GWS-K12-005: Mínimo privilegio del administrador delegado
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- High
- Pilar de Zero Trust
- Identity (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Todo el tenant: se evalúa en todo el tenant, sin necesidad de indicar OU de estudiantes.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-IDENT-003 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Los distritos suelen otorgar a orientadores, secretarios y administradores de edificio roles de administrador delegado para tareas legítimas usando roles mucho más amplios que la tarea. Un rol delegado que lleva privilegios de gestión de usuarios o de seguridad en todo el dominio alcanza a cada cuenta de estudiante; acotar el mismo rol a una unidad organizativa lo contiene. Esta comprobación muestra las asignaciones delegadas de alcance de todo el dominio para su revisión; si cada titular necesita ese alcance es una decisión del distrito.
Valor recomendado
Los roles de administrador delegado con privilegios de gestión de usuarios o de seguridad se acotan a las unidades organizativas que el titular atiende, no a todo el dominio
Remediación
Consola de administración > Cuenta > Roles de administrador. Para cada asignación de rol personalizado o predefinido señalada en la evidencia, acote la asignación a la unidad organizativa correspondiente (edite el alcance de la asignación) o reemplace el rol por uno que lleve únicamente los privilegios que necesitan las funciones del titular.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| not-assessed | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, AC-5
- MITRE ATT&CK
- T1078.004