Permisos de carpetas compartidas: quién puede ver, comentar y editar

Permisos de una carpeta compartida: ver, comentar o editar

Compartir una carpeta es fácil; decidir qué puede hacer cada persona dentro de ella es lo que separa una oficina ordenada de una fuga de datos. Un cliente con permiso de edición puede borrar, un colaborador con permiso de lectura puede descargarlo todo y un editor puede invitar a terceros sin avisarte. Es el núcleo de cualquier sistema para compartir archivos con orden, y Google lo explica rol por rol en su ayuda sobre compartir archivos de Drive.

La regla de partida la formula el INCIBE para cualquier servicio en la nube: no toda la información debe estar al alcance de todos los empleados, y a cada persona se le aplica el principio de mínimo privilegio, es decir, solo el acceso que necesita para su trabajo.

Equivalencias entre servicios

Los nombres se parecen, pero el alcance real cambia de un servicio a otro. Los matices de la sección siguiente son los que más sorprenden.

Lo que cada nivel permite y casi nadie espera

• Leer suele incluir descargar. En Google Drive, lectores y comentadores pueden descargar, imprimir y copiar salvo que el propietario lo desactive en «Compartir» y «Configuración». Google advierte de que eso no impide otras formas de copiar el contenido.
• Editar suele incluir compartir. En Drive, los editores pueden cambiar permisos y compartir por defecto; la casilla «Los editores pueden cambiar permisos y compartir» lo evita. En OneDrive y SharePoint, quien puede editar una carpeta también puede mover, renombrar, compartir y eliminar lo que contiene.
• Un vínculo de lectura puede viajar. En SharePoint, un vínculo «Cualquiera» con «Puede ver» se reenvía sin iniciar sesión. Con un vínculo para personas concretas, quien lo recibe reenviado no puede usarlo.
• Bloquear la descarga tiene condiciones. En OneDrive y SharePoint, la opción «No se puede descargar» es para cuentas profesionales o educativas y solo sin permiso de edición; el archivo se consulta en el navegador. En Dropbox, «Puede ver» incluye descargar, comentar y compartir, y desactivar la descarga solo es posible en un enlace y en planes de pago, según su ayuda sobre permisos.

En una unidad compartida de Google, cinco roles

Las unidades compartidas de Google Workspace tienen una escala más fina, descrita en la ayuda de Google Workspace:

El administrador de Google Workspace puede, además, impedir que se comparta fuera de la organización o bloquear descargas, copias e impresión para todos los roles salvo el de Administrador.

La herencia, el detalle que más fugas provoca

En los tres servicios, lo que contiene una carpeta hereda su acceso, incluidos los archivos que se añadan más tarde. En Google Drive no puedes dar a una subcarpeta menos acceso que a la carpeta superior: si compartes «Clientes» con todo el equipo, la subcarpeta «Clientes/Contratos firmados» también queda abierta. La solución no es un ajuste, sino la estructura: lo sensible va en una carpeta aparte, al mismo nivel. En OneDrive y SharePoint, un acceso heredado se retira en la carpeta superior, no en el archivo. En Dropbox, el permiso de una carpeta se extiende a todas sus subcarpetas.

Una matriz de permisos para copiar

Antes de tocar ningún ajuste, rellena una tabla como esta con las carpetas principales de tu empresa. L = lector, C = comentador, E = editor, guion = sin acceso.

Dos lecturas rápidas de la tabla: nadie de fuera ve una carpeta de primer nivel, y quien solo consulta nunca recibe «E». Cuando la tabla esté lista, aplica los permisos a grupos (equipo, administración) en lugar de a personas sueltas: un alta o una baja se resuelve entonces en un solo sitio.

Un ejemplo: una academia de formación en Medellín

Una academia de Medellín con cinco empleados y una docena de profesores externos tenía una única carpeta «Academia» compartida como editor con todos. Un profesor reorganizó sin mala intención las carpetas de matrículas, que contenían datos personales de alumnos. La academia separó «Matrículas» en una carpeta de primer nivel solo para administración, dio a los profesores el rol de lector en «Material docente» y de editor solo en la carpeta de su curso, y desactivó que los editores pudieran compartir. El cambio llevó una tarde; el inventario previo, con la matriz, otra.

Si el acceso es para alguien de fuera

Los clientes sin cuenta, las invitaciones con código y las solicitudes de archivos tienen sus propias reglas. Están explicadas en la página sobre dar acceso a clientes y colaboradores externos.

Los roles cambian cuando la carpeta es del equipo

Una unidad compartida o un sitio de equipo cambian quién es el propietario de los archivos y quién gestiona los miembros. Antes de diseñar los permisos, decide dónde guardar los archivos comunes del equipo.

Los permisos también caducan

Una matriz bien hecha envejece: entran clientes, salen colaboradores, cambian los proyectos. Programar una revisión periódica de los accesos mantiene la tabla fiel a la realidad.