Usuários – Funções e permissões: o que cada função pode fazer

Na plataforma, o que uma pessoa pode fazer é definido pela Função dela. A tela se chama Funções e Acesso, e é onde as permissões da sua organização são gerenciadas.

Vale entender o modelo antes de mexer nele.

Os três tipos de função

Cada função aparece com uma marcação de tipo:

A tabela mostra também quantos membros cada função tem, o que é a informação mais útil da tela: uma função com muitos membros merece revisão cuidadosa, e uma função sem nenhum membro provavelmente pode ser removida.

As funções de sistema não são editáveis, e isso é bom

Ao abrir uma função de sistema, a plataforma informa que ela não pode ser editada diretamente, e oferece Duplicar para personalizar.

O motivo é sólido: funções de sistema são a base conhecida do produto. Se elas pudessem ser alteradas, o comportamento da plataforma passaria a depender de configuração local, e suporte e documentação deixariam de valer para você.

O caminho correto quando uma função de sistema não serve: duplique e ajuste a cópia. O tutorial de criar uma função personalizada trata disso.

Como as permissões são organizadas

O editor mostra uma grade com os módulos da plataforma nas linhas e três níveis nas colunas:

Essa estrutura é o que torna o modelo compreensível: para cada área da plataforma, você decide se a função apenas olha, se ela mexe, ou se ela também aprova.

Os módulos cobrem praticamente toda a plataforma: painel, frameworks, controles, testes, riscos, fornecedores, documentos, evidências, ativos, integrações, questionários, auditorias, solicitações de auditoria, revisões de acesso, itens de ação, Trust Center, notificações, departamentos, análises, registro de atividades, Member Hub, organização, branding, chaves de API, acesso único, faturamento, usuários e funções, privacidade, incidentes e continuidade.

Existe também um bloco próprio para o Member Hub, com acesso e gerenciamento das configurações dele.

A separação entre gerenciar e aprovar é o ponto do modelo

Se há uma coisa a entender nesta tela, é por que existem três níveis em vez de dois.

Gerenciar e aprovar separados permitem construir segregação de funções, que é uma exigência recorrente em normas de segurança. Quem escreve uma política não deveria ser quem a aprova. Quem envia uma evidência não deveria ser quem a aceita.

Na prática, isso significa que vale pensar as funções em pares:

Quem produz recebe visualizar e gerenciar nos módulos de trabalho.

Quem aprova recebe visualizar e aprovar, e frequentemente não precisa de gerenciar.

Um exemplo concreto: em documentos, o time de conformidade escreve (gerenciar) e a liderança aprova (aprovar). A plataforma já bloqueia que o autor aprove o próprio documento, e a configuração de funções é o que sustenta esse arranjo de forma consistente.

O escopo de acesso, que quase ninguém descobre

Além das permissões por módulo, existe um bloco de Escopo de acesso, descrito como a restrição de quais frameworks e documentos os usuários daquela função podem ver.

São duas restrições independentes:

Restringir a frameworks específicos.

Restringir a documentos específicos.

Isso é bem mais poderoso do que parece, e resolve casos reais:

Um auditor externo contratado para uma norma específica não precisa ver os controles das outras.

Uma consultoria que apoia um projeto vê só o que é do projeto.

Um time de área vê apenas os documentos que dizem respeito a ele.

Um cuidado importante: a plataforma avisa quando a restrição deixaria a função sem ver nenhum framework ou nenhum documento. Se você marcar a restrição e não selecionar nada, o resultado é uma função que não vê nada, o que raramente é a intenção.

Funções gerenciadas por modelo

Se a sua organização é atendida por um parceiro, você pode encontrar funções marcadas como Gerenciadas.

A plataforma explica o comportamento: as permissões são gerenciadas centralmente por um modelo e atualizadas automaticamente, não podendo ser editadas localmente. Nome, descrição e escopo permanecem configuração sua.

Se você precisa mudar as permissões de uma função gerenciada, o caminho é Duplicar para personalizar, que cria uma cópia independente. A plataforma avisa que o original permanece vinculado ao modelo.

Vale pensar antes de desvincular: uma função gerenciada recebe melhorias automaticamente. Uma cópia independente para de receber.

Como desenhar as funções da sua empresa

Uma abordagem que funciona, em ordem:

1. Comece pelas funções de sistema. Elas cobrem a maioria dos casos, e a resposta certa com frequência é não criar nada.
2. Identifique o que sobra. Se alguém precisa de mais acesso do que uma função dá, ou de menos, aí há caso para função personalizada.
3. Prefira poucas funções. Cinco funções compreendidas valem mais que doze parecidas que ninguém sabe distinguir.
4. Revise a contagem de membros. Função com zero membros é candidata a exclusão; função com quase todo mundo provavelmente é permissiva demais.

O que evitar

Dar administrador porque é mais fácil. É o erro mais comum e o achado mais fácil de encontrar em auditoria.

Criar uma função por pessoa. Isso não é gestão de acesso, é uma lista de exceções, e fica impossível de manter.

Marcar restrição de escopo sem selecionar nada. Gera função que não vê nada.

Esquecer de revisar depois de uma mudança organizacional. Reestruturação de time sem revisão de funções deixa acesso órfão.

Problemas comuns

Não consigo editar esta função. Ela é de sistema, ou é gerenciada por modelo. Duplique para personalizar.

Esta função não verá nenhum framework. Você ativou a restrição de escopo e não selecionou nada.

Alterei a função e a pessoa perdeu acesso ao que estava fazendo. Mudança de função vale imediatamente. Vale avisar antes.

Falha ao carregar funções. Recarregue a página.

Não sei qual função dar a alguém. Comece pela menos permissiva que permita o trabalho. Ampliar depois é simples; descobrir que alguém tinha acesso demais é o problema.