Seguridad en Google Workspace: guía práctica para administradores (2026)
Qué permite cada edición, las diez prácticas de configuración por orden de impacto, y qué exige el RGPD a una empresa española. Con la ruta exacta de consola de cada ajuste.
Google Workspace llega bien protegido de fábrica, pero no llega configurado.
La diferencia entre un tenant seguro y uno expuesto está casi siempre en una docena de ajustes de la consola de administración que nadie revisó después de la migración.
Esta guía recorre esos ajustes en orden de impacto, con la ruta exacta de cada uno y —esto es lo que suele faltar— la edición mínima que hace falta para tenerlo. Porque la mitad de los consejos de seguridad que circulan sobre Google Workspace describen funciones que tu licencia no incluye.
Empieza por aquí: qué permite tu edición
Antes de planificar nada, conviene saber con qué cartas juegas. No todas las funciones de seguridad están en todas las ediciones, y descubrirlo a mitad de un proyecto de endurecimiento es la forma más rápida de perder tiempo. El detalle por edición lo mantiene Google en su centro de ayuda para administradores.
| Función | Ediciones que la incluyen |
|---|---|
| Verificación en dos pasos y passkeys | Todas |
| Control de compartición externa en Drive | Todas |
| Protecciones antiphishing y antispoofing de Gmail | Todas |
| SPF, DKIM y DMARC | Todas (se configuran en tu DNS) |
| Control de acceso de aplicaciones de terceros (OAuth) | Todas |
| Gestión de dispositivos básica | Todas |
| Informes de DLP (solo lectura, sin reglas) | Incluye las ediciones Business |
| Reglas de DLP / Protección de datos | Frontline Standard y Plus; Enterprise Standard y Plus; Education Fundamentals, Standard y Plus; Enterprise Essentials Plus |
| Security Center: panel, herramienta de investigación y estado de seguridad | Frontline Standard y Plus; Enterprise Standard y Plus; Education Standard y Plus; Enterprise Essentials Plus |
| Ver contenido sensible en la herramienta de investigación | Frontline Plus; Enterprise Plus; Education Standard y Plus |
Dos conclusiones que conviene tener claras desde el principio:
Si estás en cualquier edición Business, no tienes reglas de DLP ni Security Center. Tienes los informes de DLP, que te dicen qué contenido sensible existe pero no actúan sobre él, y tienes la página de Auditoría e investigación en lugar de la herramienta de investigación completa. Se puede hacer mucho con eso, y las diez prácticas de más abajo indican cuáles te aplican.
Estar en una edición soportada no significa tener toda la funcionalidad. Enterprise Standard, por ejemplo, accede a la herramienta de investigación pero solo a un subconjunto de fuentes de datos, y no puede ver el contenido sensible de un mensaje. Si tu caso de uso es investigar incidentes en profundidad, la edición que necesitas es Enterprise Plus.
Los riesgos reales y qué los mitiga
| Riesgo | Mitigación en Google Workspace |
|---|---|
| Phishing y suplantación del remitente | Protecciones avanzadas de Gmail más SPF, DKIM y DMARC bien configurados |
| Robo de credenciales | Verificación en dos pasos con passkeys o llaves físicas, y acceso contextual |
| Compromiso de una cuenta de administrador | Menos superadministradores, llaves de seguridad y Programa de Protección Avanzada |
| Fuga de datos por compartición | Controles de compartición externa en Drive y reglas de DLP donde la edición lo permita |
| Malware y ransomware | Análisis automático de adjuntos en Gmail y archivos en Drive |
| Aplicaciones de terceros con acceso excesivo | Control de acceso de aplicaciones y revisión periódica de permisos OAuth |
| Dispositivos perdidos o no gestionados | Políticas de dispositivos con cifrado, bloqueo y borrado remoto |
Las 10 prácticas, por orden de impacto
1Verificación en dos pasos obligatoria, sin dejar a nadie fuera
La autenticación en dos pasos sigue siendo la medida con mejor relación entre esfuerzo y protección. Dos matices que marcan la diferencia:
Prioriza passkeys y llaves de seguridad físicas. Son resistentes al phishing, que es precisamente el vector que más se usa contra Workspace. Las apps de códigos son aceptables como respaldo. El SMS conviene desactivarlo como método: es el más débil de todos y su presencia rebaja la seguridad del conjunto.
