← До повного змісту CIS Google Workspace Foundations Benchmark

CIS Benchmark

CIS Benchmark • Google Workspace v1.4

3. Додатки та хмарні сервіси Google

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Додатки та хмарні сервіси Google».


Рекомендацій: 54


Google Workspace v1.4

3.1.1.1.1 Переконайтеся, що параметри зовнішнього спільного доступу для основних календарів налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure external sharing options for primary calendars are configured (Manual)

Контролюйте, скільки інформації календаря користувачі вашої організації можуть надавати зовнішнім користувачам.

💡 Обґрунтування безпеки:

Запобігайте витоку даних, обмеживши кількість інформації, яка доступна для зовнішнього перегляду коли користувач надає спільний доступ до свого календаря стороннім особам у вашій організації.

⚠️ Вплив на робочий процес (Impact):

• Якщо ви обмежите зовнішній доступ для вашої організації, користувачі не зможуть перевищувати ці межі обмеження під час спільного використання окремих подій. Наприклад, якщо ви обмежите свою організацію зовнішній доступ до Вільний/Зайнятий, події з доступом для всіх доступні лише як Вільний/Зайнятий. • Зовнішні мобільні користувачі, які раніше синхронізували події, можуть і надалі бачити обмежено деталі. Цей доступ припиняється, коли їхній пристрій стерто та повторно синхронізовано. • Якщо ви знизите рівень зовнішнього доступу, люди за межами вашої організації можуть програти доступ до календарів, які вони могли бачити раніше.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі Параметри спільного доступу виберіть Параметри зовнішнього спільного доступу для основних календарів
  6. Переконайтеся, що вибрано лише інформацію про вільний/зайнятий рівень (приховати деталі події)
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі Параметри спільного доступу виберіть Параметри зовнішнього спільного доступу для основних календарів
  6. Виберіть лише інформацію про вільний/зайнятий рівень (приховати деталі події)
  7. Виберіть Зберегти
Значення за замовчуванням: Зовнішні параметри спільного доступу для основних календарів – лише інформація про вільний/зайнятий рівень (приховати деталі події)
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.1.1.2 Переконайтеся, що параметри внутрішнього спільного доступу для основних календарів налаштовано (Вручну)

Level 2Вручну

Оригінал: Ensure internal sharing options for primary calendars are configured (Manual)

Контролюйте, скільки інформації календаря користувачі вашої організації можуть надавати внутрішній доступ.

💡 Обґрунтування безпеки:

Загалом, не всім в організації потрібно знати деталі розкладу всі інші (оперативна безпека). Індикації «вільний/зайнятий» достатньо для більшості людей.

⚠️ Вплив на робочий процес (Impact):

Це буде стандартним для основного календаря користувача. Користувач може змінити це налаштування щоб надати іншим користувачам кращу видимість свого календаря.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі Параметри спільного доступу виберіть Параметри внутрішнього спільного доступу для основних календарів
  6. Переконайтеся, що вибрано лише інформацію про вільний/зайнятий рівень (приховати деталі події).
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі Параметри спільного доступу виберіть Параметри внутрішнього спільного доступу для основних календарів
  6. Виберіть лише інформацію про вільний/зайнятий рівень (приховати деталі події)
  7. Виберіть Зберегти
Значення за замовчуванням: Параметри внутрішнього спільного доступу для основних календарів — «Поділитися всією інформацією».
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.1.1.3 Переконайтеся, що попередження про зовнішні запрошення для Календаря Google налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure external invitation warnings for Google Calendar are configured (Manual)

Налаштуйте Календар Google, щоб попереджати користувачів про запрошення гостя за межі вашого домену.

💡 Обґрунтування безпеки:

Коли ваші користувачі створюють подію Google Calendar, яка включає одного або кількох гостей з-за меж вашого домену їм буде запропоновано підтвердити, чи можна включати зовнішні гості в запрошенні на подію, що допомагає запобігти ненавмисним даним витік.

⚠️ Вплив на робочий процес (Impact):

Користувачам буде запропоновано дозволити включення зовнішніх гостей у запрошення на подію.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі Параметри спільного доступу виберіть Зовнішні запрошення
  6. Переконайтеся, що позначено Попереджати користувачів про запрошення гостей за межі домену
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі Параметри спільного доступу виберіть Зовнішні запрошення
  6. Установіть прапорець Попереджати користувачів про запрошення гостей за межі домену
  7. Виберіть Зберегти
Значення за замовчуванням: Попереджати користувачів, коли позначено запрошення гостей за межі домену
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

3.1.1.2.1 Переконайтеся, що параметри зовнішнього спільного доступу для додаткових календарів налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure external sharing options for secondary calendars are configured (Manual)

Контролюйте, скільки інформації календаря користувачі вашої організації можуть надавати зовнішнім користувачам.

💡 Обґрунтування безпеки:

Запобігайте витоку даних, обмеживши обсяг інформації для зовнішнього перегляду коли користувач надає спільний доступ до свого календаря стороннім особам у вашій організації.

⚠️ Вплив на робочий процес (Impact):

• Якщо ви обмежите зовнішній доступ для вашої організації, користувачі не зможуть перевищувати ці межі обмеження під час спільного використання окремих подій. Наприклад, якщо ви обмежите свою організацію зовнішній доступ до Вільний/Зайнятий, події з доступом для всіх доступні лише як Вільний/Зайнятий. • Зовнішні мобільні користувачі, які раніше синхронізували події, можуть і надалі бачити обмежено деталі. Цей доступ припиняється, коли їхній пристрій стерто та повторно синхронізовано. • Якщо ви знизите рівень зовнішнього доступу, люди за межами вашої організації можуть програти доступ до календарів, які вони могли бачити раніше.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі «Загальні налаштування» виберіть параметри зовнішнього доступу для додаткових календарів
  6. Переконайтеся, що вибрано лише інформацію про вільний/зайнятий рівень (приховати деталі події)
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі «Загальні налаштування» виберіть параметри зовнішнього доступу для додаткових календарів
  6. Виберіть лише інформацію про вільний/зайнятий рівень (приховати деталі події)
  7. Виберіть Зберегти
Значення за замовчуванням: Зовнішні параметри спільного доступу для додаткових календарів – «Поділитися всією інформацією», але сторонні особи не можуть змінювати календарі
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.1.2.2 Переконайтеся, що параметри внутрішнього спільного доступу для додаткових календарів налаштовано (Вручну)

Level 2Вручну

Оригінал: Ensure internal sharing options for secondary calendars are configured (Manual)

Контролюйте, скільки інформації календаря користувачі вашої організації можуть надавати внутрішній доступ.

💡 Обґрунтування безпеки:

Загалом, не всім в організації потрібно знати деталі розкладу всі інші (оперативна безпека). Індикації «вільний/зайнятий» достатньо для більшості людей.

⚠️ Вплив на робочий процес (Impact):

Це буде значення за умовчанням для додаткових календарів користувача. Користувач може змінити це налаштування, щоб дозволити іншим конкретним користувачам краще бачити їхні календарі.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі «Загальні налаштування» виберіть параметри внутрішнього спільного доступу для додаткових календарів
  6. Переконайтеся, що вибрано лише інформацію про вільний/зайнятий рівень (приховати деталі події).
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі «Загальні налаштування» виберіть параметри внутрішнього спільного доступу для додаткових календарів
  6. Виберіть лише інформацію про вільний/зайнятий рівень (приховати деталі події)
  7. Виберіть «Зберегти».
Значення за замовчуванням: Параметри внутрішнього спільного доступу для додаткових календарів — «Поділитися всією інформацією».
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.1.3.1 Переконайтеся, що офлайн-версію календаря вимкнено (Вручну)

Level 2Вручну

Оригінал: Ensure calendar web offline is disabled (Manual)

Обмежте, хто має офлайн-доступ до календаря.

💡 Обґрунтування безпеки:

Якщо ввімкнено, користувачі можуть увімкнути автономне використання для кожного комп’ютера, яким вони користуються. Дані зберігаються на комп’ютері, доки користувач не вимкне використання в автономному режимі. В даному випадку організація може втратити контроль над тим, де зберігаються його дані (для цього користувача). Слід бути обережним стосовно того, для яких користувачів і груп увімкнуто цю можливість.

⚠️ Вплив на робочий процес (Impact):

Користувачі не матимуть доступу до своїх календарів у режимі офлайн.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі «Додаткові налаштування» виберіть «Календар в режимі офлайн».
  6. Переконайтеся, що біля пункту «Дозволити використання Календаря в Інтернеті в режимі офлайн» не встановлено прапорець
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Календар
  5. У розділі «Додаткові налаштування» виберіть «Календар в режимі офлайн».
  6. Зніміть позначку «Дозволити використання Календаря в Інтернеті в режимі офлайн».
  7. Виберіть Зберегти
Значення за замовчуванням: Дозволити використання Календаря в Інтернеті, якщо позначено офлайн
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.2.1.1.1 Переконайтеся, що користувачі отримують попередження, коли вони надають доступ до файлу за межами свого домену (Вручну)

Level 1Вручну

Оригінал: Ensure users are warned when they share a file outside their domain (Manual)

Попереджайте користувача, коли він намагається поділитися файлом і/або спільним диском зовні.

💡 Обґрунтування безпеки:

Користувач може не усвідомлювати, що потенційний обліковий запис є зовнішнім для організації. Забезпечення попередження дає користувачеві можливість дізнатися про це та, можливо, переглянути це обмін.

⚠️ Вплив на робочий процес (Impact):

Жодного, крім додаткового попередження. Спільний доступ все ще може відбуватися.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Диск і Документи
  4. Виберіть Налаштування спільного доступу
  5. Виберіть Параметри спільного доступу
  6. У розділі Спільний доступ за межами <компанії>
  7. Переконайтеся, що УВІМКНЕНО – файли, які належать користувачам у , можуть надаватися за межами . Це також стосується файлів на всіх спільних дисках. перевіряється. Крім того, переконайтеся, що підпараметр Для файлів, що належать користувачам у , попереджає, коли спільний доступ за межами позначено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Диск і Документи
  4. Виберіть Налаштування спільного доступу
  5. Виберіть Параметри спільного доступу
  6. У розділі Спільний доступ за межами <компанії>
  7. Увімкніть – файли, які належать користувачам у , можуть надаватися за межами . Це також стосується файлів на всіх спільних дисках. до перевірено. Крім того, установіть прапорець для параметра Для файлів, які належать користувачам у , попереджати під час надання спільного доступу за межами .
  8. Виберіть Зберегти
Значення за замовчуванням: Для файлів, які належать користувачам у <Company>, попереджайте, коли позначено спільний доступ за межами <Company>
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

3.1.2.1.1.2 Переконайтеся, що користувачі не можуть публікувати файли в Інтернеті або робити видимими для світу як загальнодоступні чи приватні (Вручну)

Level 1Вручну

Оригінал: Ensure users cannot publish files to the web or make visible to the world as public or unlisted (Manual)

Ви повинні контролювати публікацію документів у мережі або надання їх видимості світ як публічний або приватний.

💡 Обґрунтування безпеки:

Зловмисники часто намагаються надати конфіденційну інформацію зовнішнім особам через спільний доступ і обмеження методів, якими ваші користувачі можуть ділитися документами за бажанням зменшити цю площу поверхні. Цей параметр застосовний, лише якщо ON – файли, що належать користувачам у можуть бути спільний доступ за межами . Це стосується файлів у всіх спільних диски також вибрано, але його слід налаштувати, як описано нижче, щоб запобігти ненавмисна публікація документа.

⚠️ Вплив на робочий процес (Impact):

Якщо ввімкнути цю функцію, користувачі не зможуть публікувати документи в Інтернеті або роблячи їх видимими для світу як загальнодоступні або приватні файли.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Параметри спільного доступу
  6. У розділі «Спільний доступ за межами <компанії>» — УВІМКНЕНО — до файлів, які належать користувачам із <компанії>, можна надавати спільний доступ за межами <компанії>. Це також стосується файлів на всіх спільних дисках. Переконайтеся, що коли дозволено спільний доступ за межами , користувачі в можуть робити файли та опублікований веб-вміст видимими для всіх, хто має посилання, не позначено.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Параметри спільного доступу
  6. У розділі «Спільний доступ за межами <компанії>» — УВІМКНЕНО — до файлів, які належать користувачам із <компанії>, можна надавати спільний доступ за межами <компанії>. Це також стосується файлів на всіх спільних дисках, встановіть. Коли дозволено надавати спільний доступ за межами , користувачі в можуть робити файли та опублікований веб-вміст видимими для будь-кого, якщо знято посилання на
  7. Виберіть Зберегти
Значення за замовчуванням: Якщо доступ за межами <Company> дозволено, користувачі в <Company> можуть робити файли та опублікований веб-вміст видимими для всіх, хто має посилання.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.1.1.3 Переконайтеся, що обмін документами контролюється доменом за допомогою білих списків (Вручну)

Level 2Вручну

Оригінал: Ensure document sharing is being controlled by domain with allowlists (Manual)

Ви повинні контролювати спільний доступ до документів у зовнішні домени за допомогою блокування домени або дозволити спільний доступ лише до певних іменованих доменів.

💡 Обґрунтування безпеки:

Зловмисники часто намагаються надати конфіденційну інформацію зовнішнім особам через спільний доступ і обмеження доменів, з якими ваші користувачі можуть ділитися документами зменшити цю площу поверхні.

⚠️ Вплив на робочий процес (Impact):

Якщо ввімкнути цю функцію, користувачі не зможуть ділитися документами з доменами за межами організації, якщо це не дозволено.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Параметри спільного доступу
  6. У розділі «Спільний доступ за межами <компанії>» переконайтеся, що ДОМЕНИ З ДОЗВОЛЕНОГО СПИСКУ — файли, які належать користувачам із <компанії>, можуть надаватися спільно з обліковими записами Google у сумісних доменах із білого списку. вибрано
  7. Переконайтеся, що встановлено прапорець Попереджати, коли файли, що належать користувачам, або спільні диски в надаються користувачам у доменах із дозволеного списку
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Параметри спільного доступу
  6. У розділі «Спільний доступ за межами <Компанії>» виберіть ДОМЕНИ З ДОЗВОЛЕНОГО СПИСКУ. Файли, які належать користувачам із <Компанії>, можна надавати спільно з обліковими записами Google у сумісних доменах із білого списку.
  7. Установіть прапорець «Попереджати, коли файли, які належать користувачам, або спільні диски в <Компанія>» надаються користувачам у білих доменах
  8. Виберіть Зберегти
Значення за замовчуванням: Спільний доступ за межами <Компанії> УВІМКНЕНО – файли, які належать користувачам у <Компанії>, можуть надаватися за межами <Компанії>. Це також стосується файлів на всіх спільних дисках.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.1.1.4 Переконайтеся, що користувачі отримують попередження, коли вони надають доступ до файлу користувачам у домені з білого списку (Вручну)

Level 2Вручну

Оригінал: Ensure users are warned when they share a file with users in an allowlisted domain (Manual)

Попереджайте користувача, коли він намагається поділитися файлом і/або спільним диском з користувачами в домен із білого списку.

💡 Обґрунтування безпеки:

Користувач може не усвідомлювати, що потенційний обліковий запис є зовнішнім для організації. Забезпечення попередження дає користувачеві можливість дізнатися про це та, можливо, переглянути це обмін.

⚠️ Вплив на робочий процес (Impact):

Жодного, крім додаткового попередження. Спільний доступ все ще може відбуватися.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Диск і Документи
  4. Виберіть Налаштування спільного доступу
  5. Виберіть Параметри спільного доступу
  6. У розділі Спільний доступ за межами <компанії>
  7. Переконайтеся, що ДОМЕНИ З БІЛОГО СПИСКУ — файли, що належать користувачам, або спільні диски в BMDT-Group можуть надаватися спільно з обліковими записами Google у сумісних доменах із білого списку. Також переконайтеся, що позначено підпараметр Попереджати, коли файли, що належать користувачам, або спільні диски в <Компанії> надаються користувачам у білих доменах.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Диск і Документи
  4. Виберіть Налаштування спільного доступу
  5. Виберіть Параметри спільного доступу
  6. У розділі Спільний доступ за межами <компанії>
  7. Установіть ДОЗВОЛЕНІ ДОМЕНИ – Файли, що належать користувачам, або спільні диски в BMDT-Group можуть надаватися спільно з обліковими записами Google у сумісних білих доменах. до перевірено. Крім того, установіть підпараметр Попереджати, коли файли, що належать користувачам, або спільні диски в <Компанії> надаються користувачам у доменах із білого списку.
  8. Виберіть Зберегти
Значення за замовчуванням: Для файлів, які належать користувачам у <Company>, попереджайте, коли позначено спільний доступ за межами <Company>
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

3.1.2.1.1.5 Переконайтеся, що засіб перевірки доступу налаштовано на обмеження доступу до файлів (Вручну)

Level 1Вручну

Оригінал: Ensure Access Checker is configured to limit file access (Manual)

Коли користувач ділиться файлом через продукт Google, відмінний від Документів або Диска (наприклад, через вставляючи посилання в Gmail), Google може перевірити, чи мають одержувачі доступ. Якщо ні, то коли можливо, Google попросить користувача вибрати, як він хоче поділитися файлом.

