Як перевірити безпеку Google Workspace?

Безпеку Google Workspace можна перевірити за годину самостійно: шість перевірок у Google Admin console показують, чи захищені входи, хто має повні права, які сторонні застосунки читають ваші дані, чи не витікають файли й пошта і чи залишаться сліди після інциденту. Кожна перевірка нижче має зрозумілий добрий і поганий результат, тож одразу видно, що виправляти першим.

Нижче шлях у консолі для кожної перевірки, таблиця з результатами, типові помилки і чекліст.

Перевірки проходить адміністратор Google Workspace або власник разом із ним. Частина налаштувань доступна лише супер-адміністратору. Назви меню наведені англійською, як їх бачить адміністратор, за довідкою Google станом на жовтень 2026 року. Якщо пункт називається трохи інакше, введіть його назву в пошук угорі Admin console (admin.google.com).

Коротко

• 2-Step Verification (двоетапна перевірка: другий крок входу після пароля) увімкнена примусово для всіх, а не лише дозволена.
• Super Admin (повні права на весь Google Workspace) мають кілька іменних людей, і щодня вони працюють з іншого, звичайного акаунта.
• Сторонні застосунки з доступом до Gmail і Drive хтось переглянув, а зайві заблоковані.
• Файли в Drive за замовчуванням закриті, а зовнішній доступ дозволено свідомо.
• Автоматичне пересилання пошти вимкнене або кожне пересилання хтось може пояснити.
• Журнали входів хтось переглядає, а сповіщення в Alert center не лежать непрочитаними.

Шість перевірок одним поглядом

1. Двоетапна перевірка увімкнена примусово для всіх

Де дивитися. Security > Authentication > 2-step verification. Тут три речі: чи стоїть галочка Allow users to turn on 2-Step Verification, що вибрано в Enforcement (On або дата початку) і який New user enrollment period. Цей період можна задати від одного дня до шести місяців, і весь цей час нова людина входить лише паролем. ^[1] Хто реально має 2SV, видно у звіті Reporting > User Reports > Security. ^[1]

Добрий результат. Enforcement увімкнено для всієї організації. Період для нових людей короткий. У Methods вибрано принаймні Any except verification codes via text, phone call, тобто без кодів з SMS і дзвінків. Для адміністраторів окремий підрозділ або група з Only security key. Цей варіант тепер приймає і passkeys (ключі входу на пристрої). Google пише, що passkeys і ключі безпеки захищають від фішингу однаково. ^[1]

Що означає поганий результат. 2SV лише дозволена, а не обов'язкова: тоді її вмикає хто хоче. Акаунт без другого кроку відкривається паролем, а паролі витікають через фішинг і чужі бази. Перед ввімкненням Only security key переконайтеся, що в людей уже є ключі, інакше вони не зможуть увійти.

2. Скільки супер-адміністраторів і хто вони

Де дивитися. Account > Admin roles, роль Super Admin, далі список Admins. Ця сторінка показує лише прямі призначення. Якщо роль видана групі, її учасників тут не видно. ^[3] Ролі конкретної людини видно в Directory > Users, у картці користувача.

Добрий результат. Google радить мати більше одного супер-адміністратора, і кожен акаунт веде окрема людина. ^[2] Кожному супер-адміністратору Google радить дати два акаунти: адмінський для адмінських задач і звичайний для щоденної роботи. На адмінських акаунтах 2SV і щонайменше два ключі безпеки, запасний лежить у надійному місці. Також додано способи відновлення і роздруковано резервні коди. ^[2] Для невеликої компанії зазвичай вистачає двох супер-адміністраторів, решту задач виконують вужчі ролі.

Що означає поганий результат. Super Admin у колишнього працівника, підрядника, спільного акаунта на кшталт office@ чи в директора «про всяк випадок». Або супер-адміністратор читає з цього акаунта пошту й відкриває вкладення. Один вдалий фішинговий лист тоді дає зловмиснику весь домен: пошту, файли й налаштування безпеки.

3. Сторонні застосунки з доступом до пошти й файлів

Коли людина натискає «Увійти через Google» і дає дозвіл, сторонній сервіс може отримати доступ до її Gmail, Drive чи календаря. Пароль для цього не потрібен, і зміна пароля такий доступ не прибирає.

Де дивитися. Security > Access and data control > API controls, кнопка Manage App Access, далі розділ Accessed apps і View list. ^[4] Там список застосунків, які вже мають доступ до даних вашої організації. Кожному можна задати рівень: Trusted, Limited, Specific Google data або Blocked. ^[4] У тому ж розділі в Settings є параметр Unconfigured third-party apps: що робити із застосунками, яких ви ще не налаштували. За замовчуванням стоїть Allow access to any third-party app. ^[4]

Добрий результат. Список переглянуто, і кожен застосунок хтось може пояснити: CRM, бухгалтерія, сервіс підписів. Потрібні позначені як Trusted або обмежені, невідомі заблоковані. Для нових застосунків діє обмеження, наприклад лише базова інформація для входу.

