Опановуємо Legal Hold у Microsoft Purview: що має знати кожен ІТ-адміністратор

By Mirko Peters · 2026-08-13

Раді вітати вас знову у супровідному блозі до нашої серії подкастів про корпоративне управління, відповідність вимогам і адміністрування. Коли регулятор запитує корпоративні записи…

Automatically translated with AI from the original post. Read the English original

Ласкаво просимо назад до блогу-супутника нашого серіалу подкастів про корпоративне управління, відповідність вимогам та адміністрування. Коли регулятор запитує корпоративні записи, HR розпочинає розслідування або юридичні відділи мають зберегти критично важливі докази, тиск миттєво переходить на ІТ-адміністраторів. Вручну шукати по поштових скриньках Outlook, чатах Teams, сайтах SharePoint і папках OneDrive повільно, схильно до помилок і в корпоративному масштабі часто взагалі неможливо. У нашому останньому епізоді Microsoft Purview eDiscovery — Simply Explained ми розібрали, як організації можуть безпечно знаходити, зберігати, переглядати й експортувати дані Microsoft 365, використовуючи структурований процес на основі справ. Сьогодні ми детально розглянемо один із найважливіших і найменш зрозумілих елементів цього процесу: Legal Hold.

Для ІТ-адміністраторів розуміння того, як правильно налаштувати, керувати та знімати Legal Hold у Microsoft Purview, це не просто технічна зручність, а базова операційна вимога. Якщо критично важливі докази випадково видаляються через стандартні політики збереження або дії користувача під час активного розслідування, юридичні та фінансові наслідки для бізнесу можуть бути руйнівними. Розберемо механіку, стратегії та найкращі практики, які кожен ІТ-адміністратор має опанувати.

Знайомство з Microsoft Purview Legal Hold

По суті, Legal Hold — це спеціалізований механізм збереження в Microsoft Purview, який не дає користувачам безповоротно видаляти або змінювати вміст, що може стосуватися чинного чи очікуваного судового провадження, аудиту або внутрішнього розслідування. Коли ви встановлюєте Legal Hold для користувача, поштової скриньки, сайту або конкретного джерела даних, Microsoft 365 перехоплює звичайні дії з видалення. Навіть якщо кінцевий користувач видаляє лист із папки «Видалені», очищає цю папку або редагує документ у SharePoint, початкова версія та всі змінені версії зберігаються в захищеному прихованому сховищі за лаштунками.

Для ІТ-адміністраторів впровадження Legal Hold означає перехід від пасивного управління до активного, цілеспрямованого збереження. Це вимагає делікатного балансу між технічним виконанням і суворим дотриманням юридичних рекомендацій. Ви відповідаєте за технічну інфраструктуру, але саме юридичні та відповідні відділи визначають обсяг того, що має бути збережено. Розуміння цієї межі — перший крок до оволодіння адмініструванням відповідності в Microsoft 365.

Чому сучасним робочим місцям потрібні розширені інструменти збереження

Сучасне робоче місце значно відрізняється від того, яким воно було десять років тому. Ділове листування більше не існує виключно в традиційних ланцюжках електронних листів. Сьогодні ключові рішення ухвалюють у розгалуженій екосистемі засобів спільної роботи. Важливий контекст може бути розпорошений між електронними листами в Exchange Online, швидкими ланцюжками чатів у Microsoft Teams, спільними бібліотеками документів SharePoint Online, особистими обліковими записами OneDrive для бізнесу, групами Microsoft 365 і розмовами у Viva Engage.

Такий децентралізований спосіб роботи створює величезні труднощі під час розслідування. Якщо співробітник перебуває під пильною увагою, він може видалити чутливе повідомлення в Teams, стерти ланцюжок листів або перезаписати таблицю в SharePoint. Без розширених інструментів збереження, вбудованих безпосередньо в хмарну інфраструктуру, відтворити повну хронологію подій майже неможливо. Microsoft Purview надає архітектурну основу, необхідну для миттєвого фіксування та захисту цього багатоканального цифрового сліду, гарантуючи, що критичні докази залишаються цілісними незалежно від того, де вони зберігаються в клієнті Microsoft 365.

