A linha na lista de evidências
A lista de solicitações do auditor chega e uma linha diz algo como "evidência de revisão periódica de acesso a plataformas de compartilhamento de arquivos (Google Drive)". Você tem um registro do Drive, uma lembrança vaga de ter olhado em março e nada que diga o que encontrou ou fez.
A parte tranquilizadora: o auditor não está perguntando se o Google é certificado, nem se alguma ferramenta que você usa é. Ele pergunta se a sua organização olhou, decidiu e vai olhar de novo – e se você consegue provar. Isso é um problema de documentação com uma resposta repetível.
Três arquivos de trabalho carregam essa resposta: um checklist trimestral, um relatório de compartilhamento externo – uma linha por arquivo exposto, com uma decisão e um nome ao lado – e um registro de evidências, uma linha por revisão. Este texto é sobre o registro de evidências.
O que uma revisão de acesso precisa mostrar
A ISO/IEC 27001 é a norma para sistemas de gestão de segurança da informação; ela define requisitos que um sistema de gestão deve atender. Um relatório SOC 2 é um exame do AICPA sobre os controles de uma organização prestadora de serviços relacionados a segurança, disponibilidade, integridade de processamento, confidencialidade ou privacidade. Nenhuma das duas prescreve um formato específico do Google para revisar compartilhamentos no Drive. O auditor testa se o controle que você descreveu – "revisamos periodicamente o acesso externo ao Drive" – de fato opera, e se as evidências mostram isso.
Na prática, auditores costumam pedir que uma revisão de acesso mostre cinco coisas:
- Escopo – quais sistemas, dados e janela. "Todos os arquivos do Google Drive compartilhados fora do domínio, 1 de abril a 30 de junho" é escopo. "Drive" não é.
- Quem revisou – uma pessoa nomeada, mais quem aprovou as decisões, se for outra.
- O que foi encontrado – números e uma lista: links públicos, compartilhamentos externos, compartilhamentos com domínios com os quais você não trabalha mais.
- O que foi decidido – mantido com justificativa, restringido ou transferido, e por quem.
- Quando acontece de novo – uma data e um responsável.
Produza esses cinco para cada trimestre do período auditado e você tem uma revisão. Produza só o primeiro e o terceiro e você tem um relatório. Não produza nenhum e você tem um log.
Por que uma captura de tela do registro do Drive não é uma revisão
O instinto é abrir Menu → Relatórios → Auditoria e investigação → Eventos de registro do Drive, filtrar pelo atributo de mudança de visibilidade, tirar um print e anexar. Isso é evidência de que algo existe, não de que houve uma revisão, por quatro motivos.
O registro é histórico de atividade, não um mapa de permissões. Ele mostra que a visibilidade de um arquivo mudou dentro da janela; um arquivo já público ou externo antes da janela não gera evento, então o registro não consegue descrever o estado atual de exposição.
O registro tem prazo. A visão padrão são os últimos 7 dias e os eventos de registro do Drive são retidos por 6 meses. Um auditor olhando doze meses não pode ver o primeiro trimestre pelo registro no quarto – veja o texto sobre retenção.
O registro tem pontos cegos por construção: usuários externos aparecem como anônimos, a menos que o item tenha sido compartilhado com eles individualmente ou por um grupo específico.
E uma captura de tela não contém decisões. Não há nome de ninguém nela; nada diz "mantido, o cliente precisa" ou "restringido em 3 de julho". Decisões ausentes são a primeira coisa que um auditor nota.
Os três artefatos que tornam uma revisão reproduzível
Reproduzível quer dizer que uma segunda pessoa, com as mesmas entradas, chegaria aos mesmos achados e poderia conferir as mesmas decisões. Três arquivos fazem isso.
O registro de evidências é o índice. Uma linha por revisão: data da auditoria, janela, responsável, edição, arquivos revisados, quantos públicos, externos e legados encontrados, restringidos, justificados, incidentes, data da próxima auditoria, próximo responsável. Quatro linhas cobrem um ano; entregue isso primeiro.
