電子情報開示でメールボックス内のコンテンツを検索する

管理者は、多くの場合、誰がいつ何を知っているかを確認する必要があります。 進行中または潜在的な訴訟、内部調査、その他のシナリオに関する要求に、可能な限り最も効率的かつ効果的な方法で対応する必要があります。 多くの場合、これらの要求は緊急で、複数の利害関係者チームが関与し、タイムリーに完了しないと大きな影響を与えます。 適切な情報を見つける方法を知ることは、管理者が検索を正常に完了し、組織が電子情報開示要件に関連するリスクとコストを管理するのに役立つ重要な要素です。

電子情報開示でメールボックス内のコンテンツを検索する方法の詳細については、次のビデオをご覧ください。

電子情報開示要求が送信されると、管理者は、特定の調査に関連する可能性があるコンテンツの収集を開始するための部分的な情報のみを受け取ることが多いです。 要求には、ユーザー名、プロジェクト タイトル、プロジェクトがアクティブな場合の大まかな日付範囲などが含まれる場合があります。 この情報から、管理者は、Microsoft 365 サービス全体で関連コンテンツを検索するための クエリを作成 して、特定のプロジェクトまたはサブジェクトに必要な情報を決定する必要があります。 これらのサービスに対する情報の格納と管理方法を理解すると、管理者は必要なものを迅速かつ効果的に効率的に見つけることができます。

Exchange Onlineは、電子メール、チャット、会議、Microsoft 365 CopilotおよびMicrosoft 365 Copilot Chatアクティビティ データ (ユーザー プロンプトと Copilot 応答) を格納します。 Exchange Onlineに含まれるアイテムを検索するために、多くの通信プロパティを使用できます。 From、Sent、Subject、To などの一部のプロパティは特定のアイテムに固有であり、SharePoint と OneDrive でファイルやドキュメントを検索する場合には関係ありません。 ワークロード間で検索するときにこれらの種類のプロパティを含めると、予期しない結果が生じることがあります。

たとえば、Tradewinds というプロジェクトに関連付けられている特定のユーザー (ユーザー 1 とユーザー 2) に関連するコンテンツを見つけるには、2020 年 1 月から 2022 年 1 月の間に、次のプロパティを持つクエリを使用できます。

• ユーザー 1 とユーザー 2 のExchange Onlineの場所をデータ ソースとしてケースに追加する
• [ユーザー 1] と [ユーザー 2 のExchange Onlineの場所] をデータ ソースとして選択します。
• キーワードの場合は、Tradewinds を使用します
• [日付範囲] には、2020 年 1 月 1 日から 2022 年 1 月 31 日の範囲を使用します

クラウド添付ファイルを含む可能性のあるメールまたはその他のメールボックス コンテンツを検索する場合、SharePoint または OneDrive のストレージの場所へのクラウド添付ファイルリンクは、個別のドキュメントではなくメッセージ ファイルの添付ファイルと見なす必要があります。

この動作は、検索でローカル添付ファイルが埋め込まれたメールを返す方法と似ています。これらの添付ファイルは、電子メールの一部であるかのように取得されます。 SharePoint または OneDrive のコンプライアンス境界は、応答性の高いメッセージに含まれるクラウド添付ファイルのコレクションには反映されません。

KeyQLの検索可能な電子メール プロパティ

次の表に、Microsoft Purview ポータルの電子情報開示KeyQL エディターを使用するか、New-ComplianceSearch コマンドレットまたは Set-ComplianceSearch コマンドレットを使用して、検索でサポートされる電子メール メッセージプロパティの一覧を示します。 サポートされている条件ビルダーのプロパティの一覧については、「 条件ビルダーを使用して電子情報開示で検索クエリを作成する」を参照してください。

テーブルには、各 プロパティの property:value 構文の例と、例によって返される検索結果の説明が含まれています。 電子情報開示検索のキーワード ボックスに、これらの property:value ペアを入力できます。

検索可能な機密情報の種類

Microsoft Purview ポータルの電子情報開示検索ツールを使用して、メールボックス内のドキュメントに格納されているクレジット カード番号や社会保障番号などの機密データを検索できます。 このデータを検索するには、キーワード (keyword) クエリで SensitiveType プロパティと機密情報の種類の名前または ID を使用します。 たとえば、クエリ SensitiveType:"Credit Card Number" は、クレジット カード番号が含まれているドキュメントを返します。 クエリ SensitiveType:"U.S. Social Security Number (SSN)" は、米国の社会保障番号を含むドキュメントを返します。

検索できる機密情報の種類の一覧を表示するには、Microsoft Purview ポータルの [データ分類>センシブ情報の種類 ] に移動します。 または、Security & Compliance PowerShell の Get-DlpSensitiveInformationType コマンドレットを使用して、機密情報の種類の一覧を表示します。

SensitiveType 動作は、ワークロードとコンテンツのインデックス付け方法によって異なります。 クエリを実行する前に、次のマトリックスを使用して期待値を設定します。

ヒットが予想されても取得できない場合は、(1) ワークロードがサポートされている列に含まれていること、(2) 機密型が最後に発行された 後 にアイテムのインデックスが作成されたこと、(3) アイテムが部分的にインデックス付けされたセットにないことを確認します。

受信者の展開

メールボックスは柔軟なストレージであり、メールボックスに接続するクライアントは、特に送信者に対して、受信者情報のいくつかの側面を制御します。 クライアントは、送信者アドレスとして SMTP、 名前、または レガシDN の各プロパティを選択できます。 クライアントの動作とデータの格納方法のバリエーションを補正するために、電子情報開示検索の受信者の拡張は便利な機能です。

多くの場合、一部のクライアントによって作成された送信者情報には、johndoe@contoso.comなどの SMTP アドレスを含めずに、John Doe などの送信者の名前のみが格納されます。 さらに、レガシ システムを持つフェデレーションアイテムには、以前のバージョンの Exchange でメールボックスまたは配布リストを表すために使用される一意の識別子である LegacyExchangeDN のみが格納される場合があります。 フェデレーション システムは、さまざまなシステムまたは組織から統合されたメッセージまたはデータを指します。多くの場合、古い形式または識別子を使用するレガシ システムが関係します。

受信者拡張関数は、これらのバリエーションで格納されているコンテンツをキャプチャするために検索を拡張することで、十分に広く検索しないという問題を解決します。 Microsoft Entra IDクエリを実行すると、参加者フィルターで指定されたすべての値が展開されます。 この拡張には、ユーザーのメール アドレス、UPN、エイリアス、表示名、LegacyExchangeDN が含まれます。 この拡張により、検索によってより広いネットがキャストされ、参加者の情報の格納方法に関係なく関連するすべてのコンテンツがキャプチャされ、電子情報開示検索の精度と包括的さが向上します。

受信者のプロパティ (From、To、Cc、Bcc、Participants、Recipients) を検索すると、Microsoft 365 は、Microsoft Entra IDで検索することで、各ユーザーの ID を拡張しようとします。 Microsoft Entra IDでユーザーが見つかった場合、クエリが展開され、ユーザーのメール アドレス (または UPN)、エイリアス、表示名、LegacyExchangeDN が含まれます。 たとえば、participants:ronnie@contoso.com などのクエリは、participants:ronnie@contoso.com OR participants:ronnie OR participants:"Ronald Nelson" OR participants:"<LegacyExchangeDN>" に拡張されます。

受信者の拡張を防ぐには、メール アドレスの末尾にワイルドカード文字 (アスタリスク) を追加し、縮小されたドメイン名を使用します。たとえば、 participants:"ronnie@contoco*" 電子メール アドレスを二重引用符で囲んでください。

検索クエリで受信者が展開されないようにすると、検索結果に関連する項目が返されない可能性があります。 Exchange のメール メッセージは、受信者フィールドに異なるテキスト形式で保存できます。 受信者の拡張は、異なるテキスト形式を含む可能性のあるメッセージを返すことによって、この事実を軽減することを目的としています。 そのため、受信者の拡大を防ぐと、調査に関連する可能性のあるすべての項目が検索クエリから返されない可能性があります。

受信者の拡張は、ユーザー名とエイリアスの変更に関連するシナリオをサポートするようには設計されていません。 ユーザーの SMTP/UPN が変更された場合、Microsoft Entra IDユーザーが見つからない可能性があり、検索結果が不完全になります。 また、ほとんど変更されない LegacyExchangeDN が、すべてのメール アイテムの基板に存在しない可能性があります。 受信者の展開は、クライアントが SMTP ではなく LegacyExchangeDN を使用するケースのみを処理します。 SMTP アドレスが変更されても LegacyExchangeDN が変更されない場合、受信者の拡張は役に立たないので、これらのアドレスのすべてのバリエーションを手動で検索して使用する必要があります。 この制限により、受信者の拡張が名前や SMTP の変更を含むすべてのバリエーションをキャッチすると誤ってユーザーが信じる可能性があります。

等しい条件 (=) で From 条件を使用すると、表示名のみがインデックス内でクエリ可能になります。 つまり、 差 出人または 送信者 の条件で SMTP アドレスを使用する場合、次の両方の条件が満たされた場合に検索結果が返されます。

• 条件で使用される SMTP アドレスは、Microsoft Entraのアクティブまたは非アクティブなユーザーと一致します。
• 対象アイテムが送受信されてから、アクティブまたは非アクティブのユーザーの表示名は変更されていません。

電子情報開示検索で Sender または From 条件を使用すると、システムは受信者の拡張を試み、クエリを展開して 表示名を含めます。 成功した場合、クエリには、ユーザーの SMTP アドレスと従来の Exchange 表示名に割り当てられているすべてのメール アドレスが含まれます。 受信者の展開が成功しなかった場合、検索では 、From 条件と Sender 条件で指定された値のみを使用してインデックスを検索します。 受信者の拡張が失敗する可能性がある条件は次のとおりです。

• 非アクティブなメールボックスが保持されていない、出発したユーザー。
• SMTP アドレスがオブジェクトに存在しなくなったアクティブまたは非アクティブなユーザー。
• 表示名が変更されたアクティブまたは非アクティブなユーザー ([送信者] または [差出人] 条件で表示名が使用されている場合)。

一部のシナリオでは、organization検索を使用すると、受信者の拡張によって追加のアイテムにヒットが発生する場合もあります。 たとえば、あるユーザーの表示名が、別のユーザーの表示名の一部を形成する場合があります。 たとえば、ユーザーが John Doe の表示名を持ち、別のユーザーが John Doe Jr の表示名を持つ場合があります。organization全体の検索では、両方のメールボックスから結果ヒットが返される場合があります。 SMTP アドレスの末尾にピリオドを追加して、このシナリオでは受信者の拡張を抑制することを検討してください。

その他の考慮事項としては、受信者の展開では、自分のメールボックスからの送信のみがサポートされ、委任されたアクティビティや送信アクティビティはサポートされません。 配布グループ メンバーの最大数の精度や配布グループの入れ子の最大レベルなど、関連する制限を確認してください。 セキュリティ グループはサポートされており、電子メールの送信時に有効なのは配布グループと配布グループのみです。

電子情報開示用のExchange Online メールボックスに格納されているコンテンツ

主にExchange Onlineのメールボックスを使用して、メッセージ、予定表アイテム、タスク、メモなどの電子メール関連のアイテムを格納します。 しかし、クラウドベースのアプリがユーザーのメールボックスにデータを格納するにつれて変化しています。 メールボックスにデータを格納する利点の 1 つは、電子情報開示の検索ツールを使用して、これらのクラウドベースのアプリからデータを検索、表示、エクスポートできることです。

これらのアプリの一部のデータは、メールボックス内の非対人メッセージ (非 IPM) サブツリーにある非表示フォルダーに格納されます。 他のクラウドベースのアプリのデータはメールボックス に 格納されていない可能性がありますが、メールボックスに 関連付けられている ため、そのデータが検索クエリと一致する場合は検索で返されます。 クラウドベースのデータがユーザー メールボックスに格納されているか、ユーザー メールボックスに関連付けられているかに関係なく、通常、ユーザーがメールボックスを開いたときに、データは電子メール クライアントに表示されません。

次の表に、クラウドベースのメールボックスにデータを格納または関連付けるアプリの一覧を示します。 この表では、各アプリが生成するコンテンツの種類についても説明します。