ADMIN-023: Número de superadministradores dentro del rango admitido (GWS.COMMONCONTROLS.6.2)
- Plataforma
- Google Workspace
- Categoría
- Admin & User Management
- Severidad
- High
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 4
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- baseline
Qué comprueba
SCuBA GWS.COMMONCONTROLS.6.2: un tenant necesita al menos dos superadministradores para que la pérdida de una sola cuenta no deje a la organización fuera de su propio tenant, y no más de ocho porque cada superadministrador adicional es una vía sin restricciones hacia todo el tenant. Cuenta las cuentas activas con privilegio de superadministrador en el directorio y falla fuera del rango de dos a ocho. Las cuentas de emergencia son una excepción documentada que debe registrarse, no una aprobación automática, por lo que se cuentan y se enumeran.
Valor recomendado
Entre dos y ocho cuentas de superadministrador distintas, con las cuentas de emergencia documentadas
Remediación
Consola de administración > Cuenta > Funciones de administrador > Superadministrador. Si hay menos de dos, promueva una segunda cuenta de administrador dedicada para permitir la recuperación. Si hay más de ocho, traslade a los administradores a la función delegada más restringida que cubra sus tareas y retire el privilegio de superadministrador.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad-too-few | FAIL |
| known-bad-too-many | FAIL |
| not-assessed | Not Assessed |
Mapeos a marcos de referencia
- CISA SCuBA
- GWS.COMMONCONTROLS.6.2v1
- NIST SP 800-53
- AC-2, AC-6, AC-6(5)
- MITRE ATT&CK
- T1078.004