Y no la actives como obligatoria de golpe. Define un periodo de inscripción para que la gente se registre, crea un grupo de excepción temporal para los casos que necesiten más tiempo, y ten decidido de antemano el procedimiento de recuperación. Activar la obligatoriedad sin esto deja usuarios fuera el primer lunes.
2Menos superadministradores, y una cuenta de emergencia
Las cuentas de superadministrador son el objetivo prioritario de cualquier atacante, y en la mayoría de organizaciones hay más de las necesarias. Reduce el número al mínimo, asigna roles delegados con permisos específicos para las tareas del día a día, e inscribe a los superadministradores restantes en el Programa de Protección Avanzada de Google o exígeles llaves de seguridad físicas.
El punto que casi nadie contempla: mantén una cuenta de emergencia de superadministrador, con sus códigos de recuperación guardados fuera del sistema y en un lugar físicamente seguro. Endurecer la seguridad sin esta red te expone a quedarte sin acceso a tu propio tenant, que es un incidente igual de grave que una intrusión y bastante más frecuente.
3Políticas estrictas de compartición en Drive
Limita la compartición externa al nivel más restrictivo que tu operativa admita. Si necesitas trabajar con clientes o proveedores concretos, usa la lista de dominios de confianza en lugar de abrir la compartición a todo internet. Revisa también la caducidad de los accesos y si los usuarios pueden crear enlaces públicos.
Aquí conviene ser realista: una política demasiado restrictiva sin alternativa práctica hace que la gente use su cuenta personal. Diseña la política junto con el flujo de trabajo que tiene que sustituir.
4Protecciones avanzadas contra phishing en Gmail
Activa la protección contra suplantación de remitentes de tu propio dominio, la detección de dominios parecidos, el análisis de enlaces y adjuntos sospechosos, y las advertencias visibles para destinatarios externos. Son ajustes que no vienen todos activados por defecto y que cuestan minutos.
5SPF, DKIM y DMARC
| Protocolo | Función |
|---|---|
| SPF | Declara qué servidores están autorizados a enviar correo en nombre de tu dominio |
| DKIM | Firma digitalmente tus mensajes para que el receptor verifique que no se han alterado |
| DMARC | Indica al receptor qué hacer con el correo que no supera SPF o DKIM, y te envía informes |
Esto ya no es una buena práctica opcional. Desde 2024 los grandes proveedores de correo exigen autenticación a quien envía volumen, así que sin DMARC configurado tus comunicaciones legítimas empiezan a acabar en spam. Empieza con una política de monitorización, revisa los informes durante unas semanas para no bloquear correo propio, y endurécela progresivamente.
6Auditar las aplicaciones de terceros con acceso OAuth
Cada aplicación que un usuario ha autorizado tiene una puerta abierta a los datos de la organización. Revisa qué hay conectado, revoca lo que no se use, y pasa a un modelo de lista de aplicaciones permitidas en lugar de permitir que cualquier usuario autorice cualquier cosa.
Presta atención especial a las aplicaciones con permisos amplios sobre Gmail o Drive, y a las cuentas de servicio con delegación de dominio: esas pueden actuar en nombre de cualquier usuario del dominio. Si tu organización está montando integraciones propias, el modelo de identidad se decide antes de escribir código — lo desarrollamos en la guía sobre integrar Google Workspace con tus sistemas.
7Acceso contextual
Es la función más subestimada del catálogo. En lugar de decidir el acceso solo por credenciales, lo condicionas al contexto: desde qué red se conecta el usuario, si el dispositivo está gestionado y cifrado, desde qué país. Puedes exigir dispositivo corporativo para acceder a Drive y dejar el correo accesible desde cualquier sitio, por ejemplo.
Es lo que convierte una configuración de seguridad estática en una que responde al riesgo real de cada acceso.
8Gestión de dispositivos
Exige cifrado, bloqueo de pantalla y la capacidad de borrado remoto del perfil corporativo. En dispositivos personales, usa la gestión de solo el perfil de trabajo: protege los datos de la empresa sin tocar los datos personales del empleado, lo que además reduce la resistencia a implantarlo.
