- Área de tecnologia principal: M365 | Teams
- Áreas de tecnologia adicionais: Security | Teams
- Dados do autor: https://linktr.ee/edupopov
A importância do controle de domínios externos na comunicação pelo Microsoft Teams
A comunicação corporativa passou por uma transformação significativa com a adoção de plataformas colaborativas como o Microsoft Teams. Além das conversas internas entre funcionários, essas soluções permitem a interação com clientes, fornecedores, parceiros comerciais e profissionais pertencentes a outras organizações.
Embora essa capacidade amplie a produtividade e facilite a colaboração, também introduz riscos relacionados à segurança da informação, à exposição de dados corporativos e à identidade digital dos usuários.
Nesse contexto, o controle dos domínios externos que podem se comunicar com a empresa pelo chat do Teams torna-se uma medida relevante de governança e proteção do ambiente tecnológico.
Uma das estratégias mais eficientes consiste na criação de uma lista de domínios confiáveis, permitindo que a organização estabeleça quais empresas estão autorizadas a iniciar ou manter comunicações com seus colaboradores.
Para facilitar a administração da comunicação externa no Microsoft Teams, desenvolvi um script em PowerShell capaz de realizar a inclusão de domínios confiáveis em grande escala. O processo utiliza um arquivo no formato .txt, no qual cada domínio deve ser informado em uma linha separada. A partir dessa lista, o script executa a leitura dos registros e realiza a inserção de forma automatizada, reduzindo o trabalho manual, evitando erros de digitação e tornando o processo mais rápido e padronizado.
Se você precisar exportar os domínios que a sua empresa já se comunica, veja este artigo que escrevi anteriormente: https://www.eduardopopovici.com/2026/07/como-exportar-uma-lista-de-dominios.html
Essa abordagem é especialmente útil para organizações que precisam cadastrar um número elevado de parceiros, fornecedores ou empresas autorizadas a se comunicar com seus colaboradores pelo chat do Teams.
URL do Script: powershell/TeamsDomains01.ps1 at main · edupopov/powershell
Comunicação externa e superfície de exposição
A comunicação externa no Microsoft Teams possibilita que usuários de organizações diferentes troquem mensagens, realizem chamadas e participem de determinados processos colaborativos. Esse recurso é especialmente útil em cenários de prestação de serviços, projetos conjuntos, suporte técnico e relacionamento comercial.
Entretanto, quando essa funcionalidade é disponibilizada sem critérios de controle, qualquer domínio externo autorizado pela configuração padrão do ambiente pode tentar estabelecer contato com os funcionários. Essa condição amplia a superfície de exposição da organização, pois usuários mal-intencionados podem utilizar o chat como meio para aplicar técnicas de engenharia social, distribuir links fraudulentos ou induzir os colaboradores ao compartilhamento de informações sensíveis.
Um atacante pode, por exemplo, criar um domínio semelhante ao de um fornecedor conhecido e abordar um funcionário se passando por um representante legítimo. Como a comunicação ocorre dentro de uma ferramenta corporativa reconhecida, o usuário pode interpretar a mensagem como confiável, reduzindo sua percepção de risco.
O conceito de domínios confiáveis
Uma lista de domínios confiáveis representa um conjunto previamente aprovado de organizações externas com as quais a empresa permite a comunicação pelo Teams. Em vez de adotar um modelo totalmente aberto, a organização passa a utilizar uma abordagem restritiva, na qual somente os domínios formalmente autorizados podem estabelecer comunicação externa.
Essa lista pode incluir domínios de clientes estratégicos, empresas do mesmo grupo econômico, fornecedores recorrentes, consultorias, parceiros tecnológicos e outras instituições que possuam uma relação comercial ou operacional validada.
A criação da lista não deve ser compreendida apenas como uma configuração técnica. Trata-se de uma decisão de governança que envolve segurança da informação, gestão de riscos, conformidade, relacionamento com terceiros e definição de responsabilidades.
Redução dos riscos de engenharia social
A engenharia social explora principalmente o comportamento humano, utilizando mensagens persuasivas, senso de urgência, autoridade aparente ou informações previamente coletadas sobre a vítima. Plataformas de comunicação instantânea podem ser utilizadas como canais para esse tipo de abordagem.
Ao restringir a comunicação externa aos domínios confiáveis, a empresa reduz a possibilidade de que usuários pertencentes a organizações desconhecidas entrem em contato diretamente com seus funcionários. Essa medida não elimina completamente o risco, pois uma conta legítima de um parceiro ainda pode ser comprometida. Contudo, limita significativamente o número de possíveis origens de comunicação.
A restrição também contribui para que os colaboradores desenvolvam uma percepção mais clara sobre as interações externas. Se apenas organizações previamente autorizadas podem utilizar o canal, torna-se mais simples estabelecer procedimentos de validação e conscientização.
Proteção das informações corporativas
As conversas realizadas pelo Teams podem envolver dados comerciais, informações de projetos, documentos, detalhes técnicos, informações financeiras e decisões internas. Mesmo quando o compartilhamento de arquivos é controlado, uma simples mensagem pode revelar dados relevantes sobre processos, infraestrutura ou estratégias da organização.
A ausência de controle sobre os domínios externos aumenta a possibilidade de compartilhamentos indevidos, principalmente quando o funcionário não identifica corretamente que está conversando com um usuário externo. A criação de uma lista confiável ajuda a reduzir esse risco ao limitar as organizações com as quais os colaboradores podem interagir.
