Centraremos la mayor parte de este artículo en la carpeta Documentos de tus sitios SharePoint, ya que es para lo que se utilizan la mayoría de los sitios: para compartir archivos.

Una diferencia fundamental, en comparación con los archivos compartidos tradicionales, es que no hay una jerarquía de árbol de carpetas que puedas ver. Puedes crear subcarpetas en subcarpetas y así sucesivamente, y poner archivos en cualquiera de las carpetas, pero no hay una manera fácil de visualizar la jerarquía, y debes hacer clic en cada carpeta para ver lo que está almacenado allí.

Para ver realmente a qué cuentas de usuario, grupos o usuarios invitados externos se han concedido permisos para cada carpeta (y cada archivo, ya que pueden tener permisos diferentes), debes hacer clic en el objeto y, a continuación, ir a Administrar acceso para ver quién tiene acceso.

El segundo problema es que, aunque puedes ver los nombres de los grupos a los que se han concedido permisos en una carpeta concreta, no puedes ver las cuentas de usuario que son miembros de esos grupos en el cuadro de diálogo Gestionar acceso. Al hacer clic en el nombre de un grupo no aparecen los miembros, de hecho no hace nada.

Para determinar las cuentas de usuario de un grupo es necesario visitar el centro de administración de Microsoft 365 (https://admin.microsoft.com) o el portal Entra ID (https://entra.microsoft.com). Los administradores tendrán acceso a estos portales, pero si eres un gerente de departamento, que es el propietario de un sitio de equipo de SharePoint, tratando de determinar quién tiene acceso a qué carpetas de documentos en un sitio de equipo de SharePoint significa que no se puede completar esta tarea sin ponerse en contacto con el departamento de IT.

Aún más preocupante (gracias a la herencia del servidor SharePoint mencionada anteriormente) es que hay un tipo de grupo en el propio SharePoint, que  no es visible en el centro de administración de Microsoft 365 o en el portal Entra ID, sólo en el centro de administración de SharePoint (de nuevo, al que los usuarios normales no tienen acceso). Si hay grupos anidados dentro de uno de estos grupos, es posible que tengas que rastrear esos grupos en uno de los tres centros de administración mencionados. Por último, si concedes permisos a un grupo que tiene un usuario y un grupo dentro de él, te dirá que está concediendo permisos a dos personas, cuando en realidad podría haber cientos de cuentas de usuario dentro del grupo anidado.

365 Permission Manager de Hornetsecurity soluciona a fondo estos problemas de visibilidad, mostrándole todos los usuarios que tienen permisos sobre un sitio, carpeta o archivo, así como si esos permisos se heredan del sitio o son exclusivos de ese objeto. También muestra el uso compartido externo, ya sea cuando se ha compartido con personas específicas fuera de su organización, o cuando se ha creado un enlace anónimo.

Otra función innovadora es la posibilidad de ver los sitios de SharePoint / OneDrive for Business «a través de los ojos» de un usuario seleccionado: ¿a qué sitios / carpetas / documentos tiene acceso exactamente esta cuenta de usuario? Esto es útil durante una investigación forense (¿a qué datos tuvo acceso el atacante que comprometió esta cuenta?), casos de riesgo interno (¿cuál es el radio de explosión de este empleado malintencionado?) y gobernanza de datos (¿coinciden nuestros permisos con nuestras políticas de acceso a datos?).

SharePoint Online proporciona cuatro niveles de permisos de acceso a carpetas y archivos: Propietario, Puede editar, Puede ver y No puede descargar (=ver pero no guardar archivos localmente). Sin embargo, SharePoint Server tenía y sigue teniendo un modelo más completo, con múltiples niveles de permisos incorporados, así como la posibilidad de crear niveles de permisos personalizados.

El primer problema que esto conlleva es que cuando se comprueban los permisos concedidos a un objeto, la interfaz de usuario «redondeará» al nivel de permiso concedido más cercano, Diseño, por ejemplo, es un nivel heredado que concede más permisos que Editar, pero éste se muestra como Editar en la interfaz de usuario.

