В общем ящике отдела письмо утром находилось во Входящих, а после обеда оказалось в Спаме. Несколько сотрудников работали с почтой, и каждый уверен, что ничего не переносил. По одному расположению сообщения нельзя определить виновника. Действие мог выполнить человек, правило, подключённое приложение или почтовая система. Начните с сохранения фактов и согласования короткой проверки, а не с удаления чужих настроек.
Сначала назначьте одного сотрудника, который ведёт запись наблюдений. Остальные сообщают, какими приложениями пользовались и какие действия выполняли с этой перепиской. Не просите коллег передавать пароли или входить под чужой учётной записью. Если доступ к ящику организован через личные права сотрудников, сохраняйте этот способ: совместное использование одного пароля затрудняет последующее установление исполнителя.
Подтвердите, что переместилась именно эта копия
Сохраните адрес отправителя, тему, дату получения, Message-ID и текущую папку. Message-ID — технический идентификатор сообщения, который помогает отличать похожие копии. В длинной цепочке легко увидеть старое письмо и принять его за сегодняшнее. Если первоначальное положение известно только со слов коллеги, отметьте это отдельно от сохранённого скриншота или записи журнала.
Запишите время обоих наблюдений с часовым поясом. Если первое было в десять часов, а второе в четырнадцать, известен интервал изменения, но не точная минута. Не перемещайте письмо обратно до сохранения сведений, если рабочая ситуация позволяет. Если документ нужен срочно, сначала запишите доступные данные, затем восстановите его по принятой процедуре и отметьте своё действие.
Что попросить у администратора
Передайте идентификатор, адрес общего ящика и временной интервал. Попросите проверить доступные события перемещения, изменения правил и делегированного доступа. Microsoft описывает расследование действий в общих ящиках через журнал аудита. Это пример для Exchange Online; другая платформа может предоставлять иной набор сведений.
Наличие аудита не означает, что любое действие обязательно записано. В документации по аудиту ящиков перечислены разные операции и настройки их регистрации. Администратор должен проверить фактическое покрытие нужного периода. Отсутствие записи само по себе не доказывает, что никто не перемещал письмо, а включение регистрации сейчас не восстановит прошлое событие.
Если журнал называет учётную запись, уточните контекст действия и клиент. Не делайте вывод о намерении человека из технической строки. Настроенное приложение могло работать в фоне с его полномочиями. Для рабочего решения важно установить механизм и предотвратить повтор, сохраняя доступ к журналам только у тех, кому он нужен по роли.
Согласуйте безопасное наблюдение
Выделите короткое окно, когда коллеги не сортируют выбранную тестовую переписку. Не останавливайте работу всего отдела. Попросите отправить одно безопасное сообщение с собственного разрешённого адреса и запишите его идентификатор. Через десять минут наблюдатель проверяет папку через браузер, затем повторяет просмотр через час. Не отправляйте новое письмо для каждого замера: нужна история одной копии.
Заранее перечислите активные клиенты и серверные правила. Если есть конкретное подозрение на приложение, согласуйте временную паузу только его синхронизации и отдельный повтор. Если остановить подключения нельзя, укажите это ограничение. Отсутствие перемещения в спокойное окно не доказывает, что раньше виноват сотрудник: условия проверки изменились, а наблюдений пока мало.
При воспроизводимом совпадении с определённым правилом администратор или его владелец сохраняет настройку и меняет только подтверждённое условие. Затем команда наблюдает новую копию по тому же расписанию. Не удаляйте все фильтры и не выключайте антиспам целиком. Это нарушит работу общего ящика и уничтожит возможность понять, какое изменение действительно связано с результатом.
Как закрыть разбор без лишних выводов
Если сотрудники работают посменно, включите передачу наблюдения в обычную сменную запись. Укажите, какую копию пока нельзя сортировать вручную и кто завершит опыт. Это уменьшает случайные вмешательства без ограничения доступа всей команды к остальной рабочей почте.
В итоговой записи разделите подтверждённые события, предположения и пробелы журнала. Укажите ответственную роль за дальнейшую сортировку и порядок согласования новых правил. Если причина не установлена, оставьте её открытой и сохраните протокол для следующего случая. Для понимания границ наблюдений полезен разбор неизвестных результатов.
Если дополнительно нужно проверить собственную исходящую почту отдела, можно отправить безопасную копию в Check. Это отдельная отправительская задача: сервис не определяет, кто перемещал письма в вашем общем ящике. Методология описывает наблюдения доступных контрольных адресов и не обещает доступ к корпоративному аудиту или восстановление истории чужих действий.
Видео-памятка: что проверить
Видео без звука, 24 секунды. Текстовая версия краткого плана:
- Факт перемещения не определяет человека или программу, которые его выполнили.
- Согласуйте одного наблюдателя и сохраните идентификатор нужной копии.
- Журнал помогает только в пределах реально записанных событий.