la organización de Exchange 2013 o especificar los buzones que desea buscar. Los buzones principal y de archivo de un usuario se incluyen en la búsqueda. Si también desea usar la misma búsqueda para colocar elementos en espera, debe especificar los buzones. Puede especificar un grupo de distribución para incluir usuarios de buzones de correo que sean miembros de ese grupo. La pertenencia al grupo se calcula una vez al crear la búsqueda y los cambios posteriores en la pertenencia al grupo no se reflejan automáticamente en la búsqueda.

• Consulta de búsqueda: puede incluir todo el contenido del buzón de correo de los buzones especificados o usar una consulta de búsqueda para devolver elementos más relevantes para el caso o la investigación. Puede especificar los siguientes parámetros en una consulta de búsqueda:

  • Palabras clave: puede especificar palabras clave y frases para buscar contenido del mensaje. También puede usar los operadores lógicos AND, OR o NOT. De manera adicional, Exchange 2013 también admite el operador NEAR, que permite buscar una palabra o frase que esté cerca de otras.

    Para buscar una coincidencia exacta de una frase de varias palabras, debe colocar la frase entre comillas. Por ejemplo, al buscar la frase "plan y competencia" verá mensajes que contienen una coincidencia exacta de la frase, mientras que si especifica plan AND competencia verá mensajes que contienen las palabras plan y competencia en cualquier parte del mensaje.

    Exchange 2013 también admite la sintaxis del lenguaje de consulta de palabras clave (KQL) para las búsquedas de exhibición de documentos electrónicos local.

    Nota:

    La exhibición de documentos electrónicos local no admite expresiones regulares.

    Los operadores lógicos deben estar en mayúsculas como, por ejemplo AND y OR, para que se traten como operadores en lugar de palabras clave. Se recomienda usar paréntesis explícitos en las consultas donde se mezclen varios operadores lógicos para evitar errores o malas interpretaciones. Por ejemplo, si desea buscar mensajes que contengan WordA o WordB AND WordC o WordD, debe usar (WordA OR WordB) AND (WordC OR WordD).

  • Fechas de inicio y finalización: de forma predeterminada, In-Place exhibición de documentos electrónicos no limita las búsquedas por un intervalo de fechas. Para buscar mensajes enviados durante un intervalo de fechas específico, puede limitar la búsqueda especificando la fecha de inicio y de finalización. Si no especifica una fecha de finalización, la búsqueda mostrará los últimos resultados cada vez que la reinicie.

  • Remitentes y destinatarios: para restringir la búsqueda, puede especificar los remitentes o destinatarios de los mensajes. Puede usar direcciones de correo electrónico, nombres para mostrar o el nombre de un dominio para buscar los elementos que ha enviado alguien o que se han enviado a alguien en el dominio. Por ejemplo, para buscar el correo electrónico enviado por alguien o que se le ha enviado a alguien en Contoso, Ltd, especifique @contoso.com en el campo De o Para/CC del EAC. También puede especificar @contoso.com en los parámetros Remitentes o Destinatarios del Shell.

  • Tipos de mensaje: de forma predeterminada, se buscan todos los tipos de mensaje. Para limitar la búsqueda, seleccione tipos de mensaje específicos como correo electrónico, contactos, documentos, diario, reuniones, notas o contenido de Lync.

La siguiente captura de pantalla muestra un ejemplo de una consulta de búsqueda en el EAC.

Al utilizar la exhibición de documentos electrónicos local, tenga en cuenta lo siguiente:

• Datos adjuntos: In-Place eDiscovery busca datos adjuntos compatibles con Exchange Search. Para obtener información detallada, vea Formatos de archivo indizados por la búsqueda de Exchange. En implementaciones locales, puede agregar compatibilidad con tipos de archivos adicionales al instalar filtros de búsqueda (también conocidos como iFilter) para el tipo de archivo que hay en los servidores de buzones de correo.

