Control de información y cumplimiento legal en Exchange Server 2010

1. Control de información y cumplimiento legal en Exchange Server 2010 Joshua Sáenz G.www.saenzguijarro.com

2. Agenda • Amenazas en la gestión de la información • ¿Porque es importante el cumplimiento legal? • Novedades en el control de información • Políticas y etiquetas de retención • Archivo personal • Moderación de buzones • Integración con AD RMS • e-Discovery y auditoría

3. Amenazas en la gestión de la información

4. Amenazas en la gestión de la información Fuga de información Falta de control interno Pérdida de datos Espionaje industrial Incumplimiento de normativas y legalidad Ataques deliverados

5. Amenazas en la gestión de la información • Impacto legal y financiero • El incumplimiento legal puede tener como consecuencia multas que pueden ascender a millones de € • Costes en juicios, indemnizaciones y abogados • Cada vez hay más regulación y es más estricta a nivel nacional e internacional • Impacto en la credibilidad y la imagen • Daño en la imagen pública de la organización • La información filtrada al exterior puede poner en serios aprietos a la organización • Pérdida de competitividad • La fuga de información de planes puede suponer una pérdida de inversionistas y cotización en bolsa • Pérdida de capital intelectual, resultados de investigaciones u otros datos importantes para el negocio.

6. Amenazas en la gestión de la información ¿Como se gestionan los datos de los clientes? ¿Existen políticas para proteger dichos datos? ¿Se transmite la información de forma confidencial cuando se hace uso del correo electrónico? ¿Hay control sobre quien puede ver información confidencial y a donde se puede enviar? ¿Se cumple con los requisitos legales? ¿Existen leyes que prohiban expresamente la comunicación entre diferentes grupos de la organización? ¿Existe la obligación de almacenar o eliminar la información pasado cierto tiempo?

7. ¿Porque es importante el cumplimiento legal?

8. ¿Porque es importante el cumplimiento legal? Las organizaciones deben proporcionar evidencias de litigio o documentación diversa a los organismos reguladores si se les solicita (incluidos los mensajes de correo electrónico). Un incumplimiento podría suponer una fuerte sanción, incluso la apertura de un proceso penal contra los responsables. Por ello deben considerar el cumplimiento legal como parte de sus planes de infraestructuras, incluyendo el correo electrónico.

9. ¿Porque es importante el cumplimiento legal? • Las organizaciones multinacionales deben considerar la legislación de cada país en donde tienen una sede. • Sarbanes-Oxley Act of 2002 (SOX) • Security Exchange Commission Rule 17a-4 (SEC Rule 17 A-4) • National Association of Securities Dealers 3010 & 3110 (NASD 3010 & 3110) • Gramm-Leach-Bliley Act (Financial Modernization Act) • Financial Institution Privacy Protection Act of 2001 • Financial Institution Privacy Protection Act of 2003Health Insurance • Portability and Accountability Act of 1996 (HIPAA) • Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act of 2001 (Patriot Act) • European Union Data Protection Directive (EUDPD) • Japan’s Personal Information Protection Act • Ley Orgánica de Protección de Datos (LOPD)

10. Novedades en el control de información

11. Características de control disponibles en Exchange Server 2010 • Políticas y etiquetas de retención • Archivo personal • Moderación de buzones • Integración con AD RMS • e-Discovery y auditoría • Registro en diario (Journaling) • Bases de datos • Buzón • Carpetas administradas

12. Políticas y etiquetas de retención • Políticas de retención (RetentionPolicies) • Directivas personalizadas que definen que se debe hacer con una clase de mensaje determinado pasado cierto tiempo • Tienen vinculadas etiquetas de retención (RetentionTags) en donde se definen los tiempos, la acción y el destino de los mensajes. • El servicio de Messaging Records Management (MRM) es el que se encarga de aplicar las directivas configuradas con una frecuencia programada • Complementan a las carpetas administradas introducidas en Exchange Server 2007

13. Políticas y etiquetas de retención • En Exchange 2010 se pueden crear 3 tipos de etiquetas de retención • RetentionPolicyTag (RPT) • Default PolicyTag (DPT) • Personal Tags (PT) • Las acciones disponibles son • Mover al archivo personal (Moveto Archive) • Mover a la carpeta de elementos eliminados • Eliminar y permitir la recuperación • Eliminar permanentemente • Marcar que el límite de retención ha expirado

14. Archivo personal • El almacenamiento de mensajes antiguos siempre ha sido un problema para las organizaciones. • Cumplimiento legal • Copias de seguridad • Control de la información • Los almacenes .pst en el cliente Outlook no solucionan el problema. • No están controlados • Aumento en costes de auditoría • No se pueden aplicar políticas de retención • Riesgo de pérdida de información • Riesgo de fuga o robo • Dispersión de la información • Para aquellas organizaciones que necesiten controlar, almacenar y auditar la información antigua, Exchange 2010 incorpora el Archivo personal.

15. Archivo personal • Solución básica de archivo del lado del servidor. • Se elimina el uso de .pst distribuidos y difíciles de controlar. • Con la misma experiencia para el usuario. • Accesible desde Outlook 2010 y OWA 2010 • Puede ser un destino de las políticas de retención. • Requiere que el buzón de archivo esté en la misma base de datos que el buzón principal. • La cuota del archivo personal es independiente de la cuota del buzón principal.

