Освоение Legal Hold в Microsoft Purview: что нужно знать каждому ИТ-администратору

By Mirko Peters · 2026-08-13

Добро пожаловать обратно в блог-сопровождение к нашему подкасту о корпоративном управлении, соответствии требованиям и администрировании. Когда регулятор запрашивает записи компании…

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно в блог-сопровождение нашего постоянного подкаста о корпоративном управлении, соответствии требованиям и администрировании. Когда регулятор запрашивает корпоративные записи, HR запускает расследование или юридическим службам нужно сохранить важные доказательства, давление сразу переходит на ИТ-администраторов. Ручной поиск по почтовым ящикам Outlook, чатам Teams, сайтам SharePoint и папкам OneDrive медленный, подвержен ошибкам и зачастую в масштабах предприятия попросту невозможен. В нашем недавнем эпизоде Microsoft Purview eDiscovery — Simply Explained мы разобрали, как организации могут безопасно находить, сохранять, проверять и экспортировать данные Microsoft 365, используя структурированный процесс, основанный на делах. Сегодня мы подробнее разберём один из самых важных и часто неверно понимаемых элементов этого процесса: Legal Hold. Похоже, при копировании в сегмент [[1]] попала часть текста из [[D]]. Ниже корректный перевод сегмента [[1]], исходный текст которого начинается с фразы «For IT admins...». Сообщите, если нужно перевести иначе.

Для ИТ-администраторов понимание того, как правильно настроить, вести и снимать Legal Hold в Microsoft Purview, — это не просто полезная техническая опция, а базовое операционное требование. Если критичные доказательства будут случайно удалены по стандартным политикам хранения или действиям пользователя во время активного расследования, юридические и финансовые последствия для бизнеса могут оказаться разрушительными. Давайте разберём механику, стратегии и лучшие практики, которые каждому ИТ-администратору необходимо освоить.

Введение в Microsoft Purview Legal Hold

По своей сути Legal Hold — это специализированный механизм сохранения в Microsoft Purview, который не позволяет пользователям безвозвратно удалять или изменять содержимое, которое может иметь отношение к предстоящему или ожидаемому судебному разбирательству, аудиту или внутреннему расследованию. Когда вы помещаете пользователя, почтовый ящик, сайт или конкретный источник данных под Legal Hold, Microsoft 365 перехватывает обычные действия по удалению. Даже если конечный пользователь удаляет письмо из папки «Удалённые», очищает эту папку или редактирует документ в SharePoint, исходная версия и все изменённые версии сохраняются в защищённых скрытых хранилищах за кулисами.

Для ИТ-администраторов внедрение Legal Hold означает переход от пассивного управления к активному, целевому сохранению данных. Это требует тонкого баланса между техническим исполнением и строгим соблюдением юридических рекомендаций. Вы отвечаете за техническую инфраструктуру, но именно юридические службы и службы соответствия определяют, что должно быть сохранено. Понимание этой границы — первый шаг к освоению администрирования соответствия в Microsoft 365.

Зачем современным рабочим местам продвинутые инструменты сохранения

Современное рабочее место сильно отличается от того, каким оно было десять лет назад. Деловая переписка больше не живёт исключительно в традиционных цепочках писем. Сегодня критические решения принимаются в разветвлённой экосистеме инструментов для совместной работы. Важный контекст может быть рассеян по почте Exchange Online, быстрым цепочкам чатов Microsoft Teams, библиотекам документов SharePoint Online, личным учётным записям OneDrive для бизнеса, группам Microsoft 365 и разговорам в Viva Engage.

Такой децентрализованный способ работы создаёт огромные сложности во время расследования. Если сотрудник находится под проверкой, он может удалить чувствительное сообщение в Teams, очистить цепочку писем или перезаписать таблицу в SharePoint. Без продвинутых инструментов сохранения, встроенных непосредственно в облачную инфраструктуру, восстановить полную хронологию событий практически невозможно. Microsoft Purview предоставляет архитектурную основу, необходимую для мгновенного захвата и защиты этого многоканального цифрового следа и обеспечивает сохранность критичных доказательств независимо от того, где они находятся в клиенте Microsoft 365.

