GTRADE-005: Super-Admin-Equivalent Custom Roles
- Plataforma
- Google Workspace
- Categoría
- Adversary Tradecraft
- Severidad
- Medium
- Pilar de Zero Trust
- Visibility & Analytics (peso 1)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- original
Qué comprueba
Custom admin roles carrying high-power privileges (user management, security settings, role management, data export/Takeout) can approximate super-admin capability while evading a simple super-admin head-count — a quiet privilege-concentration and persistence vector.
Valor recomendado
No custom role carries super-admin-equivalent privileges (user/security/role management or data export) outside break-glass use
Remediación
Account > Admin roles: review custom roles holding user-management, security-settings, role-management, or data-export/Takeout privileges; split into narrowly-scoped roles and limit assignees.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, AC-6(7)
- CIS Benchmark
- 1.x
- MITRE ATT&CK
- T1098