Google Vault non è un backup e non serve a rimettere in piedi una casella cancellata per sbaglio. È lo strumento con cui l’organizzazione decide per quanto tempo i dati sopravvivono, quali dati non devono sparire nemmeno alla scadenza, e come si estrae ciò che serve a un legale o a un revisore. Tre meccanismi diversi, con una gerarchia precisa che l’esame ama mettere alla prova.

Regole di conservazione, predefinite e personalizzate

Una regola predefinita si applica a tutti i dati di un servizio e ne esiste al massimo una per servizio: non accetta account specifici né intervalli di date, ed è lo strumento giusto quando la policy dice «tutta la posta per cinque anni». Una regola personalizzata restringe il campo con condizioni che cambiano da servizio a servizio: unità organizzativa, intervalli di date e termini di ricerca per Gmail e Gruppi; unità organizzativa, date di creazione, modifica o spostamento nel cestino e campi delle etichette per Drive, Meet e Sites; unità organizzativa o tutti gli spazi per Chat; data di fine evento per Calendar.

La gerarchia è il punto che si sbaglia più spesso. Una regola personalizzata prevale sempre sulla predefinita, anche quando conserva per meno tempo: non vince il periodo più lungo, vince la regola più specifica. Per Drive, poi, le regole sugli elementi già nel cestino hanno la precedenza sulle altre. Alla scadenza la conservazione non «rilascia» il dato: lo elimina definitivamente dagli account e dai sistemi Google, con una purga che richiede del tempo e non è reversibile. È il motivo per cui una regola scritta male è più pericolosa di una regola assente.

Blocchi per esigenze legali o investigative

Un blocco, in inglese hold, si crea dentro una matter e serve quando una controversia o un’indagine impone di congelare i dati a prescindere dalle policy in vigore. Non ha scadenza: resta finché qualcuno non lo rimuove, e i blocchi hanno la precedenza su qualunque regola di conservazione. Sono anche additivi: se due matter proteggono lo stesso account, il dato sopravvive finché entrambi i blocchi non vengono tolti, e il giorno in cui l’ultimo cade i dati tornano immediatamente soggetti alle regole applicabili.

Un blocco si applica ai custodi, cioè ad account singoli oppure a intere unità organizzative. Mettere sotto blocco una OU molto alta è comodo e pericoloso insieme, perché finisce per congelare persone che non c’entrano nulla con il caso. E c’è una trappola da conoscere a memoria: eliminare l’account di una persona sotto blocco non salva i dati. I dati marcati per l’eliminazione insieme all’account non sono più protetti da regole o blocchi e possono essere rimossi definitivamente, senza recupero possibile nemmeno ripristinando l’account. Se l’account deve sparire, prima si esportano i dati o si passa a una licenza archiviata, poi si rilascia l’account dai blocchi basati su account, lo si sposta fuori dalle OU sotto blocco, si attendono 24-48 ore che Directory e Vault si allineino, e solo allora si elimina.

Licenze Archived User per chi lascia l’azienda

Quando un dipendente esce, la scelta è fra tre strade con costi e conseguenze diverse. Eliminare l’account cancella i dati, come si è appena visto. Sospenderlo li conserva, ma l’account sospeso si paga esattamente come uno attivo: è una soluzione di parcheggio, non una strategia di conservazione. La licenza Archived User è la terza strada, ed è quella pensata proprio per questo caso: mantiene i dati dell’utente disponibili in Vault, sottoposti a regole e blocchi, senza il costo di una licenza piena.

Il dettaglio operativo che vale la pena ricordare riguarda il piano di sottoscrizione. Con un piano Flexible le licenze archiviate vengono aggiunte automaticamente al momento dell’archiviazione, mentre con un piano Annual vanno acquistate prima dalla Admin console, scegliendo la sottoscrizione «Archived User» dell’edizione in uso. Non tutte le edizioni la offrono: è disponibile sulle Business Starter, Standard e Plus, sulle Enterprise Standard e Plus e sulle edizioni Education.

Cercare ed esportare, e dove finisce l’export

Ogni indagine vive dentro una matter: si crea il contenitore, si costruisce la ricerca per servizio e custode, e solo dopo si esporta il risultato. I privilegi sono tre e vanno assegnati separatamente — Manage Matters, Manage Searches e Manage Exports — perché in molte organizzazioni chi può cercare non è chi può portare i dati fuori.

Sull’export contano i limiti pratici. I file restano disponibili 15 giorni dall’avvio, poi vengono eliminati; conviene non superare le 20 esportazioni contemporanee nell’organizzazione; un export che non si completa entro 24 ore viene interrotto con risultati parziali e va ripreso con «Continue export». Per Gmail, Gruppi e Chat si sceglie fra PST e mbox. E se l’organizzazione ha una policy sulle regioni dei dati, si può indicare la regione di destinazione dell’export: è la risposta corretta quando il requisito è che i dati estratti non escano da un’area geografica.

Verificare chi ha guardato che cosa

Vault stesso va sorvegliato, perché dà accesso a dati che i normali amministratori non vedono. Gli eventi di Vault si consultano in Reporting, nella sezione Audit and investigation: accessi alle matter, ricerche eseguite, download degli export, modifiche a blocchi e a regole di conservazione. Si filtrano con il condition builder per attore, tipo di evento e periodo, e si esportano in Fogli o CSV per allegarli a una verifica. È il report che risponde alla domanda «chi ha scaricato la posta di quella persona, e quando».