Padroneggiare il Legal Hold in Microsoft Purview: cosa deve sapere ogni amministratore IT

By Mirko Peters · 2026-08-13

Bentornato sul blog di accompagnamento alla nostra serie di podcast dedicata a governance, conformità e amministrazione in ambito enterprise. Quando un'autorità di vigilanza richiede i registri aziendali…

Automatically translated with AI from the original post. Read the English original

Bentornati nel blog di accompagnamento alla nostra serie di podcast su governance, conformità e amministrazione aziendale. Quando un'autorità di vigilanza richiede documenti aziendali, le risorse umane avviano un'indagine o i team legali devono conservare prove fondamentali, la pressione ricade subito sugli amministratori IT. Cercare manualmente nelle caselle di Outlook, nelle chat di Teams, nei siti SharePoint e nelle cartelle OneDrive è lento, soggetto a errori e spesso del tutto impraticabile su scala aziendale. Nel nostro recente episodio, Microsoft Purview eDiscovery — Simply Explained, abbiamo illustrato come le organizzazioni possono individuare, conservare, esaminare ed esportare in modo sicuro i dati di Microsoft 365 seguendo un processo strutturato basato sui casi. Oggi approfondiamo uno dei pilastri più importanti e meno compresi di quel processo: il Legal Hold.

Per gli amministratori IT, saper configurare, gestire e rilasciare correttamente un Legal Hold in Microsoft Purview non è un semplice optional tecnico, ma un requisito operativo fondamentale. Se prove critiche vengono eliminate per errore a causa dei criteri di conservazione standard o di un'azione dell'utente durante un'indagine in corso, le conseguenze legali ed economiche per l'azienda possono essere devastanti. Esaminiamo quindi meccanismi, strategie e best practice che ogni amministratore IT deve padroneggiare.

Introduzione al Legal Hold di Microsoft Purview

Nella sua essenza, il Legal Hold è un meccanismo di conservazione specializzato all'interno di Microsoft Purview che impedisce agli utenti di eliminare definitivamente o modificare contenuti che potrebbero essere rilevanti per un procedimento legale, un audit o un'indagine interna in corso o previsti. Quando si applica un Legal Hold a un utente, a una casella di posta, a un sito o a una specifica origine dati, Microsoft 365 intercetta i normali comportamenti di eliminazione. Anche se un utente elimina un'email dalla cartella Posta eliminata, svuota tale cartella o modifica un documento in SharePoint, la versione originale e tutte le versioni modificate vengono conservate in aree di archiviazione sicure e nascoste dietro le quinte.

Per gli amministratori IT, implementare un Legal Hold significa passare da una governance passiva a una conservazione attiva e mirata. Richiede un equilibrio delicato tra l'esecuzione tecnica e la stretta aderenza alle indicazioni legali. Voi siete i custodi dell'infrastruttura tecnica, ma sono i team legali e di conformità a stabilire l'ambito di ciò che deve essere conservato. Comprendere questo confine è il primo passo per padroneggiare l'amministrazione della conformità in Microsoft 365.

Perché gli ambienti di lavoro moderni hanno bisogno di strumenti di conservazione avanzati

L'ambiente di lavoro moderno è molto diverso da quello di dieci anni fa. Le conversazioni aziendali non vivono più esclusivamente nei tradizionali thread di posta elettronica. Oggi le decisioni importanti vengono prese in un ampio ecosistema di strumenti di collaborazione. Il contesto rilevante può essere disperso tra email di Exchange Online, thread di chat di Microsoft Teams dal ritmo serrato, librerie di documenti collaborative di SharePoint Online, account personali OneDrive for Business, Microsoft 365 Groups e conversazioni di Viva Engage.

Questo modo di lavorare decentralizzato crea enormi difficoltà durante un'indagine. Se un dipendente è sotto controllo, potrebbe eliminare un messaggio sensibile di Teams, cancellare un thread di email o sovrascrivere un foglio di calcolo in SharePoint. Senza strumenti di conservazione avanzati integrati direttamente nell'infrastruttura cloud, ricostruire una timeline completa degli eventi è quasi impossibile. Microsoft Purview fornisce l'impianto architetturale necessario per acquisire e proteggere immediatamente questa impronta digitale multicanale, garantendo che le prove fondamentali restino integre ovunque si trovino all'interno del tenant di Microsoft 365.