9Reglas de protección de datos (DLP)
Las reglas de DLP detectan contenido sensible —números de tarjeta, identificadores fiscales, patrones propios que definas— y actúan: avisan al usuario, bloquean la compartición o generan una alerta.
Empieza siempre en modo de solo auditoría. Deja las reglas observando unas semanas, revisa los falsos positivos y solo entonces pasa a bloquear. Una regla de DLP mal calibrada que bloquea trabajo legítimo se desactiva en una semana y no vuelve.
Si estás en una edición Business, lo que tienes son los informes de DLP: te dicen qué contenido sensible hay en Drive y en el correo saliente, sin capacidad de actuar automáticamente. Son un buen punto de partida para justificar internamente el salto de edición, porque ponen números al riesgo.
10Visibilidad: Security Center o Auditoría e investigación
El Security Center reúne tres cosas: un panel con la foto de tu postura de seguridad, la página de estado de seguridad que compara tu configuración con las recomendaciones de Google, y la herramienta de investigación para analizar incidentes y actuar en bloque, por ejemplo borrando un correo malicioso de todos los buzones a la vez.
Recuerda el matiz de la matriz: acceder a la herramienta no es tener toda la funcionalidad. Ver el contenido sensible de un mensaje durante una investigación requiere Enterprise Plus, Frontline Plus o Education Standard o Plus.
Si tu edición no incluye Security Center, la página de Auditoría e investigación te da los registros para investigar a posteriori. Es menos cómodo, pero la información está.
Cumplimiento: lo que exige operar en España
Endurecer la configuración es una parte del trabajo. La otra es poder demostrarlo, y para una empresa española eso significa RGPD.
Regiones de datos
Las ediciones superiores permiten especificar que los datos en reposo de tu organización se almacenen en Europa. No sustituye a un análisis jurídico, pero es un elemento habitual en las evaluaciones de impacto y en los cuestionarios de proveedores.
Retención y eDiscovery
Vault permite definir políticas de retención y conservar información ante un requerimiento legal. Es la diferencia entre poder responder a una reclamación y no poder. Está disponible desde Business Plus, pero conviene verificar el detalle para tu edición.
Cifrado del lado del cliente
Para sectores especialmente regulados, permite que las claves de cifrado estén bajo tu control y no de Google. Es una decisión de arquitectura, no un interruptor: condiciona funcionalidades como la búsqueda dentro de los documentos cifrados.
Registros de auditoría
Los registros de Workspace son la prueba de que tus controles funcionan. Defínelos con retención suficiente y expórtalos si necesitas conservarlos más tiempo del que ofrece la consola.
Si estás planteando este trabajo dentro de un proyecto más amplio de infraestructura, el punto de partida es el diagnóstico: dónde viven los datos y qué nivel de cumplimiento necesitas. Lo tratamos en la guía de Google Cloud en España 2026.
La seguridad de Workspace no es un silo
Google Workspace no debería asegurarse al margen del resto de tu entorno en Google Cloud.
Identidad centralizada
Cloud Identity unifica el inicio de sesión único y las políticas de acceso entre Workspace y el resto de tus servicios en Google Cloud, de modo que un cambio de política se aplica en todas partes y una baja de empleado cierra todos los accesos a la vez.
Políticas de datos coherentes
La clasificación y la retención deberían aplicarse con el mismo criterio en Workspace y en tus cargas de trabajo en Google Cloud. Tener dos modelos distintos genera huecos justo en las costuras.
Monitorización unificada
Exportar los registros de auditoría de Workspace hacia Google SecOps te permite correlacionar lo que pasa en el correo y en Drive con lo que pasa en tu infraestructura. Un intento de intrusión rara vez se queda en un solo plano.
Ese mismo principio de plataforma única aplica cuando incorporas IA sobre tus datos de Workspace: la gobernanza tiene que ser la misma. Lo desarrollamos en el artículo sobre Gemini Enterprise para empresas españolas.
La seguridad es un proceso, no un proyecto
Las diez prácticas anteriores son una configuración inicial. Lo que mantiene el nivel es la rutina.
