Microsoft 365の訴訟ホールドについて

おはようございます。こんにちは。こんばんわ。アイシーティーリンクの増田です。
今日は最近仕事でハマりかけた「訴訟ホールド」に着目してしたためたいと思います。

訴訟ホールド？

まず「訴訟ホールド」ってなんぞや？と思いません？私はあまり聞かない言葉なので最近までかなり誤解していました。
Microsoft 365のExchange Online Plan2というライセンスを付けたユーザーのメールボックスで有効化できる機能です。
訴訟ホールドを有効化すると、裁判沙汰になったときに証拠として使えるように、ユーザーがゴミ箱から削除したメールをシステムが隠し持つようになります。
つまり、ユーザーが証拠隠滅のため削除した(と思っている)メールを探し出して調べることが出来るんですね。
趣旨としてはこんな感じなので、誤って削除してしまったから戻してくれと言われてもユーザーが操作できる領域に戻せるわけではないと思います。
あと、私はずーっと誤解していたのですが、受信トレイと訴訟ホールドそれぞれに同じメールがあるわけではなく、オブジェクトとしてのメールは１つで、それがどこにあるのか？というイメージになります。ただし、実際に調べるときはどの領域にあるかを意識する必要はありません。

ユーザーのメールを調べるには

裁判まで行かないとしても、何か会社でマズいことが起きて、ユーザーのやり取りを調べなければならなくなったらどうすればいいのか？という話になるのですが、恐らくこんなことが必要になるのは大企業のコンプライアンス系の部門の担当者か中小企業の一人情シスみたいな人だと思います。
対象がえらくニッチなのですがMicrosoftの中でも最近機能の整理があったようで、ネットに転がってる情報と内容がズレていることもあり結構混乱したので、調べた内容をまとめます。

全体的な仕組み

調査自体は Microsoft Purview コンプライアンス ポータル(ホーム - Microsoft 365 コンプライアンス) というWeb管理画面で行います。
山ほど機能があり、実は私もまだ全容はわかっていないので、とりあえずメールだけ調べたいな～という人向けとさせてください。
簡単な流れは以下のようなものです。

1. 調査の全体とのとりまとめ役(リーダー)にeDiscovery Managerという権限を当てる

2. リーダーが調査用の作業スペース(ケース)を作って、必要に応じて担当者をアサインする

3. 各担当者が自身の担当ケースで必要な情報の収集を行う

4. 結果をエクスポートして内容を確認する

eDiscovery Managerの割り当て

Microsoft のドキュメント(Microsoft Purview コンプライアンス ポータルで電子情報開示のアクセス許可を割り当てる - Microsoft 365 Compliance | Microsoft Docs)に書いてあるのですが、翻訳された日本語が独特で「これは何を言っているんだろう？」となりました。
「電子情報開示マネージャー」がeDiscovery Managerという権限を指しています。
権限の割り当ては以下のように実施します。

1. Microsoft Purview コンプライアンス ポータルの左メニューにある「アクセス許可」を選択する

2. 「アクセス許可&ロール」の中の「Microsoft Purview Solution」の「ロール」をクリックする

3. 「eDiscovery Manager」を選択する

4. eDiscovery Managerの「編集」から、追加ボタンを押してユーザーを選択し、保存する。

ケースの作成

作業領域となるケースは次のようにして作成します。

1. 左側メニューの「電子情報開示＞標準」を選択し、表示されたページの「ケースを作成」をクリックする。

2. ケース名を入力して「保存」をクリックする。

3. 一覧上に作成されたケースが表示されるので、クリックし、「設定」タブをクリックする。

4. 「アクセスとアクセス許可」の「選択」をクリックする。

5. 「メンバーの管理」の「追加」をクリックし、アサインする担当者を検索して追加する。

6. メンバーの一覧を確認後×ボタンで閉じる。

コンテンツの検索

結構下準備的な手番が多くて大変なのですが、ようやくユーザーのコンテンツを検索することが出来ます。
手順は以下のような感じです。

1. 電子情報開示（標準）のケース一覧から担当ケースを選択する

2. 「検索」タブを表示し、検索クエリに名前を付ける

3. 検索対象を選択する（対象は大きく分けて、メール／Teams、SharePoint／OneDrive等があり、ユーザーやグループを指定して絞り込みます）

4. 検索条件を設定する（日付やキーワード等メールを検索するのに必要そうな条件がそろっています）

5. 検索内容を確認して検索実行

検索結果をエクスポートする

検索結果はPSTファイルで取得できますので、Outlookアプリに食わせると内容を確認できます。

1. 対象のクエリを開く

2. 「操作＞結果のエクスポート」をクリックする

3. エクスポートの設定を決めて「エクスポート＞OK」をクリックする

4. 少し待って対象のケースを開き、「エクスポート」タブをクリックする

5. 対象のエクスポートタスクをクリックし、「エクスポートキー」をクリップボードにコピーしてから「結果のダウンロード」をクリックする

6. ダイアログが表示されるので「開く」をクリックする

7. エクスポートキーをペーストしてダウンロード先を設定後、「開始」をクリックすると指定したフォルダにPSTファイルがダウンロードされる

一応、検索されたものは専用の領域にコピーされるようなので、その後ユーザーが何か操作しても結果は変わらないみたいです。
ただ、メールボックスの中身をいじりながら同じ条件で何回かやっていると検索結果が増えたりしたので、リアルタイム性はあまり高くないようです。

今回はMicrosoft 365の訴訟ホールドの使い方について共有してみました。
あまりなじみの無い機能ですが、対外的な会社の信頼にもかかわる部分ではこんなこともできますよ。。。というのを頭の片隅に置いていただけると、もしもの時にも多少は安心かなと思います。