¿Cómo revisar la seguridad de Google Workspace?

Puedes revisar la seguridad de Google Workspace por tu cuenta en una hora: seis controles en la Google Admin console muestran si los inicios de sesión están protegidos, quién tiene todos los permisos, qué apps de terceros leen tus datos, si se escapan archivos y correo y si quedará rastro después de un incidente. Cada control tiene un resultado bueno y uno malo claros, así ves enseguida qué arreglar primero.

Abajo: la ruta en la consola para cada control, una tabla resumen, errores habituales y una checklist.

Los controles los hace un administrador de Google Workspace, o el dueño junto a él. Algunos ajustes solo los ve un superadministrador. Los menús aparecen en inglés, como los ve el administrador, según la ayuda de Google a octubre de 2026. Si un punto se llama algo distinto, escribe su nombre en el buscador de arriba de la Admin console (admin.google.com).

En resumen

• 2-Step Verification (verificación en dos pasos: un segundo paso después de la contraseña) es obligatoria para todos, no solo permitida.
• Super Admin (todos los permisos sobre Google Workspace) lo tienen pocas personas con nombre, y para el día a día usan otra cuenta normal.
• Las apps de terceros con acceso a Gmail y Drive están revisadas, y las que sobran, bloqueadas.
• Los archivos de Drive son privados por defecto, y compartir fuera es una decisión consciente.
• El reenvío automático de correo está desactivado, o alguien puede explicar cada reenvío que exista.
• Los registros de inicio de sesión se revisan, y las alertas del Alert center no se quedan sin leer.

Los seis controles de un vistazo

1. La verificación en dos pasos es obligatoria para todos

Dónde mirar. Security > Authentication > 2-step verification. Revisa tres cosas: si está marcado Allow users to turn on 2-Step Verification, qué dice Enforcement (On o una fecha de inicio) y cuál es el New user enrollment period. Ese periodo va de un día a seis meses, y mientras dura un usuario nuevo entra solo con la contraseña. ^[1] Quién tiene 2SV de verdad se ve en el informe Reporting > User Reports > Security. ^[1]

Buen resultado. Enforcement activado para toda la organización. Periodo corto para usuarios nuevos. En Methods está al menos Any except verification codes via text, phone call, es decir, sin códigos por SMS ni llamada. Los administradores están en su propia unidad organizativa o grupo con Only security key. Esa opción ahora también acepta passkeys (llaves de acceso del dispositivo), y Google dice que passkeys y llaves de seguridad protegen igual contra el phishing. ^[1]

Qué significa un mal resultado. 2SV permitida pero no obligatoria: solo la activa quien quiere. Una cuenta sin segundo paso se abre con la contraseña, y las contraseñas se filtran por phishing y bases de datos robadas. Antes de pasar a Only security key, comprueba que la gente ya tiene llaves, o se quedará fuera.

2. Cuántos superadministradores hay y quiénes son

Dónde mirar. Account > Admin roles, el rol Super Admin y luego Admins. Esta página muestra solo asignaciones directas: si el rol se dio a un grupo, sus miembros no aparecen aquí. ^[3] Los roles de una persona concreta se ven en Directory > Users, en su ficha.

Buen resultado. Google recomienda tener más de un superadministrador, cada cuenta gestionada por una persona distinta. ^[2] También recomienda dar a cada superadministrador dos cuentas: una para tareas de administración y otra normal para el trabajo diario. Las cuentas de administrador tienen 2SV y al menos dos llaves de seguridad, con la de repuesto guardada en un lugar seguro. Tienen opciones de recuperación y códigos de respaldo impresos. ^[2] En una empresa pequeña suelen bastar dos superadministradores, y para lo demás hay roles más acotados.

Qué significa un mal resultado. Super Admin en un exempleado, un proveedor, una cuenta compartida tipo office@ o el director «por si acaso». O un superadministrador que lee el correo y abre adjuntos desde esa cuenta. Un solo correo de phishing que funcione le da al atacante todo el dominio: correo, archivos y ajustes de seguridad.

3. Apps de terceros con acceso al correo y a los archivos

Cuando alguien pulsa «Iniciar sesión con Google» y da permiso, un servicio externo puede obtener acceso a su Gmail, Drive o Calendar. No hace falta contraseña, y cambiarla no quita ese acceso.

Dónde mirar. Security > Access and data control > API controls, botón Manage App Access, y en Accessed apps pulsa View list. ^[4] Ahí están las apps que ya tienen acceso a los datos de tu organización. Cada una puede quedar en Trusted, Limited, Specific Google data o Blocked. ^[4] En Settings de la misma sección, Unconfigured third-party apps decide qué pasa con las apps que aún no has configurado. Por defecto está en Allow access to any third-party app. ^[4]

Buen resultado. La lista está revisada y alguien puede explicar cada app: CRM, contabilidad, firma electrónica. Las necesarias están en Trusted o limitadas, las desconocidas bloqueadas. Las apps nuevas tienen restricción, por ejemplo solo información básica de inicio de sesión.