• Elementos que no se pueden buscar: los elementos que no se pueden buscar son elementos de buzón que búsqueda de Exchange no puede indexar. Entre los motivos por los que no se pueden indizar se incluye la falta de un filtro de búsqueda instalado para un dato adjunto, un error de filtro o mensajes cifrados. Para que una búsqueda de exhibición de documentos electrónicos se realice correctamente, puede que se le solicite a la organización que incluya dichos elementos para que se revisen. Al copiar los resultados de la búsqueda a un buzón de detección o al exportarlos a un archivo PST, puede incluir elementos no aptos para la búsqueda. Para obtener más información, vea Elementos no aptos para la búsqueda en la exhibición de documentos electrónicos de Exchange.

• Elementos cifrados: dado que los mensajes cifrados mediante S/MIME no están indexados por Búsqueda de Exchange, In-Place eDiscovery no busca en estos mensajes. Si selecciona la opción para incluir los elementos que no permiten búsquedas en los resultados de la búsqueda, estos mensajes cifrados con S/MIME se copian en el buzón de detección.

• Elementos protegidos por IRM: los mensajes protegidos mediante Information Rights Management (IRM) se indexan mediante Exchange Search y, por tanto, se incluyen en los resultados de la búsqueda si coinciden con los parámetros de consulta. Los mensajes deben protegerse mediante un clúster de Active Directory Rights Management Services (AD RMS) en el mismo bosque de Active Directory que el servidor de buzones de correo. Para obtener más información, vea Information Rights Management.

  Importante

  Cuando Exchange Search no indiza un mensaje protegido por IRM, ya sea por un error de descifrado o porque IRM está deshabilitado, el mensaje protegido no se agrega a la lista de elementos en los que se ha producido un error. Si selecciona la opción para incluir los elementos que no permiten búsquedas en los resultados de la búsqueda, es posible que los resultados no incluyan los mensajes protegidos por IRM que no se pudieron descifrar. > > Para incluir mensajes protegidos por IRM en una búsqueda, puede crear otra búsqueda para incluir mensajes con datos adjuntos .rpmsg. Puede usar la cadena attachment:rpmsg de consulta para buscar en todos los mensajes protegidos por IRM en los buzones especificados, tanto si se indexa correctamente como si no. Esto puede generar cierta duplicación de los resultados de búsqueda en escenarios en los que una búsqueda muestra mensajes que coinciden con los criterios de búsqueda, incluidos los mensajes protegidos por IRM que se han indizado correctamente. La búsqueda no muestra los mensajes protegidos por IRM que no se pudieron indizar. > > Realizar una segunda búsqueda de todos los mensajes protegidos por IRM también incluye los mensajes protegidos por IRM que se indexaron y devolvieron correctamente en la primera búsqueda. Además, es posible que los mensajes protegidos por IRM que muestra la segunda búsqueda no coincidan con los criterios de búsqueda tales como las palabras clave usadas para la primera búsqueda.

• Desduplicación: al copiar los resultados de la búsqueda en un buzón de detección, puede habilitar la desduplicación de los resultados de búsqueda para copiar solo una instancia de un mensaje único en el buzón de detección. Las desduplicación tiene las siguientes ventajas:

  • Requisitos de almacenamiento y tamaño de buzón de detección menores debido a la disminución de la cantidad de mensajes copiados.

  • Reducción de la carga de trabajo para los administradores de detección, los asesores legales o cualquier otro individuo que esté involucrado en la revisión de los resultados de la búsqueda.

  • Reducción del coste de la exhibición de documentos electrónicos, en función del número de elementos duplicados de los resultados de la búsqueda.

Estimaciones, vistas previas y copias de resultados de búsquedas

Después de completar una búsqueda de exhibición de documentos electrónicos local, puede ver estimaciones de los resultados de la búsqueda en el panel de detalles del EAC. La estimación incluye el número de elementos devueltos y su tamaño total. También puede ver las estadísticas de palabras clave, que muestran detalles sobre el número de elementos devueltos para cada palabra clave que se usó en la consulta de búsqueda. Esta información resulta útil para determinar la efectividad de la consulta. Si la consulta es demasiado amplia, se devolverá un conjunto de datos mucho mayor, lo que requiere revisar más recursos y podría aumentar los costes de exhibición de documentos electrónicos. Si la consulta es demasiado limitada, podría reducir considerablemente el número de registros devueltos o no devolver ninguno. Utilice las estimaciones y las estadísticas de palabras clave para ajustar la consulta a sus necesidades.

