Подробнее об обнаружении электронных данных

Обнаружение электронных данных — это процесс идентификации и доставки информации, хранящейся в электронном виде (ESI), которую можно использовать в качестве доказательства в расследованиях и судебных делах. Используйте Microsoft Purview eDiscovery для идентификации и просмотра содержимого в службах Microsoft 365, а также для управления им в целях проведения расследований. Поддерживаемые службы Microsoft 365 включают:

  • Exchange Online.
  • Microsoft Teams
  • Группы Microsoft 365
  • OneDrive
  • SharePoint;
  • Viva Engage

Вы можете выполнять поиск в почтовых ящиках и на сайтах в рамках одного же поиска при обнаружении электронных данных, а затем экспортировать результаты поиска. Используйте дела обнаружения электронных данных для идентификации, хранения и экспорта контента, найденного в почтовых ящиках и на сайтах. Если у вашей организации есть подписка на Office 365 E5 или Microsoft 365 E5 (или связанные подписки на надстройки E5), вы можете дополнительно управлять обращениями и анализировать контент с помощью премиум-функций обнаружения электронных данных.

Обнаружение электронных данных на портале Microsoft Purview

В зависимости от лицензий и подписок для организации у вас есть доступ к определенным функциям обнаружения электронных данных или премиум-уровня на портале Microsoft Purview. Все функции поиска контента теперь включены в интерфейс поиска при обнаружении электронных данных, или вы можете использовать случай поиска контента в обнаружении электронных данных для управления всем новым и существующим поиском контента.

Актуальные сведения о планируемых функциях и возможностях обнаружения электронных данных, а также предполагаемых датах выпуска см. в дорожной карте Microsoft 365.

Важные изменения в обнаружении электронных данных

Если вы знакомы с предыдущими версиями обнаружения электронных данных, вы можете заметить несколько отличий при использовании обнаружения электронных данных на портале Microsoft Purview:

  • Расширенное индексирование: в предыдущих версиях обнаружения электронных данных при добавлении в дело кастодиального или некастодиального источника данных требовалось повторно индексировать все содержимое, которое частично индексировано или содержит ошибки индексирования. Переиндексация определяет, соответствует ли содержимое определенным условиям поиска. Этот процесс переиндексации называется расширенным индексированием. По мере добавления частично индексированных и неиндексированных элементов в источники данных (почтовый ящик пользователя, учетная запись OneDrive и т. д.) необходимо отдельно обновлять индекс для определенных хранительских и некастодиальных источников данных.

    При обнаружении электронных данных расширенное индексирование запускается автоматически при каждом поиске, ограниченном результатами статистики, а также при добавлении результатов в набор проверки или экспорте результатов поиска в зависимости от параметров индексирования, выбранных для этого процесса. Вам больше не нужно отдельно индексировать источники данных перед поиском. Этот процесс индексирования "точно в срок" помогает избежать проблем с устаревшими индексами, которые могут привести к последовательному и раздельному выполнению индексирования и поиска в классическом интерфейсе. При запуске (или повторном запуске) поиска все индексы обновляются автоматически.

  • Коллекции: В предыдущих версиях обнаружения электронных данных коллекции предоставляли менеджерам оценки содержимого, которое может иметь отношение к делам. Эти оценки позволили менеджерам принимать быстрые и обоснованные решения о размере и областях контента, относящегося к делам. После добавления в набор для проверки коллекция является неизменяемой.

    При обнаружении электронных данных статистика в поисковых запросах заменяет коллекции. Статистические результаты в поиске теперь позволяют менеджерам просматривать важные сведения об элементах, включенных в результаты, и об уместности для дела. Поиск не является неизменным при обнаружении электронных данных даже после добавления результатов в набор для проверки. Вы можете обновлять поисковые запросы в любое время. Добавление только образца коллекции в набор проверки и удаление поиска устраняется при обнаружении электронных данных.

  • Поиск контента: поиск контента на закрытом портале соответствия требованиям был отдельным решением от обнаружения электронных данных, которое используется для основного поиска контента. Результаты поиска контента — это приблизительное количество расположений и результатов поиска, которые можно предварительно просмотреть или экспортировать на локальный компьютер.

    На портале Microsoft Purview все функции поиска контента теперь по умолчанию включены в сгенерированный системой случай обнаружения электронных данных для всех участников ролевых групп "Диспетчер обнаружения электронных данных " и "Администратор ". Если вам нужно ограничить доступ к поиску контента, используйте параметры обращения для удаления или добавления участников в обращение для управления доступом к этим поисковым запросам. Вы также можете выбрать "Поиск контента" при обнаружении электронных данных, чтобы создать в своей организации список "Поиск контента", содержащий все новые и существующие поисковые запросы контента.

