Segurança no Google Workspace : guia prático para administradores (2026)
O que cada edição permite, as dez práticas de configuração por ordem de impacto e o que o RGPD exige de uma empresa espanhola. Com o caminho exato no console para cada ajuste.
Google Workspace já vem bem protegido de fábrica, mas não vem configurado.
A diferença entre um tenant seguro e um exposto está quase sempre em uma dúzia de configurações do console de administração que ninguém revisou após a migração.
Este guia percorre esses ajustes por ordem de impacto, com o caminho exato de cada um e —isto é o que costuma faltar— a edição mínima necessária para tê-lo. Porque metade das dicas de segurança que circulam sobre Google Workspace descreve recursos que a sua licença não inclui.
Comece por aqui: o que a sua edição permite
Antes de planejar qualquer coisa, é bom saber com quais cartas você está jogando. Nem todos os recursos de segurança estão presentes em todas as edições, e descobrir isso no meio de um projeto de endurecimento de segurança é a maneira mais rápida de perder tempo. O detalhamento por edição é mantido pelo Google em seu central de ajuda para administradores.
| Função | Edições que a incluem |
|---|---|
| Verificação em duas etapas e passkeys | Todas |
| Controle de compartilhamento externo no Drive | Todas |
| Proteções antiphishing e antispoofing do Gmail | Todas |
| SPF, DKIM e DMARC | Todas (são configurados no seu DNS ) |
| Controle de acesso de aplicativos de terceiros ( OAuth ) | Todas |
| Gerenciamento básico de dispositivos | Todas |
| Relatórios de DLP (somente leitura, sem regras) | Inclui as edições Business |
| Regras de DLP / Proteção de dados | Frontline Standard e Plus; Enterprise Standard e Plus; Education Fundamentals, Standard e Plus; Enterprise Essentials Plus |
| Central de Segurança: painel, ferramenta de investigação e status de segurança | Frontline Standard e Plus; Enterprise Standard e Plus; Education Standard e Plus; Enterprise Essentials Plus |
| Ver conteúdo sensível na ferramenta de pesquisa | Frontline Plus; Enterprise Plus; Education Standard e Plus |
Duas conclusões que convém ter claras desde o início:
Se você estiver em qualquer edição Business , não terá regras de DLP nem o Security Center. Você tem os relatórios de DLP, que indicam a existência de conteúdo confidencial, mas não realizam ações sobre ele, e conta com a página de Auditoria e investigação em vez da ferramenta de investigação completa. É possível fazer muito com isso, e as dez práticas listadas abaixo indicam quais se aplicam ao seu caso.
Estar em uma edição com suporte não significa ter todas as funcionalidades. Enterprise Standard, por exemplo, permite acessar a ferramenta de investigação, mas apenas um subconjunto de fontes de dados, e não consegue visualizar o conteúdo sensível de uma mensagem. Se o seu caso de uso envolve investigar incidentes em profundidade, a edição de que você precisa é Enterprise Plus.
Os riscos reais e o que os mitiga
| Risco | Mitigação no Google Workspace |
|---|---|
| Phishing e falsificação do remetente | Proteções avançadas do Gmail mais SPF, DKIM e DMARC bem configurados |
| Roubo de credenciais | Verificação em duas etapas com passkeys ou chaves físicas, e acesso contextual |
| Comprometimento de uma conta de administrador | Menos superadministradores, chaves de segurança e Programa de Proteção Avançada |
| Vazamento de dados por compartilhamento | Controles de compartilhamento externo no Drive e regras de DLP, onde a edição permitir |
| Malware e ransomware | Análise automática de anexos no Gmail e arquivos no Drive |
| Aplicativos de terceiros com acesso excessivo | Controle de acesso de aplicativos e revisão periódica de permissões OAuth |
| Dispositivos perdidos ou não gerenciados | Políticas de dispositivos com criptografia, bloqueio e limpeza remota |
As 10 práticas, por ordem de impacto
1Verificação em duas etapas obrigatória, sem deixar ninguém de fora
A autenticação em duas etapas continua sendo a medida com a melhor relação entre esforço e proteção. Dois aspectos que fazem a diferença:
Priorize passkeys e chaves de segurança físicas. Elas são resistentes ao phishing, que é justamente o vetor mais utilizado contra o Workspace. Aplicativos de códigos são aceitáveis como backup. É recomendável desativar o SMS como método: é o mais fraco de todos e sua presença reduz a segurança do conjunto.
