Procesar informes en eDiscovery

Cada proceso de Microsoft Purview eDiscovery genera un informe de proceso descargable que contiene información detallada sobre lo que ocurrió durante el proceso. En este artículo se proporcionan instrucciones basadas en escenarios para interpretar los datos del informe en profundidad. Úselo para comprender los recuentos de elementos inesperados, identificar errores de ubicación, ver cómo la configuración afectó a los resultados y saber qué buscar en los informes al investigar resultados específicos.

Para obtener más información sobre la estructura y el contenido de cada informe, vea Usar informes de procesos en eDiscovery.

Procedimientos recomendados para usar informes de procesos

• Descargar informes para cada proceso: incluso cuando un proceso se complete correctamente, descargue el paquete de informes para mantener un registro de lo que se recopiló, desde dónde y con qué configuración. Esta información es valiosa para fines de transparencia y auditoría.
• Compruebe primero el Summary.csv: comience con el ARCHIVO CSV de resumen para obtener información general del resultado del proceso, incluidos los recuentos de elementos, los errores y los factores que afectaron al recuento.
• Use el Items.csv para la investigación de nivel de elemento: cuando necesite comprender por qué se incluyó o no un elemento específico, examine el Items.csv para obtener información detallada sobre el estado y el error por elemento.
• Use la Locations.csv para la validación del ámbito: compruebe que todas las ubicaciones previstas se han incluido y procesado correctamente. Identifique las ubicaciones con errores que necesiten atención.
• Comparar Settings.csv entre procesos: al comparar los resultados de dos procesos, compare sus informes CSV de configuración para confirmar que se usó la misma configuración.
• Use la Statistics.csv para el análisis de búsqueda: después de un proceso de generación de estadísticas , use este informe para comprender la distribución de los resultados de búsqueda entre palabras clave, tipos de datos, tipos de información confidencial y participantes en la comunicación.

Descripción de los recuentos de resultados de búsqueda

Los recuentos de resultados de búsqueda pueden variar entre ejecuciones y diferir de los recuentos de exportación o recopilación. Para obtener una explicación detallada de los motivos de comportamiento que subyace a estas diferencias, consulte Descripción de las estadísticas y los resultados de búsqueda y Diferencias entre estadísticas y resultados de exportación. En las secciones siguientes se explica cómo usar los informes de procesos para investigar estas diferencias.

Investigación de elementos que faltan en los resultados de la búsqueda

Si el contenido esperado no aparece en los resultados de la búsqueda, use los informes de procesos de generar estadísticas o Generar proceso de ejemplo para identificar la causa.

Qué se debe examinar en el informe de procesos:

• Settings.csv: configuración de elementos indizados parcialmente: compruebe si el proceso se configuró para incluir elementos indizados parcialmente. De forma predeterminada, los resultados de búsqueda excluyen contenido que no está totalmente indexado, como archivos de solo imagen, tipos de archivo no admitidos o elementos con errores de procesamiento. Si la configuración muestra que el proceso no incluye elementos parcialmente indexados, vuelva a ejecutar la búsqueda con esta opción habilitada para determinar si los elementos que faltan no están indexados.
• Settings.csv: filtro de seguridad aplicado: si este valor es Sí, un límite de cumplimiento (filtro de permisos de búsqueda) limita las ubicaciones a las que puede acceder la búsqueda. La búsqueda excluye de forma silenciosa los elementos de ubicaciones fuera del ámbito del filtro. El campo Restricción de ubicación muestra los criterios de filtro. Si sospecha que el filtro excluye el contenido esperado, pida a un administrador de eDiscovery u otro usuario sin filtro de permisos de búsqueda aplicado para ejecutar la misma búsqueda de comparación.
• Locations.csv — Columna de estado: compruebe si hay ubicaciones con errores. Si una ubicación muestra un estado de error, el campo ErrorWarning explica por qué. Para obtener más información sobre las razones comunes que pueden afectar al acceso a la ubicación, consulte Consideraciones de exportación.
• Locations.csv : columna Recuento: si una ubicación que esperaba que tuviera resultados muestra un recuento de cero, la consulta de búsqueda no coincidía con ningún contenido de esa ubicación. Compruebe que la consulta es correcta y que el contenido existe en el origen. Es posible que los elementos que agregó recientemente a un buzón o sitio aún no se indexaran. Vuelva a ejecutar la búsqueda después de una breve espera para resolver esta condición.
• Locations.csv: Ubicaciones que faltan: si una ubicación esperada no aparece en el informe en absoluto, no se incluyó en el ámbito de búsqueda. Compruebe los orígenes de datos configurados para la búsqueda y agregue los buzones o sitios que falten.