Mucho más aterradora, sin embargo, es la posibilidad de crear niveles de permiso personalizados con el mismo nombre que uno incorporado, como «lectura». A este nivel se le podrían conceder todos los permisos disponibles (definitivamente no sólo lectura). Esto no sólo lleva a la situación en la que una comprobación casual de los permisos concedidos te llevaría a asumir que un grupo o usuario sólo tiene acceso de lectura, sino que si decides investigar por qué hay dos niveles de permiso llamados lectura / Leer, resulta que la interfaz de usuario te mostrará el nivel de permiso incorporado, no el personalizado. Si un nivel de permiso personalizado tiene el mismo nombre que uno incorporado, la URL en SharePoint no distingue entre mayúsculas y minúsculas, y por lo tanto te mostrará el incorporado.

365 Permission Manager mostrará estos niveles de permisos personalizados, aportando visibilidad y gobernanza a todo su patrimonio de SharePoint Online, también te permite utilizar políticas integradas o crear políticas personalizadas que puede aplicar a diferentes tipos de sitios. Esto te mostrará dónde se están desviando los sitios de tu política y te permitirá corregir los permisos con un solo clic.

Otro riesgo es que puede establecer permisos personalizados en la biblioteca de documentos, que son diferentes a los permisos generales del sitio.

Una vez concedidos, cuando se realiza una auditoría, estos permisos son visibles, pero no se pueden cambiar en la interfaz de usuario.

Una vez más, el Administrador de 365 Permisos encontrará estas discrepancias, las mostrará como desviaciones de tus políticas y priorizará su corrección en la práctica lista de tareas pendientes.

Como bien saben los CISOs y administradores de IT, el uso compartido de archivos, tanto con grupos internos como con colaboradores externos, está diseñado para ser lo más sencillo y fluido posible de cara a adaptarse a la realidad del lugar de trabajo digital, moderno, móvil y colaborativo.

Sin embargo, desde el punto de vista del cumplimiento, este enfoque puede ser una bomba de relojería, y hay un nuevo actor en escena que podría acelerar el temporizador de esa bomba: Copilot. Microsoft está muy interesado en impulsar el valor de Copilot para Microsoft 365 (a 324 € por usuario y año, no se puede pagar por mes) y aquí está el problema: Copilot tiene acceso a los mismos documentos a los que el usuario accede.

¿Te acuerdas de Delve? Era la tecnología anterior de Microsoft para sugerirte documentos creados por personas con las que colaborabas y que podrían resultarte valiosos. Salvo que a veces las empresas se llevaban un susto cuando se daban cuenta de qué documentos se compartían con distintos grupos de personas.

La situación de Copilot es peor, porque no sabrás necesariamente a qué documentos ha accedido para responder a tu consulta o crear un nuevo borrador de un documento para ti.

El uso compartido de archivos en Teams es posiblemente una de las vías que más fácilmente se malinterpreta: cuando se comparte un archivo en un canal de Teams, en realidad se almacena en la carpeta del grupo de Teams en SharePoint. Mientras que si subes un archivo a un chat individual o de grupo, se almacena en la carpeta Archivos de chat de Microsoft Teams en tu OneDrive for Business (que en realidad es un sitio de SharePoint).

Si tienes un canal privado, éste tiene su propio sitio de SharePoint independiente con una biblioteca de documentos a la que sólo tienen acceso los miembros del canal privado. Así, todos los documentos se almacenan en varios sitios de SharePoint, en lugar de en el propio Teams.

Y si compartes un archivo con un colaborador externo, dependiendo de la configuración que tu departamento de IT haya establecido en SharePoint online, esto podría enviarles un correo electrónico con una invitación para crear una cuenta de invitado en tu tenant.

Si eres un CISO, probablemente estés preocupado en este momento. Los datos empresariales se comparten fácilmente a nivel interno, posiblemente con personal que no debería tener acceso a ellos, y tú tienes un control limitado sobre este intercambio.

