GWS-K12-007: Guardian Access Integrity
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- Medium
- Pilar de Zero Trust
- Identity (peso 1)
- Fixtures de referencia
- 7
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Por unidad organizativa: requiere el parámetro -StudentOU (o el campo Student OUs en Show-Guerrilla). Sin él, esta comprobación informa No evaluado.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-SAFE-002 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Guardian email summaries exist so parents see their own student's activity. The integrity property that is machine-assessable is who can register and remove guardians: domain admins only is the narrow surface; verified teachers widen it and require a documented identity-check procedure. How the district verifies a guardian's identity before inviting them is a policy review item this check cannot read. Findings describe configuration posture, not incidents.
Valor recomendado
If guardian access is enabled, guardian management is restricted to domain admins, or a documented teacher-side verification procedure exists
Remediación
Admin Console > Apps > Google Workspace > Classroom > Guardian access. Select the student organizational unit. If guardian summaries are in use, set 'Who can manage guardians' to domain admins only, or document the verification procedure teachers must follow before inviting a guardian.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| disabled | PASS |
| no-policy | WARN |
| no-scope | Not Assessed |
| not-assessed | Not Assessed |
| ou-absent | Not Assessed |
| teacher-managed | WARN |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-2