Revisión del contenido de Microsoft Teams en un conjunto de revisión en eDiscovery

Después de agregar contenido de Microsoft Teams a un conjunto de revisión, el siguiente paso es revisar el contenido por su relevancia para la investigación y seleccionarlo si es necesario. Un requisito previo importante para revisar el contenido de Teams es comprender cómo eDiscovery procesa reuniones de Teams, conversaciones de chat y datos adjuntos al agregarlos a un conjunto de revisión. Se realiza el siguiente procesamiento del contenido de Teams:

• Agrupación: los mensajes, las publicaciones y las respuestas las conversaciones de Teams se agrupan y se presentan en el conjunto de revisión. Este procesamiento también incluye datos adjuntos en conversaciones de chat que se extraen y agrupan dentro de la conversación.
• Subprocesos de transcripción de conversación: eDiscovery determina qué contenido adicional de una conversación se va a recopilar para proporcionar contexto en torno a los elementos que coincidieron con los criterios de la colección.
• Desduplicación: eDiscovery procesa y administra el contenido duplicado de Teams.
• Metadatos: eDiscovery agrega contenido de metadatos para el contenido de Teams después de agregar el contenido a un conjunto de revisión.

Nota:

La fecha y hora de todas las conversaciones de Teams se muestran en Hora universal coordinada (UTC).

Comprenda la agrupación, el subproceso de conversación, la desduplicación y los metadatos de Teams para ayudarle a optimizar la revisión y el análisis del contenido de Teams. Esta sección también tiene sugerencias para ver el contenido de Teams en un conjunto de revisión.

Agrupación

Cuando se agrega contenido de conversaciones de chat de Teams a un conjunto de revisión, los mensajes, las publicaciones y las respuestas de las conversaciones se agregan en archivos de transcripción HTML cuando se selecciona la configuración "Organizar conversaciones en transcripción HTML". Una sola conversación de chat puede tener varios archivos de transcripción. Una función importante de estos archivos de transcripción es presentar contenido de Teams como conversaciones continuas y no como mensajes individuales (o independientes). Esto ayuda a proporcionar contexto para los elementos que coincidieron con los criterios de búsqueda de las colecciones en el paso anterior y reduce el número de elementos recopilados en el conjunto de revisión. Transcripciones de grupos y elementos asociados por familia o conversación. Los elementos de la misma familia tienen el mismo valor para la propiedad de metadatos FamilyId o **GroupId. Los elementos de la misma conversación tienen el mismo valor para la propiedad de metadatos ConversationId o **ThreadId" en función de la configuración de agrupación seleccionada.

En la tabla siguiente se describe cómo se agrupan los distintos tipos de contenido de Teams por familia y conversación.

Tipo de contenido de Teams	Agrupar por familia	Agrupar por conversación
Teams 1:1 y chats grupales	Una transcripción y todos sus datos adjuntos y elementos extraídos comparten el mismo FamilyId. Cada transcripción tiene un FamilyId único.	Todos los archivos de transcripción y sus elementos de familia dentro de la misma conversación comparten el mismo ConversationId. Esto incluye los siguientes elementos: Todos los elementos y datos adjuntos extraídos de todas las transcripciones que comparten el mismo ConversationId. Todas las transcripciones de la misma conversación de chat Todas las copias custodios de cada transcripción Transcripciones de colecciones posteriores de la misma conversación de chat En el caso de teams 1:1 y conversaciones de chat en grupo, es posible que tenga varios archivos de transcripción, cada uno correspondiente a un período de tiempo diferente dentro de la conversación. Dado que estos archivos de transcripción proceden de la misma conversación con los mismos participantes, comparten el mismo ConversationId.
chats de canales Standard, privados y compartidos	Cada publicación y todas las respuestas y datos adjuntos se guardan en su propia transcripción. Esta transcripción y todos sus datos adjuntos y elementos extraídos comparten el mismo FamilyId.	Cada publicación y sus datos adjuntos y los elementos extraídos tienen un ConversationId único. Si hay colecciones posteriores o nuevas respuestas de la misma publicación, las transcripciones diferenciales resultantes de esas colecciones también tendrán el mismo ConversationId.
Reuniones de Teams	Cada reunión

Use el control Grupo en la barra de comandos de un conjunto de revisión para ver el contenido de Teams agrupado por familia o conversación.