💡 Обґрунтування безпеки:

Загалом, доступ повинен бути обмежений найменшою можливою групою. В даному випадку лише одержувачі.

⚠️ Вплив на робочий процес (Impact):

Доступ до файлів мають лише одержувачі. Одержувачі не можуть ділитися доступом з іншими через пересилання електронного листа/посилання.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Диск і Документи
  4. Виберіть Налаштування спільного доступу
  5. Виберіть Параметри спільного доступу
  6. У розділі Перевірка доступу
  7. Переконайтеся, що лише одержувачі. перевіряється
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Диск і Документи
  4. Виберіть Налаштування спільного доступу
  5. Виберіть Параметри спільного доступу
  6. У розділі Перевірка доступу
  7. Встановіть лише одержувачів. до перевірено
  8. Виберіть ЗберегтиЛише внутрішні – Загальні
Значення за замовчуванням: Лише для одержувачів, запропонована цільова аудиторія або публічно (обліковий запис Google не потрібен). перевіряється
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.1.1.6 Переконайтеся, що лише користувачі вашої організації можуть поширювати вміст поза межами (Вручну)

Level 1Вручну

Оригінал: Ensure only users inside your organization can distribute content externally (Manual)

Ви повинні контролювати, кому дозволено розповсюджувати організаційний вміст на спільних дисках належить іншій організації.

💡 Обґрунтування безпеки:

Обмін і співпраця є ключовими; однак повноваження мають мати лише ваші користувачі над тим, де надається доступ до вмісту компанії, щоб запобігти несанкціонованому розголошенню інформації.

⚠️ Вплив на робочий процес (Impact):

Переміщувати файли можуть лише люди у вашій організації з адміністраторським доступом до спільного диска зі спільного диска на Диск в іншій організації. Крім того, користувачі вибраного організаційного підрозділу чи групи можуть копіювати вміст із їх Мій диск на спільний диск, що належить іншій організації.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Параметри спільного доступу
  6. У розділі Розповсюдження вмісту за межами <Компанії> переконайтеся, що вибрано Лише користувачі в <Компанії>
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Параметри спільного доступу
  6. У розділі Розповсюдження вмісту за межами <Компанії> виберіть – Лише користувачі в <Компанії>
  7. Виберіть Зберегти
Значення за замовчуванням: Розповсюджувати вміст за межами <Компанії> може кожен
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.1.2.1 Аудит можливості користувачів створювати нові спільні диски (Вручну)

Level 1Вручну

Оригінал: Audit users ability to create new shared drives (Manual)

Організації повинні визначити, чи всі користувачі повинні мати можливість створювати нові спільні файли диски.

💡 Обґрунтування безпеки:

Організації повинні дозволяти користувачам створювати спільні диски, лише якщо це дозволено вашими обмеження DLP організації та відповідає вимогам вашої організації. За замовчуванням, коли обліковий запис користувача видаляється, усі дані на його особистому диску видаляються також. У цьому випадку адміністратори повинні передати право власності на файли користувача іншому користувача. Примітка. Див. додаткову інформацію про передачу файлів.

⚠️ Вплив на робочий процес (Impact):

Якщо вимкнути цю функцію, користувачі не зможуть створювати нові спільні диски.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Створення спільного диска
  6. Переконайтеся, що прапорець Заборонити користувачам у <Компанії> створювати нові спільні диски знято.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. У розділі Параметри спільного доступу виберіть Створення спільного диска
  6. Зніміть позначку «Заборонити користувачам у <Компанії> створювати нові спільні диски».
  7. Виберіть Зберегти
Значення за замовчуванням: Прапорець «Заборонити користувачам у <Company> створювати нові спільні диски» знято. Додаткова інформація: щоб передати право власності на файли користувача через консоль адміністратора Google Workspace: 1. Увійдіть на сторінку https://admin.google.com як адміністратор 2. Виберіть «Програми» 3. Виберіть Google Workspace 4. Виберіть «Диск і документи» 5. Виберіть «Передати право власності» 6. У розділі «Від користувача» введіть організаційну електронну адресу користувача, яку потрібно передати 7. У розділі Для користувача: введіть організаційну електронну адресу користувача, який отримує право власності на файли. Передайте файли Диска новому власнику як адміністратор.
ℹ️ Додаткова інженерна інформація (Additional Information):

Щоб передати право власності на файли користувача за допомогою консолі адміністратора Google Workspace: 1. Увійдіть на сторінку https://admin.google.com як адміністратор 2. Виберіть «Програми» 3. Виберіть Google Workspace 4. Виберіть «Диск і документи» 5. Виберіть «Передати право власності» 6. У полі «Від користувача» введіть адресу електронної пошти користувача, яку потрібно передати. 7. У розділі «До користувача» введіть адресу електронної пошти організації користувача, який отримує право власності на файли. файли новому власнику як адміністратору.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 6.8
IG 1
Define and Maintain Role-Based Access Control Define and maintain role-based access control, through determining and documenting the access rights necessary for each role within the enterprise to successfully carry out its assigned duties. Perform access control reviews of enterprise assets to validate that all privileges are authorized, on a recurring schedule at a minimum annually, or more frequently.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.1.2.2 Переконайтеся, що учасники з керуючим доступом не можуть змінювати налаштування спільного диска (Вручну)

Level 1Вручну

Оригінал: Ensure manager access members cannot modify shared drive settings (Manual)

Лише адміністратори мають мати змогу змінювати налаштування спільного диска.

💡 Обґрунтування безпеки:

Якщо дозволити учасникам із керуючим доступом перевизначати або змінювати налаштування спільного диска, можна дозволяти навмисний і ненавмисний доступ до даних неавторизованим користувачам.

⚠️ Вплив на робочий процес (Impact):

Якщо вимкнути цю функцію, учасники з керуючим доступом не зможуть змінювати спільний доступ параметри диска, вимагаючи від адміністраторів внесення змін у налаштування за потреби.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Налаштування спільного доступу
  6. У розділі «Створення спільного диска» знято прапорець «Дозволити учасникам із доступом менеджера перевизначати наведені нижче налаштування».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Налаштування спільного доступу
  6. У розділі «Створення спільного диска» встановіть прапорець «Дозволити учасникам із доступом менеджера перевизначати наведені нижче налаштування».
  7. Виберіть ЗберегтиЛише внутрішні – Загальні
Значення за замовчуванням: Дозволити учасникам із доступом менеджера змінювати наведені нижче налаштування
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.1.2.3 Переконайтеся, що доступ до файлів на спільному диску мають лише учасники (Вручну)

Enterprise Level 2Вручну

Оригінал: Ensure shared drive file access is restricted to members only (Manual)

Доступ до файлів спільного диска має бути обмежено для учасників цього спільного диска

💡 Обґрунтування безпеки:

Запобігання доступу неавторизованих користувачів до конфіденційних даних має першочергове значення для запобігання несанкціоноване або ненавмисне розкриття інформації.

⚠️ Вплив на робочий процес (Impact):

Якщо вимкнути цю функцію, користувачі спільного диска не зможуть отримати доступ до вмісту спільні диски, учасниками яких вони не є.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Налаштування спільного доступу
  6. У розділі «Створення спільного диска» знято прапорець «Дозволити додавати до файлів людей, які не є членами спільного диска».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Налаштування спільного доступу
  6. У розділі «Створення спільного диска» зніміть прапорець «Дозволити людям, які не є членами спільного диска, додавати до файлів»
  7. Виберіть Зберегти
Значення за замовчуванням: Дозволити людям, які не є учасниками спільного диска, додавати до файлів, позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.2.2.1 Переконайтеся, що офлайн-доступ до документів вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure offline access to documents is disabled (Manual)

Запобігайте локальному доступу до документів на непідключеному пристрої.