También es (probable) que se comparta con colaboradores externos, y tú tampoco tienes mucha información sobre este intercambio. Pero debes tener cuidado, una reacción instintiva de bloquear completamente el uso compartido de archivos, sin uso compartido externo y con permisos estrictos por defecto para el uso compartido interno, sólo conducirá a que los usuarios busquen una forma alternativa de compartir.

Los documentos confidenciales pueden compartirse a través del almacenamiento en la nube de terceros, donde tú tienes aún menos visibilidad de los riesgos.

Por otro lado, si eres administrador de IT y tienes que gestionar el uso compartido de archivos (además de otras tareas), esto puede parecer un reto abrumador.

¿Por dónde empezar? Aunque puedas elaborar informes sobre los permisos concedidos y los archivos compartidos externamente, no sabrás qué es compartir demasiado y qué es legítimo. Tendrás que trabajar con varios departamentos de la empresa para identificarlo, sitio por sitio.

Por último, si eres un usuario final, entender qué control tienes sobre el uso compartido de documentos interna y externamente (que dependerá de la configuración de los tenants), y cómo puedes inventariar tu propio papel en el uso compartido excesivo es casi imposible de hacer con las herramientas integradas.

Controlar la situación actual del uso compartido de archivos -algo que en la mayoría de las empresas forma parte del paisaje desde hace tanto tiempo que nadie tiene una visión real completa- utilizando las herramientas integradas, es todo un reto.

Auditar cientos de sitios manualmente es imposible, e incluso programar informes PowerShell para recopilar los datos es difícil.

Ciertamente, echa un vistazo a tu configuración actual y a las opciones que tienes en el centro de administración de SharePoint que cubrimos en este artículo. Pero incluso si tú endureces esos ajustes hoy (son para todo el tenant), sólo se aplican a las nuevas comparticiones, no a los sitios compartidos anteriormente, y los archivos.

Recuerda que uno de los principios de Zero Trust (y ha existido desde mucho antes) es el acceso con mínimos privilegios. En otras palabras, sólo hay que dar a los usuarios acceso a los datos que necesitan para hacer su trabajo, nada más. Y mantenerlo actualizado a medida que cambien de funciones en la organización o sean ascendidos.

Esto rara vez ocurre, al final la gente mantiene el acceso existente y simplemente acumula más permisos. Y hacer un inventario exacto de quién tiene acceso a qué documentos es difícil con las herramientas integradas.

En la norma ISO 27001:2022, «Seguridad de la información, ciberseguridad y protección de la privacidad», se incluye el apartado A.8.12, «Impedir que se comparta información confidencial en las plataformas de comunicación empresarial», y en el apartado A.8.3, «Bloquear el acceso a archivos a usuarios específicos» y «Crear y gestionar revisiones de acceso».

En la HIPAA, Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios en EE.UU., según la norma § 164.308(a)(4): Control de acceso puedes encontrar Revisar los grupos de usuarios y aplicaciones con acceso a la ePHI por ejemplo.

En EE.UU., las organizaciones que hacen negocios con el Departamento de Defensa tienen que cumplir con el CMMC, Cybersecurity Maturity Model Certification con una nueva versión v2.0 en preparación, aquí por ejemplo, SC.L2-3.13.16 tiene controles para Datos en reposo, y AU.L2-3.3.1 tiene Auditoría del sistema.

Como último ejemplo, la CCPA, California Consumer Privacy Act, control 1798.150(a)(1) Data Security Breaches implica el registro de auditorías y las políticas de Prevención de Pérdida de Datos.

Estos son sólo algunos ejemplos. Dependiendo de dónde esté ubicada tu empresa, del sector al que pertenezca y del tipo de datos que almacene y procese, se aplicarán distintas normativas.

Lo que es común a muchas de ellas es que no sólo hay que controlar el acceso a los datos con un acceso de privilegio mínimo y auditar el acceso, a menudo con revisiones periódicas del acceso, sino que también hay que ser capaz de demostrar a un auditor que se está haciendo así. No basta con decir que lo haces, debes reunir y presentar pruebas de cómo lo haces.