Google Workspace, la postura di sicurezza
35 controlli sul catalogo CIS Google Workspace Foundations, con lo stesso metodo di punteggio usato per Microsoft 365.
Le impostazioni che nessuno rivede dopo l'attivazione
La sicurezza di Google Workspace si gioca in una manciata di impostazioni che quasi nessuno ricontrolla dopo il primo giorno: verifica in due passaggi non obbligatoria, app meno sicure ancora consentite, condivisione dei file verso l'esterno senza limiti, gruppi aperti a chiunque.
Dottor Box le verifica tutte con 35 indicatori tratti dal catalogo CIS Google Workspace Foundations, il riferimento pubblico per la configurazione sicura della piattaforma. Ti dice con un punteggio quanto sei lontano dalla configurazione raccomandata e, soprattutto, dove intervenire prima.
Il metodo di calcolo è lo stesso della valutazione di Microsoft Entra ID: se in azienda convivono Google e Microsoft, i due punteggi si possono mettere uno accanto all'altro.
Quando Google non fornisce un dato, l'indicatore risulta "non valutabile", non "superato". Un controllo mai eseguito non viene spacciato per riuscito.
Cosa ottieni
Verifica settimanale
Identità, app di terze parti, Gmail, gruppi, dispositivi e condivisione, controllati sul catalogo CIS.
Il dominio contro lo spoofing
Controllo di SPF, DKIM e DMARC: chi può spedire email fingendosi la tua azienda?
Le vie di esfiltrazione
Inoltri automatici verso l'esterno e deleghe di casella, le strade classiche con cui la posta esce senza che nessuno se ne accorga.
Punteggio confrontabile
Stesso metodo di Microsoft Entra ID: utile per chi usa entrambe le piattaforme.
Sette aree di controllo CIS
I 35 indicatori sono raggruppati per area: il punteggio di ciascuna ti dice dove sta il problema.
- Identità e amministratori: verifica in due passaggi, account con privilegi
- Applicazioni e accessi di terze parti collegate all'account aziendale
- Gmail e dominio: SPF, DKIM, DMARC, inoltri e deleghe
- Gruppi: chi può iscriversi e chi può scrivere
- Dispositivi che accedono ai dati aziendali
- Condivisione di file e cartelle verso l'esterno
- Monitoraggio: avvisi e registri attivi nella console
Un account di servizio, permessi spiegati uno per uno
La guida nel prodotto, in italiano e in inglese, porta il tuo amministratore dalla console Google Cloud al primo report.
Crei l'account di servizio
Nel tuo progetto Google Cloud crei un account di servizio, abiliti le API necessarie e carichi la chiave in Dottor Box, dove resta cifrata.
Autorizzi la delega
Dottor Box ti mostra il client ID e gli ambiti esatti da incollare nella Admin console. La guida spiega a cosa serve ogni singolo permesso richiesto.
Il controllo gira ogni settimana
L'analisi parte il martedì mattina, in un giorno diverso da quella di Microsoft per non sovrapporre due elaborazioni lunghe. Puoi anche avviarla quando vuoi.
Sola lettura, nei fatti. Gli ambiti richiesti sono di sola lettura, con tre eccezioni per cui Google non offre una variante in lettura. Anche su quelle la piattaforma esegue soltanto letture: non modifica utenti, gruppi né impostazioni.
SPF, DKIM e DMARC letti dove stanno davvero
Nessuna API di Google espone i record di autenticazione della posta. Per questo Dottor Box li legge direttamente dal DNS del tuo dominio, come farebbe un server di posta che riceve una tua email. Il risultato è quello che vede il mondo, non quello che dice la console.
"Non valutabile" non vuol dire "superato"
Capita che Google non popoli un campo, per via della licenza o di un'impostazione mai toccata. In quel caso l'indicatore viene marcato non valutabile e lo vedi come tale. Molti strumenti, in assenza del dato, danno il controllo per buono: è il modo più rapido per alzare un punteggio e il più sicuro per farsi trovare impreparati in un audit.
A quali norme contribuisce
Il catalogo CIS è la base tecnica di molti framework: i risultati diventano evidenze per il controllo degli accessi, la protezione della posta e la gestione delle configurazioni.
Spesso attivati insieme
Microsoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereLog accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di più VedereDark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.