• Seleccione Agrupar datos adjuntos de familia para ver el contenido de Teams agrupado por familia. Cada archivo de transcripción se muestra en una línea de la lista de elementos del conjunto de revisión. Los datos adjuntos se anidan en el elemento.
• Seleccione Agrupar teams o Viva Engage conversaciones para ver el contenido de Teams agrupado por conversación. Cada conversación se muestra en una línea de la lista de elementos del conjunto de revisión. Los archivos de transcripción y los datos adjuntos se anidan en la conversación de nivel superior.

Nota:

Los datos adjuntos en la nube se agrupan con las conversaciones en las que aparecen. Esta agrupación se realiza asignando el mismo FamilyId que el archivo de transcripción del mensaje al que se ha adjuntado el archivo y el mismo ConversationId que la conversación en la que apareció el mensaje. Esto significa que se pueden agregar varias copias de datos adjuntos en la nube al conjunto de revisión si se adjuntan a conversaciones diferentes.

Visualización de transcripciones de reuniones grabadas

La transcripción del audio de la reunión grabada se captura como un archivo independiente y se indexa automáticamente para la búsqueda. Las reuniones grabadas en un conjunto de revisión se almacenan como un archivo .zip que contiene los siguientes archivos:

• Transcripción del audio de la reunión en formato .txt
• Grabación de vídeo de la reunión en formato .mp4
• Imagen en miniatura de la reunión en formato .jpg
• Metadatos de reunión y capítulos de reunión (según corresponda) en formato .json

Para ver los archivos de transcripción de audio de reunión en un conjunto de revisión, seleccione la reunión y el visor de transcripciones en el panel de detalles de la reunión. En las capturas de pantalla siguientes se muestra un ejemplo de una reunión en el cliente de Teams y el archivo de transcripción de la reunión de la misma reunión en el conjunto de revisión.

Reunión en el cliente de Teams

Archivo de transcripción de reunión en un conjunto de revisión

Visualización de archivos de transcripción de conversación

Al ver los archivos de transcripción en un conjunto de revisión, algunos de los mensajes se resaltan en color púrpura. Los mensajes resaltados dependen de la copia del custodio de la transcripción que esté viendo. Por ejemplo, en un chat 1:1 entre User4 y User2, los mensajes publicados por User4 se resaltan en color púrpura al ver la transcripción recopilada del buzón de User4. Al ver la transcripción de User2 de la misma conversación, los mensajes publicados por User2 se resaltan en color púrpura. Este comportamiento de resaltado se basa en la misma experiencia de cliente de Teams, donde las publicaciones de un usuario se resaltan en color púrpura en el cliente de Teams.

En las capturas de pantalla siguientes se muestra un ejemplo de conversación en el cliente de Teams y el archivo de transcripción de la misma conversación en el conjunto de revisión. El resaltado púrpura en el archivo de transcripción indica que la transcripción se recopiló del buzón de User2.

Conversación en el cliente de Teams

Conversación en un archivo de transcripción

Incluir conversaciones contextuales para mensajes de chat de Teams

Si selecciona la opción "Incluir teams y Viva Engage conversaciones" durante el proceso de agregar para revisar el conjunto, eDiscovery le ayuda a identificar el contenido contextual relacionado con los elementos que podrían ser relevantes para la investigación. Esta característica genera distintas vistas de conversación que incluyen mensajes de chat que preceden y siguen los elementos que coinciden con la consulta de búsqueda durante la recopilación. Esta funcionalidad le permite revisar conversaciones de chat completas en Microsoft Teams. Esta funcionalidad es independiente del subproceso HTML y solo afecta a si las conversaciones contextuales se incluyen en el proceso de agregar elementos a un conjunto de revisión.

