eDiscovery dans Purview : encadrer un outil d'enquête aussi puissant qu'un administrateur
eDiscovery permet de rechercher, conserver et exporter des contenus dans l'ensemble des boîtes aux lettres, sites et conversations Teams du locataire. C'est un outil précieux pour les enquêtes internes et les contentieux. C'est aussi, en pratique, un accès en lecture à toute la messagerie de l'entreprise, que nous trouvons souvent attribué sans contrôle.
Un pouvoir de lecture sur tout le locataire
Une recherche eDiscovery peut porter sur toutes les boîtes aux lettres, tous les sites SharePoint et OneDrive, et les conversations Teams. Elle permet de prévisualiser les résultats et de les exporter. Autrement dit, la personne qui dispose de ces droits peut lire la messagerie du dirigeant, des ressources humaines ou du service juridique, sans laisser de trace dans les boîtes concernées.
Microsoft a regroupé les anciennes expériences « Recherche de contenu », « eDiscovery Standard » et « eDiscovery Premium » dans une expérience eDiscovery unifiée du portail Purview. Les fonctions avancées (révision, analyse, gestion des dépositaires) dépendent toujours des licences ; vérifiez l'état actuel dans votre locataire.
Les rôles et leur portée
Le groupe de rôles Gestionnaire eDiscovery comporte deux sous-groupes :
- Gestionnaires eDiscovery : ils créent et gèrent leurs propres dossiers, et ne voient que ceux dont ils sont membres ;
- Administrateurs eDiscovery : ils accèdent à tous les dossiers de l'organisation et peuvent s'y ajouter.
D'autres rôles, comme « Recherche de conformité », « Exportation », « Aperçu » ou « Conservation », peuvent aussi être attribués dans des groupes de rôles personnalisés. C'est là que se logent souvent des droits oubliés : un prestataire qui a mené une migration, un administrateur qui a dépanné une recherche il y a deux ans.
À traiter comme un rôle privilégié. Les membres des groupes eDiscovery doivent être peu nombreux, nominatifs, protégés par une authentification résistante au hameçonnage et, lorsque c'est possible, activés juste-à-temps. Un compte eDiscovery compromis expose autant de données qu'un administrateur Exchange.
Dossiers, conservations et périmètre
Une enquête bien menée passe par un dossier (case), qui regroupe les recherches, les conservations, les exports et les membres autorisés. Travailler hors dossier, avec des recherches isolées, rend le suivi presque impossible.
Les conservations préservent le contenu des dépositaires concernés, y compris s'ils suppriment leurs messages. Deux risques à surveiller : des conservations jamais levées, qui conservent indéfiniment des données personnelles, et des conservations levées par erreur en cours de contentieux. Chaque conservation doit être rattachée à un dossier actif et revue à sa clôture.
Pour limiter la portée des recherches, les filtres d'autorisation de recherche permettent de restreindre ce qu'un groupe d'enquêteurs peut rechercher, par exemple aux boîtes d'une filiale ou d'une zone géographique. C'est utile dans les groupes multi-entités.
Séparation des tâches et cadre interne
La technique ne suffit pas. Une enquête interne touche à la vie privée des salariés et doit s'inscrire dans un cadre défini :
- une demande écrite, émanant d'une fonction habilitée (juridique, RH, direction), avec un objet précis ;
- une validation par une personne distincte de celle qui exécute la recherche ;
- un périmètre limité : dépositaires, période, mots-clés proportionnés à l'objet ;
- une traçabilité des résultats exportés et de leur destinataire ;
- une clôture formelle : levée des conservations, suppression des exports devenus inutiles.
En France, les contenus identifiés comme personnels par le salarié bénéficient d'une protection particulière, et la proportionnalité des investigations est appréciée strictement. Faites valider la procédure par votre service juridique ou votre conseil, et associez votre délégué à la protection des données.
Auditer l'eDiscovery lui-même
Les actions eDiscovery sont enregistrées dans le journal d'audit unifié : création de dossier, ajout de membres, création et exécution de recherches, prévisualisations, exportations, conservations. Ces événements doivent être surveillés au même titre que les modifications de rôles d'administration. Une recherche lancée hors dossier, un export volumineux ou l'ajout d'un nouvel administrateur eDiscovery méritent une alerte et une vérification auprès du demandeur.
Enfin, prévoyez qui contrôle les enquêteurs : la personne qui revoit le journal des activités eDiscovery ne devrait pas être celle qui mène les recherches.
Ce qu'un audit vérifie
- Les membres des groupes de rôles eDiscovery, notamment les administrateurs eDiscovery.
- Les groupes de rôles personnalisés contenant les rôles de recherche, d'aperçu ou d'export.
- La protection de ces comptes : authentification forte, activation juste-à-temps.
- Les dossiers ouverts, leurs conservations et leur ancienneté.
- L'existence d'une procédure écrite de demande et de validation.
- La surveillance des activités eDiscovery dans le journal d'audit.
- L'usage de filtres d'autorisation de recherche lorsque le périmètre doit être limité.