Permissões no SharePoint: quem deve ver o quê

A folha de pagamento aberta para a empresa inteira. O contrato confidencial que qualquer estagiário consegue ler. Parece exagero, mas é mais comum do que se imagina, e quase sempre tem a mesma causa: permissões no SharePoint liberadas sem método.

Como funcionam as permissões no SharePoint?

Todo site do SharePoint nasce com três grupos padrão: proprietários (controle total), membros (podem editar) e visitantes (só leitura). As bibliotecas e pastas herdam as permissões do site. Ou seja: quem é membro do site edita tudo o que está nele, a menos que alguém altere isso.

O que são herança e permissões exclusivas?

É possível quebrar a herança e dar permissões exclusivas a uma biblioteca, pasta ou arquivo. Funciona, mas tem um preço: cada exceção é mais uma coisa que alguém precisa lembrar e controlar. Em pouco tempo, ninguém mais sabe quem vê o quê. A regra que recomendamos é simples: se uma área precisa de acesso diferente, ela ganha um site ou uma biblioteca própria, e não dezenas de pastas com exceções.

Como controlar os links de compartilhamento?

Além das permissões, existem os links de compartilhamento, que podem valer para pessoas específicas, para todos da organização ou para qualquer pessoa com o link, conforme a configuração da TI. O último tipo é o mais arriscado: o link circula por e-mail e WhatsApp e ninguém controla mais quem abriu.

Como montar um mapa de acessos?

1. Liste as áreas e os tipos de documento de cada uma.
2. Para cada tipo, defina os perfis: quem só consulta, quem edita, quem aprova e quem arquiva.
3. Crie grupos por perfil (por exemplo, “Financeiro – edição” e “Financeiro – consulta”).
4. Separe documentos sensíveis em bibliotecas com acesso restrito.
5. Documente o mapa e defina quem autoriza novos acessos.

Quais são os erros mais comuns?

• Liberar acessos pessoa por pessoa.
• Criar muitas pastas com permissões exclusivas.
• Usar links “qualquer pessoa” para documentos internos.
• Nunca revisar os acessos de quem mudou de área ou saiu da empresa.

Por que revisar os acessos periodicamente?

Em um diagnóstico que fizemos, 59 usuários haviam modificado arquivos de uma única área financeira desde 2015. O número não prova que haja problema, mas mostra por que a revisão periódica é indispensável: pessoas mudam de função, e os acessos ficam para trás.

Exemplo de mapa de acessos

Biblioteca	Consulta	Edição	Aprovação
Financeiro – Contas a pagar	Diretoria	Equipe financeira	Gerente financeiro
Jurídico – Contratos	Áreas autorizadas	Jurídico	Coordenador jurídico
RH – Documentos de funcionários	Ninguém fora do RH	Equipe de RH	Gerente de RH
Políticas e procedimentos	Todos	Responsável pela política	Diretoria

Com um mapa assim, qualquer pedido de acesso pode ser respondido com uma pergunta simples: em qual perfil essa pessoa se encaixa?

Checklist para revisar os acessos

• Remover quem saiu da empresa.
• Ajustar o acesso de quem mudou de área.
• Revisar os proprietários de cada site.
• Conferir os links “qualquer pessoa” ativos.
• Verificar pastas com permissões exclusivas.
• Registrar a revisão e a próxima data.

Como dar acesso a pessoas de fora da empresa?

Contadores, auditores e parceiros às vezes precisam acessar documentos. O ideal é criar um espaço específico para compartilhamento externo, com acesso só ao necessário e por tempo determinado, em vez de convidar essas pessoas para os sites internos.

Por que revisar as permissões antes de adotar o Copilot?

Segundo a documentação da Microsoft, o Microsoft 365 Copilot só usa conteúdos que a pessoa tem, no mínimo, permissão para ver. A regra é boa, mas coloca toda a responsabilidade nas permissões. Se a folha de pagamento está aberta para todos, o Copilot não vai escondê-la: pode usá-la para responder a quem perguntar.

Por isso, a revisão de permissões e de links de compartilhamento é o primeiro passo de qualquer preparação para o Copilot. Comece pelas bibliotecas com documentos sensíveis e pelos links abertos para qualquer pessoa ou para toda a organização.