Nota:

En Exchange 2013, las estadísticas de palabras clave también incluyen estadísticas para las propiedades que no son de palabras clave, como las fechas, los tipos de mensaje y los destinatarios o remitentes especificados en una consulta de búsqueda.

También puede obtener una vista previa de los resultados de la búsqueda para asegurarse de que los mensajes devueltos incluyen el contenido que está buscando y para ajustar aún más la consulta si es necesario. La vista previa de búsquedas de exhibición de documentos electrónicos muestra el número de mensajes devueltos de cada buzón en el que se buscó y el número total de mensajes devueltos por la búsqueda. La vista previa se genera rápidamente, sin tener que copiar los mensajes a un buzón de detección.

Una vez que esté satisfecho con la cantidad y la calidad de los resultados de la búsqueda, cópielos a un buzón de detección. Al copiar los mensajes, tiene las siguientes opciones:

• Incluir elementos que no se pueden buscar: para obtener más información sobre los tipos de elementos que se consideran que no se pueden buscar, consulte las consideraciones de búsqueda de eDiscovery de la sección anterior.

• Habilitar desduplicación: la desduplicación reduce el conjunto de datos al incluir solo una única instancia de un registro único si se encuentran varias instancias en uno o varios buzones de correo buscados.

• Habilitar el registro completo: de forma predeterminada, solo se habilita el registro básico al copiar elementos. Seleccione el registro completo para incluir información sobre todos los registros devueltos por la búsqueda.

• Envíeme correo cuando se complete la copia: una In-Place búsqueda de exhibición de documentos electrónicos puede devolver un gran número de registros. La copia de los mensajes devueltos a un buzón de detección puede llevar mucho tiempo. Use esta opción para recibir una notificación por correo electrónico cuando el proceso de copia se haya completado. Para obtener un acceso más sencillo con Outlook Web App, la notificación incluye un vínculo a la ubicación del buzón de detección en el que se copian los mensajes.

Para obtener más información, vea Copiar los resultados de la búsqueda de exhibición de documentos electrónicos en un buzón de correo de detección.

Exportar los resultados de la búsqueda a un archivo PST

Una vez copiados los resultados de la búsqueda a un buzón de detección, puede exportarlos a un archivo PST.

Después de exportar los resultados de la búsqueda a un archivo PST, usted u otros usuarios pueden abrirlos en Outlook para revisar o imprimir los mensajes devueltos en los resultados de búsqueda. Para obtener más información, vea Exportar los resultados de la búsqueda de exhibición de documentos electrónicos a un archivo PST.

Diferentes resultados de búsqueda

Dado que la exhibición de documentos electrónicos local realiza búsquedas en los datos en directo, es posible que dos búsquedas de los mismos orígenes de contenido y con la misma consulta de búsqueda devuelvan resultados diferentes. Los resultados de la búsqueda estimados también pueden ser diferentes de los resultados de la búsqueda reales que se copian a un buzón de detección. Esto puede suceder incluso al volver a ejecutar la misma búsqueda dentro de un período de tiempo breve. Hay varios factores que pueden afectar a la coherencia de los resultados de búsqueda:

• El hecho de que el correo entrante se indiza continuamente, porque Exchange Search rastrea e indiza continuamente las bases de datos de buzones de correo y la canalización de transporte de su organización.

• La eliminación de correo electrónico por parte de usuarios o procesos automatizados.

• La importación masiva de grandes cantidades de correo electrónico, que tardan tiempo en indizarse.

Si encuentra resultados distintos con la misma búsqueda, puede mantener los buzones en espera para conservar el contenido, ejecutar búsquedas fuera de las horas pico o dejar tiempo para la indización después de importar grandes cantidades de correo electrónico.