Esta es la lógica que usa eDiscovery para incluir mensajes y respuestas adicionales que proporcionan contexto en torno a los elementos que coinciden con la consulta de búsqueda (denominada elementos con capacidad de respuesta) que usó al agregar contenido de Teams a un conjunto de revisión. Los distintos comportamientos se basan en los tipos de chats y en la consulta de búsqueda que se usa para recopilar los elementos con capacidad de respuesta. Hay dos escenarios de búsqueda comunes:

• Consultas que usan parámetros de búsqueda, como palabras clave y pares property:value
• Consultas que solo usan intervalos de fechas

Tipo de contenido de Teams	Consultas con parámetros de búsqueda	Consultas con intervalos de fechas
Teams 1:1 y chats grupales	Mensajes que se publicaron 12 horas antes y 12 horas después de incluir elementos con capacidad de respuesta	Se incluyen los mensajes que se encuentran entre el intervalo de datos y los mensajes contextuales dentro de una ventana de 24 horas.
chats de canales de Teams Standard, privados y compartidos	Se incluyen todas las publicaciones que contienen elementos con capacidad de respuesta y todas las respuestas correspondientes.	Se incluyen todas las publicaciones que contienen elementos con capacidad de respuesta y todas las respuestas correspondientes.

Desduplicación del contenido de Teams

En la lista siguiente se describe el comportamiento de desduplicación (y duplicación) al recopilar contenido de Teams en un conjunto de revisión cuando el usuario decide organizar las conversaciones en una transcripción HTML.

• Cada archivo de transcripción agregado a un conjunto de revisión debe ser una asignación uno a uno al contenido almacenado en ubicaciones de datos. Esto significa que eDiscovery no recopila ningún contenido de Teams que ya se haya agregado al conjunto de revisión. Si un mensaje de chat ya está recopilado en un conjunto de revisión, eDiscovery no agrega el mismo mensaje desde la misma ubicación de datos al conjunto de revisión en colecciones posteriores.

• Para los chats de grupo y 1:1, las copias de los mensajes se almacenan en el buzón de cada participante de la conversación. Las copias de la misma conversación que existen en los buzones de los distintos participantes se recopilan con metadatos diferentes. Como resultado, cada instancia de la conversación se trata como única y se incluye en el conjunto de revisión en archivos de transcripción independientes. Por lo tanto, si todos los participantes de un chat de grupo o 1:1 se agregan como custodios en un caso y se incluyen en el ámbito de una colección, las copias de cada transcripción (para la misma conservación) se agregan al conjunto de revisión y se agrupan junto con el mismo ConversationId o ThreadId. Cada una de estas copias está asociada a un origen de datos correspondiente.

• En los procesos posteriores de "Agregar para revisar conjunto" donde hay elementos de la misma conversación, solo el contenido delta que no se agregó anteriormente se agrega al conjunto de revisión y se agrupa (compartiendo el mismo ConversationId o ThreadId) con los elementos agregados anteriormente de la misma conversación. Este es un ejemplo de este comportamiento:

  1. El proceso A agrega mensajes en una conversación entre User1 y User2 al conjunto de revisión.
  2. El proceso B agrega mensajes de la misma conversación, pero hay nuevos mensajes entre User1 y User2 desde que se ejecutó el proceso A.
  3. Solo los nuevos mensajes del proceso B se agregan al conjunto de revisión. Estos mensajes se agregan a un archivo de transcripción independiente, pero la nueva transcripción se agrupa con las transcripciones del proceso A por el mismo ConversationId.

  Este comportamiento se aplica a todos los tipos de chats de Teams.

Metadatos del contenido de Teams

En grandes conjuntos de revisiones con miles o millones de elementos, puede ser difícil restringir el ámbito de la revisión al contenido de Teams. Para ayudarle a centrar la revisión en el contenido de Teams, hay propiedades de metadatos específicas del contenido de Teams. Puede usar estas propiedades para organizar las columnas de la lista de revisión y configurar filtros y consultas para optimizar la revisión del contenido de Teams. Estas propiedades de metadatos también se incluyen al exportar contenido de Teams desde eDiscovery, para ayudarle a organizar y ver el contenido después de la exportación o en herramientas de eDiscovery que no son de Microsoft.

En la tabla siguiente se describen las propiedades de metadatos del contenido de Teams.