Legal Hold и стандартные политики хранения: в чём разница?

Один из самых распространённых источников путаницы как для начинающих администраторов, так и для опытных ИТ-специалистов — разница между стандартными политиками хранения Microsoft 365 и Legal Hold. Хотя обе функции предназначены для сохранения данных, их назначение, область действия и управление жизненным циклом принципиально различаются.

Стандартные политики хранения — это превентивные меры управления. Они применяются широко, ко всей организации или к отдельным подразделениям, чтобы обеспечить соблюдение внутренних графиков управления документами или внешних нормативных требований. Например, политика хранения может требовать, чтобы все финансовые записи хранились семь лет, после чего они автоматически удаляются. Эти политики universally применяются ко всем пользователям в целевой области.

Юридическое удержание (Legal Hold), напротив, является реактивным, целенаправленным и привязанным к конкретному делу. Оно запускается конкретным событием, например судебным иском, запросом регулятора или внутренним расследованием в отделе кадров. Важно, что Legal Hold имеет приоритет над стандартными политиками хранения. Если политика хранения предписывает удалить элемент через три года, но этот элемент попадает под активное Legal Hold, он будет сохраняться бессрочно, пока удержание не будет официально снято уполномоченным персоналом. ИТ-администраторы должны понимать, что Legal Hold безусловно имеет приоритет над любыми стандартными процедурами очистки данных.

Механика сохранения доказательств в Microsoft 365

Чтобы эффективно устранять неполадки и управлять Legal Hold, ИТ-администраторам нужно понимать, что происходит «под капотом» Microsoft 365. Когда почтовый ящик или сайт SharePoint помещается на удержание, система меняет обработку изменённых и удалённых элементов.

В Exchange Online сохранение данных во многом опирается на папку «Recoverable Items» и скрытые вложенные папки, такие как Purges и Deletions. Когда пользователь изменяет или удаляет элемент, исходный элемент перемещается в папку «Recoverable Items», а не стирается безвозвратно. Когда Legal Hold активно, фоновые процессы гарантируют, что элементы в папке «Recoverable Items» не могут быть очищены ни действиями пользователя, ни помощником по управляемым папкам, даже если пользователь пытается обойти ограничения хранения. Аналогично в SharePoint Online и OneDrive для бизнеса используется специальная библиотека Preservation Hold Library. Любой файл, который изменён или удалён, сохраняется в исходной версии в этой скрытой библиотеке: пользователь её не видит, но она полностью доступна для поиска в рамках eDiscovery.

Настройка Legal Hold в Microsoft Purview

Настройка Legal Hold в портале соответствия Microsoft Purview требует соответствующих разрешений: как правило, вы должны быть членом группы ролей eDiscovery Manager или иметь назначенную роль eDiscovery Administrator. Процесс начинается в рабочей области решения eDiscovery, где администраторы создают отдельное дело для расследования.

После создания дела перейдите на вкладку Holds, чтобы создать новую политику удержания. Мастер предложит указать имя удержания, добавить описание и выбрать конкретные источники данных или участников, которые вас интересуют. Можно настроить удержание по запросу, чтобы ограничить сохранение ключевыми словами, диапазонами дат или отправителями, либо применить безусловное удержание, которое сохраняет весь контент, связанный с выбранными участниками. После включения удержания Microsoft 365 немедленно запускает фоновые процессы синхронизации, необходимые для защиты указанных источников данных.

Выбор нужных источников данных в Exchange, Teams и SharePoint

При настройке Legal Hold важна точность. Чрезмерное сохранение, когда на удержание помещается вся компания, расходует ценные ресурсы хранилища и может создать ненужные проблемы с конфиденциальностью. И наоборот, недостаточное сохранение, при котором пропускается важный репозиторий данных, может привести к обвинениям в уничтожении доказательств (spoliation of evidence).