E não a ative como obrigatória de uma só vez. Defina um período de inscrição para que as pessoas se cadastrem, crie um grupo de exceção temporária para os casos que precisem de mais tempo e defina com antecedência o procedimento de recuperação. Ativar a obrigatoriedade sem isso deixa usuários de fora logo na primeira segunda-feira.
2Menos superadministradores e uma conta de emergência
As contas de superadministrador são o alvo prioritário de qualquer invasor, e a maioria das organizações possui mais contas desse tipo do que o necessário. Reduza esse número ao mínimo, atribua funções delegadas com permissões específicas para as tarefas do dia a dia e inscreva os superadministradores restantes no Programa de Proteção Avançada do Google ou exija que utilizem chaves de segurança físicas.
O ponto que quase ninguém considera: Mantenha uma conta de emergência de superadministrador., com seus códigos de recuperação armazenados fora do sistema e em um local fisicamente seguro. Endurecer a segurança sem essa rede o expõe ao risco de perder o acesso ao seu próprio *tenant*, o que é um incidente tão grave quanto uma invasão — e bem mais frequente.
3Políticas rigorosas de compartilhamento no Drive
Limite o compartilhamento externo ao nível mais restritivo que sua operação permitir. Se precisar trabalhar com clientes ou fornecedores específicos, utilize a lista de domínios confiáveis em vez de liberar o compartilhamento para toda a internet. Verifique também a expiração dos acessos e se os usuários podem criar links públicos.
Aqui, convém ser realista: Uma política excessivamente restritiva, sem alternativa prática, faz com que as pessoas usem sua conta pessoal.. Elabore a política juntamente com o fluxo de trabalho que ela deve substituir.
4Proteções avançadas contra phishing no Gmail
Ative a proteção contra a falsificação de remetentes do seu próprio domínio, a detecção de domínios semelhantes, a análise de links e anexos suspeitos e os avisos visíveis para destinatários externos. São configurações que nem todas vêm ativadas por padrão e que levam apenas alguns minutos para serem realizadas.
5SPF, DKIM e DMARC
| Protocolo | Função |
|---|---|
| FPS | Declare quais servidores estão autorizados a enviar e-mails em nome do seu domínio. |
| DKIM | Assine digitalmente suas mensagens para que o destinatário verifique que não foram alteradas. |
| DMARC | Indica ao destinatário o que fazer com o e-mail que não passa nas verificações SPF ou DKIM e envia relatórios a você. |
Isso já não é uma boa prática opcional. Desde 2024, os grandes provedores de e-mail exigem autenticação de quem envia grandes volumes., portanto, sem o DMARC configurado, suas comunicações legítimas começam a cair na caixa de spam. Comece com uma política de monitoramento, analise os relatórios por algumas semanas para não bloquear seus próprios e-mails e torne a política mais rigorosa progressivamente.
6Auditar aplicativos de terceiros com acesso OAuth
Cada aplicativo autorizado por um usuário representa uma porta aberta para os dados da organização. Verifique o que está conectado, revogue o que não estiver sendo utilizado e adote um modelo de lista de aplicativos permitidos, em vez de permitir que qualquer usuário autorize qualquer coisa.
Preste atenção especial aos aplicativos com permissões amplas no Gmail ou no Drive, e àqueles contas de serviço com delegação de domínio: elas podem agir em nome de qualquer usuário do domínio. Se a sua organização estiver criando integrações próprias, o modelo de identidade é definido antes de escrever o código — abordamos isso no guia sobre integrar Google Workspace aos seus sistemas.
7Acesso contextual
É a função mais subestimada do catálogo. Em vez de definir o acesso apenas com base em credenciais, você o condiciona ao contexto: de qual rede o usuário se conecta, se o dispositivo é gerenciado e criptografado, e de qual país. Você pode exigir um dispositivo corporativo para acessar o Drive e, ao mesmo tempo, permitir o acesso ao e-mail de qualquer lugar, por exemplo.
É o que transforma uma configuração de segurança estática em uma que responde ao risco real de cada acesso.
