Uma pessoa do financeiro precisa que um colega veja uma planilha. O botão mais rápido do SharePoint não é “compartilhar com o Fulano” — é “qualquer pessoa da organização com o link pode editar”. Um clique, problema resolvido, prazo cumprido.
Multiplique esse clique por milhares de funcionários, ao longo de anos, e você tem o retrato do acesso corporativo real: relatórios que analisam ambientes de Microsoft 365 encontram, de forma recorrente, que cerca de 1 em cada 6 arquivos de uma organização está acessível a todos os funcionários — incluindo documentos com dados que deveriam ter acesso restrito.
Ninguém aprovou isso numa reunião. Ninguém decidiu que a folha de pagamento, o contrato do maior cliente ou a base de leads ficariam abertos para a empresa inteira. E, ainda assim, ficaram.
A pergunta inversa do blast radius
Já falei aqui sobre blast radius — o conceito que mede quanto uma identidade alcança: se a conta de um gerente for comprometida, quantos dados sensíveis o atacante toca?
Este artigo é a lente inversa, e é a que mais assusta na prática:
Não “quanto o João acessa”, mas “quantas pessoas acessam este arquivo?”
As duas perguntas medem o mesmo risco por ângulos diferentes. A primeira prioriza contas para reduzir. A segunda prioriza dados para proteger — e é a pergunta que um DPO precisa responder quando a ANPD pergunta “quem tinha acesso aos dados vazados?”.
Na maioria das empresas, a resposta honesta para a pergunta inversa, hoje, é: não sei.
Como um arquivo fica aberto sem ninguém decidir
O acesso público interno não é fruto de má-fé nem de uma única falha. Ele se acumula por quatro mecanismos silenciosos que operam o tempo todo:
1. Grupos amplos demais
Grupos como “Todos”, “Todos exceto usuários externos” ou “Membros do domínio” existem por conveniência. O problema aparece quando alguém concede acesso a uma biblioteca para o grupo “Todos” só para não precisar gerenciar membros. A partir daí, cada novo funcionário — inclusive o estagiário que entrou ontem — herda o acesso automaticamente.
2. Herança de permissões
No SharePoint, OneDrive e Google Drive, subpastas herdam a permissão da pasta-mãe por padrão. Abre-se o topo de um site “para facilitar”, e todo o conteúdo abaixo — inclusive a subpasta confidencial criada seis meses depois — nasce aberto. A herança é ótima para produtividade e péssima para contenção.
3. Links “qualquer pessoa com o link”
O compartilhamento por link é o vetor mais rápido e o menos rastreável. Um link “qualquer pessoa da organização” transforma um arquivo em público interno instantaneamente. Pior: esses links são reencaminhados por e-mail e chat, sobrevivem ao projeto que os criou e raramente expiram.
4. Convidados, terceiros e apps OAuth
Acesso de convidados externos, integrações de terceiros e aplicativos OAuth que um funcionário autorizou (“permitir que este app leia seus arquivos”) ampliam o círculo para além da própria empresa — muitas vezes sem que a TI saiba que a conexão existe.
Cada um desses mecanismos é individualmente razoável. O problema é o efeito cumulativo: permissão declarada (o que a política diz) e permissão efetiva (o que a pessoa realmente consegue abrir, somando grupos + herança + links + integrações) divergem cada vez mais com o tempo. E é a efetiva que o atacante usa.
Por que a TI não enxerga o tamanho do problema
Pergunte à equipe de TI “quem tem acesso a esta pasta?” e você receberá a resposta da tela de permissões daquele item. É uma resposta correta e enganosa ao mesmo tempo.
Ela não soma:
- os membros de cada grupo aninhado dentro de outro grupo;
- o que foi herdado de três níveis acima;
- os links de compartilhamento ativos, que nem aparecem na lista de permissões tradicional;
- o acesso concedido por integrações e apps.