💡 Обґрунтування безпеки:

Цей параметр запобігає локальному зберіганню файлів організації, таким чином обмежуючи дані проблеми втрати, якщо пристрій втрачено або вкрадено.

⚠️ Вплив на робочий процес (Impact):

Копії останніх файлів синхронізуються та зберігаються лише на пристроях, якщо ви визначили a керована політика для цього. ПРИМІТКА. Усі користувачі втратять доступ до офлайн-документів на всіх пристроях, якщо вони керовані політики не встановлено. ПРИМІТКА. Налаштування політик для керування офлайн-доступом на окремих пристроях не входить у дію обсяг цього тесту. Додаткова інформація про те, як це зробити для різних типів пристроїв можна знайти тут.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Функції та програми
  6. Виберіть Офлайн
  7. Переконайтеся, що поставлено прапорець «Контроль офлайн-доступу за допомогою політик пристрою»Лише внутрішні – загальні
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Функції та програми
  6. Виберіть Офлайн
  7. Налаштуйте контроль офлайн-доступу за допомогою політик пристрою. до перевірено
  8. Виберіть Зберегти
Значення за замовчуванням: Керувати офлайн-доступом за допомогою правил пристрою не позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

3.1.2.3.1 Переконайтеся, що доступ до Диска з робочого столу вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure desktop access to Drive is disabled (Manual)

Запобігайте локальному доступу до документів на непідключеному пристрої.

💡 Обґрунтування безпеки:

Цей параметр запобігає локальному зберіганню файлів організації, таким чином обмежуючи дані проблеми втрати, якщо пристрій втрачено або вкрадено. ПРИМІТКА. Програма Google Drive для настільних комп’ютерів має власний спосіб роботи з файлами в автономному режимі і не підкоряється Drive and Doc > Offline > Control offline access using налаштування політики розділення. Якщо заборонити Google Диск для настільного комп’ютера на пристрої заборонити цей канал.

⚠️ Вплив на робочий процес (Impact):

Кінцевий користувач не зможе використовувати Google Диск для робочого столу, і це зручно інтеграція в файловий провідник Windows.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Диск Google для комп’ютера
  6. Переконайтеся, що біля параметра Дозволити Google Диск для комп’ютера у вашій організації знято
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Диск і Документи
  5. Виберіть Диск Google для комп’ютера
  6. Зніміть прапорець «Дозволити Google Диск для комп’ютера у вашій організації».
  7. Виберіть Зберегти
Значення за замовчуванням: Дозволити Google Диск для комп’ютера у вашій організації встановлено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.3.1.1 Переконайтеся, що користувачі не можуть делегувати доступ до своєї поштової скриньки (Вручну)

Level 1Вручну

Оригінал: Ensure users cannot delegate access to their mailbox (Manual)

Делегування пошти дозволяє делегату читати, надсилати та видаляти повідомлення від свого імені. Наприклад, менеджер може делегувати доступ до Gmail іншій особі у своєму організації, наприклад, адміністративний помічник.

💡 Обґрунтування безпеки:

Лише адміністратори повинні мати можливість делегувати доступ до поштових скриньок користувачів.

⚠️ Вплив на робочий процес (Impact):

Існуючі делегування будуть приховані, якщо цю функцію вимкнено.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Налаштування користувача — делегування пошти» переконайтеся, що біля пункту «Дозволити користувачам делегувати доступ до своєї поштової скриньки іншим користувачам у домені» знято
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Налаштування користувача — делегування електронної пошти» встановіть «Дозволити користувачам делегувати доступ до своєї поштової скриньки іншим користувачам у домені» на зняте.
  6. Виберіть Зберегти
Значення за замовчуванням: Дозволити користувачам делегувати доступ до своєї поштової скриньки іншим користувачам у домені знято
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.3.1.2 Переконайтеся, що офлайн-доступ до Gmail вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure offline access to Gmail is disabled (Manual)

Вимикає можливість користувача використовувати різноманітні функції Gmail (читання, запис, пошук, видалення, і позначати повідомлення електронної пошти), коли немає підключення до Інтернету.

💡 Обґрунтування безпеки:

Запобігає копіюванню даних організації (електронної пошти користувача) на віддалені комп’ютери.

⚠️ Вплив на робочий процес (Impact):

Щоб користуватися Gmail, користувачам потрібен доступ до Інтернету.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Gmail
  4. Виберіть Налаштування користувача
  5. У веб-режимі Gmail офлайн
  6. Переконайтеся, що прапорець Увімкнути веб-офлайн Gmail знято
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Gmail
  4. Виберіть Налаштування користувача
  5. Виберіть Gmail Web Offline
  6. Зніміть позначку «Увімкнути веб-переглядач Gmail офлайн».
  7. Виберіть Зберегти
Значення за замовчуванням: Увімкнути веб-офлайн Gmail не позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.3.2.1 Переконайтеся, що DKIM увімкнено для всіх доменів із підтримкою електронної пошти (Вручну)

Level 1Вручну

Оригінал: Ensure that DKIM is enabled for all mail enabled domains (Manual)

DKIM додає зашифрований підпис до заголовка всіх вихідних повідомлень. Електронна пошта сервери, які отримують підписані повідомлення, використовують DKIM для розшифровки заголовка повідомлення та перевірки повідомлення не було змінено після відправлення.

💡 Обґрунтування безпеки:

Спуфінг є поширеним несанкціонованим використанням електронної пошти, тому деякі сервери електронної пошти потребують DKIM щоб запобігти підробці електронної пошти.

⚠️ Вплив на робочий процес (Impact):

Однак організації повинні переконатися, що налаштування DKIM не матиме жодного впливу відповідне налаштування для забезпечення безперервного потоку пошти.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Автентифікація електронної пошти» переконайтеся, що запис DKIM існує для кожного домену з увімкненою поштою
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Автентифікація електронної пошти» виберіть «Створити новий запис».
  6. У розділі «Вибрати довжину біта ключа DKIM» виберіть відповідну довжину біта ключа. 2048 рекомендовано, якщо підтримується
  7. У розділі «Селектор префікса» (необов’язково) введіть відповідний селектор префікса
  8. Використовуйте текст у значенні запису TXT, щоб оновити запис DNS на хості вашого домену
  9. Виберіть Розпочати автентифікаціюЛише внутрішні – Загальні
Значення за замовчуванням: Жодного
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.5
IG 1, 2
Implement DMARC To lower the chance of spoofed or modified emails from valid domains, implement DMARC policy and verification, starting with implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail (DKIM) standards.

CIS Controls V7: 7.8
IG 1, 2
Implement DMARC and Enable Receiver-Side Verification To lower the chance of spoofed or modified emails from valid domains, implement Domain-based Message Authentication, Reporting and Conformance (DMARC) policy and verification, starting by implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail(DKIM) standards.

3.1.3.2.2 Переконайтеся, що запис SPF налаштовано для всіх доменів із підтримкою електронної пошти (Вручну)

Level 1Вручну

Оригінал: Ensure the SPF record is configured for all mail enabled domains (Manual)

Для всіх доменів електронної пошти, налаштованих у Google Workspace, відповідний відправник Необхідно створити запис Policy Framework (SPF). ПРИМІТКА. Існує кілька способів налаштування SPF, у цьому документі представлено a найосновніший метод. Щоб дізнатися більше про налаштування SPF для Google Workspace зверніться до документації Google. • Як SPF захищає від спуфінгу та спаму • Визначте свій запис SPF — базове налаштування

💡 Обґрунтування безпеки:

Записи SPF дозволяють Gmail та іншим поштовим системам знати, звідки надходять повідомлення дозволено створювати домени. Ця інформація може бути використана цією системою для визначити, як обробляти повідомлення на основі того, чи воно підроблене, чи воно дійсне.