Qué significa un mal resultado. Decenas de apps que nadie reconoce, con acceso a todo el correo o a todo Drive. Cualquiera en la empresa puede dar acceso a cualquier servicio con un clic. Si ese servicio sufre un ataque o resulta malicioso, tu correo y tus archivos se van con él.

4. Compartir archivos de Drive fuera de la organización

Dónde mirar. Apps > Google Workspace > Drive and Docs y luego Sharing settings > Sharing options. Aquí se activa o desactiva compartir fuera de la organización y se definen los Allowlisted Domains, la lista de dominios de socios de confianza. ^[5] En la misma página está Highlight external files, que marca los archivos externos. ^[5] Revisa también Sharing settings > General access default: quién ve un archivo nuevo por defecto. Este ajuste existe en Business Standard, Business Plus, Enterprise y algunas otras ediciones. ^[6]

Buen resultado. Compartir fuera es una decisión consciente: solo con dominios de confianza, o con cualquiera pero con avisos. General access default sigue en Private to the owner, también llamado Restricted. Google lo llama el ajuste recomendado para la mayoría: un archivo se comparte cuando está listo. ^[6]

Qué significa un mal resultado. Archivos nuevos abiertos a toda la organización por enlace, y compartir fuera permitido con cualquiera sin límites. Así acaban contratos, nóminas y copias de pasaportes en manos de gente a la que nadie se los envió. Los cambios en estos ajustes pueden tardar hasta 24 horas en aplicarse. ^[5]

5. Reenvío de correo a direcciones externas

Tras hacerse con un buzón, el atacante suele configurar un reenvío que manda en silencio copias del correo a su dirección. La contraseña ya se cambió, y los correos siguen saliendo. Google recomienda expresamente desactivar el reenvío automático para reducir el riesgo de fuga de datos. ^[8]

Dónde mirar. Apps > Google Workspace > Gmail > End User Access, el punto Automatic forwarding, casilla Allow users to automatically forward incoming email. Por defecto está activada. ^[7]

Buen resultado. La casilla está desmarcada para toda la organización, y las excepciones necesarias están en una unidad organizativa aparte para personas concretas. Al desactivarla, las reglas y filtros de reenvío que crearon los usuarios dejan de funcionar. Las reglas creadas por administradores siguen activas. ^[8]

Qué significa un mal resultado. El reenvío está permitido para todos, y nadie sabe quién reenvía qué ni adónde. Si encuentras un reenvío a una dirección privada que nadie configuró a propósito, trata el buzón como comprometido: cambia la contraseña, cierra las sesiones, elimina la regla y revisa el registro de inicios. Los siguientes pasos están en Han hackeado el correo o una cuenta de la empresa: qué hacer en los primeros 30 minutos.

En la misma sección de Gmail está Authenticate email, donde se activa DKIM, la firma de tu correo saliente. El estado debe decir «Authenticating email with DKIM». Google recomienda configurar también SPF y DMARC. ^[9] Sin ellos, el correo falso en nombre de tu dominio pasa con más facilidad. Cómo funcionan los tres juntos se explica en Cómo proteger el correo de la empresa del phishing.

6. Alguien revisa los inicios de sesión y las alertas

Registro de inicios. Reporting > Audit and investigation > User log events. Muestra inicios correctos y fallidos, inicios sospechosos y cambios de contraseña, de datos de recuperación y de 2SV. ^[10] Por defecto se ven los últimos 7 días. Los inicios desde clientes de correo y otras apps que no son navegador normalmente no se registran aquí. ^[10] Esta búsqueda funciona en cualquier edición. La herramienta avanzada, security investigation tool, solo viene en algunas ediciones, entre ellas Enterprise Standard y Enterprise Plus. ^[10] Los registros de usuarios, de administradores y de Gmail se guardan 6 meses. ^[11]

Alertas. Security > Alert center (admin.google.com/ac/ac). ^[12] Google envía aquí alertas de phishing, correo malicioso y actividad sospechosa en cuentas y dispositivos. El Alert center está incluido en todas las ediciones de Google Workspace. ^[13]

Buen resultado. Una vez por semana alguien revisa los inicios de los administradores, los intentos fallidos y los inicios desde países raros. Las alertas del Alert center tienen estado y responsable.

Qué significa un mal resultado. Cientos de alertas sin leer en el Alert center, y nadie ha abierto el registro de inicios. Un inicio sospechoso seguido de un cambio en las opciones de recuperación o en 2SV es motivo para cambiar la contraseña y cerrar todas las sesiones de inmediato.