Що означає поганий результат. Десятки застосунків, яких ніхто не впізнає, з доступом до всієї пошти чи Drive. Будь-хто в компанії може дати доступ будь-якому сервісу одним кліком. Якщо такий сервіс зламають або він виявиться шкідливим, ваші листи й файли підуть разом із ним.

4. Зовнішній доступ до файлів у Drive

Де дивитися. Apps > Google Workspace > Drive and Docs, далі Sharing settings > Sharing options. Тут вмикають або вимикають доступ людям поза організацією і задають Allowlisted Domains, тобто список довірених доменів партнерів. ^[5] Там само є Highlight external files: позначка, що файл зовнішній. ^[5] Окремо подивіться Sharing settings > General access default: хто за замовчуванням бачить новий файл. Цей параметр є в тарифах Business Standard, Business Plus, Enterprise і деяких інших. ^[6]

Добрий результат. Зовнішній доступ дозволено свідомо: або лише довіреним доменам, або всім, але з попередженнями. General access default лишається Private to the owner, тобто Restricted. Google сам називає це налаштування рекомендованим для більшості людей: файлом діляться, коли він готовий. ^[6]

Що означає поганий результат. Нові файли за замовчуванням відкриті всій організації за посиланням, а зовнішній доступ дозволено всім без обмежень. Договори, зарплатні таблиці й скани паспортів так і опиняються в людей, яким їх ніхто не надсилав. Зміни в цих налаштуваннях можуть застосовуватися до 24 годин. ^[5]

5. Пересилання пошти на зовнішні адреси

Після злому скриньки зловмисник часто ставить пересилання, яке тихо надсилає копії листів на свою адресу. Пароль уже змінили, а листи далі йдуть. Google прямо радить вимкнути автоматичне пересилання, щоб зменшити ризик витоку даних. ^[8]

Де дивитися. Apps > Google Workspace > Gmail > End User Access, пункт Automatic forwarding, галочка Allow users to automatically forward incoming email. За замовчуванням вона ввімкнена. ^[7]

Добрий результат. Галочку знято для всієї організації, а потрібні винятки налаштовані окремим підрозділом для конкретних людей. Після вимкнення вже створені користувачами правила й фільтри пересилання перестають працювати. Правила, які створили адміністратори, діють далі. ^[8]

Що означає поганий результат. Пересилання дозволене всім, і ніхто не знає, хто куди пересилає листи. Якщо знайшли пересилання на приватну адресу, яке ніхто свідомо не ставив, вважайте скриньку зламаною: змініть пароль, завершіть сесії, приберіть правило і перегляньте журнал входів. Що робити далі, описано в статті Зламали пошту чи акаунт компанії: що робити в перші 30 хвилин.

У тому ж розділі Gmail є Authenticate email: тут вмикають DKIM, підпис ваших вихідних листів. Статус має бути «Authenticating email with DKIM». Google радить налаштувати також SPF і DMARC. ^[9] Без них чужі листи від імені вашого домену проходять легше. Як це працює разом, розбираю в статті Як захистити пошту компанії від фішингу.

6. Журнали входів і сповіщення хтось переглядає

Журнал входів. Reporting > Audit and investigation > User log events. Тут успішні й невдалі входи, підозрілі входи, зміни пароля, способів відновлення і 2SV. ^[10] За замовчуванням показано останні 7 днів. Входи з поштових програм і інших небраузерних застосунків зазвичай сюди не потрапляють. ^[10] Цей пошук доступний у будь-якому тарифі. Розширений Security investigation tool є лише в частині тарифів, зокрема Enterprise Standard і Enterprise Plus. ^[10] Записи входів, дій адміністраторів і Gmail зберігаються 6 місяців. ^[11]

Сповіщення. Security > Alert center (admin.google.com/ac/ac). ^[12] Сюди Google надсилає сповіщення про фішинг, шкідливі листи, підозрілу активність в акаунтах і на пристроях. Alert center є в усіх тарифах Google Workspace. ^[13]

Добрий результат. Раз на тиждень хтось переглядає входи адміністраторів, невдалі спроби і входи з незвичних країн. Сповіщення в Alert center мають статус і відповідальну людину.

Що означає поганий результат. В Alert center сотні непрочитаних сповіщень, а журнал входів ніхто не відкривав. Підозрілий вхід, після якого змінилися способи відновлення чи 2SV, це привід негайно змінити пароль і завершити всі сесії.

