GWS-K12-002: Student External Drive Sharing Restricted
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- High
- Pilar de Zero Trust
- Data (peso 2)
- Fixtures de referencia
- 8
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Por unidad organizativa: requiere el parámetro -StudentOU (o el campo Student OUs en Show-Guerrilla). Sin él, esta comprobación informa No evaluado.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-DATA-002 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Whatever the staff posture, student OUs should not permit unrestricted silent sharing outside the organization. Defensible student postures range from fully disabled to allowlisted domains; sharing that is on with a warning prompt is the weakest acceptable floor and should be a deliberate district decision for the age band.
Valor recomendado
Student OU external Drive sharing is DISALLOWED or restricted to allowlisted domains; if ALLOWED, the external-sharing warning is enabled and the choice is documented
Remediación
Admin Console > Apps > Google Workspace > Drive and Docs > Sharing settings. Select the student organizational unit and set 'Sharing outside of your organization' to Off or Allowlisted domains. If the district deliberately permits external sharing for a student OU, enable 'Warn when files owned by users in your organization are shared outside' at minimum.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| allowlisted | PASS |
| clean | PASS |
| known-bad | FAIL |
| no-policy | WARN |
| no-scope | Not Assessed |
| not-assessed | Not Assessed |
| ou-absent | Not Assessed |
| warn-on-external | WARN |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-3, AC-4
- MITRE ATT&CK
- T1567, T1537