Uso descontrolado de Copilot — Gestión de Microsoft 365 para empresas en Barcelona

Cuando una empresa enciende Copilot, lo primero que suele pasar es que alguien encuentra algo que no debía ver.

Un archivo con salarios en un sitio que se creó para otra cosa. Una oferta que se descartó hace tres años y que sigue viva. Documentación de un cliente al que se dejó de trabajar. Un contrato en una carpeta que abrió un becario en 2021.

La reacción es siempre la misma: «Copilot está enseñando cosas que no debería».

No es eso. Copilot está enseñando exactamente lo que esa persona ya podía ver. Lo que pasa es que hasta ahora nadie lo había preguntado con esas palabras.

Copilot no abre ninguna puerta

Conviene entender esto antes que nada, porque cambia por completo cómo se afronta.

Copilot trabaja dentro de los permisos que el usuario ya tiene. No busca en toda la empresa: busca en la parte de la empresa que esa persona ya alcanza con su cuenta. Si alguien no puede abrir un documento de SharePoint navegando hasta él, Copilot tampoco se lo va a enseñar. No está construido así.

Así que la pregunta correcta no es qué hace Copilot. Es otra: qué alcanza esta persona, y por qué alcanza tanto.

Y ahí viene lo incómodo. Casi siempre la respuesta es que ese acceso lleva ahí desde mucho antes de que hubiera Copilot. Nadie lo había revisado porque revisarlo es lento, manual y nunca urgente. Copilot no creó el agujero. Encendió la luz.

Qué ve exactamente Copilot

Lo que el usuario ya tiene a mano:

• SharePoint y OneDrive. Los sitios, bibliotecas y documentos donde tiene permiso.
• Teams. Los mensajes y archivos de los equipos y chats de los que es miembro.
• Outlook. Su correo, su calendario, sus contactos.
• Reuniones. Las transcripciones y notas a las que tiene acceso.

No hay una lista oculta de sitios que Copilot sí vea. Ve lo mismo que la persona. Lo que ocurre es que la persona ve bastante más de lo que su responsable cree.

Por qué el problema ya existía

Estas son las cuatro causas que me encuentro, por orden de frecuencia. Y para cada una, cómo se detecta.

1. «Todos excepto usuarios externos»

Es el permiso por defecto en muchísimos sitios de SharePoint creados con prisa. Significa que cualquiera de la empresa puede entrar. No cualquiera de internet: cualquiera de dentro. Que suena inofensivo y no lo es, porque dentro está el de prácticas y está el que se va el mes que viene.

Cómo se detecta: en los permisos de cada sitio, buscando ese grupo concreto en la lista. Se ve en treinta segundos por sitio. El problema no es verlo; es que hay que mirarlos todos.

2. Herencia de permisos rota

Alguien necesitaba dar acceso a una persona a una carpeta concreta, quitó la herencia para hacerlo, y al quitarla dejó el resto de la biblioteca con los permisos que hubiera por defecto. Es el error más fácil de cometer y el más difícil de encontrar a mano, porque no se ve por fuera: el sitio parece igual.

Cómo se detecta: comparando los permisos de la biblioteca con los del sitio padre. Donde no coincidan, alguien ha tocado la herencia.

3. Enlaces de «cualquier persona con el enlace»

Un enlace suelto para mandar un presupuesto por WhatsApp en 2022 sigue funcionando hoy. Y sigue funcionando sin autenticación: quien tenga ese enlace entra, tenga cuenta o no. Lo habitual es que esté en una carpeta en la que luego se siguió trabajando, así que lo que se filtró no fue un documento, fue una carpeta entera.

Cómo se detecta: el listado de enlaces de uso compartido de cada sitio, con su fecha de creación. Los que sean de tipo «cualquiera» y no tengan caducidad son todos candidatos.

4. Invitados que se quedaron

Un proveedor, una agencia, un colaborador externo, la empresa que hizo la web en 2020. Se les dio acceso en su momento y nadie lo retiró al terminar. Suelen ser pocos y suelen ser los que más alcance tienen, porque se les dio acceso amplio para no tener que ir abriendo puertas cada semana.

Cómo se detecta: el listado de usuarios externos del directorio, cruzado con quién sigue teniendo una relación real con la empresa.

Ninguna de las cuatro tiene nada que ver con Copilot. Todas aparecen el día que Copilot empieza a responder preguntas.

Cómo se averigua qué alcanza cada persona

Esto se puede hacer sin contratar nada más. Lo que hay que revisar:

• La lista de sitios de SharePoint, uno por uno, y quién tiene acceso a cada uno. Con atención a los grupos amplios, no solo a las personas.
• Los enlaces de uso compartido de cada sitio: cuántos son del tipo «cualquiera con el enlace» y de cuándo son.
• Los sitios que nadie ha tocado en meses. Suelen ser los más abiertos, porque se crearon con las prisas de un proyecto que ya murió y nadie volvió.
• Los usuarios externos del directorio y qué acceso conservan.
• La herencia de permisos en las bibliotecas donde haya sospecha.

Es trabajo lento y es la razón por la que casi nadie lo hace. Si tienes muchos sitios, esto a mano no es viable y Microsoft tiene un complemento de pago, SharePoint Advanced Management, con informes que hacen lo mismo a escala. Si lo tienes contratado, se usa. Si no, se hace a mano y se empieza por donde hay más riesgo, no por donde es más rápido.

Qué se hace primero

El orden importa más que la prisa.

1. Localizar los sitios abiertos a toda la organización. Es donde está el riesgo real y se acota rápido.
2. Mirar qué hay dentro de esos sitios. Un sitio abierto con el manual de imagen corporativa no es un problema. Un sitio abierto con nóminas sí.
3. Cerrar primero lo que tiene datos sensibles. Cerrar por facilidad y no por riesgo es como se acaba dejando lo grave para después.
4. Revisar los enlaces anónimos y ponerles caducidad. Un enlace sin caducidad es un enlace para siempre.
5. Retirar los invitados que ya no tienen relación con la empresa.
6. Y solo entonces hablar de etiquetas de confidencialidad y de políticas de prevención de pérdida de datos. Empezar por ahí sin haber cerrado antes es poner una alarma en una casa sin puertas.

Lo que no hay que hacer

Apagar Copilot y quedarse tranquilo. Es la respuesta más común y la peor. El acceso sigue existiendo, y sigue existiendo para cualquiera que entre al documento por su cuenta, que es como se ha filtrado la información toda la vida. Apagar Copilot solo devuelve el problema a su estado anterior: invisible.

Asustarse con el primer hallazgo. Lo normal es encontrar algo la primera semana. No es un desastre, es información. Ahora sabes qué había.

Borrarlo todo. Es la reacción contraria y rompe el trabajo de la gente. El objetivo no es cerrar accesos, es que cada persona tenga el acceso que su trabajo pide, ni más ni menos.

Quién lo lleva

Esto es administración de Microsoft 365, y es justo la parte que se come las semanas de un departamento de IT que ya va justo. Se puede hacer por dentro y se hace, pero compite con lo urgente, y lo urgente gana siempre.

Entra dentro del servicio de gestión de Microsoft 365. Lo primero que haría es la revisión de sitios abiertos y su informe: qué está mal, qué tiene datos sensibles y en qué orden lo cerraría. Se hace con permisos de solo lectura, así que no toca nada hasta que tú lo apruebes.

← Gestión de Microsoft 365 para empresas en Barcelona