Legal Hold e criteri di conservazione standard: qual è la differenza?

Uno dei punti di confusione più comuni per gli amministratori junior, e anche per i professionisti IT esperti, è la differenza tra i criteri di conservazione standard di Microsoft 365 e i Legal Hold. Sebbene entrambe le funzionalità servano a conservare i dati, il loro scopo, il loro ambito e la gestione del ciclo di vita sono sostanzialmente diversi.

Le criteri di conservazione standard sono misure di governance proattive. Vengono applicati in modo ampio a tutta un'organizzazione, o a specifici reparti, per garantire la conformità alle procedure interne di gestione dei documenti o ai quadri normativi esterni. Ad esempio, un criterio di conservazione potrebbe stabilire che tutti i documenti finanziari debbano essere conservati per sette anni, dopodiché vengono eliminati automaticamente. Questi criteri si applicano indistintamente a tutti gli utenti dell'ambito di destinazione.

Una Legal Hold, invece, è reattiva, mirata e specifica per un singolo caso. Viene attivata da un evento preciso, come una causa legale, un'indagine normativa o un'indagine delle risorse umane. Ed è proprio questo il punto cruciale: una Legal Hold ha la precedenza sui criteri di conservazione standard. Se un criterio di conservazione prevede l'eliminazione di un elemento dopo tre anni, ma tale elemento rientra in una Legal Hold attiva, l'elemento viene conservato a tempo indeterminato, finché il personale autorizzato non rimuove ufficialmente la sospensione. Gli amministratori IT devono tenere presente che le Legal Hold prevalgono in modo assoluto sulle normali routine di pulizia dei dati.

I meccanismi di conservazione delle prove in Microsoft 365

Per risolvere efficacemente i problemi e gestire le Legal Hold, gli amministratori IT devono capire cosa succede dietro le quinte di Microsoft 365. Quando una casella di posta o un sito SharePoint viene sottoposto a un hold, il sistema modifica il modo in cui gestisce gli elementi modificati ed eliminati.

In Exchange Online, la conservazione dei dati si basa in larga misura sulla cartella Elementi recuperabili e sulle sottocartelle nascoste come Purges e Deletions. Quando un utente modifica o elimina un elemento, l'originale viene spostato nella cartella Elementi recuperabili invece di essere cancellato definitivamente. Quando una Legal Hold è attiva, i processi in background garantiscono che gli elementi presenti in Elementi recuperabili non possano essere eliminati né dall'utente né dal Managed Folder Assistant, anche se l'utente tenta di aggirare i limiti di conservazione. Analogamente, in SharePoint Online e OneDrive for Business viene utilizzata un'apposita libreria Preservation Hold Library. Ogni file modificato o eliminato viene copiato in sicurezza in questa libreria nascosta, dove resta invisibile all'utente finale ma completamente accessibile alle ricerche di eDiscovery.

Configurare una Legal Hold in Microsoft Purview

Per configurare una Legal Hold nel portale di conformità di Microsoft Purview sono necessarie le autorizzazioni appropriate: in genere, bisogna far parte del gruppo di ruoli Gestione eDiscovery oppure avere il ruolo Amministratore eDiscovery. Il processo inizia nell'area di lavoro della soluzione eDiscovery, dove gli amministratori creano un caso dedicato per l'indagine.

Una volta creato il caso, si passa alla scheda Hold per creare un nuovo criterio di sospensione. La procedura guidata chiede di assegnare un nome alla sospensione, fornire una descrizione e selezionare le specifiche origini dati o i custodi da includere. È possibile configurare sospensioni basate su query, per limitare la conservazione a parole chiave, intervalli di date o mittenti specifici, oppure applicare una sospensione incondizionata che conserva tutti i contenuti associati ai custodi selezionati. Una volta attivata la sospensione, Microsoft 365 avvia immediatamente i processi di sincronizzazione in background necessari per mettere in sicurezza le origini dati indicate.

Individuare le origini dati giuste in Exchange, Teams e SharePoint

La precisione è fondamentale quando si configura una Legal Hold. Sottoporre a hold un'intera azienda significa sprecare risorse di archiviazione preziose e può generare complicazioni inutili in materia di privacy. Al contrario, non includere un repository di dati critico può portare ad accuse di distruzione di prove (spoliation of evidence).