Auditorías periódicas. Programa una revisión trimestral de usuarios activos, roles de administrador, aplicaciones conectadas, políticas de compartición y estado de los dispositivos. La página de estado de seguridad de la consola te da un punto de partida contra las recomendaciones de Google.
El factor humano. La configuración más estricta no resiste a un usuario que introduce sus credenciales en una página falsa. Un programa de formación continua con simulaciones de phishing, criterios claros para identificar correo malicioso y una vía fácil para reportar sospechas rinde más que cualquier ajuste adicional de la consola.
La adopción es parte de la seguridad: una política que la gente no entiende se acaba esquivando. Si vienes de una migración reciente, conviene revisarla junto con el plan de adopción y gestión del cambio.
Cómo lo abordamos en The Cloud Collective
Como Google Cloud Premier Partner en Barcelona, empezamos toda revisión de seguridad por el mismo sitio: qué edición tienes y qué te permite realmente. A partir de ahí auditamos la configuración actual, priorizamos las brechas por impacto real y no por longitud de la checklist, y diseñamos las políticas de compartición y de protección de datos según el sector y las obligaciones concretas de cada cliente.
Cuando la edición actual no da para el nivel de control que el negocio necesita, lo decimos con la matriz delante y el coste sobre la mesa, en lugar de recomendar funciones que la licencia no incluye. Y dejamos la configuración documentada para que tu equipo pueda auditarla sin depender de nosotros.
Preguntas frecuentes
Está construido sobre una infraestructura muy sólida y trae protecciones activas desde el primer día. Pero varias de las medidas más eficaces no vienen activadas: la obligatoriedad de la verificación en dos pasos, las restricciones de compartición externa, el control de aplicaciones de terceros. La seguridad final depende de la configuración, y esa es responsabilidad de la organización.
Ninguna edición Business incluye reglas de DLP ni Security Center. Necesitas Enterprise Standard o superior, Frontline Standard o superior, Enterprise Essentials Plus, o las ediciones de Education correspondientes. La matriz del principio del artículo tiene el detalle, incluidas las diferencias de funcionalidad dentro de cada nivel.
Bastante: verificación en dos pasos obligatoria con passkeys, gobierno de superadministradores, restricción de compartición externa en Drive, todas las protecciones antiphishing de Gmail, SPF, DKIM y DMARC, control de aplicaciones OAuth y gestión de dispositivos. Eso cubre los vectores de ataque más frecuentes. Lo que no tendrás es capacidad de bloquear automáticamente la salida de datos sensibles ni investigación centralizada de incidentes.
El cumplimiento depende de tus procesos, no solo de la licencia, pero algunas herramientas que lo facilitan sí están limitadas por edición: regiones de datos, retención avanzada y cifrado del lado del cliente. Se puede cumplir el RGPD en ediciones Business; simplemente hay más trabajo manual y menos capacidad de demostrarlo automáticamente.
Una revisión trimestral es un buen ritmo para una organización estable. Además, conviene revisar puntualmente después de cualquier cambio significativo: una incorporación masiva, una nueva aplicación conectada, un cambio de edición o un incidente.
Mediante la API de informes del Admin SDK, o con la exportación a BigQuery en las ediciones que lo permiten. Desde ahí se pueden enviar a Google SecOps o al sistema de monitorización que uses.
Conclusión
La seguridad de Google Workspace no se resuelve con una lista de veinte ajustes, sino sabiendo cuáles de ellos están disponibles en tu edición, cuáles atacan los riesgos que de verdad te afectan, y en qué orden aplicarlos sin bloquear el trabajo de nadie.
Si tuvieras que quedarte con tres cosas:
Verificación en dos pasos resistente al phishing para todo el mundo.
Control real de con quién se comparte información fuera de la organización.
Visibilidad suficiente para saber qué ha pasado cuando pase algo.
¿Quieres saber cómo está tu configuración actual?
En The Cloud Collective podemos auditarla, contrastarla con lo que tu edición permite y darte un plan priorizado por impacto. Sin recomendarte funciones que tu licencia no incluye.
Solicitar auditoría de seguridad
