Búsqueda de contenido y exportación

La herramienta de búsqueda de contenido de eDiscovery del portal de Microsoft Purview permite buscar en buzones de Exchange, sitios de SharePoint y OneDrive, Teams y otros lugares, con una consulta por palabras y con condiciones como fechas o remitentes. Una consulta vacía devuelve todo lo que haya en las ubicaciones elegidas.

Por eso se acota por dos lados: las ubicaciones (solo las cuentas y los sitios implicados) y la consulta (el periodo del incidente y lo que se busca). Es eficacia y es privacidad: lo que se reúne de más es información personal que la investigación no justificaba.

Una búsqueda mal acotada se reconoce por dos cosas: el número de elementos que devuelve es desproporcionado respecto a las demás sobre la misma ubicación, y la consulta tiene un detalle que no corresponde con el periodo. Un error de un año en una fecha se lee a simple vista cuando se compara la consulta con el periodo del incidente, que empieza el 24 de junio de 2027.

Para planificar la revisión y el espacio de la exportación se suman los elementos de las búsquedas bien acotadas que cubren el incidente. No se cuenta la que se pasó de rango ni la que busca otra cosa: la de invitaciones sobre todos los buzones es útil, pero responde a una pregunta distinta y se revisa aparte.

La suma que interesa es la del buzón de la cuenta y la del sitio de remisiones, ambas con el periodo correcto.

Al exportar resultados se puede pedir también el informe de resultados: la lista de lo exportado, con sus propiedades. Sin ese informe no hay manera sencilla de comprobar después qué contenía el paquete, y el paquete pierde valor como prueba. La tabla de exportaciones anota, para cada una, si se pidió el informe.

Un paquete exportado es evidencia desde el momento en que sale. Su custodia se anota igual que la de un disco: quién lo pidió, de qué búsqueda, cuándo, dónde se guardó y la huella del paquete (un resumen criptográfico que se calcula al recibirlo y se vuelve a calcular en cada traslado). El propio tenant anota que alguien exportó, pero no sabe dónde acabó el archivo.