Reorganizar los permisos y la forma de compartir

Módulo 6: Archivos y documentos · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá diseñar una nueva estructura de uso compartido con una matriz de permisos, carpetas de equipo y enlaces públicos seguros, en lugar de reconstruir los antiguos recursos compartidos uno a uno.

Conceptos clave: propietario, carpeta compartida, carpeta de equipo (carpeta de grupo), compartir con usuario, grupo o equipo, permiso de lectura, permiso de edición, enlace público, contraseña, fecha de caducidad, límite de descargas, compartir por correo electrónico, uso compartido federado, solicitud de archivo, matriz de permisos, transferir la propiedad

Lo compartido no se traslada

En casi todas las migraciones esta es la mayor sorpresa: los archivos se trasladan, pero lo compartido no. Quien compartía una carpeta con un compañero en Google o Microsoft, enviaba un enlace público a un cliente o dejaba que un proveedor consultara algo, tendrá que hacerlo de nuevo en la nueva nube. Una herramienta de migración no conoce a las personas de su nueva nube, y un enlace público de Google tiene una dirección de Google que deja de funcionar tras la baja.

Esto puede parecer trabajo adicional, pero también es una oportunidad. Tras años de compartir archivos, la situación anterior suele ser un enredo: carpetas compartidas con antiguos empleados, enlaces sin contraseña que llevan abiertos tres años, y ya nadie sabe quién puede acceder a qué. En Bakkerij De Korrel resultó que la carpeta "Personal", con contratos y nóminas, seguía compartida con un becario de hace dos años. La migración es el momento de corregirlo.

¿De quién es una carpeta?

En cualquier nube, un archivo o carpeta pertenece a alguien: el propietario. Compartir significa que el propietario da acceso a otras personas. Esto tiene dos consecuencias:

1. Si el propietario se marcha, la carpeta queda en peligro. Si se elimina su cuenta, desaparecen sus archivos, incluso si cien compañeros trabajaban con ellos. Por eso es obligatorio transferir primero la propiedad.
2. El almacenamiento cuenta para el propietario. Lo que sus compañeros coloquen en su carpeta compartida resta de su propio almacenamiento.

Por eso, para todo lo que pertenece a la organización y no a una sola persona, utilice una carpeta de equipo (en otros servicios también llamada carpeta de grupo, unidad compartida o espacio de proyecto). Esta pertenece al equipo. Las personas van y vienen, pero la carpeta permanece.

Diseñe primero: la matriz de permisos

No reconstruya a ciegas lo que había antes. Elabore primero una matriz de permisos: una tabla con las carpetas de la organización en las filas, los grupos en las columnas, y en cada celda lo que ese grupo puede hacer. Trabaje con grupos o equipos, no con nombres individuales. Así, ante un nuevo compañero, solo tendrá que ajustar el grupo.

La matriz de Bakkerij De Korrel:

Tres reglas:

• El mínimo de permisos posible. La lectura es el valor predeterminado; la edición solo para quien realmente la necesita. Esto también limita el daño si una cuenta es comprometida o si alguien vacía una carpeta por accidente.
• Las carpetas sensibles, aparte. Los expedientes de personal, los datos de salud y la administración deben estar en carpetas propias con un grupo reducido.
• Un propietario por carpeta. Acuerden quién gestiona una carpeta y quién decide quién tiene acceso, también en el caso de una carpeta de equipo.

Compartir dentro y fuera de la organización

Dentro de la nueva nube, comparte con un usuario, un grupo o un equipo. Elige permiso de lectura o de edición, y a menudo también detalles como poder eliminar o volver a compartir.

Para las personas fuera de la organización hay más opciones:

• Enlace público. Cualquiera que tenga el enlace puede acceder, incluso si el enlace se reenvía. Añada una contraseña a todo lo que no sea realmente público y envíela por otro canal (el enlace por correo, la contraseña por SMS o teléfono). Añada una fecha de caducidad y, si es posible, un límite de descargas.
• Compartir por correo electrónico. El destinatario recibe un enlace personal por correo, sin necesidad de cuenta. Útil para un gestor o un cliente.
• Solicitud de archivo (también llamada buzón de archivos o enlace de subida). La otra persona solo puede colocar archivos, no ver lo que ya hay. Ideal para que un cliente le haga llegar documentos.
• Uso compartido federado. En Nextcloud y otros servicios que siguen el estándar abierto Open Cloud Mesh, comparte directamente con alguien en otro servidor, sin necesidad de un enlace público. La otra persona ve la carpeta en su propia nube.

Un enlace con "ocultar descarga" puede parecer seguro, pero no impide nada: se puede consultar y también hacer una captura de pantalla. No confíe en esto para documentos confidenciales.

Informar a terceros de que algo cambia

No olvide a las personas de fuera de la organización. En Bakkerij De Korrel se trataba del gestor (carpeta con facturas), la imprenta (carpeta con diseños) y dos clientes habituales con una lista de pedidos. Sus antiguos enlaces de Google dejan de funcionar tras la baja.

1. Busque en su antiguo servicio todos los enlaces públicos y recursos compartidos externos. Google Drive y OneDrive disponen de un resumen para ello (en una organización, también en la parte de administración).
2. Decida, enlace por enlace, si todavía es necesario. A menudo la respuesta es que no.
3. Vuelva a crear los enlaces necesarios en la nueva nube, ahora con contraseña y fecha de caducidad.
4. Envíe a la parte externa el nuevo enlace, con una breve explicación y la fecha en que el antiguo dejará de funcionar.

Salida y traspaso

Los permisos solo se mantienen correctos si se revisan. Incluya en su procedimiento de baja (lección 7.3):

• Carpetas personales que aún sean necesarias: transferir la propiedad a un sucesor, antes de que se desactive la cuenta.
• Primero desactivar la cuenta, y solo tras comprobarlo eliminarla. Una cuenta eliminada desaparece junto con todos sus archivos.
• Quitar a la persona que se marcha de todos los grupos y equipos, y revocar sus enlaces públicos.

Haga una revisión breve cada medio año: ¿sigue siendo correcta la matriz? ¿qué enlaces públicos siguen abiertos?

En la práctica: así se ve en un proveedor

En un Nextcloud de WebOké, se comparte desde la pestaña Compartir en los detalles de un archivo o carpeta. Allí busca un usuario, grupo o equipo, o crea un enlace público con el símbolo más junto a Crear un enlace público. En Personalizar enlace y Ajustes avanzados puede establecer una contraseña, una fecha de caducidad y un límite de descargas. Las Carpetas de equipo se encuentran en Archivos, en el menú de la izquierda; una carpeta de equipo se solicita a WebOké a través de soporte, y se vincula a un equipo de la aplicación Equipos. Transferir la propiedad lo hace el propio propietario en Ajustes, Compartir.

En otros proveedores de Nextcloud, un administrador suele poder crear carpetas de grupo por sí mismo. Otras nubes europeas lo llaman de otra manera (espacio compartido, carpeta de proyecto), pero las decisiones son las mismas: de quién es la carpeta, quién puede hacer qué, y qué tan seguro es el enlace.

Resumen

• Lo compartido y los enlaces públicos no se trasladan en una migración. Reconstrúyalos de forma consciente.
• Elabore primero una matriz de permisos con grupos y el mínimo de permisos posible.
• Todo lo que pertenece a la organización debe estar en una carpeta de equipo, no en la carpeta personal de un solo empleado.
• Enlaces públicos: contraseña por otro canal, fecha de caducidad y, si es posible, un límite de descargas.
• Informe a las partes externas de que su enlace va a cambiar, y mantenga los permisos al día con un procedimiento de baja fijo.

Cuestionario

Ejercicio

Ejercicio A6.2: Comprobar un enlace de compartición seguro. Cree en su nueva nube un enlace de prueba público hacia un archivo de prueba inofensivo, con una contraseña y una fecha de caducidad. Pegue el enlace (no la contraseña). El programa comprobará si el enlace funciona mediante https y si el archivo no se puede ver ni descargar sin la contraseña.

Ejercicio E6.2: Su matriz de permisos. Elabore la matriz de permisos para su propia organización (carpetas, grupos, permisos), asigne un propietario a cada carpeta y haga una lista de las partes externas que deben recibir un nuevo enlace.

Para seguir leyendo

Los pasos de estos artículos corresponden a los servicios de WebOké; en otros proveedores el funcionamiento es similar.

• Manual de Nextcloud 5.1: Compartir con un usuario de su propio Nextcloud
• Manual de Nextcloud 5.2: Crear un enlace público: lectura, edición, contraseña, fecha de caducidad y límite de descargas
• Manual de Nextcloud 5.3: Hacer que le entreguen archivos: destino de la subida y solicitud de archivo
• Manual de Nextcloud 5.5: Crear equipos y compartir una carpeta con todo su equipo
• Manual de Nextcloud 5.6: Carpetas de equipo: una carpeta compartida que pertenece al equipo
• Manual de Nextcloud 5.7: Compartir con alguien en otro Nextcloud (compartición federada)
• Manual de Nextcloud 5.10: Transferir la propiedad cuando un compañero se marcha
• Manual de Nextcloud 16.7: Un colega se va: cómo recuperar de forma segura sus archivos, calendario y carpetas compartidas