Súper administradores en Google Workspace: buenas prácticas de seguridad
Por el equipo de QuantumSec
La cuenta de súper administrador es la llave maestra de tu Google Workspace: accede a todo, cambia cualquier configuración y crea o elimina usuarios. Es también el objetivo más codiciado por un atacante. Gestionarla bien es una de las decisiones de seguridad más importantes de tu entorno.
Cuántos súper administradores deberías tener
El CIS Benchmark recomienda dos o menos. Demasiados súper admins multiplican la superficie de ataque de las cuentas más valiosas; tener uno solo, en cambio, te expone a quedarte bloqueado si esa cuenta se pierde. El equilibrio habitual es dos cuentas, fuertemente protegidas y supervisadas.
Separa las cuentas de administración de las de uso diario
Un súper administrador no debería usar esa misma cuenta para leer correo o navegar a diario. Lo recomendable es tener cuentas de administración dedicadas, sin uso cotidiano, de modo que un phishing a la cuenta normal de un empleado nunca comprometa privilegios de administración.
Mínimo privilegio con roles delegados
No todo el equipo de IT necesita ser súper admin. Google Workspace permite crear roles administrativos delegados (gestión de usuarios, soporte de asistencia, gestión de grupos, etc.) que conceden solo los permisos necesarios. Aplicar el mínimo privilegio reduce drásticamente el impacto si una de esas cuentas se compromete.
Protección reforzada de las cuentas de administrador
Protege cada cuenta de administrador con llaves de seguridad o passkeys, inscríbelas en el Programa de Protección Avanzada y configura alertas para los cambios de privilegios. Revisa periódicamente quién tiene roles administrativos y elimina los que ya no correspondan.
FAQ
¿Por qué no usar una sola cuenta de súper admin para todo?
Por dos motivos: si esa cuenta se pierde o se bloquea, te quedas sin acceso administrativo; y si se compromete, el atacante lo controla todo. Lo recomendable son dos cuentas protegidas y roles delegados para el resto del equipo.
¿Cómo detecto si se crean nuevos administradores sin autorización?
Configurando alertas en la consola de administración para los cambios de privilegios y revisando los registros de auditoría. La creación de un nuevo súper admin es uno de los eventos que siempre debería disparar una alerta.