Microsoft Purview eDiscovery, araştırmalar ve hukuki incelemeler için elektronik içeriklerin bulunmasını, korunmasını ve değerlendirilmesini destekler. E-postalar, belgeler ve desteklenen iletişim içerikleri, belirlenen inceleme kapsamı doğrultusunda araştırılabilir.
Kurumsal bir araştırmada yalnızca bir dosyanın veya mesajın bulunması yeterli olmayabilir. İçeriğin hangi kaynaklardan toplandığı, neden incelemeye dahil edildiği, kimlerin eriştiği ve nasıl paylaşıldığı da açıklanmalıdır.
Önceki bölümde Audit üzerinden kullanıcı ve yönetici işlemlerinin teknik izlerini inceledik. Bu bölümde ise işlemlere ait kayıtlardan, araştırmanın konusu olan içeriklere geçiyoruz.
Amacımız, Microsoft Purview eDiscovery’nin güncel vaka yapısını ve araştırma akışını açıklamaktır. eDiscovery’nin kavramsal temelini daha önce Exchange Server eDiscovery Nedir makalemizde ayrıntılandırmıştık.
Microsoft Purview eDiscovery makalesinde aşağıdaki başlıkları inceleyeceğiz.
1. Microsoft Purview eDiscovery Nedir?
eDiscovery, elektronik ortamda saklanan bilgilerin araştırma ve dava süreçlerinde kullanılmak üzere belirlenmesini ve hazırlanmasını ifade eder.
Microsoft Purview eDiscovery; Exchange Online, SharePoint, OneDrive, Teams ve diğer desteklenen Microsoft 365 kaynaklarındaki içeriklerin araştırılmasını sağlar. Kullanılabilir özellikler, abonelik ve lisans kapsamına göre değişir. Microsoft Purview eDiscovery hakkında
Kurum açısından eDiscovery yalnızca bir arama ekranı değildir. Araştırma kapsamının belirlenmesi, ilgili verilerin korunması, inceleyicilerin görevlendirilmesi ve sonuçların kontrollü paylaşılması birlikte ele alınmalıdır.
Teknik araç, içeriğin bulunmasını ve işlenmesini destekler. İçeriğin hukuki önemi veya kurum açısından anlamı ise yetkili kişiler tarafından değerlendirilir.
2. Audit ile eDiscovery Arasındaki Fark
Audit ve eDiscovery aynı araştırmada kullanılabilir; ancak farklı sorulara yanıt verir.
Audit, hangi işlemlerin gerçekleştiğinin araştırılmasını destekler. eDiscovery ise araştırma için gerekli içeriklerin bulunmasına ve değerlendirilmesine odaklanır.
Örneğin bir dosyanın paylaşılma zamanını incelemek Audit kapsamına girebilir. Dosyanın kendisini, ilgili e-postaları ve görüşmeleri araştırmak ise eDiscovery sürecini gerektirebilir.
Bir denetim kaydının bulunması, belgenin tam içeriğinin de aynı kayıt içinde bulunduğu anlamına gelmez. Benzer şekilde içeriğin bulunması, ona ilişkin bütün geçmiş işlemlerin görülebileceğini göstermez.
Denetim yaklaşımının temelini Exchange Server Audit Logging makalemizde açıklamıştık.
3. Güncel Portalda Vaka Merkezli Yapı
Microsoft Purview’ın güncel eDiscovery deneyiminde case — vaka, araştırmanın temel çalışma alanıdır. Aramalar, korumalar ve kullanılabilir inceleme bileşenleri vaka kapsamında yönetilir.
Content Search işlevleri de güncel eDiscovery arama deneyimine dahil edilmiştir. Bu nedenle eski portal dokümanlarındaki ayrı ekran ve süreçler güncel yapıyla birebir örtüşmeyebilir. Güncel eDiscovery deneyimi
Kurumun teknik dokümanlarında yalnızca menü adını değil, işlemin amacını da belirtmesi yararlı olacaktır. Böylece portal değişikliklerinde araştırma yönteminin korunması kolaylaşır.
4. Case — Vaka Yönetimi
Bir vaka, belirli bir araştırmaya ait çalışmaların düzenlenmesini sağlar. Vakanın adı, açıklaması ve üyeleri üzerinden araştırmanın kapsamı ve erişimi yönetilebilir. Vaka oluşturma ve yönetme
Kurumun vaka açmadan önce aşağıdaki bilgileri belirlemesi önerilir:
- Araştırmanın amacı ve onay kaydı.
- İlgili kişiler ve veri kaynakları.
- İncelenecek tarih aralığı.
