# Revisão de acesso ao Drive para ISO 27001 e SOC 2 > O que um auditor de ISO 27001 ou SOC 2 espera de uma revisão de acesso ao Google Drive: escopo, revisor, achados, decisões, próxima data – não uma captura de tela do registro. - Source: https://www.8apps.co/pt/blog/revisao-acesso-google-drive-iso-27001-soc-2 - Markdown: https://www.8apps.co/pt/blog/revisao-acesso-google-drive-iso-27001-soc-2.md - Published: 2026-09-09 - Author: Equipe 8apps - Language: pt --- ## A linha na lista de evidências A lista de solicitações do auditor chega e uma linha diz algo como "evidência de revisão periódica de acesso a plataformas de compartilhamento de arquivos (Google Drive)". Você tem um registro do Drive, uma lembrança vaga de ter olhado em março e nada que diga o que encontrou ou fez. A parte tranquilizadora: o auditor não está perguntando se o Google é certificado, nem se alguma ferramenta que você usa é. Ele pergunta se a sua organização olhou, decidiu e vai olhar de novo – e se você consegue provar. Isso é um problema de documentação com uma resposta repetível. Três arquivos de trabalho carregam essa resposta: um [checklist trimestral](/pt/blog/checklist-trimestral-auditoria-acesso-google-drive), um [relatório de compartilhamento externo](/pt/blog/modelo-relatorio-compartilhamento-externo-google-drive) – uma linha por arquivo exposto, com uma decisão e um nome ao lado – e um registro de evidências, uma linha por revisão. Este texto é sobre o registro de evidências. ## O que uma revisão de acesso precisa mostrar A ISO/IEC 27001 é a norma para sistemas de gestão de segurança da informação; ela define requisitos que um sistema de gestão deve atender. Um relatório SOC 2 é um exame do AICPA sobre os controles de uma organização prestadora de serviços relacionados a segurança, disponibilidade, integridade de processamento, confidencialidade ou privacidade. Nenhuma das duas prescreve um formato específico do Google para revisar compartilhamentos no Drive. O auditor testa se o controle que você descreveu – "revisamos periodicamente o acesso externo ao Drive" – de fato opera, e se as evidências mostram isso. Na prática, auditores costumam pedir que uma revisão de acesso mostre cinco coisas: 1. **Escopo** – quais sistemas, dados e janela. "Todos os arquivos do Google Drive compartilhados fora do domínio, 1 de abril a 30 de junho" é escopo. "Drive" não é. 2. **Quem revisou** – uma pessoa nomeada, mais quem aprovou as decisões, se for outra. 3. **O que foi encontrado** – números e uma lista: links públicos, compartilhamentos externos, compartilhamentos com domínios com os quais você não trabalha mais. 4. **O que foi decidido** – mantido com justificativa, restringido ou transferido, e por quem. 5. **Quando acontece de novo** – uma data e um responsável. Produza esses cinco para cada trimestre do período auditado e você tem uma revisão. Produza só o primeiro e o terceiro e você tem um relatório. Não produza nenhum e você tem um log. ## Por que uma captura de tela do registro do Drive não é uma revisão O instinto é abrir Menu → Relatórios → Auditoria e investigação → Eventos de registro do Drive, filtrar pelo atributo de mudança de visibilidade, tirar um print e anexar. Isso é evidência de que algo existe, não de que houve uma revisão, por quatro motivos. O registro é histórico de atividade, não um mapa de permissões. Ele mostra que a visibilidade de um arquivo mudou dentro da janela; um arquivo já público ou externo antes da janela não gera evento, então o registro não consegue descrever o estado atual de exposição. O registro tem prazo. A visão padrão são os últimos 7 dias e os eventos de registro do Drive são retidos por 6 meses. Um auditor olhando doze meses não pode ver o primeiro trimestre pelo registro no quarto – veja [o texto sobre retenção](/pt/blog/retencao-log-auditoria-google-drive-6-meses). O registro tem pontos cegos por construção: usuários externos aparecem como anônimos, a menos que o item tenha sido compartilhado com eles individualmente ou por um grupo específico. E uma captura de tela não contém decisões. Não há nome de ninguém nela; nada diz "mantido, o cliente precisa" ou "restringido em 3 de julho". Decisões ausentes são a primeira coisa que um auditor nota. ## Os três artefatos que tornam uma revisão reproduzível Reproduzível quer dizer que uma segunda pessoa, com as mesmas entradas, chegaria aos mesmos achados e poderia conferir as mesmas decisões. Três arquivos fazem isso. **O registro de evidências** é o índice. Uma linha por revisão: data da auditoria, janela, responsável, edição, arquivos revisados, quantos públicos, externos e legados encontrados, restringidos, justificados, incidentes, data da próxima auditoria, próximo responsável. Quatro linhas cobrem um ano; entregue isso primeiro. **A exportação do relatório** traz os achados e as decisões por trás de cada linha: cada arquivo exposto, seu proprietário, local, tipo de exposição, com quem está compartilhado, a decisão, quem decidiu e quando foi feito. O [texto sobre o modelo de relatório](/pt/blog/modelo-relatorio-compartilhamento-externo-google-drive) percorre as colunas. Exporte no dia, datado, e guarde junto do registro. **Um artefato de estado em um momento** é o que o registro não consegue dar: o que estava exposto no dia da revisão, independentemente de quando ficou exposto. De onde ele vem depende da sua edição. Em Enterprise Standard e Plus, Education Standard e Plus, Frontline Plus, Enterprise Essentials Plus e Cloud Identity Premium, a exportação do inventário do Drive grava metadados de arquivos, incluindo com quem cada um está compartilhado, no BigQuery – cada exportação sobrescreve a anterior, então salve uma cópia datada. Nas edições Business, a rota nativa são as listas de membros em Gerenciar drives compartilhados mais buscas por usuário com `sharedwith:external owner:me`, que o administrador não pode rodar por ninguém. Uma exportação de varredura organizacional – o "Meu Drive" de todos os usuários e todos os drives compartilhados, datada – preenche essa lacuna para administradores de edição Business, e é para onde aponta o valor Encontrado por = `scan` do modelo de relatório. O [checklist trimestral](/pt/blog/checklist-trimestral-auditoria-acesso-google-drive) coloca os três artefatos em ordem; o [guia principal de auditoria de acesso ao Drive em toda a organização](/pt/blog/auditar-acesso-google-drive-toda-organizacao) é a versão longa. ## Cadência, responsabilidade e a regra de quem sai Auditores costumam perguntar com que frequência, e se foi cumprido. Trimestral por padrão; mensal se você é regulado ou se um contrato de cliente exige; sempre depois de uma saída, porque a suspensão não toca os compartilhamentos que a pessoa criou – colaboradores que receberam acesso a documentos compartilhados continuam com ele. [Suspenso não é removido](/pt/blog/suspenso-nao-e-removido-compartilhamentos-drive-apos-desligamento) explica essa lacuna. Escreva a cadência ao lado do registro de evidências, para que revisor e cronograma sejam um documento só. O nome em "próximo responsável" é o controle operando; uma célula vazia é o controle não operando. ## O que entregar Uma pasta por trimestre: a linha do registro de evidências, a exportação datada do relatório, o artefato de estado datado e uma captura de tela que seja legitimamente estado e não histórico – as configurações de compartilhamento em Menu → Apps → Google Workspace → Drive e Documentos, mostrando o padrão do domínio e eventuais diferenças por unidade organizacional. Essa pasta é a revisão. Nada nela precisa da certificação de qualquer ferramenta; precisa do seu nome, da sua data e das suas decisões. ## Fontes - [ISO/IEC 27001:2022 – Sistemas de gestão de segurança da informação](https://www.iso.org/standard/27001) – "ISO/IEC 27001 is the world's best-known standard for information security management systems (ISMS). It defines requirements an ISMS must meet." Usado apenas para a descrição de uma linha. - [System and Organization Controls: SOC Suite of Services (AICPA & CIMA)](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2) – título da publicação SOC 2 "Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy". Usado apenas para a descrição de uma linha. - [Eventos de registro do Drive](https://knowledge.workspace.google.com/admin/reports/drive-log-events) – caminho, visão padrão de 7 dias, atributo de mudança de visibilidade, usuários externos aparecendo como anônimos. - [Retenção de dados e tempos de latência](https://knowledge.workspace.google.com/admin/reports/data-retention-and-lag-times) – eventos de registro do Drive retidos por 6 meses. - [Exportar o inventário do Drive da sua organização](https://knowledge.workspace.google.com/admin/reports/export-your-organizations-drive-inventory) – lista de edições, metadados incluindo com quem os arquivos estão compartilhados, BigQuery, cada exportação sobrescreve a anterior. - [Gerenciar drives compartilhados como administrador](https://knowledge.workspace.google.com/admin/drive/manage-shared-drives-as-an-admin) – listas de membros disponíveis aos administradores. - [Gerenciar o compartilhamento externo da sua organização](https://knowledge.workspace.google.com/admin/drive/manage-external-sharing-for-your-organization) – caminho das configurações de compartilhamento, diferenças por unidade organizacional. - [Suspender um usuário temporariamente](https://knowledge.workspace.google.com/admin/users/suspend-a-user-temporarily) – "Collaborators who have been granted access to shared documents will retain their ability to view, edit, and collaborate on those documents." - [Operadores de busca do Google Drive](https://support.google.com/drive/answer/2375114) – `sharedwith:external owner:me`, só no próprio Drive. Relido em 2026-09-09.