⚠️ Вплив на робочий процес (Impact):

Однак організація має мінімально впливати на створення записів SPF слід забезпечити належне налаштування запису SPF, оскільки електронна пошта може бути позначена як спам, якщо SPF не є таким налаштувати належним чином.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте записи DNS для кожного домену.

  1. Використовуйте інструмент пошуку системи доменних імен (DNS), щоб переглянути поточну конфігурацію вашого домену (записи DNS). Цю інформацію можна знайти різними способами: o Перегляд інформації запису DNS у реєстратора домену (GoDaddy тощо) o Використання інструменту nslookup на базі ОС на ОС робочої станції o Використання інструмента Google Dig, доступного на сайті Google Admin Toolbox (посилання: Dig)
  2. За допомогою вибраного інструменту введіть доменне ім’я електронної пошти (наприклад, domain1.com)
  3. У відображених результатах переконайтеся, що запис TXT зі значенням v=spf1 include:_spf.google.com ~all існує та призначає Google Gmail як авторизованого відправника.
⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: Ймовірно, це потрібно буде налаштувати у реєстратора домену (Godaddy тощо).

Значення за замовчуванням: Жодного
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.5
IG 1, 2
Implement DMARC To lower the chance of spoofed or modified emails from valid domains, implement DMARC policy and verification, starting with implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail (DKIM) standards.

CIS Controls V7: 7.8
IG 1, 2
Implement DMARC and Enable Receiver-Side Verification To lower the chance of spoofed or modified emails from valid domains, implement Domain-based Message Authentication, Reporting and Conformance (DMARC) policy and verification, starting by implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail(DKIM) standards.

3.1.3.2.3 Переконайтеся, що запис DMARC налаштовано для всіх доменів із підтримкою електронної пошти (Вручну)

Level 1Вручну

Оригінал: Ensure the DMARC record is configured for all mail enabled domains (Manual)

Для всіх доменів електронної пошти, налаштованих у Google Workspace, відповідний домен на основі Повинен бути запис автентифікації, звітності та відповідності повідомлень (DMARC). створений. ПРИМІТКА. У цьому документі представлено кілька способів налаштування DMARC найосновніший метод. Для отримання додаткової інформації про налаштування DMARC для Google Workspace, будь ласка, зверніться до документації Google. • Допоможіть запобігти спуфінгу та спаму за допомогою DMARC • Навчальний посібник: рекомендований випуск DMARC

💡 Обґрунтування безпеки:

DMARC працює з Sender Policy Framework (SPF) і Domain Keys Identified Mail (DKIM) для автентифікації відправників пошти та забезпечення довіри систем електронної пошти призначення повідомлення, надіслані з вашого домену. Спамери можуть підробити ваш домен або організацію надсилати підроблені повідомлення, які видають себе за вашу організацію. DMARC повідомляє отримання пошти сервери, що робити, коли вони отримують повідомлення, яке, здається, надійшло від вашої організації, але не проходить перевірки автентифікації або не відповідає вимогам автентифікації у вашому записі політики DMARC. Повідомлення, які не автентифіковані, можуть бути видає себе за вашу організацію або може бути надіслано з неавторизованих серверів.

⚠️ Вплив на робочий процес (Impact):

Однак на організації має бути мінімальний вплив налаштування записів DMARC слід забезпечити належне налаштування запису DMARC, оскільки в такому випадку електронна пошта може бути позначена як спам DMARC не налаштовано належним чином.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
ℹ️ Примітка: Запис rua=mailto:[email protected] необов’язковий, але його значення
рекомендується адреса електронної пошти. Звіти RUA надають комплексне уявлення про всі a
трафік домену. Як мінімум організації повинні налаштувати свій запис DMARC на
отримувати звіти RUA.
•
Різниця у звітах DMARC: RUA та RUF

⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: Ймовірно, це потрібно буде налаштувати у реєстратора домену (Godaddy тощо).

Значення за замовчуванням: Немає
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.5
IG 1, 2
Implement DMARC To lower the chance of spoofed or modified emails from valid domains, implement DMARC policy and verification, starting with implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail (DKIM) standards.

CIS Controls V7: 7.8
IG 1, 2
Implement DMARC and Enable Receiver-Side Verification To lower the chance of spoofed or modified emails from valid domains, implement Domain-based Message Authentication, Reporting and Conformance (DMARC) policy and verification, starting by implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail(DKIM) standards.

3.1.3.3.1 Увімкнути сповіщення адміністратора карантину для Gmail (Вручну)

Level 1Вручну

Оригінал: Enable quarantine admin notifications for Gmail (Manual)

Карантини можуть допомогти запобігти спаму, мінімізувати втрату даних і захистити конфіденційність інформації. Вони також можуть допомогти модерувати вкладені повідомлення, щоб користувачі не надсилали, відкривати або клацати те, що вони не повинні.

💡 Обґрунтування безпеки:

Адміністраторів слід періодично сповіщати, коли повідомлення потрапляють на карантин, щоб вони могли вжити відповідних заходів.

⚠️ Вплив на робочий процес (Impact):

Адміністратори почнуть отримувати сповіщення про карантин, коли електронні листи поміщаються в карантин.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Керування карантинами» переконайтеся, що для кожного карантину встановлено прапорець «Періодично повідомляти, коли повідомлення потрапляють на карантин».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Керування карантинами» встановіть «Періодично сповіщати, коли повідомлення потрапляють у карантин» на «За потреби» надайте відповідним користувачам ролі адміністратора доступу до карантину та/або доступу до обмеженого карантину
Значення за замовчуванням: Періодично сповіщати, коли повідомлення потрапляють на карантин, прапорець знято
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.7
IG 1
Deploy and Maintain Email Server Anti-Malware Protections Deploy and maintain email server anti-malware protections, such as attachment scanning and/or sandboxing.

CIS Controls V7: 8.2
IG 1, 2, 3
Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

3.1.3.4.1.1 Переконайтеся, що ввімкнено захист від зашифрованих вкладень від ненадійних відправників (Вручну)

Level 1Вручну

Оригінал: Ensure protection against encrypted attachments from untrusted senders is enabled (Manual)

Як адміністратор Google Workspace ви можете захистити вхідну пошту від фішингу і шкідливе програмне забезпечення (зловмисне ПЗ). Ви також можете вибрати, яку дію виконати на основі тип виявленої загрози.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від потенційно шкідливих вкладень.

⚠️ Вплив на робочий процес (Impact):

Користувачів буде попереджено, коли вони отримають зашифроване вкладення від ненадійної особи відправник.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – вкладення» переконайтеся, що позначено «Захист від зашифрованих вкладень від ненадійних відправників».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі Безпека – вкладення встановіть прапорець Захист від зашифрованих вкладень від ненадійних відправників
  6. Виберіть Зберегти
Значення за замовчуванням: Захист від зашифрованих вкладень від ненадійних відправників позначеноЛише внутрішні – загальні
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.6
IG 1, 2
Block Unnecessary File Types Block unnecessary file types attempting to enter the enterprise’s email gateway.

CIS Controls V7: 7.9
IG 1, 2
Block Unnecessary File Types Block all e-mail attachments entering the organization’s e-mail gateway if the file types are unnecessary for the organization’s business.

3.1.3.4.1.2 Переконайтеся, що ввімкнено захист від вкладень зі сценаріями від ненадійних відправників (Вручну)

Level 1Вручну

Оригінал: Ensure protection against attachments with scripts from untrusted senders is enabled (Manual)

Як адміністратор Google Workspace ви можете захистити вхідну пошту від фішингу і шкідливе програмне забезпечення (зловмисне ПЗ). Ви також можете вибрати, яку дію виконати на основі тип виявленої загрози.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від потенційно шкідливих вкладень.

⚠️ Вплив на робочий процес (Impact):

Користувачів буде попереджено, коли вони отримають вкладення зі сценаріями від ненадійної особи відправник.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – вкладення» переконайтеся, що позначено «Захист від вкладень зі сценаріями від ненадійних відправників».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – вкладення» встановіть прапорець «Захист від вкладень зі сценаріями від ненадійних відправників»
  6. Виберіть «Зберегти».
Значення за замовчуванням: Захист від вкладень зі сценаріями від ненадійних відправників увімкнено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.6
IG 1, 2
Block Unnecessary File Types Block unnecessary file types attempting to enter the enterprise’s email gateway.