Calcular “quem realmente acessa o quê” exige agregar todas essas camadas por arquivo — algo que nenhuma tela nativa faz e que uma planilha jamais acompanhará em tempo real. É por isso que o número real só aparece quando alguém mede o ambiente inteiro de forma automatizada.
O custo real do acesso aberto
Enquanto nada acontece, o acesso público interno é invisível. Ele cobra o preço em três momentos:
Quando uma conta é comprometida. Phishing não precisa acertar um administrador. Basta comprometer qualquer funcionário — porque, se 1 em cada 6 arquivos está aberto a todos, a conta mais banal já é porta de entrada para dados sensíveis.
Quando a IA generativa entra. O Microsoft 365 Copilot e ferramentas similares operam com as permissões do usuário. O que estava tecnicamente acessível mas escondido em pastas que ninguém navegava vira resultado de uma pergunta em linguagem natural. O acesso aberto deixa de ser latente e passa a ser consultável em segundos.
Quando a ANPD pergunta. Diante de um incidente, a lei exige que você diga quais titulares foram afetados e quem tinha acesso aos dados. “A organização inteira podia acessar” não é uma resposta que reduz sanção — é uma que a agrava.
Como descobrir quem realmente acessa o quê
Fechar o que você não enxerga é impossível. O ponto de partida é sempre visibilidade orientada ao dado — o mesmo princípio do data discovery automatizado, aplicado à camada de acesso:
- Inventarie os dados sensíveis primeiro. Você não precisa auditar 100% dos arquivos — precisa saber onde estão os que importam (PII, financeiro, saúde, segredo comercial).
- Calcule a permissão efetiva por arquivo sensível. Some grupos, herança, links e integrações. O resultado é uma lista de “arquivos sensíveis × número de pessoas que os alcançam”.
- Ordene pelo pior caso. Um contrato confidencial aberto para 4 mil pessoas é uma prioridade; um documento genérico aberto para 40 não é.
O resultado dessa medição costuma ser desconfortável — e é exatamente por isso que justifica o programa.
Como fechar sem travar o negócio
O erro clássico é revogar acesso em massa e paralisar a operação numa segunda-feira de manhã. A abordagem que funciona é cirúrgica e progressiva:
Passo 1 — Quarentena do pior caso. Comece pelos dados sensíveis abertos para “Todos” ou por links “qualquer pessoa”. Substitua por acesso a grupos nomeados. É o maior ganho de risco com o menor impacto operacional.
Passo 2 — Expiração de links. Configure links de compartilhamento com validade padrão (30 ou 90 dias). Links legítimos são recriados quando necessário; links esquecidos morrem sozinhos.
Passo 3 — Fim do “Todos” em dado sensível. Estabeleça a regra de que o grupo “Todos” nunca concede acesso a repositórios classificados como sensíveis. Simples de enunciar, transformador na prática.
Passo 4 — Monitoramento contínuo. Acesso é um estado que muda todo dia. A revisão anual chega tarde demais. O que sustenta o ganho é o alerta automático quando um dado sensível volta a ficar aberto.
Menos privilégio não é um projeto com data de entrega — é um processo. A meta não é “acesso zero”, é acesso justificável: para cada arquivo sensível, alguém consegue explicar por que aquelas pessoas — e só aquelas — o alcançam.
De volta à pergunta que importa
“Quantas pessoas podem abrir este arquivo agora?” parece uma pergunta operacional. É, na verdade, uma pergunta de governança de dados — e a incapacidade de respondê-la é o sintoma mais comum de um programa de segurança que ainda protege o perímetro, não o dado.
Responder a ela em escala, continuamente e por nível de sensibilidade é precisamente o trabalho da disciplina de DSPM (Data Security Posture Management): saber onde estão os dados, quem os acessa e qual é o risco real — antes que um incidente, uma IA ou um fiscal da ANPD façam a pergunta por você.
O assessment gratuito calcula o score do seu domínio de Access Governance e aponta onde o acesso aberto provavelmente está concentrado, com base nas suas respostas.