Quando si definiscono le origini dati, occorre considerare il quadro completo delle abitudini digitali del custode. Per Exchange Online, assicurati di includere sia la casella di posta principale sia l'eventuale archivio associato, se abilitato. Per Microsoft Teams, ricorda che le chat one-to-one, le chat di gruppo e i messaggi dei canali sono in realtà archiviati nelle caselle di posta dei rispettivi partecipanti o delle caselle di gruppo; sottoporre a hold la casella di posta di un utente, quindi, preserva automaticamente anche la sua cronologia delle chat. Per la collaborazione sui documenti, è necessario includere esplicitamente anche il suo account OneDrive, oltre a tutti i siti SharePoint o ai gruppi di Microsoft 365 in cui collabora attivamente ai file.

Procedure consigliate per gli amministratori IT che gestiscono indagini attive

La gestione delle indagini attive richiede un approccio rigoroso in termini di amministrazione, sicurezza e comunicazione. Gli amministratori IT dovrebbero seguire diverse procedure consigliate del settore per garantire un processo investigativo fluido:

• Mantieni la massima riservatezza: non discutere mai di Legal Hold attivi o di indagini al di fuori dei canali autorizzati. Far trapelare informazioni su un blocco può compromettere un'indagine interna o violare i criteri aziendali.
• Collabora strettamente con il team legale: verifica sempre l'ambito dei custodi e delle fonti dati con i team legali o HR prima di applicare o modificare un blocco. Non fare supposizioni su cosa va conservato.
• Documenta tutto: tieni un registro dettagliato di quando vengono applicati i blocchi, quali fonti dati sono interessate e chi ha autorizzato l'azione. Questa documentazione fa parte della traccia di audit difendibile.
• Evita di estendere l'ambito oltre il necessario: usa i blocchi basati su query quando opportuno, per puntare a intervalli temporali o argomenti specifici, riducendo il carico per i revisori e limitando la raccolta non necessaria di dati personali dei dipendenti.

Audit, conformità e rilascio di un Legal Hold

Un'indagine non dura per sempre. Una volta risolta una controversia legale, chiusa un'ispezione normativa o completato un audit interno, il Legal Hold va rilasciato in modo sistematico. Il rilascio consente ai normali criteri di conservazione e ai meccanismi di eliminazione di tornare a operare regolarmente per gli utenti e le fonti dati interessati.

Per mantenere una posizione difendibile, gli amministratori IT non devono mai eliminare un caso di eDiscovery né rilasciare un blocco senza un'approvazione esplicita e documentata da parte del team legale o dei responsabili della conformità. Una volta dato l'ordine di rilascio, basta disattivare o eliminare il blocco nel portale di conformità di Microsoft Purview. Dopo la rimozione del blocco, Microsoft 365 rilascia i blocchi sulle librerie di conservazione nascoste e sulle cartelle Elementi recuperabili, permettendo di riprendere la gestione normale del ciclo di vita e il recupero dello spazio di archiviazione. Inoltre, tutte le azioni amministrative legate alla creazione, modifica e rilascio dei blocchi vengono registrate integralmente nel registro di controllo di Microsoft Purview, garantendo piena responsabilità.

Conclusioni e punti chiave per gli amministratori IT

Padroneggiare il Legal Hold in Microsoft Purview è una competenza essenziale per qualsiasi amministratore IT o professionista della conformità moderno. Andando oltre la semplice gestione dello spazio di archiviazione e comprendendo i meccanismi complessi della conservazione delle prove, proteggi l'organizzazione dai gravi rischi legati alla perdita di dati durante le indagini in corso. Ricorda che una strategia efficace di Legal Hold si basa su un targeting preciso tra Exchange, Teams e SharePoint, su una stretta collaborazione con i referenti legali e su un rigoroso rispetto del flusso di lavoro strutturato di eDiscovery.

Per approfondire come le organizzazioni possono individuare, conservare, esaminare ed esportare in modo sicuro i dati di Microsoft 365, ascolta il nostro podcast correlato, Microsoft Purview eDiscovery — Simply Explained. In quell'episodio analizziamo l'intero flusso di lavoro di eDiscovery dall'inizio alla fine, in parole semplici, per aiutarti a prepararti a indagini complesse e anche alle certificazioni Microsoft. Resta al sicuro, mantieni solida la governance e ci vediamo nel prossimo episodio!