CIS Controls V7: 7.9
IG 1, 2
Block Unnecessary File Types Block all e-mail attachments entering the organization’s e-mail gateway if the file types are unnecessary for the organization’s business.

3.1.3.4.1.3 Переконайтеся, що захист від аномальних типів вкладень у електронних листах увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure protection against anomalous attachment types in emails is enabled (Manual)

Як адміністратор Google Workspace ви можете захистити вхідну пошту від фішингу і шкідливе програмне забезпечення (зловмисне ПЗ). Ви також можете вибрати, яку дію виконати на основі тип виявленої загрози.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від потенційно шкідливих вкладень.

⚠️ Вплив на робочий процес (Impact):

Користувачів буде попереджено, коли вони отримають аномальне вкладення.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – вкладення» переконайтеся, що встановлено прапорець «Захист від аномальних типів вкладень у електронних листах».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – вкладення» встановіть прапорець «Захист від аномальних типів вкладень у електронних листах».
  6. Виберіть Зберегти
Значення за замовчуванням: Захист від аномальних типів вкладень у електронних листах не позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.6
IG 1, 2
Block Unnecessary File Types Block unnecessary file types attempting to enter the enterprise’s email gateway.

CIS Controls V7: 7.9
IG 1, 2
Block Unnecessary File Types Block all e-mail attachments entering the organization’s e-mail gateway if the file types are unnecessary for the organization’s business.

3.1.3.4.2.1 Переконайтеся, що ввімкнено ідентифікацію посилань за скороченими URL-адресами (Вручну)

Level 1Вручну

Оригінал: Ensure link identification behind shortened URLs is enabled (Manual)

Визначайте посилання за короткими URL-адресами та відображайте попередження, коли ви натискаєте посилання на ненадійні домени.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від потенційно шкідливих посилань.

⚠️ Вплив на робочий процес (Impact):

Користувачі отримуватимуть попередження, коли натискатимуть посилання на ненадійні домени.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – посилання та зовнішні зображення» переконайтеся, що позначено «Ідентифікувати посилання за скороченими URL-адресами».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – посилання та зовнішні зображення» встановіть прапорець «Ідентифікувати посилання за скороченими URL-адресами».
  6. Виберіть Зберегти
Значення за замовчуванням: Визначати посилання за скороченими URL-адресами позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

3.1.3.4.2.2 Переконайтеся, що сканувати пов’язані зображення на наявність шкідливого вмісту ввімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure scan linked images for malicious content is enabled (Manual)

Перевіряйте пов’язані зображення на наявність шкідливого вмісту та відображайте попередження, коли ви натискаєте посилання на ненадійні домени.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від потенційно шкідливих посилань.

⚠️ Вплив на робочий процес (Impact):

Користувачі отримуватимуть попередження, коли натискатимуть посилання на ненадійні домени.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Переконайтеся, що в розділі «Безпека – посилання та зовнішні зображення» встановлено прапорець «Сканувати пов’язані зображення».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі Безпека – Посилання та зовнішні зображення встановіть прапорець Сканувати пов’язані зображення
  6. Виберіть Зберегти
Значення за замовчуванням: Сканувати пов’язані зображення позначеноЛише внутрішні – Загальні
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

3.1.3.4.2.3 Переконайтеся, що підказка з попередженням відображається для будь-якого натискання посилань на ненадійні домени (Вручну)

Level 1Вручну

Оригінал: Ensure warning prompt is shown for any click on links to untrusted domains (Manual)

Відображати попередження, коли ви натискаєте посилання на ненадійні домени.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від потенційно шкідливих посилань.

⚠️ Вплив на робочий процес (Impact):

Користувачі отримуватимуть попередження, коли натискатимуть посилання на ненадійні домени.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – посилання та зовнішні зображення» переконайтеся, що встановлено прапорець «Показувати попередження про будь-які натискання посилань на ненадійні домени».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – посилання та зовнішні зображення» встановіть прапорець «Показувати сповіщення про попередження про будь-яке натискання посилань на ненадійні домени».
  6. Виберіть Зберегти
Значення за замовчуванням: Відображати попереджувальний запит для будь-якого натискання посилань на ненадійні домени позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

3.1.3.4.3.1 Переконайтеся, що ввімкнено захист від підробки домену на основі схожих доменних імен (Вручну)

Level 1Вручну

Оригінал: Ensure protection against domain spoofing based on similar domain names is enabled (Manual)

Переміщує підроблені електронні листи домену в папку спаму.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від електронної пошти, яка фальсифікує домен.

⚠️ Вплив на робочий процес (Impact):

Підроблені електронні листи домену буде переміщено до папки спаму користувача.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» переконайтеся, що позначено «Захист від підробки домену на основі подібних доменних імен».
  6. Переконайтеся, що дія – Перемістити електронну пошту до спаму
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» встановіть прапорець «Захист від підробки домену на основі схожих доменних імен»
  6. Установіть дію для переміщення електронної пошти до спаму
  7. Виберіть Зберегти
Значення за замовчуванням: • Позначено захист від підробки домену на основі схожих доменних імен • Дія — Зберігати електронну пошту у вхідних і показувати попередження (за умовчанням)
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

3.1.3.4.3.2 Переконайтеся, що захист від підробки імен співробітників увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure protection against spoofing of employee names is enabled (Manual)

Переміщує підроблені електронні листи співробітників у папку спаму.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від підробки електронних листів співробітників.

⚠️ Вплив на робочий процес (Impact):

Підроблені електронні листи співробітників буде переміщено до папки спаму користувача.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» встановіть прапорець «Захист від підробки імен співробітників»
  6. Переконайтеся, що дія – Перемістити електронну пошту до спаму
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» встановіть прапорець «Захист від підробки імен співробітників»
  6. Установіть дію для переміщення електронної пошти до спаму
  7. Виберіть Зберегти
Значення за замовчуванням: • Захист від підробки імен співробітників = позначено • Дія = Зберігати електронну пошту у вхідних і показувати попередження (за замовчуванням)
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.7
IG 1
Deploy and Maintain Email Server Anti-Malware Protections Deploy and maintain email server anti-malware protections, such as attachment scanning and/or sandboxing.

CIS Controls V7: 8.2
IG 1, 2, 3
Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

3.1.3.4.3.3 Переконайтеся, що ввімкнено захист від вхідних електронних листів, які підмінюють ваш домен (Вручну)

Level 1Вручну

Оригінал: Ensure protection against inbound emails spoofing your domain is enabled (Manual)

Переміщує вхідні електронні листи, які підроблюють ваш домен, у папку спаму.

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від вхідних електронних листів, що підробляють домен компанії.

⚠️ Вплив на робочий процес (Impact):

Підроблені електронні листи в домені компанії будуть переміщені до папки спаму користувача.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – спуфінг і автентифікація» перевірте, чи поставлено прапорець «Захист від вхідних електронних листів, які фальсифікують ваш домен».
  6. Переконайтеся, що дія – Перемістити електронну пошту до спаму
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» встановіть прапорець «Захист від вхідних електронних листів, які підмінюють ваш домен».
  6. Установіть дію для переміщення електронної пошти до спаму
  7. Виберіть Зберегти
Значення за замовчуванням: • Захист від вхідних електронних листів, які підробляють ваш домен = позначено • Дія = Зберігати електронну пошту у вхідних і показувати попередження (за замовчуванням)
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

3.1.3.4.3.4 Переконайтеся, що захист від будь-яких неавтентифікованих електронних листів увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure protection against any unauthenticated emails is enabled (Manual)

Відображає попередження, коли будь-яке повідомлення не автентифіковано (SPF або DKIM).

💡 Обґрунтування безпеки:

Ви повинні захистити своїх користувачів від будь-яких електронних листів, які не пройшли автентифікацію (SPF або DKIM)

⚠️ Вплив на робочий процес (Impact):

Електронні листи, які не пройшли автентифікацію (SPF або DKIM), відображають попередження одержувач.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» переконайтеся, що позначено «Захист від будь-яких неавтентифікованих електронних листів».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» встановіть прапорець «Захист від будь-яких неавтентифікованих електронних листів»
  6. Виберіть Зберегти
Значення за замовчуванням: Захист від будь-яких неавтентифікованих електронних листів = неперевірено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.5
IG 1, 2
Implement DMARC To lower the chance of spoofed or modified emails from valid domains, implement DMARC policy and verification, starting with implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail (DKIM) standards.

