План пошуку повідомлень електронної пошти

1. Як надати електронні свідоцтва на першу вимогу Коли правоохоронні органи вимагають надати для перегляду...
2. Архівування та управління записами
3. Працюємо з даними

Як надати електронні свідоцтва на першу вимогу

Наша взаимовыгодная связь https://banwar.org/

Коли правоохоронні органи вимагають надати для перегляду повідомлення електронної пошти, запит повинен бути задоволений невідкладно. Необхідність відповідності законодавчим актам поряд з ростом поштового трафіку і потребою в сховищах електронної пошти змушують компанії ретельно аналізувати процеси електронного виявлення (e-discovery), щоб успішно витягувати з архіву потрібні повідомлення. На початку 2006 р міжгалузевої консорціум Electronic Discovery Reference Model (EDRM) Project ( http://www.edrm.net ) Опублікував робочий документ, який встановлює стандарт на проектування продуктів і служб електронного виявлення. EDRM складається з декількох розділів, в яких описані вимоги до різним етапам процесу електронного виявлення (рис. 1). У даній статті розглядаються два розділи - ідентифікація та управління записами, а також деякі ідеї для адміністраторів Exchange з підготовки плану виявлення в середовищі Exchange Server.

ідентифікація

Рівень відповідності законодавчим актам визначається здатністю адміністратора надати свідчення, наприклад, відповідно до закону про свободу інформації (Freedom of Information Act, FOIA), в рамках розслідування комісії з бірж і цінних паперів або судового позову. Перший крок у пошуку свідоцтв - ідентифікувати осіб, порушених запитом (піклувальників, юридичною мовою), поряд з будь-якими мають відношення до справи обставинами, тимчасовими рамками і подіями в компанії. Потім потрібно визначити коло досліджуваних даних.

Щоб спростити завдання ідентифікації електронних свідоцтв, адміністратору Exchange слід встановити і підтримувати як поточну, так і історичні версії перерахованих нижче відомостей Exchange.

Відомості поштових скриньок. Необхідно провести інвентаризацію і документувати всіх користувачів, які мають поштовими скриньками. Можна використовувати інструменти підготовки звітів Exchange від незалежного постачальника або утиліту CSVDE компанії Microsoft, щоб експортувати інформацію про користувачів Active Directory (AD) в файл з поділом запитом (CSV). Додаткові відомості про CSVDE і її параметрах наведені за адресою http://www.microsoft.com/technet/prodtechnol/windowsserver2003/ library / serverhelp / 1050686f-3464-41af-b7e4016ab0c4db26.mspx . Відомість повинна містити принаймні наступну інформацію про кожного користувача поштової скриньки: ім'я, обліковий запис, організаційна одиниця (OU), адреса електронної пошти, ім'я сервера Exchange, Information Store (IS), підрозділ, посада і місто. З цієї відомості можна дізнатися історію або місце розташування поштової скриньки в певний період часу, тим самим заощадивши час і сили, необхідні для пошуку старих повідомлень в поштових файлах на резервних носіях.

Відомості PST. Якщо адміністратор не заблокував відповідну функцію, то кінцеві користувачі можуть створювати файли персональних папок (PST). Якщо ви не впевнені, де знаходяться PST-файли, можна запустити на файл-сервері команду Dir, яка згенерує список всіх PST-файлів і їх власників, і зберегти результати в текстовому файлі:

Dir * .pst / s / q

Величезна більшість PST-файлів зазвичай зберігається в локальних робочих станціях, тому необхідно проявити творчий підхід до створення сценаріїв реєстрації (наприклад, скласти сценарій реєстрації та передати список виявлених PST-файлів в центральний комп'ютер для аналізу) або використовувати інструмент управління системами, наприклад компонент збору інвентарної інформації Microsoft Systems Management Server (SMS). Це дозволить отримати повну картину всіх PST-файлів на підприємстві.

