GWS-K12-002: Uso compartido externo de Drive de estudiantes restringido
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- High
- Pilar de Zero Trust
- Data (peso 2)
- Fixtures de referencia
- 8
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Por unidad organizativa: requiere el parámetro -StudentOU (o el campo Student OUs en Show-Guerrilla). Sin él, esta comprobación informa No evaluado.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-DATA-002 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Sea cual sea la postura del personal, las OU de estudiantes no deben permitir el uso compartido silencioso e irrestricto fuera de la organización. Las posturas defendibles para los estudiantes van desde totalmente deshabilitado hasta dominios en lista de permitidos; el uso compartido activado con una advertencia es el umbral aceptable más débil y debe ser una decisión deliberada del distrito para la franja de edad.
Valor recomendado
El uso compartido externo de Drive de la OU de estudiantes está en NO PERMITIDO o restringido a dominios en lista de permitidos; si está PERMITIDO, la advertencia de uso compartido externo está habilitada y la elección está documentada
Remediación
Consola de administración > Aplicaciones > Google Workspace > Drive y Documentos > Configuración de uso compartido. Seleccione la unidad organizativa de estudiantes y establezca 'Uso compartido fuera de tu organización' en Desactivado o en Dominios en lista de permitidos. Si el distrito permite deliberadamente el uso compartido externo para una OU de estudiantes, habilite como mínimo 'Advertir cuando los archivos propiedad de usuarios de tu organización se compartan fuera'.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| allowlisted | PASS |
| clean | PASS |
| known-bad | FAIL |
| no-policy | WARN |
| no-scope | Not Assessed |
| not-assessed | Not Assessed |
| ou-absent | Not Assessed |
| warn-on-external | WARN |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-3, AC-4
- MITRE ATT&CK
- T1567, T1537