При определении источников данных нужно учитывать полную картину цифровых привычек участника. Для Exchange Online обязательно включите и основной почтовый ящик, и связанный архивный почтовый ящик, если он включён. Для Microsoft Teams помните, что личные чаты, групповые чаты и сообщения каналов фактически хранятся в почтовых ящиках соответствующих участников или групповых почтовых ящиках, поэтому удержание почтового ящика пользователя автоматически сохраняет и историю его чатов. Для совместной работы с документами явно добавьте его OneDrive, а также все сайты SharePoint и группы Microsoft 365, где он активно работает с файлами.

Лучшие практики для ИТ-администраторов при управлении активными расследованиями

Управление активными расследованиями требует дисциплинированного подхода к администрированию, безопасности и коммуникации. ИТ-администраторам следует придерживаться нескольких отраслевых лучших практик, чтобы процесс расследования проходил гладко:

• Строго соблюдайте конфиденциальность: никогда не обсуждайте действующие юридические удержания и расследования вне авторизованных каналов. Утечка информации об удержании может поставить под угрозу внутреннее расследование или нарушить корпоративную политику.
• Тесно сотрудничайте с юридическим отделом: всегда уточняйте с юристами или специалистами по кадрам состав хранителей данных и источников данных, прежде чем применять или изменять удержание. Не угадывайте, что нужно сохранить.
• Документируйте все действия: ведите подробный журнал: когда были применены удержания, какие источники данных затронуты и кто санкционировал действие. Эта документация является частью обоснованного аудиторского следа.
• Не расширяйте область без необходимости: при необходимости используйте удержания на основе запросов, чтобы ограничить их конкретными периодами или темами. Это снижает нагрузку на рецензентов и минимизирует ненужный сбор персональных данных сотрудников.

Аудит, соответствие требованиям и снятие юридического удержания

Расследование не длится вечно. Как только юридическое дело завершено, регуляторная проверка закрыта или внутренний аудит выполнен, юридическое удержание必须 систематически снимается. Снятие удержания позволяет стандартным политикам хранения и механизмам удаления вновь работать в штатном режиме для затронутых пользователей и источников данных.

Чтобы сохранять обоснованную позицию, ИT-администраторы никогда не должны удалять дело eDiscovery или снимать удержание без явного документированного одобрения юридического отдела или специалистов по соответствию требованиям. После получения распоряжения о снятии вы просто отключаете или удаляете удержание в центре соответствия требованиям Microsoft Purview. После снятия удержания Microsoft 365 освобождает блокировки со скрытых библиотек хранения и папок Recoverable Items, что позволяет вернуться к обычному управлению жизненным циклом данных и освобождению места в хранилище. Кроме того, все административные действия, связанные с созданием, изменением и снятием удержаний, полностью фиксируются в журнале аудита Microsoft Purview, что обеспечивает полную подотчётность.

Заключение и главное для ИТ-администраторов

Освоение юридического удержания в Microsoft Purview — необходимый навык для любого современного ИТ-администратора или специалиста по соответствию требованиям. Выходя за рамки базового управления хранилищем и понимая устройство сохранения доказательств, вы защищаете организацию от серьёзных рисков потери данных во время активных расследований. Помните: успешная стратегия юридического удержания опирается на точную настройку для Exchange, Teams и SharePoint, тесную работу с юридическими заинтересованными сторонами и строгое соблюдение структурированного процесса eDiscovery.

Чтобы узнать больше о том, как организации могут безопасно находить, сохранять, проверять и экспортировать данные Microsoft 365, обязательно послушайте наш связанный выпуск подкаста Microsoft Purview eDiscovery — Simply Explained. В этом выпуске мы простым языком разбираем полный сквозной процесс eDiscovery и помогаем подготовиться как к сложным расследованиям, так и к сертификациям Microsoft. Оставайтесь в безопасности, держите управление данными под строгим контролем, и увидимся в следующем выпуске!