Configurar a segurança de Microsoft 365 exige relacionar identidades, aplicações, partilhas e dados efetivamente utilizados pela organização. O resultado útil é uma configuração de referência do ambiente, com decisões por serviço, exceções e verificações de acesso. Uma classificação favorável numa consola ou a compra de uma licença mais abrangente não demonstra, por si só, que os tratamentos cumprem o RGPD.
Este roteiro destina-se à equipa que precisa de rever um ambiente existente sem interromper a colaboração. As configurações devem ser confirmadas na versão e nas licenças disponíveis. Os exemplos apresentados são decisões de uma organização fictícia, não uma recomendação de compra nem uma certificação jurídica do produto.
Delimitar o ambiente e os responsáveis
Identifique o ambiente da organização, os domínios, as entidades que o utilizam e os administradores. Faça uma lista dos serviços realmente ativos: correio, ficheiros, reuniões, aplicações instaladas, conectores e ferramentas de terceiros. Inclua convidados, contas de serviço e aplicações com permissões concedidas, porque nem todo o acesso passa por uma sessão normal de um trabalhador.
Relacione cada espaço com um responsável pelo conteúdo. Um sítio de recursos humanos deve ter regras distintas de um espaço de trabalho criado para colaborar com um cliente. A cartografia dos sistemas e dos fluxos ajuda a perceber como um ficheiro sai de uma aplicação e passa a circular por correio, chat ou ligação externa.
No exemplo, uma consultora com 45 trabalhadores utiliza Exchange Online, Teams, SharePoint e OneDrive. Mantém um espaço interno de pessoal e seis espaços de projeto com convidados. A revisão começa por estes sete espaços e pelas contas administrativas, deixando visíveis os serviços ainda não analisados.
Rever autenticação sem bloquear a recuperação
A documentação de Security defaults do Microsoft Entra descreve proteções predefinidas, incluindo registo de autenticação multifator e bloqueio de autenticação antiga. Para necessidades mais específicas, o fabricante remete para Conditional Access. A escolha depende dos requisitos e licenças; não trate os dois mecanismos como políticas que podem ser sobrepostas sem compreender a sua interação.
A equipa deve verificar a política efetiva, não apenas se cada utilizador tem um método registado. Analise contas privilegiadas, percursos de autenticação, aplicações antigas e dispositivos que enviam correio automaticamente. Um equipamento de digitalização pode revelar uma dependência que precisa de ser migrada antes de bloquear um mecanismo antigo.
A política de autenticação deve incluir recuperação e suporte. Na consultora, a perda de um fator exige verificação por um percurso conhecido e registo da intervenção. Um pedido recebido no mesmo canal potencialmente comprometido não é suficiente, por si só, para redefinir o acesso.
Antes de impor regras de acesso, prepare a recuperação administrativa. A Microsoft recomenda contas de acesso de emergência independentes das dependências habituais, protegidas com autenticação forte resistente a phishing e monitorizadas. A documentação atual recomenda pelo menos duas contas e validação regular. Excluir estas contas de políticas que bloqueiam a entrada não significa deixá-las sem autenticação forte nem usá-las no trabalho corrente.
Tratar partilha externa por espaço de trabalho
A documentação de partilha externa de SharePoint e OneDrive distingue definições ao nível da organização e do sítio: prevalece a mais restritiva. Uma ligação acessível a qualquer pessoa que a receba tem um comportamento diferente de uma partilha dirigida a pessoas específicas. Alterar o tipo de ligação predefinido também não equivale a rever todas as permissões já existentes.
Na consultora, o espaço de pessoal fica sem partilha externa. Os projetos permitem convidados identificados, mediante validação do responsável pelo projeto. A decisão inclui a saída: ao terminar o contrato, o responsável revê convidados, grupos e ligações ainda ativas, em vez de presumir que todos os acessos terminam com a última reunião.
Um ficheiro destinado a um cliente é partilhado com destinatários específicos e permissões adequadas. A equipa verifica três percursos: o destinatário autorizado consegue abrir; uma pessoa externa não autorizada não consegue; a revogação retira o acesso esperado. Registe limitações, como cópias legitimamente descarregadas antes da revogação, que a eliminação da ligação não recupera automaticamente.
Separar diagnóstico, experiências ligadas e dados do serviço
Os controlos de privacidade das Microsoft 365 Apps for enterprise distinguem dados de diagnóstico e experiências que utilizam serviços em linha. A opção «Neither» relativa ao diagnóstico não elimina todos os dados necessários ao serviço. Desativar uma experiência que analisa conteúdo também é diferente de desligar toda a funcionalidade colaborativa.
A revisão deve indicar a categoria controlada, a política aplicada e o efeito verificado numa aplicação abrangida. Evite registar apenas «telemetria desligada». Essa expressão pode esconder fluxos necessários à operação ou serviços configurados de forma diferente noutros dispositivos.
No exemplo, a consultora identifica a tradução de documentos e outras experiências que analisam conteúdo como funcionalidades a avaliar antes de permitir a utilização com ficheiros confidenciais. O responsável operacional descreve a necessidade e os dados utilizados; a equipa técnica confirma a política disponível e a função de proteção de dados analisa o tratamento. Até essa decisão, o procedimento de trabalho indica uma alternativa aprovada.
Definir o que reuniões e aplicações podem produzir
Gravação, transcrição e aplicações associadas a reuniões criam novos conteúdos e destinatários. Antes de permitir uma funcionalidade, identifique a finalidade, a informação aos participantes, quem pode iniciá-la, onde o resultado fica disponível e durante quanto tempo é conservado. A presença numa reunião não deve ser tratada como aceitação indiferenciada de qualquer reutilização posterior.
