GWS-K12-004: Vendor Delegated Access Review
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- High
- Pilar de Zero Trust
- Applications & Workloads (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Todo el tenant: se evalúa en todo el tenant, sin necesidad de indicar OU de estudiantes.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-IDENT-002 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Domain-wide delegation grants give a vendor's service account standing access to user data across the tenant, including student data. SIS platforms, rostering tools, and EdTech vendors accumulate these grants over years and stale grants rarely get removed. Every grant with sensitive scopes should map to a current vendor contract and the narrowest workable scope set.
Valor recomendado
Every domain-wide delegation grant maps to a current vendor and carries only the scopes that vendor needs
Remediación
Admin Console > Security > Access and data control > API controls > Domain-wide delegation. For each client ID, confirm which vendor owns it and that the contract is current; remove grants for departed vendors; reduce scope sets that exceed the vendor's function (mail, Drive, directory, and contacts scopes deserve particular scrutiny).
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| not-assessed | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, AC-20
- MITRE ATT&CK
- T1098.001, T1550