Errores habituales

• 2SV permitida, no obligatoria. Allow users está marcado, Enforcement desactivado. Parte de la gente sigue entrando solo con contraseña.
• Un periodo largo para usuarios nuevos. Seis meses de New user enrollment period son medio año de acceso solo con contraseña.
• El superadministrador trabaja a diario con la cuenta de administrador. Correo, adjuntos y enlaces se abren desde la cuenta que controla todo el dominio.
• Nadie ha mirado las apps de terceros. Un acceso concedido hace tres años a un servicio de prueba sigue leyendo el correo.
• Creer que cambiar la contraseña lo arregla todo. No revoca los permisos de las apps ni las reglas de reenvío puestas por administradores.
• El Alert center como cajón de sastre. Las alertas llegan y nadie se hace cargo.

Qué arreglar primero

1. Administradores sin 2SV ni llaves de seguridad: el camino más corto a todo el dominio.
2. Reenvíos de correo desconocidos: quizá la fuga ya está en marcha.
3. Apps de terceros desconocidas con acceso al correo o a Drive.
4. 2SV para todos: primero da tiempo a la gente para activarla, luego enciende Enforcement.
5. Compartir fuera en Drive: cámbialo poco a poco, avisando a la gente.

Estos seis controles no cubren dispositivos, copias de seguridad ni cómo se dan y quitan los accesos. Eso lo revisamos en una Security Assessment. La web, el área de clientes o la API que funcionan junto a Google Workspace los revisa un pentest. Si tu gente detecta un correo de phishing que lleva a una página falsa de inicio de sesión de Google lo muestra una simulación de phishing. El mismo control para la otra gran plataforma está en Cómo revisar la seguridad de Microsoft 365.

Checklist de una hora

• 2-Step Verification es obligatoria (Enforcement: On) para toda la organización.
• El New user enrollment period es corto, no seis meses.
• Los administradores entran con llave de seguridad o passkey, sin códigos por SMS.
• Hay más de un superadministrador, todos con nombre y conocidos, cada uno con una cuenta aparte para el día a día.
• Lista de Accessed apps revisada, las desconocidas en Blocked.
• Unconfigured third-party apps no permite el acceso a cualquier app.
• Los archivos nuevos de Drive son Restricted por defecto, compartir fuera configurado a propósito.
• Automatic forwarding desactivado, excepciones para personas concretas.
• DKIM activado, SPF y DMARC configurados.
• Alguien revisa User log events y el Alert center cada semana.

Descargar la lista de preparación (PDF)PDF · A4

Preguntas frecuentes

¿Cuánto tardan estos controles?

En una empresa de hasta unas decenas de personas, alrededor de una hora si el administrador conoce la Admin console. Los arreglos llevan más: cada cambio se acuerda antes y se prueba con pocas personas.

¿Qué permisos hacen falta?

Lo más sencillo es hacerlos como superadministrador. La lista de roles, los ajustes de 2SV y DKIM exigen ese rol. Los registros, el Alert center y los API controls se pueden ver con permisos más acotados que se asignan aparte.

¿Hay que desactivar las less secure apps?

No. Desde el 1 de mayo de 2025 Google Workspace ya no acepta apps de terceros que inician sesión solo con usuario y contraseña, y el ajuste ya no está en la Admin console. ^[14] Las apps de correo se conectan ahora con OAuth, y los dispositivos de oficina como escáneres con OAuth o una contraseña de aplicación.

¿Qué hago si encuentro una app que nadie reconoce?

Bloquéala en API controls y averigua quién le dio acceso. Revisa el registro de inicios de esa persona. Si la app tenía acceso al correo, comprueba si ha aparecido un reenvío.

¿Esto sustituye a una evaluación de seguridad?

No, es un autocontrol básico de ajustes. Una Security Assessment mira más allá: accesos, dispositivos, procesos. Cómo reacciona la gente ante el phishing lo muestra una simulación de phishing. Tus propias webs y aplicaciones las revisa un pentest.

Referencias

1. Google Workspace Admin Help: Deploy 2-Step Verification knowledge.workspace.google.com
2. Google Workspace Admin Help: Security best practices for administrator accounts knowledge.workspace.google.com
3. Google Workspace Admin Help: View role assignments & privileges knowledge.workspace.google.com
4. Google Workspace Admin Help: Control which third-party & internal apps access Google Workspace data knowledge.workspace.google.com
5. Google Workspace Admin Help: Manage external sharing for your organization knowledge.workspace.google.com
6. Google Workspace Admin Help: Set general access sharing options for your organization knowledge.workspace.google.com
7. Google Workspace Admin Help: Let users automatically forward their own Gmail emails knowledge.workspace.google.com
8. Google Workspace Admin Help: Monitor the health of your Gmail settings knowledge.workspace.google.com
9. Google Workspace Admin Help: Set up DKIM knowledge.workspace.google.com
10. Google Workspace Admin Help: User log events knowledge.workspace.google.com
11. Google Workspace Admin Help: Data retention and lag times knowledge.workspace.google.com
12. Google Workspace Admin Help: View alert details knowledge.workspace.google.com
13. Google Workspace: Alert center workspace.google.com
14. Google Workspace Admin Help: Control access to less secure apps knowledge.workspace.google.com