Diferencias de resultados de búsqueda con búsquedas en todo el inquilino

Cuando se usa un ámbito de búsqueda para todo el inquilino, como Todas las personas y grupos, los resultados pueden variar en función de las opciones de configuración de origen adicionales que controlan qué tipos de usuario y contenido se incluyen. Esta configuración expande o limita el ámbito de la búsqueda y afecta directamente a los recuentos de elementos.

Qué se debe examinar en el informe de procesos:

• Settings.csv: configuración de procesos para todo el inquilino: cuando una búsqueda usa Todas las personas y grupos, el ARCHIVO CSV de configuración captura qué tipos de origen adicionales se habilitaron en el momento de la exportación de la búsqueda o Agregar al conjunto de revisión . Compruebe esta configuración para comprender por qué se incluyó o excluyó determinado contenido:

  • Incluir usuarios que han salido: cuando está habilitada, la búsqueda incluye buzones y sitios de OneDrive de usuarios que abandonaron la organización (cuentas eliminadas temporalmente o inactivas). Si esta configuración no estaba habilitada y esperaba encontrar contenido de empleados anteriores, se explica por qué faltan esos elementos en los resultados.
  • Incluir canales compartidos de Teams: cuando está habilitada, la búsqueda incluye contenido de canales compartidos de Teams. Los datos de canal compartido se almacenan en sitios de SharePoint independientes, por lo que solo se incluyen cuando esta configuración está activa. Si le falta contenido de canal compartido, compruebe que esta configuración está habilitada.
  • Incluir usuarios locales y sin licencia: cuando está habilitada, la búsqueda incluye buzones de correo para los usuarios que no tienen una licencia o se sincronizan desde entornos locales.
  • Incluir usuarios invitados: cuando está habilitada, la búsqueda incluye contenido asociado a cuentas de usuario invitado en el inquilino.

Interpretación de diferencias de recuento entre búsqueda y exportación

Al exportar resultados de búsqueda o agregarlos a un conjunto de revisión, el recuento de elementos finales a menudo difiere de la estimación de búsqueda original. Para obtener la lista completa de motivos, consulte Diferencias entre estadísticas y resultados de exportación. El informe CSV de resumen muestra los factores específicos que afectaron al recuento del proceso.

Qué se debe examinar en el informe de procesos:

• Sección de información de Summary.csv: en esta sección se enumeran todos los factores que aumentaron o disminuyeron el número de elementos en comparación con la estimación original, como datos adjuntos en la nube, conversaciones contextuales, transcripciones consolidadas, versiones de archivos de SharePoint y duplicados omitidos en un conjunto de revisión. Para obtener una lista completa de estos factores y lo que cada uno de ellos significa, consulte la sección Información.
• Sección de resultados de búsqueda de Summary.csv: muestra el desglose de elementos indizados, elementos parcialmente indexados y elementos indizados avanzados. Si el recuento es menor de lo esperado, compruebe si incluyó elementos parcialmente indizados en la configuración del proceso.
• Sección de error de Summary.csv: muestra las excepciones de recuperación: elementos que no se pudieron exportar o agregar al conjunto de revisión. Para ver los tipos de excepción específicos a los que se realiza el seguimiento en esta sección, consulte Error.

