Seguridad de Google Workspace para empresas: guía completa
Por el equipo de QuantumSec
Google Workspace concentra el correo, los documentos, el calendario y las identidades de toda tu empresa en un único entorno. Esa centralización lo convierte en uno de los objetivos más valiosos para un atacante: comprometer un Workspace mal configurado puede dar acceso a todo el negocio. Esta guía explica los riesgos reales, qué revisar y cómo proteger tu entorno más allá de los ajustes por defecto.
Por qué Google Workspace es un objetivo prioritario
Google Workspace centraliza el correo, la identidad, los documentos y las comunicaciones de la organización. Comprometer una sola cuenta —especialmente la de un administrador— puede abrir el acceso a años de correo, a todo Drive y a las decenas de aplicaciones SaaS conectadas mediante SSO. Por eso el phishing y el robo de credenciales dirigidos a entornos cloud son hoy el principal vector de entrada en las empresas. Y como casi todo el negocio "vive" dentro del Workspace, el impacto de un compromiso es total: fraude del CEO (BEC), exfiltración de datos y secuestro de cuentas.
El modelo de responsabilidad compartida
Google asegura su infraestructura: centros de datos, disponibilidad y parches de la plataforma. Pero la configuración de tu entorno, las políticas de acceso, los permisos de los usuarios, las apps que conectas y la detección de actividad sospechosa son responsabilidad de tu organización. La mayoría de los incidentes no explotan un fallo de Google, sino una mala configuración del cliente. Asumir que "Google ya lo protege todo" es el error más común y el más caro.
Los riesgos más habituales en un Workspace empresarial
En las auditorías encontramos casi siempre los mismos patrones: cuentas de administrador sin 2FA o un exceso de súper administradores; apps de terceros (OAuth) con permisos amplios sobre Gmail y Drive, muchas de ellas olvidadas; delegación de dominio (Domain-Wide Delegation) mal controlada que permite impersonar a cualquier usuario; reglas de reenvío y filtros maliciosos en Gmail usados como mecanismo de persistencia; compartición externa excesiva en Drive con enlaces de tipo "cualquiera con el enlace"; ausencia de prevención de fugas (DLP) y de retención; y cuentas huérfanas de ex-empleados que nunca se dieron de baja.
Configuración esencial: identidad, acceso y administración
La base de un Workspace seguro empieza por la identidad. Imponer verificación en dos pasos a toda la organización (idealmente con llaves de seguridad o passkeys para los administradores), limitar los súper administradores a dos o menos, aplicar el principio de mínimo privilegio con roles administrativos delegados, configurar una longitud de sesión razonable y activar el acceso contextual (Context-Aware Access) para restringir el acceso por dispositivo o ubicación. El CIS Google Workspace Benchmark es el marco de referencia para revisar punto por punto esta configuración.
Gmail y Drive: los dos vectores que más datos exponen
En Gmail, configura correctamente SPF, DKIM y DMARC para evitar la suplantación de tu dominio, activa la protección anti-phishing avanzada y revisa periódicamente las reglas de reenvío automático: son un mecanismo de persistencia clásico tras un compromiso. En Drive, controla la compartición externa, desactiva por defecto los enlaces públicos, revisa qué archivos están compartidos con "cualquiera con el enlace" y aplica reglas de DLP para los datos sensibles (datos personales, financieros o propiedad intelectual).
Cómo saber si tu Workspace está realmente seguro
Una autoevaluación con el CIS Benchmark y una revisión de los registros con la herramienta de investigación de Google son un buen primer paso. Pero una auditoría externa con enfoque ofensivo encuentra lo que la autoevaluación no ve: el encadenamiento de varios vectores, las apps OAuth realmente peligrosas y las delegaciones de dominio olvidadas. La recomendación es auditar el entorno al menos una vez al año y siempre tras cambios relevantes (migraciones, crecimiento de usuarios, nuevas integraciones) o ante cualquier sospecha de incidente.
FAQ
¿Google Workspace es seguro por defecto?
Tiene una base sólida, pero la configuración por defecto no es la más segura: prioriza la facilidad de uso. Para un entorno empresarial hay que endurecerla (2FA obligatorio, control de apps OAuth, restricción de compartición externa, etc.) siguiendo un marco como el CIS Benchmark.
¿Cada cuánto debería revisar la seguridad de mi Workspace?
Al menos una vez al año, y siempre tras cambios importantes (migración, crecimiento rápido, nuevas integraciones de terceros) o ante cualquier sospecha de acceso no autorizado, phishing o fraude del CEO.