- İçeriğin korunma ihtiyacı.
- Görevli ekipler ve paylaşım koşulları.
Vakanın teknik olarak oluşturulması, ilgili bütün verilerin otomatik olarak korunduğu anlamına gelmez. Hold ve diğer koruma gereksinimleri ayrıca değerlendirilmelidir.
Bu sürecin kurumsal sorumluluklarını Supervisory Review Dava Yönetimi makalemizde ele almıştık.
5. Veri Kaynakları ve Kapsamın Belirlenmesi
Araştırmanın kalitesi, doğru kaynakların seçilmesine bağlıdır.
Bir çalışanla ilgili inceleme yalnızca posta kutusundan oluşmayabilir. OneDrive dosyaları, ekiplerin SharePoint alanları ve ilgili iletişim kaynakları da değerlendirmeye dahil olabilir.
Aramada kullanıcı, grup ve ilgili veri konumları seçilerek kapsam oluşturulur. Seçilen kaynakların hangi posta kutularını ve siteleri içerdiği kontrol edilmelidir. eDiscovery arama kaynakları ve sorgu hazırlığı
Örneğin bir Teams mesajının araştırılması, mesajda bağlantısı bulunan dosyanın da otomatik olarak bütün kapsamıyla toplandığı şeklinde yorumlanmamalıdır. Dosya kaynakları ve ilgili toplama seçenekleri ayrıca doğrulanmalıdır.
Yerel Exchange Server verileri de Exchange Online kaynaklarıyla aynı kabul edilmemelidir. Hibrit ortamda erişilebilir kaynaklar ve ek veri toplama ihtiyaçları ayrı planlanmalıdır.
Mimari değerlendirme için Exchange Server eDiscovery Mimari Yapı ve Çalışma Prensipleri makalemizden yararlanılabilir.
6. Search — İçerik Arama
eDiscovery aramalarında anahtar kelimeler, tarih aralıkları, kişiler ve desteklenen içerik özellikleri kullanılabilir. Koşul oluşturucu veya Keyword Query Language — KeyQL ile sorgu hazırlanabilir.
İstatistikler ve önizleme, sorgunun hedeflenen içerikleri bulup bulmadığını değerlendirmeye yardımcı olur. Sonuçlara göre sorgu düzenlenip yeniden çalıştırılabilir. Vaka içinde arama oluşturma
Kurumun arama yaklaşımı, yalnızca tek bir kelimeye dayanmamalıdır. Proje adları, eski adlandırmalar, sözleşme numaraları ve ilgili kişiler birlikte değerlendirilebilir.
Çok geniş sorgu, gereksiz inceleme yükü oluşturabilir. Çok dar sorgu ise ilgili içeriğin kaçırılmasına neden olabilir. Kullanılan sorgular ve değişiklik gerekçeleri kaydedilmelidir.
7. Hold — İçeriğin Korunması
Hold, inceleme için gerekli içeriğin korunmasına yönelik mekanizmadır. Belirlenen veri kaynakları ve varsa sorgu koşulları üzerinden koruma kapsamı oluşturulabilir.
Koruma yapılandırmasının yalnızca oluşturulmuş olması yeterli değildir. İlgili kaynaklara uygulanma durumu ve hatalar kontrol edilmelidir. eDiscovery hold oluşturma
Arama yapmak, aynı içerik için otomatik olarak hold oluşturmaz. Kullanıcının içeriği normal çalışma alanından silmesiyle koruma altındaki kopyanın durumu da ayrı değerlendirilmelidir.
Hold kapsamının sonlandırılması da kontrollü bir karar olmalıdır. Araştırmanın tamamlanması, başka bir hukuki veya kurumsal koruma gereksiniminin bulunmadığı anlamına gelmez.
Koruma ihtiyacının belirlenmesi hukuk ve ilgili iş sahipleriyle birlikte yürütülmelidir.
8. Review Set — İnceleme Kümesi
Review set, toplanan içerik kopyalarının daha ayrıntılı incelenebildiği çalışma alanıdır. Bu özellik, premium eDiscovery yetenekleri kapsamındadır.
İçerikler kaynak konumlarından inceleme kümesine kopyalanır. İnceleyiciler bu küme üzerinde filtreleme, etiketleme ve desteklenen analiz işlemlerini yürütebilir. İnceleme kümelerinin yönetimi
İnceleme kümesine içerik eklenmesi, kaynak veriler için hold ihtiyacını ortadan kaldırmaz. Kaynakların korunmasıyla inceleme için kopya oluşturulması farklı işlemlerdir.
Kurumun hangi içeriklerin hangi toplama çalışmasıyla kümeye eklendiğini takip etmesi gerekir.
