Permisos descontrolados en SharePoint: el problema antes de Copilot

Copilot respeta los permisos de Microsoft 365: no muestra nada que la persona no pudiera abrir por su cuenta. Suena tranquilizador hasta que piensas en cuántos documentos están compartidos de más. Lo que antes dormía en una carpeta que nadie visitaba ahora puede aparecer, bien resumido, en una respuesta.

Lo que Copilot cambia (y lo que no)

Un asistente de inteligencia artificial integrado en Microsoft 365 busca en todo lo que tú puedes ver: correos, chats, sitios de SharePoint, equipos de Teams, archivos de OneDrive compartidos contigo. No se salta ningún permiso. Pero tampoco necesita que sepas dónde está un documento para encontrarlo.

Antes, un archivo mal compartido era un riesgo teórico: había que conocer la ruta, entrar en la carpeta correcta y abrirlo. Ahora basta con preguntar. Si alguien escribe «resúmeme las condiciones salariales del equipo comercial» y tiene acceso, aunque sea por error, a la hoja donde están, la respuesta llegará. El problema no es la herramienta: es que el acceso ya existía.

Cómo se llega al desorden

No hace falta que nadie haya actuado mal. Basta con años de decisiones razonables tomadas deprisa:

• Un sitio de SharePoint creado para salir del paso, con permisos para «toda la organización».
• Una carpeta compartida con un enlace que funciona para cualquiera que lo tenga.
• Un equipo de Teams al que se añadió a medio departamento para una reunión y que nadie volvió a revisar.
• Permisos que se heredan de una carpeta a otra sin que nadie lo note.

Imagina una empresa de 60 personas con cinco años de Microsoft 365 a sus espaldas. Es fácil que nóminas, contratos u ofertas a clientes estén al alcance de más gente de la debida, y que nadie lo sepa con certeza.

Copilot no abre puertas nuevas: enciende la luz en las que se quedaron abiertas.

Tampoco ayuda que los permisos no se vean a simple vista. Quien abre una carpeta no sabe cuánta gente más puede abrirla, y quien comparte un enlace rara vez vuelve a pensar en él. El desorden crece sin hacer ruido, precisamente porque nadie lo sufre en el día a día. Hasta que una herramienta capaz de buscar en todo a la vez lo pone delante.

Una revisión por capas, empezando por lo delicado

Auditar todo de golpe es la forma más segura de no terminar nunca. Funciona mucho mejor ordenar por riesgo:

1. Identificar la información delicada. Recursos humanos, dirección, finanzas, contratos, datos de clientes. Suele estar concentrada en unos pocos sitios y bibliotecas.
2. Ver quién tiene acceso a esos espacios y desde cuándo. A menudo aparecen antiguos miembros de un proyecto o grupos enteros que entraron por una razón ya olvidada.
3. Eliminar los accesos generales («todos», «toda la organización») donde no tengan sentido.
4. Revisar los enlaces compartidos, sobre todo los que no piden identificarse. Son los más cómodos y los más peligrosos.
5. Asignar un responsable a cada sitio importante, que decida quién entra y quién sale.

Con esto resuelto, el resto de la información puede revisarse con más calma, por áreas, sin la presión de lo urgente.

Herramientas útiles, conversación imprescindible

Microsoft 365 incluye informes de uso compartido que muestran qué se ha compartido y con quién. Con las licencias adecuadas, hay además herramientas de clasificación y etiquetado que marcan los documentos sensibles y aplican protecciones según la etiqueta.

Son útiles, pero ninguna sabe por sí sola si el presupuesto de un cliente debería verlo todo el departamento comercial o solo su director. Eso lo sabe cada área. La conversación con los responsables sobre qué información tienen y quién debe verla es la parte que no se puede automatizar, y la que da sentido al resto.

Que el orden dure

Una limpieza sin reglas se deshace en meses: el siguiente proyecto urgente vuelve a crear un sitio abierto, alguien comparte un enlace para salir del paso y el ciclo empieza de nuevo. Unas pocas normas sencillas, configuradas para que se apliquen solas siempre que sea posible, ayudan a mantener lo conseguido:

• Los sitios nuevos se crean con acceso restringido por defecto, no abiertos a toda la organización.
• Los enlaces para «cualquiera» se limitan o se desactivan donde no hagan falta.
• Cada responsable revisa periódicamente quién tiene acceso a su sitio.

El beneficio va mucho más allá de Copilot

Ordenar permisos reduce el riesgo de filtraciones, facilita las auditorías y hace que cada persona encuentre antes lo suyo, porque deja de ver lo que no le corresponde. Copilot es solo el empujón para hacerlo ahora, en lugar de dejarlo para cuando haya un susto.

En OLATIC hacemos esta revisión sentados con los responsables de cada área: localizamos la información sensible, corregimos lo urgente antes de que Copilot llegue a la plantilla y dejamos reglas sencillas para que el orden se mantenga sin depender de una gran limpieza cada pocos años.