    Дополнительные сведения об изменениях в поиске контента при обнаружении электронных данных проверка следующем видео:

  • Хранители: в предыдущих версиях обнаружения электронных данных хранители (пользователи) были основным компонентом рабочего процесса обнаружения электронных данных. Хранители были потенциальными лицами, представляющими интерес в расследовании, которое вы добавили к делам.

    При обнаружении электронных данных дела являются основным компонентом рабочего процесса обнаружения электронных данных. Вы по-прежнему добавляете людей, группы и источники данных в обращения, но дело является центральной организующей единицей.

  • Обновления экспорта: новый процесс экспорта в Обнаружении электронных данных поддерживает единую структуру экспорта, включающую экспорт функций уровня "Премиум" и "Нет", ускорение экспорта, подробные отчеты и гибкие параметры экспорта.

  • Задания: в предыдущих версиях обнаружения электронных данных задачи, действия и отчеты, связанные с компонентами рабочего процесса, назывались заданиями. Эти события и отчеты теперь называются процессами при обнаружении электронных данных.

Функции и возможности

В следующей таблице сравниваются основные возможности и функции обнаружения электронных данных:

Возможность Поддержка функции обнаружения электронных данных Поддержка расширенных возможностей обнаружения электронных данных
Поиск содержимого Поддерживается. Поддерживается.
Запросы ключевых слов и условия поиска Поддерживается. Поддерживается.
Статистика и примеры поиска Поддерживается. Поддерживается.
Экспорт результатов поиска Поддерживается. Поддерживается.
Разрешения на основе ролей Поддерживается. Поддерживается.
Управление случаями Поддерживается. Поддерживается.
Размещение расположений содержимого на удержании Поддерживается. Поддерживается.
Поиск и удаление данных Поддерживается. Поддерживается.
Расширенная индексация Поддерживается.
Наборы для проверки Поддерживается.
Импорт внешних данных для просмотра наборов Поддерживается.
Поддержка облачных вложений и версий SharePoint Поддерживается.
Распознавание текста Поддерживается.
Создание цепочки беседы Поддерживается.
Расшифровка Поддерживается.
Фильтрация наборов для проверки Поддерживается.
Проверка набора запросов KQL (предварительная версия) Поддерживается.
Отчет о запросе (предварительная версия) Поддерживается.
Расстановка тегов Поддерживается.
Аналитика Поддерживается.
Вычисляемые метаданные документа Поддерживается.
Доступ гостевых пользователей (предварительная версия) Поддерживается.
Security Copilot Поддерживается.
Прозрачность длительных процессов Поддерживается.
Полная отчетность по всем процессам Поддерживается.
Расширенное сопоставление источников данных Поддерживается.
Делегированная проверка подлинности API Graph Поддерживается. Поддерживается.
Проверка подлинности только приложения API Graph Поддерживается.

Ниже приведено описание каждой возможности обнаружения электронных данных.

