O Google Workspace passou a permitir que administradores definam, numa única regra do Assured Controls, quem dentro do Google pode atuar sobre arquivos específicos do Drive, usando os rótulos de classificação como critério. Antes, as políticas de Access Management (que limitam a equipe de suporte do Google por local e credencial) e de Access Approvals (que exigem aprovação da empresa antes de o suporte ver dados) só podiam ser aplicadas por usuário, unidade organizacional ou grupo. Agora dá para mirar só os arquivos marcados como sensíveis.
A novidade não é para todo mundo. Ela exige as edições Enterprise Plus ou Frontline Plus com o complemento pago Assured Controls (para Access Approvals) ou Assured Controls Plus (para Access Management). A liberação começou em 30 de setembro de 2026, de forma gradual, e o anúncio oficial saiu em 12 de outubro.
Resumo rápido
- Regras do Assured Controls aplicam Access Management e Access Approvals a arquivos do Drive filtrados por rótulo de classificação, além de unidade organizacional e grupo.
- Access Approvals por regra: Enterprise Plus ou Frontline Plus com Assured Controls ou Assured Controls Plus.
- Access Management por regra: Enterprise Plus ou Frontline Plus com Assured Controls Plus.
- As opções de local do suporte são Estados Unidos, equipe autorizada CJIS e IRS 1075 nos EUA, ou União Europeia. Não há opção para o Brasil.
- Rótulos podem ser aplicados à mão, por padrão, por regra de DLP ou por classificação com IA; a combinação DLP mais regra automatiza a proteção.
O que foi anunciado
No blog de atualizações do Workspace, o Google descreve as regras do Assured Controls como uma forma mais granular e centrada no recurso de aplicar Access Management e Access Approvals a arquivos do Google Drive. A ideia, nas palavras da empresa, é reservar os controles mais rígidos de soberania e conformidade para os arquivos mais sensíveis, mantendo o fluxo de suporte padrão e rápido para os dados de negócio menos sensíveis.
Os pontos confirmados:
- Uma regra, duas políticas: Access Management e Access Approvals podem ser configurados juntos.
- Alvo por rótulo: a condição de conteúdo é o rótulo de classificação do arquivo, combinável com unidade organizacional e grupo.
- Ritmo: liberação gradual nos domínios Rapid Release e Scheduled Release desde 30 de setembro de 2026, com até 15 dias para a função aparecer.
- Usuário final: não há configuração para ele. Tudo é feito no Admin console.
Uma observação importante: essas políticas controlam o acesso de funcionários do Google em ações de suporte, não o acesso de colegas ou de pessoas de fora da empresa. Para isso continuam valendo as permissões de compartilhamento do Drive e as regras de prevenção de perda de dados (DLP).
Access Management e Access Approvals, em linguagem simples
As duas políticas respondem a perguntas diferentes que equipes de compliance costumam fazer ao contratar nuvem: “quem do fornecedor pode mexer nos meus dados?” e “posso dizer não antes?”.
| Política | O que faz | Complemento exigido | Efeito colateral |
|---|---|---|---|
| Access Management | Restringe as ações de suporte a funcionários do Google em determinados locais e com determinadas credenciais | Assured Controls Plus | Menos pessoas elegíveis para atender o chamado |
| Access Approvals | Exige que um administrador da empresa aprove antes de o suporte do Google ver dados cobertos | Assured Controls ou Assured Controls Plus | O tempo de resposta do suporte aumenta enquanto a aprovação está pendente |
No Access Management, as opções listadas na central de ajuda são: funcionários do Google nos EUA trabalhando em local nos EUA; funcionários autorizados CJIS e IRS 1075 em local nos EUA (exige que o estado americano tenha concluído integração com o Google); e funcionários da UE em locais da UE, com acesso de funcionários de fora da UE por desktops virtuais localizados na UE quando necessário. Não existe opção de equipe no Brasil.
No Access Approvals, a aprovação vale por 5, 15 ou 30 dias, e o administrador pode revogá-la enquanto estiver ativa. Quem aprova são administradores com o privilégio de gerenciar solicitações de Access Approvals. A ajuda registra exceções: em casos urgentes, como a correção de uma indisponibilidade que afeta um único cliente ou solicitações legais, o pessoal do Google pode contornar a política.
