Global Administrator + Compliance Administrator

Compliance Administrator gerencia rótulos de retenção, políticas de DLP e configurações de conformidade no Microsoft Purview — controles desenhados para constranger o que administradores podem fazer com dados sensíveis. Quando a mesma pessoa também é Global Administrator, ela pode alterar a política de conformidade antes de executar a ação que essa política deveria restringir.

Desativação temporária de uma política de DLP/retenção pela mesma identidade que em seguida realiza uma exportação de dados que a política impediria.

• Atribuir Compliance Administrator a uma equipe de GRC (Governance, Risk & Compliance) independente da administração de TI.
• Registrar e alertar sobre qualquer alteração de política de compliance seguida de ação de alto impacto na mesma sessão.
• Revisar via Access Reviews trimestral quem acumula as duas roles.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference