Dernière mise à jour:
Pourquoi une plateforme d’e-discovery, plutôt qu’un tri sur place
Tôt ou tard, une partie demande : pourquoi avez-vous emporté toute la boîte aux lettres, si la mission ne portait que sur une période limitée et quelques mots-clés ? La réponse se trouve dans la trace numérique. Même des mois plus tard, vous devez pouvoir démontrer que vous n’avez emporté ni plus ni moins que nécessaire.
La manière de le faire dépend de l’endroit où se trouve la boîte aux lettres.
Boîte aux lettres dans Microsoft 365 : filtrer côté cloud
Si une petite entreprise a sa boîte aux lettres dans Microsoft 365, Purview est prévu pour filtrer côté cloud. Emporter toute la boîte pour la filtrer ensuite en local ne se justifie alors pas. Ce n’est pas efficace non plus. Travaillez de manière ciblée et filtrez sur les adresses e-mail et les termes de recherche repris dans la décision. La méthode est décrite sous Microsoft Purview eDiscovery.
Boîte aux lettres sur un serveur local : d’abord tout, ensuite filtrer
Si la boîte aux lettres se trouve sur un serveur local et que vous ne pouvez la consulter qu’avec Outlook, le filtrage sur place ne fonctionne pas, et via le cloud non plus. Vous emportez alors d’abord tout et vous filtrez plus tard, par exemple dans GoldFynch. Il en va de même pour un disque d’entreprise.
Outlook n’exporte pas de sélection
Dans Outlook, vous pouvez chercher et regarder les résultats, mais l’export ne se fait que par boîte complète, pas par sélection. Si vous voulez tout de même sélectionner sur place, vous devez déplacer les courriels trouvés dans un dossier distinct. Vous modifiez alors la boîte aux lettres de la personne concernée.
La recherche demande un index
Qui ouvre une boîte copiée dans Outlook doit attendre que l’index de recherche soit reconstruit. Pour une grosse boîte, cela prend des heures, et le nombre d’éléments encore en attente ne se voit que sous Outils de recherche > État de l’indexation.
Une recherche sur un index incomplet donne simplement des résultats. Outlook se contente d’afficher au-dessus une étroite barre indiquant que les résultats peuvent être incomplets (support Microsoft). Qui ne la voit pas décide sur la moitié d’un jeu de données.
La recherche dans le contenu dépend du format
Avec ce qui se trouve sur un ordinateur ordinaire, vous ne pouvez pas chercher d’un coup dans le contenu de fichiers PDF, Word, PowerPoint et texte. Chaque format demande sa propre extraction de texte. Si elle manque, l’ordinateur ne cherche, sans le signaler, que dans les noms de fichiers et les métadonnées. Un disque d’entreprise où tous ces formats sont mélangés ne peut ainsi pas être fouillé complètement sur le contenu, et ouvrir chaque fichier séparément est impossible avec quelques dizaines de milliers de fichiers.
Un filtrage après coup se vérifie
Qui sélectionne sur place décide sous la pression du temps, au bureau d’autrui, et ces décisions ne sont consignées nulle part. Après coup, on ne peut plus retrouver pourquoi un fichier a été retenu et un autre non.
Dans une plateforme d’e-discovery, chaque étape de filtrage est une opération distincte, avec un nombre avant et un nombre après. Un contre-expert qui suit les mêmes étapes arrive aux mêmes nombres.
Les prises accessoires retournent à la mer
Si vous emportez plus que demandé, vous en répondez sur l’honneur en tant qu’expert assermenté. Comme un pêcheur, vous rejetez les prises accessoires à la mer :
- Vous ne livrez rien qui sorte du cadre de la mission. En cas de doute, vous ne décidez pas vous-même, mais vous posez la question à celui qui a donné la mission.
- Vous effacez définitivement les données sources à la fin, de la plateforme comme de vos propres supports, et vous notez au rapport quand, où et comment.
Pour aller plus loin
Craig Ball, Don’t BE a Tool, GET a Tool! (22 mars 2021). Ball arrive à la même conclusion par un autre chemin : examiner une preuve dans le programme qui l’ouvre normalement modifie les métadonnées et, avec elles, la valeur de hachage.