Апаратна інвентаризація. Більшість адміністраторів вже подбали ще про одну необхідної відомості - апаратного обладнання, в тому числі бездротових пристроїв, таких як кишенькові BlackBerry і PDA, використовуваних усіма співробітниками організації. У багатьох пристроях передбачено сховище електронної пошти, тому в разі розслідування може виникнути потреба в їх швидкої ідентифікації. Існує багато способів відстеження апаратних пристроїв, від ручного по електронних таблиць Microsoft Excel до спеціальних програм відстеження ресурсів, частина з яких наведена в табл. 1.

Архівування та управління записами

Терміни «архівування» і «відповідність вимогам законодавчих актів» часто помилково вважають синонімами. Розгортання архіву електронної пошти - одне з найважливіших завдань забезпечення відповідності вимогам, але її виконання зовсім не гарантує повної відповідності. У простій формі архів електронної пошти являє собою репозитарій записів. Більшість сучасних рішень архівування електронної пошти має функціями управління записами, що дозволяє зберігати дані електронної пошти в захищеній, готової для вилучення, пошуку і аудиту формі. Серед провідних продуктів архівування електронної пошти - Veritas Enterprise Vault компанії Symantec, Archive Manager (в минулому AfterMail) компанії Quest Software, ZANTAZ EAS, LiveLink ECM компанії Open Text і HP StorageWorks Reference Information Storage System (RISS).

Придбання архіву аналогічно купівлі вогнетривкого сейфа для будинку. Він корисний, тільки якщо в ньому містяться повідомлення, які необхідно зберегти. Наприклад, якщо потрібно пред'явити свідоцтво про власність на будинок і воно знаходиться в сейфі, то процес виявлення буде нескладним. Але якщо ці та інші важливі документи зберігаються в різних місцях, доведеться витратити годинник, а то і дні, переглядаючи купи паперів в пошуках потрібних документів. Таким чином, справжня цінність архіву полягає в можливості спростити і централізувати зберігання важливих документів. Але простої наявності сейфа або архіву недостатньо для володаря великої кількості паперів або мільйонів записів; в цьому випадку для швидкого виявлення потрібні розвинені механізми пошуку і інші функції управління записами.

Електронна пошта - динамічна комунікаційне середовище. Згідно з прогнозом на 2005-2009 роки, опублікованому в грудні 2005 р компанією IDC, в 2006 р обсяг поштових повідомлень, що відправляються компаніями в усьому світі, перевищить 3,5x1000∧6 байт (приблизно 10 млн. Тбайт щодня). Жодна компанія не може архівувати всі свої записи електронної пошти, оскільки дані дуже динамічні. Дані, збережені як в архіві компанії, так і поза ним, підлягають електронному виявленню, як показано на рис. 2. Перед адміністратором Exchange, відповідальним за підготовку плану виявлення поштових повідомлень в організації, постає подвійне завдання: перемістити поштові дані, які повинні бути архівовані відповідно до вимог законодавчих актів, в центральний архів, де ними зручніше керувати за допомогою рішень архівування та управління записами, і керувати даними поза архівів з використанням інструментів електронного виявлення. Інструменти архівування електронної пошти забезпечують інфраструктуру для довгострокового зберігання, індексації та обліку поштових даних, а інструменти електронного виявлення орієнтовані на пошук і витяг документів з жорстких дисків, серверів та інших носіїв з метою виявлення свідчень, необхідних для розслідувань.

Дані поза архівів можуть включати повідомлення електронної пошти в PST-файлах на локальних системах або файл-серверах, повідомлення в мобільних пристроях, на резервних носіях і будь-яких інших пристроях або засобах зберігання. Як правило, адміністратори Exchange не займаються відбором даних для архівації; їх робота полягає в реалізації політик відповідності, встановлених іншими співробітниками організації. Наприклад, юридичний відділ може призначити політики відповідності, в яких йдеться про те, що «необхідно архівувати всі повідомлення, відповідні критерієм x». Потім фахівці ІТ-підрозділу забезпечують технічну реалізацію цієї вказівки.

У всіх великих і середніх компаніях управління записами електронної пошти протягом всього циклу їх існування відповідно до вимог законодавчих актів - надзвичайно обтяжлива завдання. Перераховані нижче заходи допоможуть полегшити управління та ідентифікацію як архівних, так і внеархівних записів для електронного виявлення.