Legal Hold проти стандартних політик збереження: у чому різниця?

Один із найпоширеніших моментів непорозуміння для молодших адміністраторів і навіть досвідчених ІТ-фахівців — це різниця між стандартними політиками збереження Microsoft 365 і Legal Hold. Хоча обидві функції призначені для збереження даних, їхнє призначення, обсяг і управління життєвим циклом принципово різні.

Стандартні політики збереження є превентивними заходами управління. Вони застосовуються широко в межах організації або окремих відділів, щоб забезпечити відповідність внутрішнім графікам управління записами або зовнішнім нормативним вимогам. Наприклад, політика збереження може вимагати, щоб усі фінансові записи зберігалися сім років, після чого вони автоматично видаляються. Ці політики universally застосовуються до всіх користувачів у цільовій області.

Натомість Legal Hold є реактивним, цільовим і прив’язаним до конкретної справи. Його запускає конкретна подія, наприклад судовий позов, запит регулятора або внутрішнє розслідування в HR. Важливо, що Legal Hold має пріоритет над стандартними політиками збереження. Якщо політика збереження передбачає видалення елемента через три роки, але цей елемент потрапляє під активний Legal Hold, його буде збережено на невизначений термін, доки уповноважений персонал офіційно не зніме утримання. ІТ-адміністратори мають розуміти, що Legal Hold безумовно має пріоритет над стандартними процедурами очищення даних.

Механіка збереження доказів у Microsoft 365

Щоб ефективно усувати несправності та керувати Legal Hold, ІТ-адміністраторам потрібно розуміти, що відбувається всередині Microsoft 365. Коли поштову скриньку або сайт SharePoint поміщають під утримання, система змінює спосіб обробки змінених і видалених елементів.

В Exchange Online збереження даних значною мірою покладається на папку Recoverable Items та приховані підпапки, зокрема Purges і Deletions. Коли користувач змінює або видаляє елемент, оригінал переміщується до папки Recoverable Items, а не стирається назавжди. Коли Legal Hold активний, фонові процеси гарантують, що елементи в папці Recoverable Items не можна очистити ні діями користувача, ні через managed folder assistant, навіть якщо користувач намагається обійти обмеження збереження. Подібно, в SharePoint Online та OneDrive для бізнесу використовується спеціальна бібліотека Preservation Hold Library. Кожен файл, який змінюють або видаляють, його оригінальна версія безпечно копіюється до цієї прихованої бібліотеки, де вона залишається невидимою для кінцевого користувача, але повністю доступною для пошуків eDiscovery.

Налаштування Legal Hold у Microsoft Purview

Щоб налаштувати Legal Hold у центрі відповідності Microsoft Purview, потрібні відповідні дозволи: зазвичай ви маєте бути членом групи ролей eDiscovery Manager або мати роль eDiscovery Administrator. Процес починається в робочому просторі рішення eDiscovery, де адміністратори створюють окрему справу для розслідування.

Коли справу створено, перейдіть на вкладку Holds, щоб створити нову політику утримання. Майстер запропонує вказати назву утримання, додати опис і вибрати конкретні місця даних або кастодіанів, які потрібно охопити. Ви можете налаштувати утримання на основі запитів, щоб звузити збереження до конкретних ключових слів, діапазонів дат або відправників, або застосувати безумовне утримання, яке зберігає весь вміст, пов’язаний із вибраними кастодіанами. Щойно утримання увімкнено, Microsoft 365 одразу запускає фонові процеси синхронізації, необхідні для захисту визначених джерел даних.

Визначення правильних джерел даних в Exchange, Teams і SharePoint

Точність важлива під час налаштування Legal Hold. Надмірне збереження, коли під утримання потрапляє вся організація, марнує цінні ресурси сховища і може створити зайві проблеми з конфіденційністю. Натомість недостатнє збереження, коли пропущено критично важливе сховище даних, може призвести до звинувачень у знищенні доказів.