Descripción del impacto de la configuración de búsqueda en los resultados

El informe CSV de configuración captura la configuración exacta que se usa al enviar un proceso. Compare este informe con la configuración prevista para identificar discrepancias.

Entre las opciones de configuración clave que afectan al ámbito de resultados se incluyen:

• Incluir versiones del documento: determina cuántas versiones de cada documento se recopilan. Seleccionar Todas las versiones puede aumentar significativamente el número de elementos y el volumen de datos.
• Organizar conversaciones en transcripciones HTML: cuando están habilitadas, los mensajes de chat de Teams individuales se consolidan en archivos de transcripción, lo que cambia el recuento de elementos.
• Incluir conversaciones contextuales de Teams y Viva Engage: cuando está habilitada, la búsqueda incluye mensajes fuera del intervalo de fechas de búsqueda para proporcionar contexto de conversación. Para los chats de grupo y 1:1, esta configuración agrega mensajes 12 horas antes y después de cada elemento con capacidad de respuesta. En el caso de las publicaciones de canal de Teams y las publicaciones Viva Engage, la búsqueda incluye subprocesos de conversación completos independientemente del intervalo de fechas. Si ve elementos fuera del intervalo de fechas esperado, compruebe si esta configuración está habilitada.
• Vínculos de acceso en mensajes: controla si la búsqueda recupera datos adjuntos en la nube de vínculos en correos electrónicos y conversaciones de Teams.

Descripción de los informes de exportación

Por qué no se exportaron determinados elementos

Cuando finaliza una exportación, el informe CSV de elementos y la sección Error del informe CSV de resumen explican lo que ocurrió con cada elemento.

Qué se debe examinar en el informe de exportación:

• Items.csv : columna Estado: cada fila representa un elemento. Los elementos con un estado distinto de correcto incluyen un campo ErrorWarning con el motivo del error. Entre los motivos comunes se incluyen:

  • Elemento eliminado o movido: la búsqueda encontró el elemento, pero alguien lo quitó o lo reubicó en el origen entre el momento de la búsqueda y la exportación. Estos elementos cuentan en la estimación de búsqueda, pero no se pueden recuperar en el momento de la exportación.
  • Tiempo de espera de acceso: el sistema no pudo recuperar el elemento dentro del tiempo permitido, a menudo debido a un problema de tamaño de archivo grande o de servicio transitorio.
  • Problema de permiso o acceso: el proceso de exportación no pudo acceder al elemento, posiblemente porque la ubicación de origen está bloqueada o la cuenta de usuario no tiene acceso.

• Items.csv : columna AddedBy: muestra cómo se incluyó cada elemento en los resultados. Para obtener definiciones de cada valor, vea Informe CSV de elementos.

• Summary.csv: excepciones de recuperación: muestra el recuento total de elementos que no se pudieron exportar. Este recuento coincide con el número de entradas de error en el archivo Items.csv.

Descripción de las marcas de tiempo de archivo en las exportaciones

Al extraer archivos de un paquete de exportación, las marcas de tiempo de archivo pueden mostrar la fecha actual en lugar de la fecha de modificación original. Este comportamiento se produce porque el extractor zip integrado de Windows restablece las fechas de archivo durante la extracción. Las marcas de tiempo originales se conservan en el informe Items.csv y dentro de los propios formatos de archivo.

Para conservar las marcas de tiempo durante la extracción, use una herramienta como 7-Zip, WinZip o WinRAR. En el caso de los correos electrónicos en formato PST, al abrir el PST en Outlook se muestran las fechas originales enviadas y recibidas.

Descripción de la configuración de exportación y la trazabilidad

El informe CSV configuración actúa como registro autoritativo de la configuración utilizada para una exportación. Este informe es esencial para la trazabilidad y la transparencia, especialmente cuando se responde a las consultas de cumplimiento.

