Global Administrator + SharePoint Administrator

SharePoint Administrator pode acessar qualquer site, biblioteca de documentos e, via recursos de administração, o conteúdo de OneDrive de qualquer usuário. Somado a Global Administrator, concentra tanto o controle da plataforma quanto o acesso irrestrito a todo o conteúdo documental da organização em uma única identidade.

Acesso não autorizado a documentos confidenciais (contratos, dados financeiros, PII) sem necessidade de solicitar acesso específico, deixando rastro mínimo.

• Segregar administração de conteúdo (SharePoint Administrator) da administração geral do tenant.
• Habilitar auditoria unificada (Microsoft Purview Audit) para qualquer acesso administrativo a sites/bibliotecas sensíveis.
• Aplicar sensitivity labels e DLP para restringir acesso mesmo a contas administrativas em sites classificados como confidenciais.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference