Removing a message sent in error in Exchange Online
Recall และ purge เป็นคนละกลไก การเลือกวิธีขึ้นกับขอบเขตผู้รับ สิทธิ์ และการเก็บรักษาข้อมูล
Start with the incident
เมื่อพบว่าส่งอีเมลผิด สิ่งแรกที่ควรทำคือหยุดและระบุขอบเขตให้ชัดว่าใครเป็นผู้ส่ง ผู้รับอยู่ภายในองค์กรหรือภายนอก ข้อความมีข้อมูลประเภทใด และมีข้อกำหนดด้าน retention หรือ legal hold เกี่ยวข้องหรือไม่ การตัดสินใจจากความรู้สึกเร่งด่วนเพียงอย่างเดียวอาจทำให้หลักฐานสูญหายหรือทำให้เหตุการณ์กว้างกว่าเดิม
ควรเก็บ message identifier, เวลาโดยประมาณ, sender, recipient scope และเหตุผลที่ต้องดำเนินการไว้ตั้งแต่ต้น ข้อมูลเหล่านี้ช่วยให้ทีม Exchange, security, compliance และเจ้าของข้อมูลเห็นเหตุการณ์เดียวกัน
Recall and purge are different controls
Message Recall เป็นความสามารถสำหรับผู้ส่งใน Microsoft 365 ที่พยายามเรียกคืนข้อความจาก mailbox ภายในองค์กรเดียวกัน ระบบ cloud-based recall สามารถลบข้อความต้นฉบับแบบ hard delete และมีรายงานผลให้ผู้ส่งตรวจสอบ แต่ใช้ไม่ได้กับผู้รับภายนอกองค์กรหรือข้อความที่ออกไปยังอินเทอร์เน็ตแล้ว
Search and purge ใน Microsoft Purview เป็นงานของผู้ดูแลหรือทีม compliance ใช้ค้นหาและนำข้อความออกจาก mailbox ตามสิทธิ์ที่กำหนด กลไกนี้ไม่ควรถูกใช้เป็นทางลัดแทน incident process เพราะผลลัพธ์ขึ้นอยู่กับ query, permission, retention configuration และข้อจำกัดของวิธี purge ที่เลือก
Operational steps
ลำดับการทำงานควรเริ่มจากการจำแนกขอบเขต แล้วเลือกกลไกที่มีผลกระทบน้อยที่สุดซึ่งยังควบคุมเหตุการณ์ได้
- หากเป็นข้อความภายในองค์กรและผู้ส่งมีสิทธิ์ใช้ recall ให้เริ่มจาก recall และติดตามรายงานผล
- หากข้อความมีความเสี่ยงสูง กระจายหลาย mailbox หรือผู้ส่งดำเนินการเองไม่ได้ ให้ส่งต่อทีม Exchange และ compliance เพื่อประเมิน search and purge
- หากมีผู้รับภายนอก ต้องยอมรับว่าไม่สามารถดึงข้อความกลับจากระบบปลายทางได้ ควรเปลี่ยนไปจัดการผลกระทบ เช่น revoke link, reset credential, แจ้งเจ้าของข้อมูล หรือเริ่ม incident response
- หากข้อความอยู่ภายใต้ retention หรือ hold ต้องให้เจ้าของนโยบายยืนยันผลทาง compliance ก่อนดำเนินการ
- หลังดำเนินการ ให้ตรวจรายงานผลและบันทึก mailbox ที่ไม่สามารถจัดการได้ แทนการถือว่าคำสั่งสำเร็จเท่ากับเหตุการณ์จบ
Verification matters
คำว่า “เรียกคืนสำเร็จ” ไม่ได้แปลว่าเหตุการณ์จบแล้ว ควรตรวจจำนวน mailbox ที่พบข้อความ จำนวนที่ดำเนินการสำเร็จ ผู้รับภายนอก และสำเนาที่อาจถูกส่งต่อ ดาวน์โหลด หรือบันทึกไว้ที่อื่น จากนั้นยืนยันการลดความเสี่ยงของข้อมูลที่อยู่ในข้อความ เช่น shared link, password, token หรือ attachment แยกจากการลบอีเมล
What to record
- เหตุผลและผู้อนุมัติการดำเนินการ
- ขอบเขตของ sender, recipient และ mailbox ที่ได้รับผลกระทบ
- วิธีที่ใช้ recall หรือ purge พร้อมเวลาและผลลัพธ์
- ข้อจำกัดที่พบ รวมถึง external recipients, forwarding, retention และ hold
- การแก้ไขผลกระทบอื่นและผู้รับผิดชอบติดตามจนปิดเหตุการณ์
การลบข้อความเป็นเพียงส่วนหนึ่งของการควบคุมเหตุการณ์ ไม่ใช่หลักฐานว่าข้อมูลไม่ได้ถูกเปิดหรือส่งต่อไปแล้ว