Use este informe para:

• Confirme qué elementos se han incluido (indizados, parcialmente indexados o ambos).
• Compruebe el formato de exportación (PST o .msg) y la configuración del tamaño del paquete.
• Compruebe si el descifrado se ha habilitado para el contenido de Exchange o SharePoint.
• Valide que se aplicó la configuración correcta de la versión del documento.

Descripción de los informes de ubicación

Identificación de las ubicaciones que tienen resultados

El informe CSV Ubicaciones proporciona un desglose de todas las ubicaciones de contenido destinadas durante un proceso de búsqueda, exportación o adición para revisar el conjunto. Cada fila representa una ubicación e incluye el número y el tamaño de los elementos.

Qué se debe ver en el informe de ubicación:

• Columna Recuento: muestra el número de elementos con capacidad de respuesta que se encuentran en cada ubicación. Las ubicaciones con un recuento de cero no tienen accesos de búsqueda para la consulta usada.
• Columna De tamaño: muestra el tamaño total de los elementos con capacidad de respuesta de la ubicación, en bytes.
• Columna De subtipo de ubicación: distingue entre diferentes subtipos de buzón y de sitio. La dirección SMTP de un solo usuario podría aparecer en varias filas si tiene subtipos de buzón de correo diferentes. Para obtener la lista completa de valores de subtipo, consulte el informe CSV Ubicaciones.
• Columna de estado: muestra si la ubicación se procesó correctamente. Si se produce un error en una ubicación, el campo ErrorWarning incluye el motivo.

Descripción de los errores de nivel de ubicación

Los errores de nivel de ubicación en el informe CSV Ubicaciones indican que el proceso no pudo acceder a un buzón o sitio específico. Entre los errores comunes se incluyen:

Si una ubicación tiene errores, no significa que se haya producido un error en todo el proceso. Es posible que otras ubicaciones se procesen correctamente. Revise el CSV Ubicaciones para identificar qué ubicaciones específicas necesitan atención.

Descripción de los informes de suspensión

Interpretación del estado de distribución de suspensión

Al crear o actualizar una suspensión, el informe de procesos para el proceso de suspensión de aplicación o actualización incluye un informe CSV de ubicaciones que muestra el estado de cada ubicación en la suspensión.

Qué se debe examinar en el informe de suspensión:

• Columna de estado: muestra si la suspensión se aplicó correctamente a cada ubicación.

• Columna ErrorWarning: si se produjo un error en una ubicación, este campo contiene el error específico. Los errores comunes de distribución de retención incluyen:

  Error	Significado	Qué hacer
  PolicySyncTimeout/PolicyNotifyError	Errores transitorios. La suspensión tardó demasiado en aplicarse.	Vuelva a ejecutar la distribución de retención. Estos errores suelen resolverse al reintentar.
  FailedToOpenContainer	No se puede acceder al buzón o al sitio. Es posible que el usuario no tenga un buzón o que el sitio no exista.	Compruebe el estado de la cuenta de usuario en el Centro de administración de Microsoft 365 y confirme que el buzón o el sitio está activo.
  SiteInReadonlyOrNotAccessible / SiteOutOfQuota	El sitio de SharePoint o OneDrive está en un estado de solo lectura o no queda ninguna cuota de almacenamiento.	Póngase en contacto con el administrador de SharePoint para desbloquear el sitio o aumentar la cuota de almacenamiento y, a continuación, vuelva a ejecutar la suspensión.
  RecipientTypeNotAllowed	La suspensión se intentó en un objeto no apto, como un grupo de distribución. Solo se pueden conservar buzones de usuario, buzones de grupo y sitios de SharePoint o OneDrive.	Quite el objeto no apto y agregue los buzones de usuario o sitios individuales en su lugar.

Descripción del resumen de consumo

La secciónResumen de consumo del informe CSV de resumen desglosa el volumen de datos por tipo de contenido. Esta información le ayuda a comprender las implicaciones de almacenamiento y facturación para los procesos que agregan datos a un conjunto de revisión o exportan datos.