Usuários – Criar uma função personalizada

Quando nenhuma função de sistema serve, você cria uma. E o caminho recomendado não é começar do zero: é duplicar uma função que já está perto do que você quer.

Dois caminhos para criar

Criar função monta uma função nova, com todas as permissões desmarcadas.

Duplicar cria uma cópia de uma função existente, que você ajusta. A plataforma oferece isso tanto para funções personalizadas quanto para as de sistema, onde a ação aparece como Duplicar para personalizar.

A recomendação é usar a duplicação em quase todos os casos. Partir de uma função de sistema que já funciona e ajustar dois ou três itens é muito mais rápido, e muito menos sujeito a esquecer uma permissão essencial, do que marcar trinta módulos do zero.

Ao duplicar, a plataforma pede o nome da nova função e sugere um nome com sufixo de cópia.

Nome e descrição

Nome é obrigatório, e a plataforma sugere um exemplo do tipo *Revisor de Compliance*.

Descrição responde à pergunta que a própria tela faz: o que esta função pode fazer?

Vale escrever a descrição de verdade. Em um ano, alguém vai olhar a lista de funções e precisar decidir qual dar a uma pessoa nova. Uma descrição como *acesso de leitura a frameworks e controles, mais aprovação de evidências* resolve a dúvida em segundos.

Marcar as permissões

A grade tem os módulos nas linhas e três níveis nas colunas: Visualizar, Gerenciar e Aprovar.

Três princípios que evitam os erros mais comuns:

Visualizar é pré-requisito na prática. Uma função com gerenciar e sem visualizar em um módulo é uma configuração estranha. Marque visualizar sempre que marcar qualquer outro nível.

Aprovar é o nível mais poderoso, e o mais fácil de conceder por descuido. Aprovar evidência, aprovar documento, aprovar exclusão de escopo: são as ações que efetivamente movem a conformidade da empresa. Conceda a poucos.

Comece restritivo. Ampliar depois é uma conversa de um minuto. Descobrir que alguém tinha acesso demais é um achado de auditoria.

Um roteiro por tipo de pessoa

Alguns arranjos que funcionam bem, como ponto de partida:

Quem executa conformidade. Visualizar e gerenciar em frameworks, controles, testes, evidências, documentos, riscos, fornecedores e ativos. Sem aprovar.

Quem aprova. Visualizar em tudo o que é relevante, e aprovar em documentos e evidências. Gerenciar não é necessário, e omiti-lo é justamente o que constrói a segregação de funções.

Liderança que só acompanha. Visualizar em painel, frameworks, controles e análises. Nada mais.

Consultoria externa. Visualizar no que ela precisa, mais o escopo de acesso restrito aos frameworks e documentos daquele projeto.

Área de negócio que responde por fornecedores. Visualizar e gerenciar em fornecedores e riscos, e nada de segurança técnica.

O segundo arranjo é o que mais rende em auditoria e o menos usado. Separar quem produz de quem aprova é uma exigência recorrente, e ela se implementa exatamente aqui.

O escopo de acesso é a ferramenta mais subestimada

Além das permissões por módulo, existe Escopo de acesso, que restringe quais frameworks e quais documentos a função enxerga.

Isso permite construir acessos que não seriam possíveis apenas com permissões. Um exemplo prático: uma consultoria contratada para a ISO 27001 recebe visualizar e gerenciar nos módulos de trabalho, e o escopo restrito àquele framework. Ela trabalha normalmente e não vê nada dos outros frameworks.

Duas cautelas:

Se você ativar a restrição e não selecionar nada, a plataforma avisa que a função não verá nenhum framework, ou nenhum documento. Essa é uma função inútil, e o aviso existe para você não publicá-la assim.

Escopo restrito exige manutenção. Se você habilitar um framework novo, precisa lembrar de incluí-lo nas funções restritas que deveriam vê-lo. Vale anotar isso junto com a função.

O bloco do Member Hub

Existe um bloco próprio com duas permissões: acesso ao Member Hub e gerenciar as configurações do Member Hub.

A distinção é útil: praticamente todo mundo da empresa precisa de acesso, para ler e aceitar políticas. Gerenciar as configurações é para quem administra o programa.

Testar antes de distribuir

Uma prática que economiza suporte interno: crie a função, atribua a uma pessoa de confiança, e peça que ela confira se consegue fazer o trabalho dela e se não vê nada que não deveria.

Cinco minutos de teste evitam duas semanas de reclamações do tipo “não consigo acessar tal coisa”, que sempre chegam no pior momento.

Excluir uma função

É possível excluir, com confirmação de que a ação não pode ser desfeita.

Antes de excluir, confira a contagem de membros. Excluir uma função com pessoas atribuídas deixa essas pessoas sem a função que tinham, o que muda o acesso delas de forma abrupta.

O caminho seguro: mova as pessoas para outra função primeiro, e só então exclua.

Sobre funções gerenciadas por modelo

Se a sua organização é atendida por um parceiro, algumas funções podem vir marcadas como Gerenciadas, com permissões atualizadas automaticamente e não editáveis localmente.

Para essas, o caminho de personalização é Duplicar para personalizar, que cria uma cópia independente. A plataforma avisa que a cópia é livre e o original permanece vinculado ao modelo.

Pense duas vezes antes de desvincular: uma função gerenciada recebe ajustes e melhorias sem trabalho seu; a cópia independente para de receber.

Problemas comuns

O nome é obrigatório. É a validação do editor.

Não consigo editar as permissões desta função. Ela é de sistema, ou é gerenciada por modelo. Duplique para personalizar.

Esta função não verá nenhum framework. A restrição de escopo está ativa sem nada selecionado.

Criei a função e a pessoa não consegue trabalhar. Falta alguma permissão, tipicamente visualizar em um módulo onde você marcou só gerenciar.

Falha ao criar função. Confira o nome e tente novamente.

Excluí uma função que tinha membros. As pessoas perderam aquele acesso. Atribua outra função a elas.