Tema 6 de 6
eDiscovery y auditoría
Cuando llega una demanda, una investigación regulatoria o un incidente, la organización necesita encontrar pruebas y saber quién hizo qué. eDiscovery busca y preserva el contenido; la auditoría registra las acciones. El examen pregunta qué nivel de cada uno hace falta para cada caso.
Contenido
¿Qué es eDiscovery?
eDiscovery (descubrimiento electrónico) es el proceso de identificar y entregar información electrónica que puede usarse como prueba en casos legales. También se usa en investigaciones internas, auditorías regulatorias y respuesta a incidentes.
Litigios
Una demanda obliga a entregar correos y documentos relacionados.
Investigaciones internas
RR. HH. o seguridad investigan una conducta o una fuga.
Requerimientos regulatorios
Un regulador pide comunicaciones de un período.
Purview ofrece una experiencia unificada de eDiscovery; las funciones premium dependen de la licencia (Microsoft 365 E5 o complemento). Cubre Exchange Online, Teams, Grupos de Microsoft 365, OneDrive, SharePoint y Viva Engage.
El flujo de un caso
Escalar desde un evento
Una demanda, una queja o una alerta (por ejemplo, de Insider Risk) motiva un caso nuevo.
Crear y administrar el caso
El caso agrupa las búsquedas, retenciones y conjuntos de revisión de una investigación, y quién puede acceder.
Buscar y refinar
Se busca en las ubicaciones de contenido y se afinan las consultas hasta tener lo relevante.
Actuar
Exportar resultados, crear conjuntos de revisión o aplicar retenciones (holds) para preservar el contenido.
Revisar
Analizar, etiquetar elementos y exportar el conjunto final para el equipo legal.
Búsquedas y retenciones
Búsqueda
Consultas con palabras clave y condiciones (remitente, fechas, tipo de archivo) en el lenguaje KeyQL (Keyword Query Language). Primero se revisan estadísticas y una muestra para afinar.
Retención de eDiscovery (hold)
Preserva el contenido de buzones y sitios en su lugar mientras dura el caso, aunque los usuarios lo borren. Puede ser de toda la ubicación o solo de lo que coincide con una consulta.
Retención de eDiscovery frente a retención de DLM
Una retención de eDiscovery está ligada a un caso y dura lo que dure el caso. Una directiva o etiqueta de retención de Data Lifecycle Management responde a la política de la organización y tiene un período fijo. Ambas preservan, pero con propósitos distintos.
Funciones básicas y premium
Funciones básicas
- Buscar contenido
- Exportar resultados
- Retenciones sobre ubicaciones
- Buscar y eliminar contenido dañino, incluidos datos de Copilot
Funciones premium
- Conjuntos de revisión con analítica y codificación predictiva
- OCR: extrae texto de imágenes
- Hilos de conversación de Teams y Viva Engage
- Descifrado de contenido protegido
Conjuntos de revisión e IA
Un conjunto de revisión es una copia estática de los resultados de búsqueda, guardada en Azure Storage, sobre la que el equipo legal trabaja sin tocar los originales. Allí se aplican la analítica (detección de duplicados y casi duplicados, hilos de correo), la codificación predictiva (un modelo aprende qué es relevante a partir de las decisiones del revisor) y las etiquetas de revisión.
- Con Security Copilot: resúmenes de elementos del conjunto de revisión y consultas KeyQL generadas desde lenguaje natural.
- Las interacciones con Microsoft 365 Copilot también se pueden buscar, retener y eliminar con eDiscovery.
- Los casos de Insider Risk Management se pueden escalar a eDiscovery (Premium).
Auditoría en Purview
La auditoría responde a quién hizo qué, cuándo y dónde. Sirve para investigar incidentes de seguridad, demostrar cumplimiento ante un regulador y apoyar investigaciones legales. Purview centraliza los eventos de muchos servicios en el registro de auditoría unificado.
Qué registra y cómo se consulta
Exchange
Accesos a buzones, reenvíos, envíos en nombre de otro.
SharePoint y OneDrive
Descargas, ediciones, eliminaciones y uso compartido de archivos.
Teams
Mensajes, reuniones y cambios en equipos.
Entra ID
Inicios de sesión, cambios de roles y de usuarios.
Copilot
Prompts y respuestas de Microsoft 365 Copilot, como evento CopilotInteraction.