9. Analiz ve İnceleme Etiketleri
Premium analiz yetenekleri; benzer belgelerin, e-posta dizilerinin ve ilgili içerik ilişkilerinin değerlendirilmesine yardımcı olabilir. Bu araçlar inceleme hacmini yönetmek için kullanılabilir. İnceleme kümesinde analiz
İnceleyiciler, kurumun belirlediği kategorilerle içerikleri işaretleyebilir. Örneğin “İlgili”, “İlgisiz” veya “Hukuki değerlendirme gerekli” gibi inceleme etiketleri kullanılabilir.
Bunlar hassasiyet etiketi veya saklama etiketiyle aynı amaçta değildir. İnceleme içindeki değerlendirmeleri düzenler.
Analiz sonucu veya inceleme etiketi, tek başına hukuki karar oluşturmaz. Bulguların yetkili kişiler tarafından bağlamıyla değerlendirilmesi gerekir.
10. Temel ve Premium Yetenekler
Temel özellikler ile premium özellikler aynı portal deneyiminde bulunabilse de kullanılabilir kapsam farklıdır.
Arama, vaka yönetimi, hold ve arama sonuçlarını dışarı aktarma temel yetenekler arasındadır. İnceleme kümeleri, gelişmiş indeksleme, OCR ve analiz gibi özellikler premium kapsamda değerlendirilir. eDiscovery özellik karşılaştırması
Kurumun lisans değerlendirmesi “eDiscovery var mı?” sorusuyla sınırlı kalmamalıdır. Araştırmanın hangi aşamalarının ürün içinde yürütüleceği belirlenmelidir.
Örneğin yalnızca içerik bulup dışarı aktarmak isteyen kurumla, büyük bir belge kümesini ürün içinde analiz edecek kurumun ihtiyaçları farklı olabilir.
11. Dışarı Aktarma ve Sonuçların Doğrulanması
eDiscovery arama sonuçları, yapılandırılan seçeneklere göre dışarı aktarılabilir. Dışa aktarım kapsamı, raporlar ve tamamlanma durumu birlikte kontrol edilmelidir. Arama sonuçlarını dışarı aktarma
Arama istatistikleriyle dışa aktarılan öğe sayısının her koşulda birebir eşit olacağı varsayılmamalıdır. İşleme seçenekleri, kısmen indekslenmiş içerikler ve hatalar sonucu etkileyebilir.
Kurum, yalnızca indirilen dosyaya değil, dışa aktarım raporlarına da bakmalıdır. Eksik veya işlenemeyen içerikler için takip kararı verilmelidir.
Dışarı çıkarılan veri için erişim, aktarım yöntemi ve saklama süresi ayrıca belirlenmelidir. Çıktının hukuk ekibine veya dış danışmana iletilmesi, kontrol sorumluluğunu ortadan kaldırmaz.
12. İndeksleme ve Arama Sınırları
Bir içeriğin sistemde bulunması, bütün özelliklerinin aranabilir olduğu anlamına gelmez.
Dosya biçimi, şifreleme, bozulma veya işleme sorunları arama kapsamını etkileyebilir. Kısmen indekslenmiş içeriklere yönelik arama ve dışa aktarım seçenekleri ayrı ayrı değerlendirilmelidir. Arama ve indeksleme seçenekleri
Bu nedenle sonuç bulunamaması, ilgili içeriğin hiç var olmadığını tek başına kanıtlamaz.
Araştırmacı, veri kaynaklarının doğruluğunu, sorgu koşullarını ve işleme raporlarını birlikte incelemelidir. İndeksleme sorunları araştırma notlarında görünür olmalıdır.
13. Yetkilendirme ve Vaka Üyeliği
eDiscovery’de arama, önizleme, hold, inceleme ve dışarı aktarma işlemleri farklı izinlerle ilişkilidir.
eDiscovery Manager ile eDiscovery Administrator ayrımı önemlidir. Administrator kapsamı, kurum genelindeki vakalara erişim gibi daha geniş yetenekler sağlar. Diğer kullanıcıların erişiminde vaka üyeliği ve atanmış roller birlikte değerlendirilir. eDiscovery izinleri
Kurumun yalnızca belirli bir inceleme kümesinde çalışacak kişiye bütün araştırmaları yönetme yetkisi vermesi gerekmeyebilir.
Teknik yönetim, içerik incelemesi ve hukuki karar sorumlulukları ayrı tanımlanmalıdır. Bu yaklaşımı Supervisory Review Güvenlik ve Yetkilendirme makalemizde ele almıştık.