Registro de búsquedas de exhibición de documentos electrónicos local

Existen dos tipos de registro disponibles para las búsquedas de exhibición de documentos electrónicos local:

• Registro básico: el registro básico está habilitado de forma predeterminada para todas las búsquedas In-Place eDiscovery. Incluye información acerca de la búsqueda y quién la realizó. La información que captura el registro básico se muestra en el mensaje de correo electrónico que se envía al buzón de correo en el que se almacenan los resultados de la búsqueda. El mensaje se encuentra en la carpeta que se crea para almacenar los resultados de la búsqueda.

• Registro completo: el registro completo incluye información sobre todos los mensajes devueltos por la búsqueda. Esta información se proporciona en un archivo con formato de valores separados por comas (.csv) que se adjunta al mensaje de correo electrónico que contiene la información del registro básico. El nombre de la búsqueda se usa para el nombre del archivo .csv. Esta información puede ser necesaria para el cumplimiento de normas o la conservación de un registro. Para habilitar el registro completo, seleccione la opción Habilitar el registro completo al copiar los resultados de búsqueda a un buzón de correo de detección en el EAC. Si usa shell, especifique la opción de registro completo mediante el parámetro LogLevel .

Nota:

Cuando use el Shell para crear o modificar una búsqueda de exhibición de documentos electrónicos local, también puede deshabilitar el registro.

Además del registro de búsqueda incluido al copiar los resultados de la búsqueda en un buzón de detección, Exchange también registra los cmdlets que usa el EAC o el Shell para crear, modificar o quitar búsquedas de exhibición de documentos electrónicos local. Esta información se registra en las entradas del registro de auditoría de administración. Para obtener información detallada, vea Registro de auditoría de administrador.

Exhibición de documentos electrónicos local y retención local

Como parte de las solicitudes de exhibición de documentos electrónicos, es posible que tenga que conservar el contenido de los buzones de correo hasta que finalice un proceso judicial o una investigación. También de se deben conservar los mensajes eliminados o modificados por el usuario o por otros procesos. En Exchange 2013, esto se realiza mediante la retención local. Para obtener información más detallada, vea Conservación local y retención por juicio.

En Exchange 2013, puede usar el nuevo asistente de exhibición de documentos electrónicos local & para buscar elementos y conservarlos mientras sean necesarios para eDiscovery o para cumplir otros requisitos empresariales. When using the same search for both In-Place eDiscovery and In-Place Hold, be aware of the following:

• No puede usar la opción para buscar en todos los buzones. Debe seleccionar los buzones de correo o grupos de distribución.

• No puede eliminar una búsqueda de exhibición de documentos electrónicos local si la búsqueda también se usa para la retención local. Primero debe deshabilitar la opción de retención local en una búsqueda y, a continuación, eliminar la búsqueda.

Conservar buzones la para exhibición de documentos electrónicos local

Cuando un empleado deja una empresa, es habitual inhabilitar o eliminar su buzón. Después de deshabilitar un buzón de correo, este se desconecta de la cuenta de usuario, aunque permanece en el buzón durante un período determinado, por lo general, 30 días. El asistente para carpetas administradas no procesa los buzones desconectados y durante este período no se aplica ninguna directiva de retención. No se puede buscar el contenido de un buzón desconectado. Al llegar al período de retención de buzones eliminados configurado para la base de datos de buzones de correo, el buzón se purga de la base de datos de buzones de correo.

En implementaciones locales, si su organización necesita que se apliquen valores de retención a los mensajes de los empleados que ya no trabajan en la organización, o bien si necesita conservar el buzón de un antiguo empleado para una búsqueda de exhibición de documentos electrónicos en curso o futura, no deshabilite ni elimine el buzón. Puede ejecutar los pasos siguientes para asegurarse de que no se pueda acceder al buzón y ni enviarle mensajes.

1. Deshabilite la cuenta de usuario de Active Directory mediante Usuarios de Active Directory & Equipos u otras herramientas o scripts de aprovisionamiento de cuentas o Active Directory. This prevents mailbox logon using the associated user account.

   Importante

   Los usuarios con permisos de acceso total a buzones podrán tener acceso al buzón. Para evitar que otros usuarios tengan acceso, debe quitarles el permiso de acceso total al buzón. Para obtener información sobre cómo quitar permisos de buzón de acceso completo en un buzón de correo, vea Administrar permisos para destinatarios.