16. Moderación de buzones • Proporciona un control humano de los mensajes que llegan a ciertos buzones o listas de distribución • Hasta ahora la forma de controlar el flujo de mensajes era mediante las restricciones de envío o recepción. • Integrado en las reglas de transporte • Escenarios: • Control de mensajes enviados a grupos de distribución • Control de mensajes enviados a buzones ejecutivos • Control de mensajes enviados a contactos externos (socios de negocio)

17. Moderación de buzones • Más información y demo completa en webcast: Exchange Server 2010. Revisión general de mejoras y nuevas características • http://msevents.microsoft.com/CUI/WebCastEventDetails.aspx?EventID=1032421495&EventCategory=5&culture=es-ES&CountryCode=ES • Importante: Si el mensaje se envía a un HubTransport Server de Exchange 2007, se ignora el proceso de moderación. • Opciones de moderación: • Aceptar • Rechazar • Rechazar con comentarios

18. Integración con AD RMS • La tecnología IRM (InformationRights Management) permite proteger de forma persistente los mensajes y adjuntos enviados desde Exchange Server • Las aplicaciones deben soportar AD RMS para poder crear o leer contenido protegido • IRM ayuda a lo siguiente: • Previene que los destinatarios autorizados para leer el mensaje pueda reenviar, modificar, copiar, guardar, imprimir o enviar por fax dicho mensaje y sus adjuntos. • También se previene el uso de capturas de pantalla • Se pueden establecer fechas de caducidad del mensaje

19. Integración con AD RMS • Múltiples puntos de protección • Manualmente desde Outlook • Manualmente desde Outlook Web App • Automáticamente desde Outlook 2010 • Automáticamente desde los servidores de transporte

20. Integración con AD RMS • Exchange 2010 permite el descrifrado del contenido protegido por motivos de políticas internas, cumplimiento de legalidad, auditorías, investigaciones internas, etc. • Descifrado a nivel de transporte • Descifrado de informes de registro de diario (Journal) • Descifrado en búsquedas multi buzón (e-Discovery) • Para ello se requiere agregar el buzón FederatedDeliveryMailbox al grupo de superusuarios en AD RMS • Para conprobar el funcionamiento • Test-IRMConfiguration

21. Integración con AD RMS Agentes de transporte relacionados con IRM

22. e-Discovery y auditoría Muchas organizaciones requieren disponer de acceso a mensajes y documentos por motivos de auditorías internas, investigaciones criminales, requisitos legales, juicios o demandas. La capacidad de búsqueda en múltiples buzones de Exchange Server 2010 ofrece un cumplimiento de dichos requisitos, sin afectar ni interrumpir al usuario final. Se basa en la capacidad de indexación del servicio Exchange Search. El acceso se realiza mediante Exchange Control Panel y está completamente integrado con los permisos granulares de control de acceso basado en roles (RBAC).

23. e-Discovery y auditoría • El grupo Discoverymanagementconsiste en dos roles: • MailboxSearch: Permite realizar las búsquedas • Legal Hold: Permite configurar un buzón en un estado de mantenimiento legal • La búsqueda incluye el buzón principal, el archivo personal y las conversaciones de IM

24. e-Discovery y auditoría • Los resultados se almacenan en un buzón especial denominado DiscoveryMailbox. • Selección segura y filtrada del buzón de resultados desde ECP • Cuota de almacenamiento de 50 GB por defecto • Seguro por defecto • Cuenta deshabilitada • Permiso de acceso otorgado de forma explícita • El envío a este tipo de buzón está prohibido por restricciones de entrega • Se puedencreardesde el Shell • New-Mailbox SearchResults -Discovery -UserPrincipalName SearchResults@contoso.com

25. DEMOS

26. Recursos técnicos • Políticas de mensajes y cumplimiento legal • http://technet.microsoft.com/en-us/library/aa998599(EXCHG.140).aspx • Messaging Records Mamagement • http://technet.microsoft.com/en-us/library/bb123507(EXCHG.140).aspx • RetentionPolicies • http://technet.microsoft.com/en-us/library/dd297955(EXCHG.140).aspx • Búsquedas en múltiples buzones • http://technet.microsoft.com/en-us/library/dd335072(EXCHG.140).aspx • Archivo personal • http://technet.microsoft.com/en-us/library/dd979795(EXCHG.140).aspx • Principales leyes internacionales de protección de datos • http://technet.microsoft.com/en-us/library/aa998649(EXCHG.140).aspx • Seminarios HandsOnLab • www.microsoft.com/spain/seminarios/hol.mspx • Blog del equipo de desarrollo de Exchange • www.msexchangeteam.com • Mi Blog personal (Josh Sáenz G.) • www.saenzguijarro.com

27. Más acciones desde TechNet • Para ver los webcast grabados sobre éste tema y otros temas, diríjase a: • http://www.microsoft.com/spain/technet/jornadas/webcasts/webcasts_ant.aspx • Para información y registro de Futuros Webcast de éste y otros temas diríjase a: • http://www.microsoft.com/spain/technet/jornadas/default.mspx • Para mantenerse informado sobre todos los Eventos, Seminarios y webcast suscríbase a nuestro boletín TechNet Flash en ésta dirección: • http://www.microsoft.es/technet/boletines/default.mspx • Descubra los mejores vídeos para TI gratis y a un solo clic: • http://www.microsoft.es/technet/itsshowtime/default.aspx • Para acceder a toda la información, betas, actualizaciones, recursos, puede suscribirse a Nuestra Suscripción TechNet en: • http://www.microsoft.es/technet/recursos/cd/default.mspx