Seguridad de Google Drive para empresas: evita las fugas de datos

Por Kike Gandia · Co-Fundador y CEO, OSCP

Google Drive es donde vive la información de tu empresa: contratos, datos de clientes, propiedad intelectual. Una compartición mal configurada puede exponer todo eso a cualquiera con un enlace. Esta guía explica cómo controlar la compartición y reducir el riesgo de fuga de datos.

El riesgo de los enlaces "cualquiera con el enlace"

Cuando un archivo se comparte como "cualquiera con el enlace", deja de estar protegido por autenticación: cualquiera que obtenga la URL puede acceder, y esos enlaces pueden acabar indexados o reenviados. Es uno de los orígenes más habituales de exposición accidental de datos sensibles.

Controla la compartición externa

Desde la consola de administración puedes restringir la compartición externa a dominios de confianza, activar avisos cuando se comparte fuera de la organización y desactivar por defecto la creación de enlaces públicos. Es una de las configuraciones que más reduce el riesgo de fuga.

Permisos, propiedad y unidades compartidas

Los archivos en "Mi unidad" pertenecen al empleado y pueden perderse cuando se va; las unidades compartidas (Shared Drives) mantienen la propiedad en manos de la empresa. Revisar periódicamente los permisos y mover la información crítica a unidades compartidas mejora el control y la continuidad.

DLP para datos sensibles

Las reglas de prevención de pérdida de datos (DLP) detectan y bloquean la salida de información sensible —datos personales, números de tarjeta, credenciales— antes de que se comparta indebidamente. Es una capa imprescindible para cumplir el RGPD y proteger la propiedad intelectual.

Los niveles de acceso de un archivo y qué expone cada uno

Antes de cambiar políticas conviene entender qué significa exactamente cada opción del selector de compartición, porque la diferencia de riesgo entre ellas es enorme.

Nivel de acceso	Quién puede abrirlo	Riesgo principal
Restringido	Solo las personas añadidas por nombre	El más seguro; exige gestionar las invitaciones
Cualquiera con el enlace	Cualquiera que reciba o descubra la URL	Sin autenticación: el enlace se reenvía, se pega en un chat o queda en un historial
Todo el dominio con el enlace	Cualquier empleado, sin pedir permiso	Un solo compromiso interno accede a todo lo marcado así
Compartido con un grupo	Los miembros actuales del grupo	El acceso cambia solo al cambiar el grupo y nadie lo revisa
Unidad compartida	Los miembros, según su rol	Correcto para empresa, pero un rol de gestor de más permite sacarlo todo

El salto de riesgo real está entre las dos primeras filas: en cuanto un archivo deja de exigir identidad, deja de existir el control de acceso.

Cómo encontrar lo que ya está expuesto

Cambiar la política hacia adelante no arregla lo que se compartió mal durante años. Para eso hay que ir a los registros de auditoría de Drive y a la herramienta de investigación de la consola de administración, filtrando por los eventos de cambio de visibilidad y por los archivos compartidos fuera del dominio.

Lo que merece la pena buscar, por orden: archivos accesibles por enlace público que contengan datos personales, credenciales o información financiera; colaboradores externos que siguen con acceso a proyectos cerrados hace tiempo; archivos cuyo propietario es una cuenta suspendida; y unidades compartidas donde algún externo figura como gestor. La herramienta de investigación permite además cambiar la visibilidad de los resultados en bloque, así que el inventario y la remediación se pueden hacer en la misma pasada. En entornos grandes, la alternativa es recorrer el estado con la API de Drive y la API de informes.

FAQ

¿Cómo encuentro los archivos compartidos públicamente?

Con la herramienta de investigación y los informes de Drive de la consola de administración. En una auditoría de Workspace revisamos precisamente la compartición externa y los enlaces públicos con datos sensibles.

¿Qué pasa con los archivos de un empleado que se va?

Si están en "Mi unidad", pueden perderse o quedar huérfanos al eliminar la cuenta. Por eso conviene usar unidades compartidas para la información de empresa y transferir la propiedad de los datos como parte del offboarding.

¿Restringir la compartición externa rompe el trabajo con clientes y proveedores?

No si se hace con una lista de dominios de confianza en lugar de un bloqueo total. Ese modelo mantiene intacta la colaboración prevista —los dominios con los que trabajáis de verdad— y corta la improvisada, que es donde se producen las fugas. Los avisos al compartir fuera de la organización complementan bien esa política sin bloquear a nadie.

¿Qué se entrega en una revisión de Drive?

El inventario de archivos expuestos clasificado por nivel de acceso, la identificación de los que contienen datos sensibles, los permisos heredados de proyectos ya cerrados, el estado de la propiedad de los datos (qué hay en "Mi unidad" que debería estar en una unidad compartida) y la configuración de compartición propuesta por unidad organizativa.

¿Se puede hacer sin interrumpir a los usuarios?

Sí. El inventario es de solo lectura sobre los registros y los informes, así que nadie nota nada. Lo que sí conviene avisar es el cambio de política posterior: si un archivo deja de ser público, quien lo usaba por enlace se quedará fuera, y eso se comunica antes y se despliega por fases.

¿Las reglas de DLP están disponibles en cualquier edición de Workspace?

No. La prevención de pérdida de datos para Drive es una función de las ediciones superiores, así que conviene comprobar qué edición tenéis antes de diseñar la política. Si no está disponible, la alternativa realista es apoyarse en el control estricto de la compartición externa, en las unidades compartidas y en la revisión periódica de enlaces públicos.