Administración
Cambios de configuración y de directivas.
| Herramienta | Para qué |
|---|---|
| Búsqueda en el portal de Purview | Consultas interactivas, exportables a CSV |
| Audit Search Graph API | Búsquedas programáticas |
| Search-UnifiedAuditLog | Cmdlet de PowerShell de Exchange Online |
| Office 365 Management Activity API | Enviar eventos a un SIEM como Sentinel |
Microsoft 365 Copilot se audita automáticamente; para Security Copilot, un propietario de Copilot debe activar la opción.
Audit (Standard) y Audit (Premium)
| Audit (Standard) | Audit (Premium) | |
|---|---|---|
| Activación | Habilitado por defecto | Incluye todo lo de Standard |
| Retención | 180 días | 1 año por defecto para Entra ID, Exchange, OneDrive y SharePoint; el resto, 180 días |
| Directivas de retención de auditoría | No | Hasta 1 año, o hasta 10 años con licencia complementaria |
| Información inteligente | No | Cuándo se accedió a un correo (MailItemsAccessed), cuándo se respondió o reenvió y qué se buscó en Exchange y SharePoint |
| Ancho de banda de la API | Estándar | Mayor |
Por qué importa MailItemsAccessed
En una brecha de correo, la pregunta clave es qué mensajes leyó el atacante. Ese evento solo existe con Audit (Premium); con Standard se sabe que alguien inició sesión, pero no qué correos abrió.
eDiscovery frente a auditoría
| eDiscovery | Auditoría | |
|---|---|---|
| Responde | ¿Qué contenido existe sobre este asunto? | ¿Quién hizo qué y cuándo? |
| Trabaja con | Correos, documentos, chats | Eventos y acciones |
| Resultado | Pruebas preservadas y exportadas | Registro de actividad |
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Un juzgado pide todos los correos de un empleado sobre un contrato | eDiscovery: búsqueda y exportación | Identifica y entrega pruebas electrónicas. |
| Impedir que se borre contenido relevante mientras dura un litigio | Retención de eDiscovery (hold) | Preserva el contenido en su lugar. |
| Eliminar de todos los buzones un correo de phishing ya entregado | Buscar y eliminar (eDiscovery) | Elimina contenido dañino encontrado. |
| Extraer texto de imágenes escaneadas durante una revisión | OCR en eDiscovery (Premium) | Función premium. |
| Revisar millones de documentos y priorizar los relevantes | Conjunto de revisión con codificación predictiva | eDiscovery (Premium). |
| Saber quién borró un archivo de SharePoint la semana pasada | Registro de auditoría (Audit Standard) | Registra operaciones de usuarios. |
| Saber si un atacante leyó correos de un buzón comprometido | Audit (Premium): MailItemsAccessed | Información inteligente de acceso al correo. |
| Conservar registros de auditoría durante 10 años | Audit (Premium) con licencia complementaria | Directivas de retención de auditoría. |
Trampas frecuentes del examen
❓ Se necesita saber si un atacante leyó correos de un buzón comprometido. ¿Standard o Premium?
Audit (Premium): la información inteligente registra cuándo se accedió a los elementos de correo.
❓ Se buscan registros de hace 9 meses de una actividad de Teams sin directivas personalizadas. ¿Están?
No. Fuera de Entra ID, Exchange, OneDrive y SharePoint, la retención predeterminada es de 180 días incluso con Premium.
❓ ¿Hay que activar Audit (Standard)?
No. Está habilitado por defecto.
❓ ¿Los conjuntos de revisión con OCR son funciones básicas de eDiscovery?
No. Conjuntos de revisión, OCR, hilos de conversación y descifrado son premium.
❓ ¿Una retención de eDiscovery y una directiva de retención son lo mismo?
No. La de eDiscovery está ligada a un caso; la directiva responde a la política de la organización con un período fijo.
❓ ¿Qué lenguaje usan las búsquedas de eDiscovery?
KeyQL (Keyword Query Language). No confundir con KQL de Sentinel y Defender.
❓ ¿Se pueden enviar los registros de auditoría a un SIEM?
Sí, con la Office 365 Management Activity API.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Durante un litigio, el equipo legal debe asegurarse de que los correos y archivos de tres empleados no se pierdan aunque ellos los borren. ¿Qué usa?
¿Listo para poner a prueba "eDiscovery y auditoría"?
Preguntas originales, cada una con su explicación.
Empezar un simulacroInicia sesión para guardar tu progreso.
Terminaste el último tema de este deep dive.
Volver al índice →