purview-records-management

Microsoft Purview 记录管理

记录管理是 Microsoft 365 数据生命周期中正式且可审计的一环。 一般保留策略管理大批量数据的生命周期，而记录管理会将特定内容声明为记录（无法修改或删除）或监管记录 （不可变，应用后不允许更改标签），并生成处置证明——这是监管机构和审计人员实际要求查看的材料。

适用场景

当你需要履行法律、监管或行业义务（SEC 17a-4、GxP、GDPR 第 30 条、 公共部门记录法），并且必须确保记录保留可验证、处置工作流有据可查时。

对于不涉及记录声明的一般保留策略（purview-data-lifecycle）、DLP（purview-dlp-policy）或电子数据展示（purview-ediscovery），请勿使用此技能。

保留标签类型——谨慎选择

标签选项	可变更性	处置
仅保留（非记录）	可编辑	自动删除或不执行操作
记录	锁定，无法编辑或删除；管理员可以解锁	可选处置审核
监管记录	完全不可变；即使管理员也无法移除标签	必须进行处置审核
解锁记录（管理员操作）	还原为标准标签	—

经验法则：仅在法规确实要求采用 WORM 式不可变性（经纪交易商、生命科学 GxP）时，才使用监管记录。否则通常应使用记录——保护力度相同，但可通过管理员紧急解锁。

实施方法

1. **先获取文件计划。**没有文件计划的记录管理，只会让 SharePoint 中的标签杂乱无章。向法务/记录团队索取文件计划——通常是一个 CSV，包含：标签名称、说明、保留期限、触发条件（创建日期／上次修改日期／事件）、记录／监管记录标记、处置操作和业务部门。 使用文件计划管理器导入。

2. **为基于事件的保留策略定义事件。**常见事件包括：

   • 员工离职（HRIS 连接器或通过脚本触发 Graph）。
   • 合同到期（CLM 系统事件）。
   • 项目结束。
   • 产品生命周期结束。 事件通过 Microsoft Graph 或合规性 UI 触发；保留倒计时从事件日期开始。

3. 选择发布还是自动应用保留标签策略。

   • 发布 = 标签显示在用户选择器中；用户为内容添加标签。适用于内容类别明确的 SharePoint 文档库。
   • 自动应用 = 系统根据 KQL、敏感信息类型或可训练分类器应用标签。适用于大批量或模式明确的内容（发票、合同）。

4. **先在单个 SharePoint 网站／邮箱组中试点。**验证以下事项：

   • 带标签的文档按预期锁定。
   • 编辑操作会被阻止。
   • 共同创作场景（Teams 文件）仍可正常工作。
   • 保留倒计时与计划一致。

5. **处置审核。**对于即将达到保留期限的记录，处置队列会将项目交由审核人员处理（单阶段或多阶段）。审核人员可以：处置（删除并记录审计）、重新标记（延长保留期限）或保留（等待诉讼）。处置记录会被保留——这就是审计材料。

6. 分离角色。

   • 记录管理角色组：文件计划、标签和处置决定。
   • 合规性管理员：配置服务，而非记录。
   • 审核人员（处置）：按标签指定的处置审核人员。 记录管理员不应同时是租户全局管理员。

7. **报告与审计。**每月提取处置报告。将报告流式传输到 Sentinel 或合规性记录系统。保留监管链材料。

8. **与电子数据展示和信息屏障集成。**记录仍可能受到法律保留的约束；信息屏障不会覆盖保留策略。请与法务确认优先级规则。

防护措施

• 记录管理是单独许可的附加组件（Microsoft 365 E5 Compliance / E5 Information Protection & Governance）。请确认每位用户均已获得许可——对未获许可的用户自动应用策略会静默失败。
• 监管记录不可撤销。 文档一旦标记为监管记录，任何人——包括租户全局管理员——都无法更改或移除该标签。仅使用测试内容进行试点。
• 基于事件的保留需要可靠的事件来源。 不要通过不稳定的集成触发员工离职事件；否则内容可能会被永久过度保留或保留不足。
• 不要使用薄弱的 KQL 广泛自动应用记录标签。 将生产站点批量标记为记录会破坏用户体验（无法编辑）。
• 共同创作与记录标签的组合存在注意事项。 大规模推出前，请先在 Teams/SharePoint 中测试。
• 处置队列需要负责人。 如果没有活跃的审核人员，项目会在保留期结束后无限期搁置，处置流程也就失去了意义。
• 保留优先于删除。 用户“删除”记录只会将其从视图中隐藏；该记录仍保存在保留保管库中。请提前说明这一点。
• 不要混淆保留与备份。 保留会保存 M365 中的实时数据；它不是租户还原方案。

常见反模式

• “导入了包含 800 个标签的文件计划”——用户会看到一个巨大的选择器，却无法正确标记任何内容。请从最重要的 10-20 种记录开始。
• “默认使用监管记录，‘以防万一’”——第一次出错就会造成运维噩梦。
• “通过‘包含单词 contract’自动应用记录标签”——每封提到合同的邮件，包括邮件签名，都会被标记为记录。请使用敏感信息类型或可训练分类器。
• “处置队列被忽略了 12 个月”——保留期默认延长；这会导致审计问题。
• “记录管理管理员 = 全局管理员”——在受监管行业中违反职责分离原则。
• “因为‘所有记录都按创建日期计算’，所以跳过基于事件的保留”——长尾内容会被过度保留，增加成本和风险。
• “将记录管理用于备份”——工具用错了；还原场景仍需要适当的备份。

示例提示词

• 为 SEC 17a-4 合规推出 Purview Records Management，对经纪通信保留 6 年的监管记录。
• 从记录管理团队导入包含 60 个标签的文件计划，并在 3 个 SharePoint 站点上试点。
• 配置基于事件的保留：Workday 中的员工离职事件触发为期 7 年的人力资源记录保留。
• 设计处置审核工作流，采用两阶段审批：先由业务负责人审批，再由记录管理员审批。
• 针对我们的合同管理场景，比较保留标签、记录和监管记录。
• 将 Records Management 与现有的 eDiscovery Premium 保留措施集成，用于正在进行诉讼的事项。
• 构建处置审计导出功能，每月向我们的 GRC 系统提供数据。

Microsoft Learn

• 记录管理概述：https://learn.microsoft.com/purview/records-management
• 记录与监管记录：https://learn.microsoft.com/purview/get-started-with-records-management
• 文件计划：https://learn.microsoft.com/purview/file-plan-manager
• 基于事件的保留：https://learn.microsoft.com/purview/event-driven-retention
• 自动应用策略：https://learn.microsoft.com/purview/apply-retention-labels-automatically
• 处置：https://learn.microsoft.com/purview/disposition
• 处置审核人员：https://learn.microsoft.com/purview/disposition#stages-of-disposition
• 合规角色组：https://learn.microsoft.com/purview/microsoft-365-compliance-center-permissions
• 许可：https://learn.microsoft.com/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-365-security-compliance-licensing-guidance