CIS Controls V7: 7.8
IG 1, 2
Implement DMARC and Enable Receiver-Side Verification To lower the chance of spoofed or modified emails from valid domains, implement Domain-based Message Authentication, Reporting and Conformance (DMARC) policy and verification, starting by implementing the Sender Policy Framework (SPF) and the DomainKeys Identified Mail(DKIM) standards.

3.1.3.4.3.5 Переконайтеся, що групи захищені від вхідних електронних листів, які підмінюють ваш домен (Вручну)

Level 1Вручну

Оригінал: Ensure groups are protected from inbound emails spoofing your domain (Manual)

Якщо група отримує електронний лист, який підроблює ваш домен, він надсилається до папки спаму.

💡 Обґрунтування безпеки:

Ви повинні захистити свої групи від будь-яких електронних листів, які підробляють ваш домен.

⚠️ Вплив на робочий процес (Impact):

Електронні листи, які підроблюють ваш домен і отримані групою, надсилаються до спаму папку.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» перевірте, чи позначено «Захистити ваші групи від вхідних електронних листів, які підробляють ваш домен».
  6. Переконайтеся, що для параметра Дія встановлено значення Перемістити електронну пошту до спаму
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Безпека – підробка та автентифікація» встановіть прапорець «Захистити свої групи від вхідних електронних листів, які підмінюють ваш домен».
  6. Установіть дію для переміщення електронної пошти до спаму
  7. Виберіть Зберегти
Значення за замовчуванням: • Захист від будь-яких неавтентифікованих електронних листів = не позначено • Дія = Зберігати електронну пошту у вхідних і відображати попередження (за замовчуванням)
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

3.1.3.5.1 Переконайтеся, що доступ POP та IMAP вимкнено для всіх користувачів (Вручну)

Level 2Вручну

Оригінал: Ensure POP and IMAP access is disabled for all users (Manual)

POP і IMAP можуть надати користувачам доступ до Gmail за допомогою застарілої або непідтвердженої електронної пошти клієнти, які не підтримують сучасні механізми автентифікації, такі як багатофакторна аутентифікація.

💡 Обґрунтування безпеки:

Вимкнення протоколів POP і IMAP запобігає використанню застарілих і непідтверджених клієнтів електронної пошти слабші механізми автентифікації, що збільшить ризик облікового запису електронної пошти компроміс облікових даних.

⚠️ Вплив на робочий процес (Impact):

Якщо у вашій організації є користувачі пристроїв Apple iOS або Android і ви ввімкнули IMAP вимкнено, повідомте їм, що вони більше не синхронізують пошту Google Workspace із iOS або Додаток Android Mail. Вони можуть не отримати сповіщення на свій пристрій. Додатково новий користувачі не можуть вручну додати обліковий запис Google, який вони використовують для роботи чи навчання, на пристрій. Якщо ваші користувачі Google Workspace хочуть використовувати настільні клієнти, як-от Microsoft Outlook і Apple Mail, щоб отримати доступ до їхньої пошти Google Workspace, потрібно ввімкнути POP або Доступ IMAP на консолі адміністратора Google. Ви можете надати доступ для всіх у своєму організації або лише для користувачів у певних організаційних підрозділах.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Доступ кінцевого користувача» — доступ POP та IMAP
  6. Переконайтеся, що прапорець Увімкнути доступ IMAP для всіх користувачів знято
  7. Переконайтеся, що прапорець Увімкнути доступ POP для всіх користувачів знятоЛише внутрішні – загальні
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Доступ кінцевого користувача» — доступ POP та IMAP
  6. Зніміть позначку «Увімкнути доступ IMAP для всіх користувачів».
  7. Зніміть позначку «Увімкнути доступ POP для всіх користувачів».
  8. Виберіть Зберегти
Значення за замовчуванням: • Позначено Увімкнути доступ IMAP для всіх користувачів • Позначено Увімкнути доступ POP для всіх користувачів
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.3.5.2 Переконайтеся, що параметри автоматичного пересилання вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure automatic forwarding options are disabled (Manual)

Вам слід вимкнути автоматичне пересилання, щоб користувачі не могли автоматично пересилати пошту.

💡 Обґрунтування безпеки:

У випадку, якщо зловмисник отримує контроль над обліковим записом кінцевого користувача, який він може створити правила ексфільтрації даних із вашого середовища.

⚠️ Вплив на робочий процес (Impact):

Перед впровадженням слід подбати про те, щоб у цьому немає потреби для бізнесу автоматичне пересилання від випадку до випадку. Вимкнення автоматичної переадресації на віддалені домени вплине усіх користувачів і в організації.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Доступ кінцевого користувача – автоматичне пересилання» переконайтеся, що не встановлено прапорець «Дозволити користувачам автоматично пересилати вхідну електронну пошту на іншу адресу».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Доступ кінцевого користувача – автоматичне пересилання» зніміть прапорець «Дозволити користувачам автоматично пересилати вхідну електронну пошту на іншу адресу».
  6. Виберіть Зберегти
Значення за замовчуванням: Позначено параметр Дозволити користувачам автоматично пересилати вхідну електронну пошту на іншу адресу
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.3.5.3 Переконайтеся, що вихідні шлюзи для кожного користувача вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure per-user outbound gateways is disabled (Manual)

Шлюз вихідної пошти для кожного користувача – це поштовий сервер, відмінний від пошти Google Workspace сервери, які доставляють вихідну пошту для користувача у вашому домені.

💡 Обґрунтування безпеки:

Пошта, надіслана через зовнішній SMTP, обійде вихідний шлюз

⚠️ Вплив на робочий процес (Impact):

Перед впровадженням слід подбати про те, щоб у цьому немає потреби для бізнесу пошта, надіслана через зовнішній шлюз SMTP.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Доступ кінцевого користувача — дозволити шлюзи вихідної пошти для кожного користувача» встановіть прапорець «Дозволити користувачам надсилати пошту через зовнішній SMTP-сервер під час налаштування адреси відправника, розміщеної за межами домену електронної пошти».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. У розділі «Доступ кінцевого користувача — дозволити вихідні шлюзи для кожного користувача» встановіть прапорець «Дозволити користувачам надсилати пошту через зовнішній сервер SMTP під час налаштування адреси відправника, розміщеної за межами домену електронної пошти».
  6. Виберіть Зберегти
Значення за замовчуванням: Дозволити користувачам надсилати пошту через зовнішній SMTP-сервер, якщо не позначено налаштування адреси відправника, розміщеної за межами домену електронної пошти
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.3.5.4 Переконайтеся, що попередження зовнішніх одержувачів увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure external recipient warnings are enabled (Manual)

Gmail додає зображення або кольорову рамку до зовнішніх адрес.

💡 Обґрунтування безпеки:

Як адміністратор своєї організації ви можете вмикати або вимикати сповіщення для повідомлень, які включати зовнішніх одержувачів (людей із адресами електронної пошти за межами вашої організації). Ці сповіщення допомагають людям уникати ненавмисних відповідей і нагадують їм про необхідність лікування зовнішніх повідомлення з обережністю.

⚠️ Вплив на робочий процес (Impact):

Якщо це налаштування ввімкнено, Gmail показує попередження (кольорові рамки), коли: • Потік електронних листів містить зовнішніх одержувачів (недоступно в iOS). • Відповідь на повідомлення від зовнішнього одержувача. • Створення нового повідомлення зовнішньому одержувачу (не доступно в iOS). Gmail не показує попередження, якщо зовнішній одержувач знаходиться в каталозі вашої організації, особисті контакти або інші контакти. Попередження не відображаються для додаткового домену або адреси псевдонімів доменів.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб переконатися, що попередження про зовнішніх одержувачів увімкнено, скористайтеся консоллю адміністратора Google Workspace:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Доступ кінцевого користувача
  6. У розділі «Попереджати для зовнішніх одержувачів» виберіть «Виділити будь-яких зовнішніх одержувачів у розмові». Попереджайте користувачів, перш ніж вони відповідатимуть на електронний лист із зовнішніми одержувачами, яких немає в їхніх контактах. увімкнено
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб увімкнути попередження для зовнішніх одержувачів, скористайтеся консоллю адміністратора Google Workspace:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Доступ кінцевого користувача
  6. Виберіть Попередити для зовнішніх одержувачів
  7. Налаштуйте виділення будь-яких зовнішніх одержувачів у розмові. Попереджайте користувачів, перш ніж вони відповідатимуть на електронний лист із зовнішніми одержувачами, яких немає в їхніх контактах. до перевірено
  8. Виберіть Зберегти
Значення за замовчуванням: Виділіть будь-яких зовнішніх одержувачів у розмові. Попереджайте користувачів, перш ніж вони відповідатимуть на електронний лист із зовнішніми одержувачами, яких немає в їхніх контактах. увімкнено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

3.1.3.6.1 Переконайтеся, що розширене сканування повідомлень перед доставкою ввімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure enhanced pre-delivery message scanning is enabled (Manual)

Дозволяє покращити виявлення підозрілого вмісту перед доставкою.