Como os rótulos de classificação entram na história
Rótulos de classificação são metadados que a empresa cria no Admin console e aplica aos arquivos do Drive, como “Confidencial”, “Uso interno” ou “Restrito UE”. Segundo a ajuda do Google, eles estão disponíveis em várias edições, incluindo Business, Enterprise, Frontline e Education, com limite de 150 rótulos por organização. Recursos como classificação automática e regras de DLP baseadas em rótulo dependem de edição com DLP.
Há quatro formas de um arquivo receber um rótulo:
- Manual: o usuário com permissão escolhe o rótulo.
- Classificação padrão: aplica um rótulo aos arquivos novos conforme a unidade organizacional ou o grupo do dono. Não vale retroativamente para arquivos antigos.
- Regras de DLP: aplicam o rótulo a arquivos novos e existentes quando encontram certo conteúdo, e podem impedir que o usuário troque o rótulo.
- Classificação com IA: o Google treina um modelo com exemplos rotulados pela equipe (no mínimo 100 arquivos por opção) e passa a rotular arquivos novos e existentes.
Quando há conflito, o rótulo aplicado por DLP vence o da IA, que vence o padrão. Para quem já usa a IA do Google no Drive, como o Gemini resumindo pastas, vale a mesma lógica: os rótulos ajudam a saber o que é sensível antes de qualquer automação mexer nos arquivos. Veja também o artigo sobre NotebookLM corporativo com permissões do Drive e a página de integrações do Google Gemini.
Passo a passo para criar a regra
O roteiro abaixo segue a central de ajuda do Google. É preciso ser superadministrador, e os rótulos já devem existir.
- No Admin console, abra Menu > Regras > Criar regra > Assured Controls.
- Marque Aplicar política de Access Management, Aplicar política de Access Approvals ou as duas.
- Configure as ações. No Access Management, escolha uma das opções de equipe e local. O Access Approvals não pede configuração adicional.
- Para receber alertas no Alert Center, crie uma regra de atividade usando os eventos de registro do Access Transparency como fonte.
- Defina as condições: dono do recurso (organização inteira, unidades organizacionais ou grupos) e conteúdo, com a condição Rótulo de classificação.
- Dê nome e descrição à regra.
- Escolha o status. Deixar a regra inativa permite testar e acompanhar os registros antes de aplicar.
Dois detalhes evitam surpresas. Primeiro, a regra protege os dados conforme o dono do arquivo (conta de usuário ou drive compartilhado), não conforme quem tenta acessar. Segundo, a ajuda não diz explicitamente como ficam os arquivos sem rótulo; como a condição é o rótulo, a leitura natural é que eles não são atingidos pela regra e continuam sob as políticas por usuário, mas confirme com o Google antes de depender disso.
Quando duas regras se chocam
A ajuda define a ordem de prioridade:
- Regras do Assured Controls prevalecem sobre políticas por usuário (unidade organizacional ou grupo).
- Configuração de grupo prevalece sobre a de unidade organizacional quando o dono pertence aos dois.
- Se duas regras se aplicam sem conflito geográfico, vale a política de Access Management mais restritiva.
- Se há conflito entre EUA e UE, decide a prioridade de local definida em Dados > Conformidade > Access Management > Escopo baseado em regras (Priorizar EUA ou Priorizar UE), recurso que exige Assured Controls Plus.
Relação com a LGPD
Para empresas brasileiras, o recurso conversa com dois pontos da LGPD. O artigo 46 exige “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados”. Limitar e registrar o acesso do suporte do fornecedor a arquivos sensíveis é uma medida desse tipo, e o Access Approvals deixa uma trilha de quem pediu, quando e por quanto tempo.
O segundo ponto é a transferência internacional. O artigo 33 diz que ela “somente é permitida” nos casos listados na lei. Como as opções de Access Management são EUA ou UE, a política não mantém o acesso de suporte no Brasil; ela apenas escolhe entre essas jurisdições. A forma de enquadrar isso no seu programa de privacidade é decisão do encarregado e do jurídico, não do administrador de TI.