Типові помилки

• 2SV дозволена, але не обов'язкова. Галочка Allow users стоїть, а Enforcement вимкнено. Частина людей так і входить лише паролем.
• Довгий період для нових людей. Шість місяців New user enrollment period означає пів року входу одним паролем.
• Супер-адміністратор працює зі свого адмінського акаунта щодня. Пошта, вкладення і посилання відкриваються з акаунта, який керує всім доменом.
• Сторонні застосунки ніхто не дивився. Доступ, який дали три роки тому для пробного сервісу, досі читає пошту.
• Думати, що зміна пароля закриває все. Пароль не скасовує ні дозволи стороннім застосункам, ні правила пересилання, які ставили адміністратори.
• Alert center як смітник. Сповіщення приходять, але ніхто за них не відповідає.

Що виправляти першим

1. Адміністратори без 2SV і ключів безпеки: це найкоротший шлях до всього домену.
2. Невідоме пересилання пошти: можливо, витік уже триває.
3. Невідомі сторонні застосунки з доступом до пошти чи Drive.
4. 2SV для всіх: спершу дайте людям час увімкнути її, потім вмикайте Enforcement.
5. Зовнішній доступ у Drive: змінюйте поступово, попередивши людей.

Ці шість перевірок не охоплюють пристрої, резервні копії, процеси видачі і зняття доступів. Їх дивимося в Security Assessment. А сайт, кабінет клієнта чи API, які працюють поруч із Google Workspace, перевіряє пентест. Чи впізнають ваші люди фішинговий лист, який веде на фальшиву сторінку входу Google, показує фішингова симуляція. Як ту саму перевірку пройти для іншої платформи, описано в статті Як перевірити безпеку Microsoft 365.

Чекліст за годину

• 2-Step Verification увімкнена примусово (Enforcement: On) для всієї організації.
• New user enrollment period короткий, а не шість місяців.
• Адміністратори входять із ключем безпеки або passkey, коди з SMS вимкнені.
• Супер-адміністраторів більше одного, усі іменні й відомі, у кожного окремий акаунт для щоденної роботи.
• Список Accessed apps переглянуто, невідомі застосунки в Blocked.
• Unconfigured third-party apps не дозволяє доступ будь-якому застосунку.
• Нові файли в Drive за замовчуванням Restricted, зовнішній доступ налаштовано свідомо.
• Automatic forwarding вимкнене, винятки оформлені для конкретних людей.
• DKIM увімкнений, SPF і DMARC налаштовані.
• Хтось щотижня переглядає User log events і Alert center.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Скільки часу займають ці перевірки?

Для компанії до кількох десятків людей близько години, якщо адміністратор знає Admin console. Виправлення займають більше: кожну зміну спершу погоджують і перевіряють на кількох людях.

Які права потрібні для перевірки?

Найпростіше пройти перевірки супер-адміністратором. Список ролей, налаштування 2SV і DKIM вимагають саме цієї ролі. Журнали, Alert center і API controls можна дивитися з вужчими правами, які видаються окремо.

Чи треба окремо вимикати less secure apps?

Ні. З 1 травня 2025 року Google Workspace не приймає вхід сторонніх програм лише за логіном і паролем, а сам параметр прибрано з Admin console. ^[14] Поштові програми тепер підключають через OAuth, а офісні пристрої на кшталт сканерів через OAuth або пароль застосунку.

Що робити, якщо знайшли застосунок, якого ніхто не впізнає?

Заблокуйте його в API controls і з’ясуйте, хто з людей дав йому доступ. Подивіться журнал входів цієї людини. Якщо застосунок мав доступ до пошти, перевірте, чи не з’явилося пересилання.

Чи замінює це перевірку безпеки?

Ні, це базова самоперевірка налаштувань. Security Assessment дивиться ширше: доступи, пристрої, процеси. Як люди реагують на фішинг, показує фішингова симуляція. Ваші власні сайти й застосунки перевіряє пентест.

Посилання

1. Google Workspace Admin Help: Deploy 2-Step Verification knowledge.workspace.google.com
2. Google Workspace Admin Help: Security best practices for administrator accounts knowledge.workspace.google.com
3. Google Workspace Admin Help: View role assignments & privileges knowledge.workspace.google.com
4. Google Workspace Admin Help: Control which third-party & internal apps access Google Workspace data knowledge.workspace.google.com
5. Google Workspace Admin Help: Manage external sharing for your organization knowledge.workspace.google.com
6. Google Workspace Admin Help: Set general access sharing options for your organization knowledge.workspace.google.com
7. Google Workspace Admin Help: Let users automatically forward their own Gmail emails knowledge.workspace.google.com
8. Google Workspace Admin Help: Monitor the health of your Gmail settings knowledge.workspace.google.com
9. Google Workspace Admin Help: Set up DKIM knowledge.workspace.google.com
10. Google Workspace Admin Help: User log events knowledge.workspace.google.com
11. Google Workspace Admin Help: Data retention and lag times knowledge.workspace.google.com
12. Google Workspace Admin Help: View alert details knowledge.workspace.google.com
13. Google Workspace: Alert center workspace.google.com
14. Google Workspace Admin Help: Control access to less secure apps knowledge.workspace.google.com