ADMIN-024: Aplicaciones de Marketplace limitadas a una lista de permitidas (GWS.COMMONCONTROLS.11.1)
- Plataforma
- Google Workspace
- Categoría
- Admin & User Management
- Severidad
- High
- Pilar de Zero Trust
- Applications & Workloads (peso 3)
- Fixtures de referencia
- 6
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- baseline
Qué comprueba
SCuBA GWS.COMMONCONTROLS.11.1: una aplicación de Marketplace instalada por un usuario hereda mediante OAuth el acceso de ese usuario a los datos de Workspace, de modo que un Marketplace sin restricciones es un canal de salida de datos de autoservicio que nunca pasa por revisión. Lee workspace_marketplace.apps_access_options y exige que accessLevel sea ALLOW_LISTED_APPS o ALLOW_NONE. Además falla cuando allowAllInternalApps está activado, porque esa opción exime a las aplicaciones publicadas internamente de la lista de permitidas que el control existe para imponer.
Valor recomendado
Instalaciones de Marketplace restringidas a una lista de permitidas o bloqueadas por completo, sin eximir las aplicaciones internas
Remediación
Consola de administración > Aplicaciones > Google Workspace Marketplace > Configuración. Establezca el acceso en 'Permitir que los usuarios instalen solo aplicaciones de la lista de permitidas' o bloquee las instalaciones por completo, y desactive la opción que permite todas las aplicaciones internas.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| clean-blocked | PASS |
| field-missing | Not Assessed |
| known-bad-access | FAIL |
| known-bad-internal | FAIL |
| not-assessed | Not Assessed |
Mapeos a marcos de referencia
- CISA SCuBA
- GWS.COMMONCONTROLS.11.1v1
- NIST SP 800-53
- CM-7, AC-3, SA-9
- MITRE ATT&CK
- T1550.001