Também vale lembrar que a política não substitui as medidas internas. Compartilhamento externo, contas de ex-funcionários e permissões amplas em drives compartilhados continuam sendo os riscos mais frequentes. O guia sobre LGPD e IA na empresa e o artigo sobre DLP e mascaramento de dados ajudam a montar o resto da proteção.
Exemplo: fintech de São Paulo com operação na Europa
Imagine uma fintech de São Paulo que usa Google Workspace Enterprise Plus, tem uma subsidiária em Portugal e contratou o Assured Controls Plus por exigência de um parceiro europeu. Até agora, a única opção era aplicar a política de suporte da UE a toda a unidade organizacional da subsidiária, o que deixava o atendimento mais lento até para planilhas sem nada de sensível.
Com as regras, o time de segurança cria o rótulo “Restrito UE” e uma regra de DLP que o aplica a arquivos com dados de clientes europeus. Em seguida, cria uma regra do Assured Controls com Access Management para equipe da UE e Access Approvals ligados, tendo como condição esse rótulo. A regra fica inativa por duas semanas enquanto a equipe confere os registros, e só então é ativada.
Para os contratos e documentos de clientes brasileiros, a empresa cria outro rótulo, “Confidencial”, e uma regra só com Access Approvals, para que qualquer acesso do suporte do Google a esses arquivos dependa de aprovação interna. O restante dos arquivos segue com o suporte padrão. O encarregado registra no programa de privacidade quais rótulos existem e quais políticas cada um aciona.
Erros comuns
- Esperar ver o recurso sem o complemento: sem Enterprise Plus ou Frontline Plus e o Assured Controls certo, a opção não aparece. O preço não é público; a ajuda orienta a falar com vendas.
- Confundir com permissão de compartilhamento: as regras tratam do suporte do Google, não de colegas ou clientes que recebem o link.
- Criar a regra antes dos rótulos estarem em uso: se os arquivos não estão rotulados, a regra não tem o que proteger. Comece pela classificação padrão e pelas regras de DLP.
- Contar com rotulagem retroativa da classificação padrão: ela só vale para arquivos novos ou que mudam de dono. Para o acervo antigo, use DLP ou classificação com IA.
- Ativar direto em produção: deixar a regra inativa e acompanhar os registros evita travar o suporte em arquivos que não deveriam ser atingidos.
- Esquecer que aprovações expiram: uma aprovação de 30 dias continua valendo até o fim do prazo, a menos que seja revogada.
Perguntas frequentes
Quais edições do Google Workspace têm acesso às regras?
Enterprise Plus e Frontline Plus. Para Access Approvals por regra, é preciso o complemento Assured Controls ou Assured Controls Plus. Para Access Management por regra, só o Assured Controls Plus.
Rótulos de classificação exigem Assured Controls?
Não. Os rótulos existem em várias edições, como Business, Enterprise e Education. O que exige o complemento é usar o rótulo como condição para as políticas de acesso do suporte do Google.
Dá para restringir o suporte a funcionários no Brasil?
Não entre as opções listadas na central de ajuda. As alternativas são equipe nos EUA, equipe autorizada CJIS e IRS 1075 nos EUA, ou equipe da UE em locais da UE.
O Google pode acessar os arquivos sem minha aprovação?
A ajuda do Access Approvals prevê exceções em casos urgentes, como correção de indisponibilidade que afeta um único cliente, e em solicitações legais. Fora disso, o acesso coberto depende de aprovação.
Preciso ser superadministrador para criar a regra?
Sim. Criar regras do Assured Controls exige superadministrador. Aprovar solicitações pode ser delegado a administradores com o privilégio específico.
Fontes e leitura recomendada
- Google Workspace Updates: regras do Assured Controls com rótulos de classificação
- Ajuda do Admin: regras do Assured Controls para Access Management e Access Approvals
- Ajuda do Admin: Assured Controls e Assured Controls Plus
- Ajuda do Admin: Access Approvals
- Ajuda do Admin: Access Management
- Ajuda do Admin: criar rótulos de classificação
- Ajuda do Admin: regras de proteção de dados (DLP)
- Lei Geral de Proteção de Dados (Lei 13.709/2018)