A exportação do relatório traz os achados e as decisões por trás de cada linha: cada arquivo exposto, seu proprietário, local, tipo de exposição, com quem está compartilhado, a decisão, quem decidiu e quando foi feito. O texto sobre o modelo de relatório percorre as colunas. Exporte no dia, datado, e guarde junto do registro.
Um artefato de estado em um momento é o que o registro não consegue dar: o que estava exposto no dia da revisão, independentemente de quando ficou exposto. De onde ele vem depende da sua edição. Em Enterprise Standard e Plus, Education Standard e Plus, Frontline Plus, Enterprise Essentials Plus e Cloud Identity Premium, a exportação do inventário do Drive grava metadados de arquivos, incluindo com quem cada um está compartilhado, no BigQuery – cada exportação sobrescreve a anterior, então salve uma cópia datada. Nas edições Business, a rota nativa são as listas de membros em Gerenciar drives compartilhados mais buscas por usuário com sharedwith:external owner:me, que o administrador não pode rodar por ninguém. Uma exportação de varredura organizacional – o "Meu Drive" de todos os usuários e todos os drives compartilhados, datada – preenche essa lacuna para administradores de edição Business, e é para onde aponta o valor Encontrado por = scan do modelo de relatório.
O checklist trimestral coloca os três artefatos em ordem; o guia principal de auditoria de acesso ao Drive em toda a organização é a versão longa.
Cadência, responsabilidade e a regra de quem sai
Auditores costumam perguntar com que frequência, e se foi cumprido. Trimestral por padrão; mensal se você é regulado ou se um contrato de cliente exige; sempre depois de uma saída, porque a suspensão não toca os compartilhamentos que a pessoa criou – colaboradores que receberam acesso a documentos compartilhados continuam com ele. Suspenso não é removido explica essa lacuna.
Escreva a cadência ao lado do registro de evidências, para que revisor e cronograma sejam um documento só. O nome em "próximo responsável" é o controle operando; uma célula vazia é o controle não operando.
O que entregar
Uma pasta por trimestre: a linha do registro de evidências, a exportação datada do relatório, o artefato de estado datado e uma captura de tela que seja legitimamente estado e não histórico – as configurações de compartilhamento em Menu → Apps → Google Workspace → Drive e Documentos, mostrando o padrão do domínio e eventuais diferenças por unidade organizacional. Essa pasta é a revisão. Nada nela precisa da certificação de qualquer ferramenta; precisa do seu nome, da sua data e das suas decisões.
Fontes
- ISO/IEC 27001:2022 – Sistemas de gestão de segurança da informação – "ISO/IEC 27001 is the world's best-known standard for information security management systems (ISMS). It defines requirements an ISMS must meet." Usado apenas para a descrição de uma linha.
- System and Organization Controls: SOC Suite of Services (AICPA & CIMA) – título da publicação SOC 2 "Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy". Usado apenas para a descrição de uma linha.
- Eventos de registro do Drive – caminho, visão padrão de 7 dias, atributo de mudança de visibilidade, usuários externos aparecendo como anônimos.
- Retenção de dados e tempos de latência – eventos de registro do Drive retidos por 6 meses.
- Exportar o inventário do Drive da sua organização – lista de edições, metadados incluindo com quem os arquivos estão compartilhados, BigQuery, cada exportação sobrescreve a anterior.
- Gerenciar drives compartilhados como administrador – listas de membros disponíveis aos administradores.
- Gerenciar o compartilhamento externo da sua organização – caminho das configurações de compartilhamento, diferenças por unidade organizacional.
- Suspender um usuário temporariamente – "Collaborators who have been granted access to shared documents will retain their ability to view, edit, and collaborate on those documents."
- Operadores de busca do Google Drive –
sharedwith:external owner:me, só no próprio Drive. Relido em 2026-09-09.