Google Vault: eDiscovery e retention, non un backup

Vault supporta le iniziative legali e di compliance con quattro concetti che l’esame verifica sistematicamente. La retention rule definisce quanto a lungo conservare i dati: puoi impostare una default rule per tutta l’organizzazione oppure custom rule mirate per organizational unit (OU) e per Google Groups, distinte per servizio (Gmail, Drive, Chat, Meet, Groups). Il legal hold blocca i dati di specifici account collegati a una matter e ha priorità su qualsiasi retention di durata inferiore e sulle cancellazioni dell’utente: finché la hold è attiva, il dato resta preservato. La matter è il contenitore del caso, dentro cui esegui search per account/OU/data/keyword e da cui generi l’export dei risultati per la review esterna (con hash per la chain of custody). Le operazioni su matter e hold sono tracciate in un audit report interno a Vault.

Il trabocchetto ricorrente: Vault non è un backup. Non ripristina un file o una mail cancellati che non erano coperti da una hold o da una retention attiva e sono già oltre il periodo di conservazione. Vault rende ricercabile e preserva ciò che è vincolato da una regola vigente, non recupera dati eliminati in assenza di copertura.

Report e monitoraggio: Work Insights, Alert Center, audit log

Scegliere lo strumento giusto è la competenza chiave. Work Insights è orientato al business e al management: misura l’adozione e la collaborazione delle app Workspace aggregata per team (richiede OU di dimensione minima per proteggere la privacy). Non è uno strumento di indagine granulare. Gli audit log (activity report nella Admin console — Admin, Login, Drive, Gmail, Groups, Devices, Token, OAuth, ecc.) rispondono al “chi ha fatto cosa, quando” e alimentano il security investigation tool per triage e remediation su larga scala. L’Alert Center centralizza gli alert (phishing, attività sospette, device compromessi, data loss, malware) e ne consente il workflow. Gli usage/activity report aggregati coprono adozione e storage a livello organizzativo.

BigQuery export: combinare log e usage

Quando servono analisi che la console non offre — query SQL cross-log, join tra Login e Drive audit, correlazione con gli usage report, retention dei log oltre i limiti nativi della Admin console, dashboard in Looker Studio — la risposta è l’export dei log su BigQuery. È la soluzione per compliance analitica di lungo periodo e per report custom combinando fonti diverse in un unico dataset interrogabile.

Import ed export dei dati

Per l’offboarding, prima di sospendere o eliminare un account usa il data transfer di Drive e Calendar per riassegnare l’ownership dei contenuti a un altro utente: preserva l’operatività, cosa che Vault (che tutela per la matter, non riassegna la proprietà) non fa. Per portare posta e contenuti tra account o da altri sistemi esiste il data migration service (Gmail, Contacts, Calendar). Per l’export massivo verso l’esterno o offline, la funzione di data export a livello organizzazione (e Takeout per il singolo) genera un archivio scaricabile o verso altre piattaforme.

Trappole tipiche d’esame

  • Ripristinare mail/file cancellati da un ex dipendente oltre la retention → Vault NON è un backup: recupera solo ciò che era coperto da hold o retention attiva; dati già eliminati e non vincolati non si ripristinano.
  • Preservare i dati di un utente per un contenzioso, anche se lui li cancella → legal hold (non retention rule): la hold blocca a prescindere e prevale sulle azioni dell’utente e sulle retention più brevi.
  • Report di adozione Workspace per la dirigenza → Work Insights (non audit log): Work Insights dà metriche aggregate di uso; l’audit log serve a indagini granulari, non a misurare l’adozione.
  • Query SQL incrociando Login e Drive log su periodi lunghi → export su BigQuery: la console mostra finestre limitate; per join cross-log e retention estesa serve BigQuery.
  • Conservare i file prima di eliminare un utente → data transfer di Drive/Calendar (non Vault): trasferisci l’ownership a un altro account; Vault preserva per la matter ma non riassegna la proprietà operativa.
  • Triage di un alert di phishing di massa → Alert Center + security investigation tool: l’Alert Center aggrega e notifica, l’investigation tool esegue la remediation.