2. Establezca el límite de tamaño de los mensajes que el usuario del buzón puede enviar o recibir en un valor muy bajo; por ejemplo, 1 KB. Esto impide la entrega de correo electrónico en el buzón o el envío desde el mismo. Para obtener información detallada, vea Configurar límites de tamaño de mensaje para un buzón de correo.

3. Configure las restricciones de entrega del buzón de correo, de modo que nadie pueda enviar mensajes desde el mismo. Para obtener información detallada, vea Configurar restricciones de entrega de mensajes para un buzón de correo.

Importante

Ejecute estos pasos junto con cualquier otro proceso de administración de cuentas que su organización exija, sin deshabilitar ni eliminar el buzón o la cuenta de usuario asociada.

Cuando prevea implementar una retención de buzón para una administración de retención de mensajes (MRM), debe tener en cuenta el flujo de mensajes del empleado. Una retención a largo plazo de los buzones de antiguos empleados precisará un almacenamiento adicional en los servidores de buzones de correo, lo que también producirá un incremento de la base de datos de Active Directory, ya que la cuenta del usuario asociado también deberá retenerse por un mismo período de tiempo. Asimismo, será preciso efectuar cambios en los procesos de administración y de aprovisionamiento de cuentas de su organización.

Límites de exhibición de documentos electrónicos local y directivas de limitación

En Exchange 2013, los recursos In-Place eDiscovery pueden consumirse se controlan mediante directivas de limitación.

La directiva de limitación predeterminada contiene los siguientes parámetros de limitación.

Parámetro	Descripción	Valor predeterminado
DiscoveryMaxConcurrency	El número máximo de búsquedas de exhibición de documentos electrónicos local que se pueden ejecutar al mismo tiempo en su organización	2 Nota: Si se inicia una búsqueda de exhibición de documentos electrónicos mientras se siguen ejecutando dos búsquedas anteriores, la tercera búsqueda no se pondrá en cola y, en su lugar, producirá un error. Debe esperar a que una de las búsquedas anteriores acabe para iniciar correctamente una nueva búsqueda.
DiscoveryMaxMailboxes	El número máximo de buzones en los que se puede buscar en una sola búsqueda de exhibición de documentos electrónicos local.	5,000
DiscoveryMaxStatsSearchMailboxes	El número máximo de buzones que se pueden buscar en una búsqueda única de exhibición de documentos electrónicos local que aún permite ver las estadísticas de palabras clave.	100 Nota: Después de ejecutar una estimación de búsqueda de exhibición de documentos electrónicos, puede ver las estadísticas de palabras clave. Estas estadísticas muestran detalles sobre el número de elementos proporcionados para cada palabra clave que se usa en la consulta de búsqueda. Si se incluyen más de 100 buzones de origen en la búsqueda, se devolverá un error si intenta ver las estadísticas de palabras clave.
DiscoveryMaxKeywords	El número máximo de palabras clave que se pueden especificar en una sola búsqueda de exhibición de documentos electrónicos local.	500
DiscoveryMaxSearchResultsPageSize	El número máximo de elementos que se muestran en una sola página al obtener una vista previa de resultados de búsqueda de exhibición de documentos electrónicos local.	200
DiscoverySearchTimeoutPeriod	El número de minutos que se ejecutará una búsqueda de exhibición de documentos electrónicos local antes de que se agote el tiempo de espera.	10 minutos

En Exchange Server 2013, puede cambiar los valores predeterminados de estos parámetros de modo que se ajusten a sus necesidades, o crear directivas de limitación de peticiones adicionales y asignarlas a usuarios con el permiso delegado Administración de la detección.

Documentación de exhibición de documentos electrónicos local

La tabla siguiente contiene vínculos a temas que le ayudarán a obtener información acerca de la exhibición de documentos electrónicos local y a administrarla.