A consultora decide que reuniões de projeto não são gravadas por rotina. Quando existe uma necessidade específica, o organizador prepara previamente a finalidade, o enquadramento e o acesso ao resultado. Essa decisão é comunicada aos participantes e registada no processo. Não se infere daqui que o consentimento seja sempre a única base possível ou que um botão da aplicação resolva todos os requisitos.
As aplicações adicionadas ao ambiente também exigem análise de permissões. Uma ferramenta para agendar reuniões pode pedir acesso mais amplo do que a função aparenta. Registe a aplicação, o editor, as permissões, o responsável que justificou a utilização e o percurso de revogação. A minimização de dados aplica-se igualmente às integrações.
Proteger correio e documentos com regras verificáveis
Reveja encaminhamentos, delegações de caixas de correio e acessos de contas partilhadas. Uma regra de encaminhamento criada indevidamente pode continuar a enviar mensagens depois de a palavra-passe ser alterada. O procedimento de incidente deve, por isso, considerar configurações e sessões, não apenas credenciais.
Na proteção de documentos, classifique primeiro os conjuntos que precisam de tratamento específico. Uma etiqueta só tem valor operacional quando as pessoas compreendem o seu uso e a configuração produz o efeito esperado. Se forem utilizados mecanismos de prevenção de perda de dados, confirme a cobertura e as licenças antes de assumir que todos os canais estão abrangidos.
Um piloto pode usar documentos fictícios com a estrutura relevante para verificar aviso, bloqueio e exceção autorizada. A equipa deve perceber o que acontece num falso positivo: quem pode rever, que justificação fica registada e como se impede que a exceção se torne um botão habitual para ignorar a regra. A política de segurança atribui essas responsabilidades.
Verificar conservação, recuperação e eventos
Distingua conservar um documento por uma finalidade de o conseguir recuperar após erro ou incidente. Versionamento, reciclagem, retenção e cópias de segurança têm funções e limites diferentes. Defina o resultado de recuperação de que o serviço necessita e confirme o percurso aplicável à configuração contratada.
A consultora simula a eliminação de uma pasta de projeto com ficheiros fictícios e verifica quem consegue recuperá-la, em que estado e com que permissões. Liga a evidência ao plano de recuperação de TI. O exercício deve incluir uma pessoa substituta, para evitar que o conhecimento fique concentrado no único administrador disponível.
Quanto aos eventos, identifique os registos disponíveis, a sua conservação efetiva e quem recebe alertas. Não presuma uma duração uniforme para todas as funcionalidades e licenças. O plano de registos de segurança deve indicar a fonte e a cobertura, incluindo lacunas que exigem tratamento. Um alerta sobre utilização de uma conta de emergência precisa de chegar a alguém capaz de confirmar se a intervenção foi autorizada.
Avaliar localização e acesso internacional
A documentação da Microsoft sobre transferências que continuam a aplicar-se aos serviços EU Data Boundary descreve situações como acesso remoto a partir de fora da fronteira e utilização de serviços ou experiências sujeitos a termos distintos. O nome EU Data Boundary não significa ausência absoluta de qualquer transferência.
Confirme os serviços abrangidos, a localização do ambiente, os termos aplicáveis e os fluxos concretos. Quando for necessário avaliar garantias do artigo 46.º, use uma TIA ligada ao acesso real. Não conclua que toda a utilização de Microsoft 365 exige exatamente a mesma avaliação, nem que a escolha de uma região resolve todos os tratamentos.
A análise contratual deve identificar as funções das partes, as instruções, os subcontratantes posteriores e os serviços opcionais. O contrato de subcontratação do artigo 28.º ajuda a organizar estas perguntas. A configuração técnica e o contrato devem descrever uma realidade compatível.
Registar uma decisão de implantação preenchida
A consultora aprova uma primeira versão limitada: reforço dos acessos, revisão dos sete espaços prioritários e regras de utilização de funcionalidades que produzem novo conteúdo. Mantém duas aplicações pendentes de avaliação e não as contabiliza como aprovadas.
| Área | Decisão da versão inicial | Verificação necessária |
|---|---|---|
| Administração | Contas separadas e recuperação de emergência preparada | Entrada administrativa autorizada e alerta de emergência |
| Pessoal | Partilha externa desativada no espaço | Tentativa externa recusada |
| Projetos | Convidados identificados com responsável | Acesso autorizado e revogação confirmados |
| Diagnóstico | Política identificada por categoria e aplicação | Estado efetivo registado no dispositivo abrangido |
| Reuniões | Gravação sem ativação rotineira | Organizador conhece o procedimento excecional |
| Aplicações | Duas integrações aguardam decisão | Permissões não concedidas enquanto pendentes |
| Recuperação | Exercício com documentos fictícios | Ficheiros e permissões recuperados |
O avanço para os restantes espaços depende dos resultados, não de uma data arbitrária. Uma alteração que bloqueia a colaboração necessária deve ser corrigida por um percurso controlado; uma falha que deixa informação de pessoal exposta deve impedir a aprovação desse âmbito.
Manter a configuração depois do projeto
Novos convidados, aplicações, serviços e alterações do fabricante modificam o ambiente. Inclua essas mudanças no plano de higiene digital, com responsáveis por rever a documentação e a configuração efetiva. Quando uma licença muda, confirme quais os controlos que continuam disponíveis e se os dados ou alertas permanecem acessíveis.
Guarde a versão da referência, os resultados de verificação e as exceções. O documento final deve permitir responder a perguntas simples: quem entra, que conteúdo pode partilhar, que serviço o processa e como se deteta e corrige uma utilização indevida. Essa ligação entre decisão e comportamento observado torna a configuração útil para a operação e para a proteção de dados.
Documentação técnica do fabricante verificada em 8 de setembro de 2026.