• Перехід на Exchange 2000 Server Service Pack 3 (SP3) або більш пізню версію. Exchange 2000 SP3 і більш пізні версії забезпечують реєстрацію конвертів (envelope journaling). Функції реєстрації конвертів (для зберігання метаданих розширень списку розсилки - Distribution List, DL) з'явилися в Exchange 2003 SP1, але потім були перенесені в Exchange 2000 SP3. Перш за відправку повідомлення за таким списком розсилки, як [email protected], в Exchange не було способу переглянути записані повідомлення та визначити, які одержувачі входили в список розсилки до того, як він був розкритий. Починаючи з Exchange 2003 SP1 разом з кожним елементом журналу зберігаються відомості про членство в списку розсилки. У прикладі зі списком [email protected] з DL-журналу можна дізнатися, що Peter і Susan Pevensie були в списку, а Edmund Pevensie не числився в ньому. Це важливо для підтвердження ланцюжка володіння (обліку електронних свідоцтв від моменту їх створення і до подання в якості свідоцтва), якщо поштові повідомлення будуть затребувані правоохоронними органами. Додаткові відомості про додавання функцій реєстрації конвертів у версії, що передують Exchange 2003 SP1, наведені в статті Microsoft "An update rollup is available to enable the Envelope Journaling feature in Exchange 2000 Server" ( http://support.microsoft.com/?kbid=834634 ).
• Підготовка набору інструментів для електронного виявлення. У набір інструментів для електронного виявлення повинні увійти утиліти і програмні продукти для пошуку даних за межами архіву. У наборі обов'язково повинні бути як інструменти виявлення PST, так і засоби відновлення резервних копій, зокрема наведені в табл. 2 і 3.

За допомогою інструментів виявлення PST можна відшукати все PST-файли на підприємстві. Один з методів виявлення PST - пошук PST-файлів в накопичувачах з використанням функції пошуку Windows Explorer і копіюванням PST-файлів на локальній системі з подальшим застосуванням настільних пошукових механізмів, таких як модуль розширення Lookout для Microsoft Outlook, MSN Desktop Search або Google Desktop, для індексації та пошуку. Ця процедура займає досить багато часу. Інший спосіб - використовувати спеціальні інструменти від незалежних постачальників для виявлення PST і / або пошуку PST за місцем. Для цього підходить будь-який продукт з наведених в табл. 2. Інструменти виявлення резервних копій дозволяють швидко витягти повідомлення електронної пошти з резервних файлів і можуть бути корисні в двох відносинах. По-перше, з їх допомогою можна уникнути змішання технологій відновлення Exchange - серверів відновлення Exchange, Recovery Storage Groups (RSG), інструменту ExMerge, Deleted Item Retention і Deleted Mailbox Retention, які доводиться поперемінно використовувати при пошуку електронних свідоцтв на великому числі архівних стрічок. По-друге, якщо архів розміщений на підприємстві, то такі інструменти допоможуть витягти потрібні поштові записи з резервних копій і перемістити їх в архів, щоб в майбутньому не відшукувати їх на резервних носіях.

Працюємо з даними

При підготовці плану виявлення електронних документів для підприємства важливо продумати підходи як до даних в архіві (якщо він є), так і до поштових повідомлень, які зберігаються в інших місцях. Мета - збільшити відсоток поштових записів, що зберігаються в архіві, щодо записів за межами архіву. Для цього необхідно поступово переносити дані з резервних копій в архів і скоротити час зберігання поштових повідомлень на виробничих серверах Exchange перед архівуванням. Виконавши інвентаризацію поштових скриньок і апаратних засобів, вдало підібравши інструменти для архівування та вилучення поштових записів, можна побудувати ефективну стратегію виявлення електронних документів на підприємстві.

Девід Сенгупта - Менеджер групи Infrastructure Management в компанії Quest Software; має сертифікат Microsoft Exchange MVP. Автор книг, журнальних статей і технічних документів по Exchange. [email protected]