O que as permissões têm a ver com a LGPD?

Controlar quem acessa cada documento é uma das medidas de segurança que a LGPD espera das empresas. Pastas com dados pessoais abertas para toda a organização são um dos riscos mais comuns que encontramos nos diagnósticos.

Por isso, documentos com dados de funcionários, clientes ou dados sensíveis devem ficar em bibliotecas com acesso restrito, e a revisão periódica de acessos deve fazer parte da rotina de proteção de dados.

Como pedir e liberar acessos?

1. A pessoa solicita o acesso, informando a biblioteca e o motivo.
2. O gestor da área aprova ou recusa, com base no mapa de acessos.
3. A TI aplica a permissão no grupo correspondente.
4. O pedido fica registrado, para consulta em revisões e auditorias.

Um exemplo do que acontece sem regra

Imagine um site do Financeiro em que, ao longo dos anos, cada pedido de acesso foi atendido individualmente. Uma pessoa pediu acesso a uma pasta, outra a um arquivo, um auditor recebeu um link, um estagiário que saiu continuou como membro. Ninguém fez nada de errado isoladamente, mas o resultado é um site em que é impossível dizer, com segurança, quem vê o quê.

Corrigir essa situação começa pelo mapa de acessos e pela troca das permissões individuais por grupos. Depois disso, a revisão periódica mantém tudo sob controle.

Permissões e governança documental

As regras de acesso são uma parte importante da governança documental. Quando elas estão escritas na política da empresa, com responsáveis definidos e revisão periódica, deixam de depender da memória da TI. Qualquer pessoa sabe a quem pedir acesso, quem aprova e onde fica o registro.

Perguntas frequentes

Quem deve ser proprietário de um site do SharePoint?

Poucas pessoas, normalmente o gestor da área e alguém da TI. Proprietários demais tornam o controle impossível.

Como sei quem tem acesso a uma pasta?

Nas opções de gerenciamento de acesso do SharePoint, é possível ver quem tem permissão e quais links foram compartilhados.

A Arquigest configura as permissões?

A Arquigest define o mapa de acessos e as regras. A configuração técnica fica com a TI da empresa.

De quanto em quanto tempo revisar as permissões?

Uma revisão semestral é uma boa referência, além de revisões pontuais sempre que alguém muda de área ou sai da empresa.

Posso dar acesso de edição a todos para facilitar?

Não é recomendável. Edição para todos aumenta o risco de alterações e exclusões indevidas. O ideal é editar só quem trabalha com os documentos.

O que fazer com os links já compartilhados no passado?

Vale fazer um levantamento dos links ativos, especialmente os do tipo “qualquer pessoa”, e retirar os que não são mais necessários.

Grupos do SharePoint e grupos do Teams são a mesma coisa?

Os membros de uma equipe do Teams passam a ter acesso ao site do SharePoint ligado a ela. Por isso, quem entra na equipe também entra nos arquivos.

O Copilot respeita as permissões do SharePoint?

Sim. Segundo a Microsoft, o Copilot só usa conteúdos que a pessoa já tem permissão para ver. Por isso, permissões abertas demais fazem documentos sensíveis aparecerem nas respostas.

Permissões no SharePoint bem definidas protegem a empresa

Permissões no SharePoint bem definidas evitam vazamentos, ajudam no cumprimento da LGPD e dão tranquilidade para a equipe trabalhar. Não é preciso ser especialista em tecnologia para começar: basta um mapa claro de quem precisa ver o quê.

Saiba mais sobre a página do serviço de SharePoint e nuvem. Leia também o guia de como organizar o SharePoint e o artigo sobre biblioteca de documentos no SharePoint.

Fontes

• Microsoft Learn: Dados, privacidade e segurança do Microsoft 365 Copilot.

Laura Silveira é bibliotecária, especialista em Gestão da Informação e do Conhecimento e fundadora da Arquigest, empresa especializada em organizar documentos e dados, do papel à nuvem, desde 2009. A Arquigest tem unidades em Belo Horizonte e São Paulo e atende organizações de todo o Brasil.