8Gerenciamento de dispositivos
Exige criptografia, bloqueio de tela e a capacidade de exclusão remota do perfil corporativo. Em dispositivos pessoais, utiliza o gerenciamento apenas do perfil de trabalho: protege os dados da empresa sem afetar os dados pessoais do funcionário, o que, além disso, reduz a resistência a implantá-lo.
9Regras de proteção de dados (DLP)
As regras de DLP detectam conteúdo sensível — números de cartão, identificadores fiscais, padrões personalizados que você definir — e agem: notificam o usuário, bloqueiam o compartilhamento ou geram um alerta.
Comece sempre no modo somente de auditoria. Mantenha as regras em modo de observação por algumas semanas, analise os falsos positivos e só então passe a bloquear. Uma regra de DLP mal calibrada que bloqueia trabalho legítimo é desativada em uma semana e não volta mais.
Se você está em uma edição Business , o que você tem são os relatórios de DLP: eles indicam qual conteúdo sensível existe no Drive e nos e-mails de saída, sem capacidade de agir automaticamente. São um bom ponto de partida para justificar internamente a mudança de edição, pois quantificam o risco.
10Visibilidade: Security Center ou Auditoria e investigação
A Central de Segurança reúne três elementos: um painel com um panorama da sua postura de segurança, a página de status de segurança que compara suas configurações com as recomendações do Google e a ferramenta de investigação para analisar incidentes e agir em massa — por exemplo, excluindo um e-mail malicioso de todas as caixas de entrada simultaneamente.
Lembre-se da nuance da matriz: Acessar a ferramenta não significa ter todas as funcionalidades.. Visualizar o conteúdo confidencial de uma mensagem durante uma investigação requer Enterprise Plus, Frontline Plus ou Education Standard ou Plus.
Se a sua edição não incluir o Security Center, a página de Auditoria e investigação fornece os registros para investigação posterior. É menos prático, mas a informação está lá.
Compliance: o que é exigido para operar na Espanha
Endurecer a configuração é uma parte do trabalho. A outra é poder demonstrar isso, e para uma empresa espanhola isso significa RGPD.
Regiões de dados
As edições superiores permitem especificar que os dados em repouso da sua organização sejam armazenados na Europa. Isso não substitui uma análise jurídica, mas é um elemento comum em avaliações de impacto e questionários de fornecedores.
Retenção e eDiscovery
O Vault permite definir políticas de retenção e preservar informações diante de uma solicitação legal. É a diferença entre conseguir responder a uma reclamação e não conseguir. Ele está disponível a partir do plano Business Plus, mas convém verificar os detalhes da sua edição.
Criptografia do lado do cliente
Para setores altamente regulamentados, permite que as chaves de criptografia fiquem sob seu controle, e não do Google. É uma decisão de arquitetura, não apenas uma chave de ativação: ela condiciona funcionalidades como a busca em documentos criptografados.
Registros de auditoria
Os registros do Workspace são a prova de que seus controles funcionam. Defina-os com um período de retenção adequado e exporte-os caso precise mantê-los por mais tempo do que o oferecido pelo console.
Se você está planejando este trabalho dentro de um projeto de infraestrutura mais amplo, o ponto de partida é o diagnóstico: onde os dados residem e qual nível de conformidade você precisa. Abordamos isso na Guia do Google Cloud na Espanha 2026.
A segurança do Workspace não é um silo
Google Workspace não deve ser protegido separadamente do restante do seu ambiente no Google Cloud .
Identidade centralizada
O Cloud Identity unifica o login único e as políticas de acesso entre o Workspace e os demais serviços do Google Cloud , de modo que uma alteração de política é aplicada em toda parte e o desligamento de um funcionário encerra todos os acessos de uma só vez.
Políticas de dados coerentes
A classificação e a retenção devem ser aplicadas com o mesmo critério no Workspace e nas suas cargas de trabalho no Google Cloud . Ter dois modelos distintos gera lacunas justamente nas áreas de transição.
Monitoramento unificado
Exportar os registros de auditoria do Workspace para o Google SecOps permite correlacionar o que acontece no e-mail e no Drive com o que ocorre na sua infraestrutura. Uma tentativa de invasão raramente se limita a um único plano.
Esse mesmo princípio de plataforma única se aplica quando você incorpora IA aos seus dados do Workspace: a governança deve ser a mesma. Abordamos isso no artigo sobre Gemini Enterprise para empresas espanholas.
A segurança é um processo, não um projeto.