14. Kurumlar İçin İnceleme Senaryoları
Aşağıdaki tablo, eDiscovery’nin farklı araştırmalarda nasıl konumlandırılabileceğini özetlemektedir.
| Senaryo | İnceleme ihtiyacı | Önerilen yaklaşım |
|---|---|---|
| Sözleşme Uyuşmazlığı | Sözleşmeyle ilişkili yazışmaların ve belgelerin araştırılması | İlgili kişiler, kaynaklar ve tarih aralığı belirlenmeli; koruma ihtiyacı değerlendirilmelidir. |
| Kurum İçi Araştırma | Belirli bir olayla ilişkili içeriklerin değerlendirilmesi | Yetkili kapsam oluşturulmalı; Audit bulguları ve içerik araştırması birlikte ele alınmalıdır. |
| İletişim Gözetimi Bulgusu | İlk bulgunun daha geniş içerik bağlamıyla incelenmesi | İlgili iletişim dizileri ve belgeler araştırılmalı; erişim ve görev dağılımı yeniden değerlendirilmelidir. |
| Büyük Hacimli Belge İncelemesi | Çok sayıda içeriğin sınıflandırılarak incelenmesi | Premium inceleme ve analiz yetenekleri, lisans ve iş yükü gereksinimleriyle birlikte değerlendirilmelidir. |
Her senaryoda teknik araştırma kapsamı, kurumun yetkili inceleme süreciyle uyumlu olmalıdır. Veri toplama imkânı, araştırmayla ilgisiz bütün içeriklerin toplanmasını gerektirmez.
15. Kanıtın İzlenebilirliği
İçeriğin bulunması kadar araştırma sürecinin açıklanabilmesi de önemlidir.
Kurumun aşağıdaki bilgileri kaydetmesi önerilir:
- Vakanın amacı ve kapsamı.
- Seçilen veri kaynakları.
- Kullanılan sorgular ve değişiklik gerekçeleri.
- Hold kapsamı ve uygulama durumu.
- Toplama ve dışa aktarım raporları.
- İnceleyici kararları ve paylaşım işlemleri.
Dosya özeti veya hash gibi bütünlük kontrolleri, uygun senaryolarda bu süreci destekleyebilir. Ancak tek başına araştırmanın bütün aşamalarını açıklamaz.
Bu yaklaşımın güvenlik ve uyum boyutunu Exchange Server eDiscovery Güvenlik Uyum ve Entegrasyon Perspektifi makalemizde incelemiştik.
16. Başlangıç ve İşletim Planı
Purview eDiscovery çalışması için aşağıdaki sıra izlenebilir:
- Araştırma amacını belirlemek: Hangi sorular yanıtlanacak?
- Onay ve sorumlulukları tanımlamak: Kapsamı kim belirleyecek?
- Kaynakları seçmek: Hangi kişiler, posta kutuları ve siteler ilgili?
- Koruma ihtiyacını değerlendirmek: Hangi veriler için hold gerekiyor?
- Aramaları doğrulamak: Sorgular hedeflenen içerikleri buluyor mu?
- İnceleme yöntemini seçmek: Dışa aktarım mı, inceleme kümesi mi kullanılacak?
- İşleme sonuçlarını kontrol etmek: Hatalar ve indeksleme sorunları var mı?
- Sonuçları kontrollü paylaşmak: Kimler hangi içerikleri alacak?
- Kapanışı planlamak: Erişimler, hold’lar ve araştırma çıktıları nasıl yönetilecek?
Araştırmanın kapanmasıyla bütün korumaların otomatik olarak kaldırılması veya bütün kopyaların silinmesi varsayılmamalıdır. Kalan yükümlülükler ve diğer vakalar ayrıca değerlendirilmelidir.
Uzun vadeli yaklaşım için Exchange Server eDiscovery Stratejik Yaklaşım ve Gelecek Perspektifi makalemizdeki yönetişim çerçevesinden yararlanılabilir.
17. İçerik Araştırmasından İletişim Gözetimine
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi eDiscovery de teknik araçların, yetkili ekiplerin ve kayıtlı kararların birlikte çalışmasına dayanır.
Microsoft Purview eDiscovery, araştırma için gerekli içeriğin bulunmasını, korunmasını ve değerlendirilmesini destekler. Başarılı kullanım için kaynakların doğruluğu, erişim sınırları ve sonuçların izlenebilirliği birlikte yönetilmelidir.
Bir sonraki bölümde belirli araştırmalar için içerik toplamaktan, iletişimlerin politika temelli inceleme sürecine geçerek Communication Compliance çözümünü ele alacağız.