  • Поиск контента: поиск контента, хранящегося в почтовых ящиках Exchange, учетных записях OneDrive, на сайтах SharePoint, Microsoft Teams, Группы Microsoft 365 и командах Viva Engage. Поисковые запросы включают контент, созданный другими приложениями Microsoft 365, которые хранят данные в почтовых ящиках и на сайтах.
  • Ключевые запросы и условия поиска: создайте поисковые запросы на языке ключевых слов (KeyQL) для поиска ключевых слов контента, соответствующих условиям запроса. Вы также можете включить условия, чтобы сузить области поиска.
  • Статистика поиска и выборки: после выполнения поиска вы можете просмотреть статистику предполагаемых результатов поиска, такую как количество и общий размер элементов, удовлетворяющих условиям поиска, расположения контента, содержащие больше всего элементов, и количество элементов, возвращенных поисковым запросом. Вы также можете просмотреть репрезентативную выборку элементов, включенных в результаты поиска.
  • Экспорт результатов поиска: экспорт результатов поиска на локальный компьютер в вашей организации. При экспорте результатов поиска элементы копируются из исходного расположения содержимого и упаковываются. Затем вы можете загрузить эти элементы из пакета экспорта на локальный компьютер.
  • Разрешения на основе ролей: используйте разрешения управления доступом на основе ролей (RBAC) для управления задачами, связанными с обнаружением электронных данных, которые могут выполнять разные пользователи. Вы можете использовать встроенную группу ролей, связанную с обнаружением электронных данных, или создать пользовательские группы ролей, которые назначают определенные разрешения на обнаружение электронных данных.
  • Управление обращением: дело по обнаружению электронных данных содержит все поисковые запросы, удержания и наборы отзывов, связанные с конкретным исследованием. Можно также назначить участников для обращения, чтобы контролировать, кто может получать доступ к обращению и просматривать содержимое обращения.
  • Поместить расположения содержимого на удержание: Сохраните содержимое, относящееся к расследованию, наложив запрет на расположение содержимого в деле. Удержания позволяют защитить информацию, хранящуюся в электронном виде, от случайного (или намеренного) удаления во время исследования.
  • Поиск и удаление данных: используйте обнаружение электронных данных для поиска и удаления сообщений электронной почты, сообщений чата Microsoft Teams, а также данных Copilot и приложений ИИ в организации. Эта возможность помогает находить и удалять потенциально опасное содержимое или контент с высоким риском.
  • Расширенное индексирование: при выполнении поиска, набора отзывов или экспорта связанные расположения контента, в которых элементы частично индексированы, повторно индексируются в процессе, называемом расширенным индексированием. Расширенное индексирование обеспечивает повторную обработку любого содержимого, которое считается частично индексированным, чтобы сделать его полностью доступным для поиска при сборе данных для исследования.
  • Наборы отзывов: добавление соответствующих данных в набор для проверки. Набор для проверки — это безопасное, предоставленное корпорацией Майкрософт хранилище Azure в облаке Майкрософт. При добавлении данных в набор для проверки собранные элементы копируются из исходного расположения содержимого в набор для проверки. Наборы обзоров предоставляют статический известный набор контента, который можно искать, фильтровать, помечать, анализировать и прогнозировать релевантность с помощью моделей прогнозного кодирования. Вы также можете отслеживать и сообщать о том, какой контент добавляется в набор для проверки.
  • Импорт внешних данных для проверки наборов: Не все документы, которые нужно проанализировать при обнаружении электронных данных, есть в Microsoft 365. Используя функцию импорта внешних данных, вы можете отправлять документы, не содержащиеся в Microsoft 365, в набор для проверки.
  • Поддержка облачных вложений и версий SharePoint. При добавлении содержимого в набор для проверки можно включить облачные вложения или связанные файлы. Целевой файл облачного вложения или связанного файла добавляется в набор проверки. Вы также можете добавить все версии документа SharePoint в набор для проверки.
  • Оптическое распознавание символов (OCR): при добавлении содержимого в набор для проверки функция OCR извлекает текст из изображений и включает текст изображения вместе с содержимым, добавляемым в набор для проверки. Эта функция позволяет искать текст изображения при запросе к содержимому набора для проверки.
  • Цепочки бесед: когда сообщения чата из Teams и бесед Viva Engage добавляются в набор для проверки, вы можете собрать всю цепочку беседы. Вся беседа в чате, содержащая элементы, удовлетворяющие условиям поиска, добавляется в набор для проверки. Эта функция позволяет просматривать элементы чата в контексте непрерывной беседы.
  • Расшифровка: обнаружение электронных данных поддерживает расшифровку содержимого, защищенного с помощью технологий шифрования Майкрософт. Email сообщения и вложения, зашифрованные с помощью Шифрование сообщений Microsoft Purview, а также документы, защищенные метками конфиденциальности или управлением правами Azure, автоматически расшифровываются при добавлении в результаты поиска или наборы отзывов.
  • Фильтрация набора отзывов: после добавления содержимого в набор проверки можно применить фильтры , чтобы отображались только те элементы, которые соответствуют условиям фильтрации. Затем можно сохранить наборы фильтров в виде запроса, что позволит быстро повторно применить сохраненные фильтры. Фильтрация наборов просмотров и сохраненные запросы помогают быстро выбирать элементы содержимого, наиболее релевантные для исследования.
  • Наборы запросов KQL для проверки (предварительная версия).Используйте обозреватель расширенных наборов проверки (предварительная версия) для выполнения запросов на языке запросов Kusto (KQL) непосредственно к данным набора отзывов. Создавайте сложные запросы с фильтрацией, агрегированием, сопоставлением шаблонов, регулярными выражениями и визуализацией данных для анализа и идентификации ключевой информации в наборе для проверки.
  • Отчет о запросах (предварительная версия): создайте и скачайте консолидированный отчет о запросах по нескольким запросам для набора для проверки. Этот отчет позволяет быстро просмотреть общее количество и объем отфильтрованных элементов по определенному поиску ключевых слов или нескольким составным запросам KeyQL.
  • Теги: теги также помогают пропускать нерелевантный контент и определять наиболее релевантное содержимое. Когда эксперты, юристы или другие пользователи просматривают содержимое набора для проверки, их мнение по поводу содержимого может быть зафиксировано с помощью тегов. Например, если цель состоит в том, чтобы исключить ненужный контент, пользователь может пометить документы с помощью такого тега, как «не реагирует». После проверки и добавления тегов к содержимому можно создать запрос набора отзывов, чтобы исключить содержимое, помеченное как "не отвечающий". Этот процесс устраняет содержимое, не отвечающее на запросы, из последующих шагов рабочего процесса обнаружения электронных данных.
  • Аналитика: обнаружение электронных данных позволяет анализировать документы, чтобы упорядочить документы и уменьшить объем документов, подлежащих рассмотрению. Обнаружение почти повторяющихся документов группирует текстово похожие документы, чтобы помочь вам сделать процесс проверки более эффективным. Email цепочками идентифицирует конкретные сообщения электронной почты, которые дают полный контекст беседы в цепочке писем. Функция "Темы " пытается проанализировать темы в документах, проверить их и назначить тему, чтобы можно было просматривать документы со связанной темой. Эти возможности аналитики помогают сделать процесс проверки более эффективным, чтобы рецензенты могли просмотреть часть собранных документов.
  • Вычисленные метаданные документов: многие премиум-функции обнаружения электронных данных, такие как цепочки бесед и аналитика, добавляют свойства метаданных для просмотра наборов документов. Эти метаданные содержат сведения, связанные с функцией, выполняемой определенной функцией. При просмотре документов можно фильтровать свойства метаданных, чтобы отобразить документы, соответствующие условиям фильтрации. Эти метаданные можно импортировать в сторонние приложения для проверки после экспорта документов набора для проверки.
  • Доступ гостевых пользователей (предварительная версия): приглашайте гостевых пользователей получать доступ к делам об обнаружении электронных данных для совместной работы с внешними рецензентами. Гостевым пользователям назначаются разрешения группы ролей рецензентов, которые могут просматривать и работать с содержимым дела, к которому им предоставлен доступ.
  • Security Copilot: используйте функции Microsoft Security Copilot для составления поисковых запросов KeyQL на естественном языке и для создания контекстных сводок элементов в наборе для проверки.
  • Прозрачность длительных процессов: процессы при обнаружении электронных данных обычно включают длительные действия, инициируемые действиями пользователя, такие как добавление хранителей в обращение, добавление содержимого в набор для проверки, запуск аналитики и создание поисковых запросов. Вы можете отслеживать состояние этих процессов и получать сведения о поддержке, если вам нужно эскалировать проблемы в службу поддержки Майкрософт.
  • Полная отчетность по всем процессам: используйте отчет о процессах для просмотра и управления процессами в обращениях, поисках, наборах просмотров и удержаниях.
  • Улучшенное сопоставление источников данных: источники данных упрощают процесс идентификации данных и управления ими. Вы можете искать расположения на основе пользователей, искать группы на одном сайте и сопоставлять другие местоположения с группами. Вы также можете изучить часто сотрудничающих пользователей в качестве части источников данных.
  • Делегированная аутентификация API Graph: вызовы API Graph выполняются от имени вошедшего в систему пользователя. Приложение получает маркер, который объединяет удостоверение пользователя с разрешениями (областями) приложения, поэтому Graph применяет как привилегии пользователя, так и согласованные разрешения приложения.
  • Проверка подлинности только приложения API Graph: вызовы API Graph выполняются самим приложением без контекста пользователя. Приложение проверяет подлинность с помощью собственных учетных данных (секрета клиента или сертификата) и получает маркер, привязанный исключительно к разрешениям приложения, на которые оно дало согласие.

