Laatst bijgewerkt:

Waarom een e-discoveryplatform, en niet ter plaatse filteren

Vroeg of laat vraagt een partij: waarom heeft u de volledige mailbox meegenomen, als de opdracht maar over een beperkte periode en enkele trefwoorden ging? Het antwoord zit in het digitale spoor. Ook maanden later moet je kunnen aantonen dat je niets meer en niets minder meenam dan nodig.

Hoe je dat doet, hangt af van waar de mailbox staat.

Mailbox in Microsoft 365: filter aan de cloudkant

Werkt een klein bedrijf met een mailbox in Microsoft 365, dan is Purview erop voorzien om aan de cloudkant te filteren. De volledige mailbox meenemen om er dan lokaal over te filteren, is dan niet te rechtvaardigen. Het is ook gewoon niet efficiënt. Werk doelgericht en filter op de e-mailadressen en zoektermen die in de beschikking staan. Hoe, staat bij Microsoft Purview eDiscovery.

Mailbox op een lokale server: eerst alles, dan filteren

Staat de mailbox op een lokale server en kun je ze alleen met Outlook raadplegen, dan lukt filteren ter plaatse niet, en via de cloud ook niet. Dan neem je eerst alles mee en filter je later, bijvoorbeeld in GoldFynch. Voor een bedrijfsschijf geldt hetzelfde.

Outlook exporteert geen selectie

In Outlook kun je zoeken en de treffers bekijken, maar exporteren kan alleen per volledig postvak, niet per selectie. Wil je toch ter plaatse selecteren, dan moet je de gevonden mails naar een aparte map verplaatsen. Daarmee wijzig je de mailbox van de betrokkene.

Zoeken vraagt een index

Wie een gekopieerd postvak opent in Outlook, moet wachten tot de zoekindex opnieuw opgebouwd is. Bij een grote mailbox duurt dat uren, en hoeveel items er nog wachten, zie je alleen onder Zoekhulpmiddelen > Indexeringsstatus.

Zoeken op een onvolledige index geeft gewoon resultaten. Outlook zet er alleen een smalle balk boven dat de resultaten onvolledig kunnen zijn (Microsoft-ondersteuning). Wie die mist, beslist op een halve dataset.

Zoeken in de inhoud hangt af van het formaat

Met wat er op een gewone computer staat, kun je niet in één keer in de inhoud van PDF-, Word-, PowerPoint- en tekstbestanden zoeken. Elk formaat heeft een eigen tekstextractie nodig. Ontbreekt die, dan zoekt de computer zonder melding alleen in bestandsnamen en metadata. Een bedrijfsschijf met al die formaten door elkaar kun je zo niet volledig op inhoud doorzoeken, en elk bestand apart openen lukt niet bij enkele tienduizenden bestanden.

Achteraf filteren kun je narekenen

Wie ter plaatse selecteert, beslist onder tijdsdruk aan andermans bureau, en die beslissingen worden nergens vastgelegd. Achteraf is niet meer na te gaan waarom het ene bestand wel en het andere niet geselecteerd werd.

In een e-discoveryplatform is elke filterstap een aparte handeling, met een aantal ervoor en een aantal erna. Een tegendeskundige die dezelfde stappen zet, komt op dezelfde aantallen uit.

De bijvangst gooi je terug

Neem je meer mee dan gevraagd, dan sta je daar als beëdigd deskundige op je eer voor in. Zoals een visser gooi je de bijvangst terug in zee:

  • Je levert niets wat buiten de opdracht valt. Bij twijfel beslis je niet zelf, maar leg je de vraag voor aan wie de opdracht gaf.
  • Je wist de brondata na afloop definitief, van het platform en van je eigen dragers, en je noteert in het verslag wanneer, waar en hoe.

Verder lezen

Craig Ball, Don’t BE a Tool, GET a Tool! (22 maart 2021). Ball komt langs een andere weg tot hetzelfde besluit: wie bewijs bekijkt in het programma dat het normaal opent, wijzigt de metadata en daarmee de hashwaarde.