Tema	Descripción
Asignar permisos de exhibición de documentos electrónicos en Exchange	Obtenga información acerca de cómo dar a un usuario acceso para usar la exhibición de documentos electrónicos local en el EAC para buscar en los buzones de Exchange. Agregar un usuario al grupo de roles de administración de detección también permite a la persona usar el Centro de exhibición de documentos electrónicos en SharePoint 2013 para buscar buzones de Exchange.
Crear un buzón de correo de detección	Aprenda a usar el Shell para crear un buzón de detección y asignar permisos de acceso.
Crear una búsqueda de exhibición de documentos electrónicos local	Aprenda cómo crear una búsqueda de exhibición de documentos electrónicos local, cómo calcular los resultados de la búsqueda de exhibición de documentos electrónicos, y cómo obtener una vista previa.
Propiedades de mensajes indexadas por la búsqueda de Exchange	Obtenga más información sobre qué propiedades de mensajes de correo electrónico se pueden buscar mediante la exhibición de documentos electrónicos local. El tema proporciona ejemplos de sintaxis para cada propiedad, información sobre operadores de búsqueda como AND y OR, e información sobre otras técnicas de consultas de búsqueda como el uso de comillas dobles (" ") y caracteres comodín de prefijo.
Iniciar o detener una búsqueda de exhibición de documentos electrónicos local	Obtenga información acerca de cómo iniciar, detener y reiniciar búsquedas de exhibición de documentos electrónicos.
Modificar una búsqueda de exhibición de documentos electrónicos local	Obtenga información acerca de cómo modificar una búsqueda existente de exhibición de documentos electrónicos.
Copiar los resultados de la búsqueda de exhibición de documentos electrónicos en un buzón de correo de detección	Obtenga información acerca de cómo copiar los resultados de una búsqueda de exhibición de documentos electrónicos en un buzón de detección.
Exportar los resultados de la búsqueda de exhibición de documentos electrónicos a un archivo PST	Obtenga información acerca de cómo exportar los resultados de una búsqueda de exhibición de documentos electrónicos a un archivo PST.
Crear un ámbito de administración personalizado para las búsquedas de exhibición de documentos electrónicos local	Aprenda a usar ámbitos de administración personalizados para limitar los buzones en los que puede buscar un administrador de detección.
Quitar una búsqueda de exhibición de documentos electrónicos local	Obtenga información acerca de cómo eliminar una búsqueda de exhibición de documentos electrónicos.
Búsqueda y eliminación de mensajes en Exchange 2013	Aprenda a usar el cmdlet Search-Mailbox para buscar y eliminar mensajes de correo electrónico.
Reducir el tamaño de un buzón de correo de detección en Exchange	Use este proceso para reducir el tamaño de un buzón de correo de detección que supere los 50 GB.
Eliminar y volver a crear el buzón de correo de detección predeterminado en Exchange	Aprenda a eliminar el buzón de detección predeterminado, a volver a crearlo y, a continuación, a volver a asignarle permisos. Use este procedimiento si este buzón de correo ha superado el límite de 50 GB y no necesita los resultados de la búsqueda.
Eliminar y volver a crear el buzón de detección predeterminado en Exchange 2013	Obtenga información acerca de cómo volver a crear el buzón del sistema de detección. Esta tarea solo es aplicable a organizaciones de Exchange 2013.
Uso de la autenticación de OAuth para admitir la exhibición de documentos electrónicos en una implementación híbrida de Exchange	Obtenga información acerca de los escenarios de exhibición de documentos electrónicos en una implementación híbrida de Exchange que requiere que se configure la autenticación OAuth.
Configure Exchange for SharePoint eDiscovery Center	Obtenga información acerca de cómo configurar Exchange 2013 para que pueda usar el Centro de exhibición de documentos electrónicos de SharePoint 2013 para buscar en los buzones de Exchange.
Elementos no aptos para la búsqueda en la exhibición de documentos electrónicos de Exchange	Obtenga información sobre los elementos que la búsqueda de Exchange no puede indizar y que se devuelven en los resultados de la búsqueda de exhibición de documentos electrónicos como elementos que no se pueden buscar.

Para obtener más información sobre eDiscovery en Microsoft Purview, Office 365, Exchange 2013, SharePoint 2013 y Lync 2013, vea Introducción a eDiscovery (Estándar).