Интеграция с другими решениями

Управление внутренними рисками

В Microsoft Purview Insider Risk Management, Управление внутренними рисками Microsoft Purview, вы можете быстро эскалировать дела в новые дела в разделе обнаружения электронных данных, если вам требуется дополнительная юридическая проверка потенциально рискованных действий пользователей. Тесная интеграция между этими решениями помогает вашим отделам управления рисками и юридическим отделам работать эффективнее и обеспечивает полное сквозное представление о действиях проверяемых пользователей.

Дополнительные сведения см. в разделах "Начало работы с управлением инсайдерскими рисками" и эскализация обращения по делу по управлению инсайдерскими рисками до дела по обнаружению электронных данных (премиум).

Microsoft Security Copilot

При обнаружении электронных данных вы можете использовать функции Microsoft Security Copilot для составления поисковых запросов KeyQL на естественном языке. Copilot переводит естественный язык в KeyQL, не требуя от вас изучения того, как создать запрос KeyQL, узнать операторы или знать поддерживаемые поля метаданных поиска.

Copilot также может предоставить контекстную сводку большинства элементов в наборе для проверки. Сводка находится в контексте текста, включенного в выбранный элемент. Такая сводка экономит время проверяющих, так как позволяет быстро находить сведения, полезные при пометке или экспорте элементов. Security Copilot резюмирует весь элемент, включая все документы, расшифровки собраний или вложения. Поддерживается большинство распространенных типов файлов документов.

Дополнительные сведения об использовании Security Copilot с наборами для проверки см. в статье Резюмирование элемента с помощью Security Copilot.

Готовы приступить к работе?

  • Последнее обновление: