GWS-K12-009: Departed Student Account Disposition
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- Medium
- Pilar de Zero Trust
- Identity (peso 2)
- Fixtures de referencia
- 6
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Por unidad organizativa: requiere el parámetro -StudentOU (o el campo Student OUs en Show-Guerrilla). Sin él, esta comprobación informa No evaluado.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-LIFE-001 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Graduation and withdrawal produce accounts nobody owns. An active account belonging to a departed student is an unwatched identity that still receives mail and still holds data. This check surfaces accounts in the student OUs that are active but have not signed in for a year or more, and reminds the district that suspended accounts still hold Drive data whose ownership should be resolved before deletion.
Valor recomendado
Departed students are suspended or archived on departure; no student account stays active with a year of no sign-ins
Remediación
Admin Console > Directory > Users. Filter to the student organizational unit and sort by Last sign-in. Suspend or archive accounts belonging to withdrawn or graduated students. Before deleting suspended accounts, transfer Drive ownership (Admin Console > Directory > Users > select user > Delete > transfer content) or export via Takeout/Vault as your retention policy requires.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| empty-ou | WARN |
| known-bad | WARN |
| no-scope | Not Assessed |
| not-assessed | Not Assessed |
| ou-absent | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-2
- MITRE ATT&CK
- T1078.004