Визначаючи джерела даних, потрібно бачити повну картину цифрових звичок кастодіана. Для Exchange Online обов’язково включайте і основну поштову скриньку, і пов’язану архівну, якщо її увімкнено. Для Microsoft Teams пам’ятайте, що індивідуальні чати, групові чати та повідомлення каналів фактично зберігаються в поштових скриньках відповідних учасників або групових скриньках, тож утримання поштової скриньки користувача автоматично зберігає і його історію чатів. Для спільної роботи з документами потрібно явно додати його OneDrive, а також сайти SharePoint або групи Microsoft 365, де він активно працює з файлами.

Найкращі практики для ІТ-адміністраторів під час активних розслідувань

Керування активними розслідуваннями потребує дисциплінованого підходу до адміністрування, безпеки та комунікації. ІТ-адміністраторам варто дотримуватися кількох галузевих найкращих практик, щоб процес розслідування проходив гладко:

• Суворо дотримуйтеся конфіденційності: Ніколи не обговорюйте активні юридичні утримання (legal holds) чи розслідування поза авторизованими каналами. Розголошення інформації про утримання може поставити під загрозу внутрішнє розслідування або порушити корпоративну політику.
• Тісно співпрацюйте з юридичним відділом: Завжди узгоджуйте обсяг охоплених осіб (custodians) і джерел даних із юридичним або HR-відділом перед застосуванням чи зміною утримання. Не здогадуйтеся, що саме потрібно зберегти.
• Документуйте все: Ведіть детальний журнал того, коли застосовуються утримання, які джерела даних охоплюються і хто схвалив дію. Ця документація є частиною надійного журналу аудиту.
• Уникайте надмірного охоплення: За потреби використовуйте утримання на основі запитів, щоб обмежити їх певними періодами часу чи темами. Це зменшує навантаження на рецензентів і мінімізує непотрібний збір персональних даних працівників.

Аудит, відповідність вимогам і зняття юридичного утримання

Розслідування триває не вічно. Щойно юридичну справу вирішено, регуляторний запит закрито або внутрішній аудит завершено, юридичне утримання (Legal Hold) необхідно систематично зняти. Зняття утримання дозволяє стандартним політикам збереження та механізмам видалення знову працювати в нормальному режимі для відповідних користувачів і джерел даних.

Щоб зберегти надійність процесу, ІТ-адміністратори ніколи не повинні видаляти справу eDiscovery або знімати утримання без чіткого, задокументованого схвалення від юридичного відділу чи офіцера з відповідності. Після надходження наказу про зняття достатньо вимкнути або видалити утримання в порталі відповідності Microsoft Purview. Після зняття утримання Microsoft 365 знімає блокування з прихованих бібліотек збереження та папок Recoverable Items, що дозволяє повернутися до звичайного керування життєвим циклом і звільнення сховища. Крім того, усі адміністративні дії, пов’язані зі створенням, зміною та зняттям утримань, повністю фіксуються в журналі аудиту Microsoft Purview, що забезпечує повну підзвітність.

Висновки та головне для ІТ-адміністраторів

Оволодіння юридичним утриманням у Microsoft Purview є необхідною компетенцією для кожного сучасного ІТ-адміністратора чи фахівця з відповідності. Вийшовши за межі базового керування сховищем і розуміючи складні механізми збереження доказів, ви захищаєте організацію від серйозних ризиків втрати даних під час активних розслідувань. Пам’ятайте, що успішна стратегія юридичного утримання ґрунтується на точному визначенні цілей в Exchange, Teams і SharePoint, тісній співпраці з юридичними стейкголдерами та ретельному дотриманні структурованого робочого процесу eDiscovery.

Щоб дізнатися більше про те, як організації можуть безпечно виявляти, зберігати, переглядати й експортувати дані Microsoft 365, обов’язково послухайте наш пов’язаний епізод подкасту, Microsoft Purview eDiscovery — Simply Explained. У цьому епізоді ми простою мовою розглядаємо повний наскрізний робочий процес eDiscovery, допомагаючи вам підготуватися до складних розслідувань і сертифікаційних іспитів Microsoft. Залишайтеся в безпеці, тримайте управління даними під контролем, і до зустрічі в наступному епізоді!