Metadata (propiedad)	Descripción
ContainsDeletedMessage	Indica si un archivo de transcripción contiene un mensaje eliminado. Los mensajes eliminados se identifican al ver el archivo de transcripción.
ContainsEditedMessage	Indica si un archivo de transcripción contiene un mensaje editado. Los mensajes editados se identifican al ver el archivo de transcripción.
ConversationId	GUID que identifica la conversación a la que está asociado el elemento. Los archivos de transcripción y los datos adjuntos de la misma conversación tienen el mismo valor para esta propiedad.
Nombre de la conversación	Nombre de la conversación a la que está asociado el archivo de transcripción o los datos adjuntos. Para Teams 1:1 y los chats de grupo, el valor de esta propiedad es el nombre principal de usuario (UPN) de todos los participantes de la conversación se concatenan. Por ejemplo, User3 <User3@contoso.onmicrosoft.com>,User4 <User4@contoso.onmicrosoft.com>,User2 <User2@contoso.onmicrosoft.com>. Los chats del canal de Teams (estándar, privado y compartido) usan el siguiente formato para el nombre de la conversación: <Team name>,<Channel name>. Por ejemplo, eDiscovery vNext, General.
ConversationType	Indica el tipo de chat de equipo. Para Teams 1:1 y los chats de grupo, el valor de esta propiedad es Group. Para los chats de canales estándar, privados y compartidos, el valor es Channel.
Fecha	Marca de tiempo del primer mensaje del archivo de transcripción en UTC.
FamilyId	GUID que identifica el archivo de transcripción de una conversación de chat. Los datos adjuntos tienen el mismo valor para esta propiedad que el archivo de transcripción que contiene el mensaje al que se ha adjuntado el archivo.
FileClass	Indica ese tipo de contenido. Los elementos de los chats de Teams tienen el valor Conversation. Por el contrario, los mensajes de correo electrónico de Exchange tienen el valor Email.
MessageKind	Propiedad de tipo de mensaje. El contenido de Teams tiene el valor microsoftteams , im.
Participantes	Lista de todas las personas que participan en el chat, incluye remitentes y destinatarios en una conversación.
Recipientes	Lista de todos los usuarios que recibieron un mensaje dentro de la conversación de transcripción.
TeamsChannelName	Nombre del canal de Teams de la transcripción.

Para obtener descripciones de otras propiedades de metadatos de eDiscovery, vea Campos de metadatos del documento en eDiscovery.

Exportación de contenido de Teams

Después de revisar y eliminar el contenido de Teams en un conjunto de revisión, puede exportar todos los elementos aplicables a la investigación. No hay ninguna configuración de exportación específica para el contenido de Teams. Si el contenido se agregó para revisar establecido como un archivo de transcripción, cada transcripción se exporta como un archivo de mensaje HTML. Las propiedades de metadatos descritas en la sección anterior se incluyen cuando se exporta el contenido de Teams.

Se hace referencia a cada elemento de exportación (transcripción o mensajes individuales) en el informe deitems.csv y se puede encontrar mediante el campo ruta de acceso de destino del informe. Los archivos de transcripción se encuentran en la carpeta Conversaciones de la carpeta de exportación raíz.

Sugerencias para ver el contenido de Teams en un conjunto de revisión

Estas son algunas sugerencias y procedimientos recomendados para ver el contenido de Teams en un conjunto de revisión.

• Use el control Personalizar columnas de la barra de comandos para agregar y organizar columnas con el fin de optimizar la revisión del contenido de Teams. Puede agregar y quitar columnas que sean útiles para el contenido de Teams. También puede secuenciar el orden de las columnas arrastrándolas y soltándolas en la página desplegable Editar columna . También puede ordenar las columnas para agrupar el contenido de Teams con valores similares para la columna en la que se ordena.
• Las columnas útiles que le ayudarán a revisar el contenido de Teams incluyen Participantes, Destinatarios y Tipo de archivo o Tipo de mensaje.
• Use filtros para las propiedades relacionadas con Teams para mostrar rápidamente el contenido de Teams. Hay filtros para la mayoría de las propiedades de metadatos descritas en la sección anterior.

Eliminación de mensajes de chat de Teams

Puede usar eDiscovery y el Explorador de Microsoft Graph para responder a incidentes de derrame de datos, cuando el contenido que contiene información confidencial o malintencionada se publica a través de mensajes de chat de Teams. Los administradores de su organización pueden buscar y eliminar mensajes de chat en Microsoft Teams. Esta característica puede ayudarle a quitar información confidencial o contenido inadecuado en los mensajes de chat de Teams. Para obtener más información, consulte Buscar y purgar mensajes de chat en Teams.