As dez práticas anteriores são uma configuração inicial. O que mantém o nível é a rotina.
Auditorias periódicas. Agende uma revisão trimestral de usuários ativos, funções de administrador, aplicativos conectados, políticas de compartilhamento e status dos dispositivos. A página de status de segurança do console oferece um ponto de partida com base nas recomendações do Google.
O fator humano. A configuração mais rigorosa não resiste a um usuário que insere suas credenciais em uma página falsa. Um programa de treinamento contínuo com simulações de phishing, critérios claros para identificar e-mails maliciosos e uma maneira fácil de relatar suspeitas traz mais resultados do que qualquer ajuste adicional no console.
A adoção faz parte da segurança: uma política que as pessoas não entendem acaba sendo contornada. Se você vem de uma migração recente, convém revisá-la juntamente com o plano de adoção e gestão de mudanças.
Como abordamos isso na The Cloud Collective
Como Google Cloud Premier Partner em Barcelona, começamos toda revisão de segurança pelo mesmo ponto: qual edição você tem e o que ela realmente permite. A partir daí, auditamos a configuração atual e priorizamos as vulnerabilidades pelo impacto real e não pela extensão da checklist, e elaboramos as políticas de compartilhamento e de proteção de dados de acordo com o setor e as obrigações específicas de cada cliente.
Quando a edição atual não atende ao nível de controle de que o negócio precisa, apresentamos a matriz e os custos de forma transparente, em vez de recomendar recursos que a licença não inclui. Além disso, deixamos a configuração documentada para que sua equipe possa auditá-la sem depender de nós.
Perguntas frequentes
Ele é construído sobre uma infraestrutura muito sólida e traz proteções ativas desde o primeiro dia. No entanto, várias das medidas mais eficazes não vêm ativadas: a obrigatoriedade da verificação em duas etapas, as restrições de compartilhamento externo e o controle de aplicativos de terceiros. A segurança final depende da configuração, e essa é uma responsabilidade da organização.
Nenhuma edição Business inclui regras de DLP ou a Central de Segurança (Security Center). Você precisa Enterprise Standard ou superior, Frontline Standard ou superior, Enterprise Essentials Plus ou das edições Education correspondentes. A matriz no início do artigo apresenta os detalhes, incluindo as diferenças de funcionalidade dentro de cada nível.
Bastante coisa: verificação em duas etapas obrigatória com passkeys, governança de superadministradores, restrição de compartilhamento externo no Drive, todas as proteções antiphishing do Gmail , SPF, DKIM e DMARC, controle de aplicativos OAuth e gerenciamento de dispositivos. Isso cobre os vetores de ataque mais frequentes. O que você não terá é a capacidade de bloquear automaticamente a saída de dados sensíveis nem a investigação centralizada de incidentes.
A conformidade depende dos seus processos, e não apenas da licença, mas algumas ferramentas que a facilitam são, de fato, limitadas por edição: regiões de dados, retenção avançada e criptografia do lado do cliente. É possível cumprir o RGPD nas edições Business ; simplesmente há mais trabalho manual e menos capacidade de comprovar a conformidade automaticamente.
Uma revisão trimestral é um bom ritmo para uma organização estável. Além disso, convém realizar uma revisão pontual após qualquer mudança significativa: uma integração em massa, uma nova aplicação conectada, uma mudança de edição ou um incidente.
Por meio da API de relatórios do Admin SDK ou da exportação para o BigQuery , nas edições que permitem essa funcionalidade. A partir daí, os dados podem ser enviados para o Google SecOps ou para o sistema de monitoramento que você utiliza.
Conclusão
A segurança do Google Workspace não se resolve com uma lista de vinte configurações, mas sim sabendo quais deles estão disponíveis na sua edição, quais atacam os riscos que realmente afetam você, e em que ordem aplicá-los sem bloquear o trabalho de ninguém.
Se você tivesse que ficar com três coisas:
Verificação em duas etapas resistente a phishing para todo mundo.
Controle real de com quem as informações são compartilhadas fora da organização.
Visibilidade suficiente para saber o que aconteceu quando algo ocorrer.
Quer saber como está a sua configuração atual?
Na The Cloud Collective podemos auditá-la, compará-la com o que a sua edição permite e apresentar um plano priorizado por impacto — sem recomendar recursos que a sua licença não inclui.
Solicitar auditoria de segurança