Essa medida deve ser complementada por políticas de classificação da informação, prevenção contra perda de dados, retenção de mensagens e conscientização dos usuários. O controle de domínios atua como uma camada adicional dentro de uma estratégia de segurança em profundidade.
Governança e conformidade
Organizações sujeitas a requisitos regulatórios precisam demonstrar que adotam mecanismos adequados para proteger informações e controlar o acesso de terceiros. Permitir comunicação irrestrita com qualquer domínio pode dificultar a comprovação de que existem processos efetivos de governança.
A lista de domínios confiáveis oferece maior previsibilidade sobre quais organizações podem manter contato com os funcionários. Além disso, facilita atividades de auditoria, revisão de acessos e investigação de incidentes.
É recomendável que cada domínio incluído na lista possua uma justificativa formal, um responsável interno e um período de revisão. Dessa forma, a autorização deixa de ser permanente por padrão e passa a ser reavaliada de acordo com a continuidade da relação comercial.
Processo de criação da lista de domínios confiáveis
A construção da lista deve começar pelo levantamento das organizações externas que realmente precisam se comunicar com os funcionários pelo Teams. Esse levantamento pode envolver áreas como compras, jurídico, recursos humanos, tecnologia, segurança da informação e gestão de fornecedores.
Após a identificação inicial, os domínios devem ser validados para evitar erros de digitação, endereços incorretos ou domínios semelhantes aos de organizações legítimas. Também é importante confirmar se o domínio pertence oficialmente à empresa parceira.
A aprovação deve seguir um fluxo definido. Uma área de negócio pode solicitar a inclusão, mas a validação técnica e de segurança deve ser realizada pelas equipes responsáveis pela administração do Microsoft 365 e pela proteção da informação.
Depois da inclusão, recomenda-se registrar informações como:
nome da organização externa;
domínio autorizado;
motivo da liberação;
área interna solicitante;
responsável pela aprovação;
data de inclusão;
prazo de revisão;
situação atual do relacionamento comercial.
Esse registro pode ser mantido em uma ferramenta de governança, sistema de chamados, lista do SharePoint ou plataforma de gestão de riscos.
Revisão periódica e princípio do menor privilégio
A lista de domínios confiáveis não deve permanecer inalterada por tempo indeterminado. Relações comerciais terminam, contratos são encerrados e empresas podem alterar seus domínios ou passar por processos de aquisição.
Por esse motivo, a organização deve realizar revisões periódicas, removendo domínios que não possuam mais uma necessidade legítima de comunicação. A periodicidade pode ser trimestral, semestral ou anual, dependendo do nível de risco e da quantidade de parceiros externos.
Esse processo está alinhado ao princípio do menor privilégio, segundo o qual somente os acessos necessários devem permanecer ativos. Embora a comunicação externa não represente necessariamente acesso direto aos sistemas corporativos, ela constitui um canal de interação que pode ser explorado para obtenção de informações ou manipulação de usuários.
Monitoramento das comunicações externas
Além de controlar os domínios autorizados, a empresa deve acompanhar quais domínios efetivamente estão se comunicando com seus funcionários. O monitoramento permite identificar padrões inesperados, organizações não reconhecidas e possíveis desvios em relação às políticas estabelecidas.
A análise periódica dessas informações também auxilia na atualização da lista confiável. Um domínio autorizado que não apresenta atividade por um longo período pode ser revisado, enquanto uma necessidade recorrente de comunicação pode indicar a existência de um processo de negócio que ainda não foi formalmente documentado.
O monitoramento deve respeitar as políticas internas de privacidade, os requisitos legais e os princípios de proporcionalidade. O objetivo não deve ser analisar indiscriminadamente o conteúdo das conversas, mas compreender os relacionamentos externos e proteger o ambiente colaborativo.
Equilíbrio entre segurança e produtividade
Um modelo excessivamente restritivo pode dificultar o trabalho dos funcionários, principalmente em áreas que mantêm contato frequente com diferentes organizações. Por outro lado, uma configuração totalmente aberta pode expor a empresa a riscos desnecessários.
O desafio consiste em encontrar um equilíbrio entre produtividade e segurança. Para isso, a organização pode estabelecer um processo ágil de solicitação, análise e liberação de novos domínios. Quando a inclusão de um parceiro for necessária, o funcionário deve saber como solicitar a autorização e quais informações precisam ser fornecidas.
A transparência do processo reduz tentativas de contornar as políticas e melhora a colaboração entre as áreas de negócio e as equipes de tecnologia.
Considerações finais
O controle dos domínios externos que se comunicam com a empresa pelo Microsoft Teams é uma prática importante para a segurança, a governança e a proteção das informações corporativas. A criação de uma lista de domínios confiáveis reduz a exposição a contatos desconhecidos, dificulta determinadas ações de engenharia social e oferece maior controle sobre o relacionamento digital com terceiros.
Entretanto, a eficácia dessa medida depende de um processo contínuo de validação, documentação, monitoramento e revisão. A lista deve refletir as necessidades reais da organização e acompanhar as mudanças nos relacionamentos comerciais.
Ao tratar a comunicação externa como um recurso que precisa ser governado, a empresa fortalece sua postura de segurança sem eliminar os benefícios da colaboração. Dessa forma, o Microsoft Teams permanece como uma ferramenta de produtividade, mas passa a operar dentro de limites definidos, monitorados e alinhados aos objetivos de proteção da organização.