💡 Обґрунтування безпеки:

Як адміністратор ви можете збільшити здатність Gmail ідентифікувати підозрілий вміст за допомогою розширене сканування повідомлень перед доставкою. Зазвичай, коли Gmail визначає можливий фішингове повідомлення, відображається попередження, і повідомлення може бути переміщено до спаму.

⚠️ Вплив на робочий процес (Impact):

З опцією розширеного сканування повідомлень перед доставкою, коли Gmail виявляє підозрілий вміст, доставка повідомлень трохи затримується, щоб Gmail міг виконати додаткові дії перевірки безпеки повідомлення.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Спам, фішинг і зловмисне програмне забезпечення
  6. Забезпечте розширене сканування повідомлень перед доставкою. увімкнено
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Спам, фішинг і зловмисне програмне забезпечення
  6. Виберіть Розширене сканування повідомлень перед доставкою.
  7. Встановити Вмикає покращене виявлення підозрілого вмісту перед доставкою на перевірку
  8. Виберіть Зберегти
Значення за замовчуванням: Покращене сканування повідомлень перед доставкою. увімкнено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.7
IG 1
Deploy and Maintain Email Server Anti-Malware Protections Deploy and maintain email server anti-malware protections, such as attachment scanning and/or sandboxing.

CIS Controls V7: 7.10
IG 1
Sandbox All Email Attachments Use sandboxing to analyze and block inbound email attachments with malicious behavior.

3.1.3.6.2 Переконайтеся, що фільтри спаму не обходяться внутрішніми відправниками (Вручну)

Level 1Вручну

Оригінал: Ensure spam filters are not bypased for internal senders (Manual)

Ви можете налаштувати розширені налаштування Gmail, щоб обходити або не обходити фільтри спаму для повідомлень, отриманих від внутрішніх відправників.

💡 Обґрунтування безпеки:

Вимкнення цього параметра зменшує ризик спуфінгу та фішингу/китобойства.

⚠️ Вплив на робочий процес (Impact):

Ваші користувачі будуть краще захищені, фільтруючи їх електронну пошту для спаму та мінімізуючи його ймовірність спуфінгу та фішингових/китобійних атак.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Спам, фішинг і зловмисне програмне забезпечення
  6. У розділі «Спам» виберіть «Налаштувати».
  7. Обійти спам-фільтри для повідомлень, отриманих від внутрішніх відправників. не позначено
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Спам, фішинг і зловмисне програмне забезпечення
  6. У розділі «Спам» виберіть «Налаштувати».
  7. Налаштуйте обхід фільтрів спаму для повідомлень, отриманих від внутрішніх відправників. до неперевірених
  8. Виберіть Зберегти
Значення за замовчуванням: Обійти фільтри спаму для повідомлень, отриманих від внутрішніх відправників. перевіряється
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.7
IG 1
Deploy and Maintain Email Server Anti-Malware Protections Deploy and maintain email server anti-malware protections, such as attachment scanning and/or sandboxing.

CIS Controls V7: 8.2
IG 1, 2, 3
Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

3.1.3.7.1 Переконайтеся, що повне зберігання пошти ввімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure comprehensive mail storage is enabled (Manual)

Комплексне сховище пошти забезпечує відображення повідомлень, надісланих іншими основними службами папки, надіслані користувачами, і тому вони доступні для Vault.

💡 Обґрунтування безпеки:

Як адміністратор ви можете забезпечити копію всіх надісланих або отриманих повідомлень зберігається ваш домен, включно з повідомленнями, надісланими чи отриманими поштовими скриньками, відмінними від Gmail у поштових скриньках Gmail пов’язаних користувачів.

⚠️ Вплив на робочий процес (Impact):

Є кілька важливих міркувань, які слід уважно переглянути перед увімкненням комплексне зберігання пошти: • Ви не повинні вмикати комплексне зберігання пошти, якщо у вас є відповідність правила маршрутизації, які змінюють одержувача (і не хочуть, щоб оригінальний одержувач отримати копію електронного листа). • Якщо ввімкнути службу SMTP Relay, поштові скриньки користувачів зберігатимуть a копія повідомлення в папці «Надіслані» (наприклад, при надсиланні листа з a сканер), якщо ввімкнено комплексне зберігання пошти. Це може спричинити облікові записи перевищувати ліміти пам’яті, якщо випуск вашого облікового запису має ліміти пам’яті. Порівняйте видання. • Якщо ви використовуєте Gmail лише для Функція Vault і пересилання електронної пошти на ваш локальний поштовий сервер або іншу електронну пошту провайдер.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Відповідність
  6. У розділі «Комплексне зберігання пошти» переконайтеся, що копії всієї надісланої та отриманої пошти зберігаються у пов’язаних поштових скриньках користувачів.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Відповідність
  6. Виберіть Комплексне зберігання пошти
  7. Переконайтеся, що копії всієї надісланої та отриманої пошти зберігаються у пов’язаних поштових скриньках користувачів.
  8. Виберіть Зберегти
Значення за замовчуванням: Копії всієї надісланої та отриманої пошти зберігаються у пов’язаних поштових скриньках користувачів ВИМКНЕНО
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.4
IG 1, 2, 3
Enforce Data Retention Retain data according to the enterprise’s data management process. Data retention must include both minimum and maximum timelines.

CIS Controls V8: 8.2
IG 1, 2, 3
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

CIS Controls V7: 6.2
IG 1, 2, 3
Activate audit logging Ensure that local logging has been enabled on all systems and networking devices.

CIS Controls V7: 6.4
IG 1, 2
Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated.

3.1.3.7.2 Переконайтеся, що опцію «Надіслати електронну пошту через безпечне з’єднання TLS» увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Send email over a secure TLS connection’ Is Enabled (Manual)

За умовчанням Gmail завжди намагається надсилати повідомлення через безпечне з’єднання TLS. Якщо сервер-одержувач не використовує TLS, Gmail усе одно надсилає повідомлення з TLS, але з’єднання не захищене. Цей параметр дозволяє вимагати сертифікат, підписаний ЦС, перевіряти ім’я хоста пов’язаний із сертифікатом, і перевірте з’єднання TLS. Якщо повідомлення буде надіслано, біля адреси одержувача з’явиться зображення замка з TLS. Замок відображається лише для облікових записів із підпискою Google Workspace який підтримує шифрування S/MIME. Google Workspace підтримує TLS версій 1.0, 1.1, 1.2 і 1.3.

💡 Обґрунтування безпеки:

Безпека транспортного рівня (TLS) шифрує повідомлення електронної пошти для безпеки та конфіденційності запобігає несанкціонованому доступу до повідомлень, які надсилаються через Інтернет з’єднання.

⚠️ Вплив на робочий процес (Impact):

Це не повинно вплинути на використання Gmail.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Gmail
  5. Виберіть Відповідність
  6. У розділі «Відповідність безпечному транспорту (TLS)» виберіть «Налаштувати».
  7. У розділі «Повідомлення електронної пошти», на які потрібно впливати, переконайтеся, що вхідні – усі повідомлення та вихідні – усі повідомлення УВІМКНЕНІ.
⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: Увімкнення параметрів Вхідні – усі повідомлення та Вихідні – усі повідомлення
конфігурації також за замовчуванням увімкнуть Вимагати сертифікат, підписаний ЦС, коли
доставку вихідних повідомлень до вказаних доменів із підтримкою TLS
вище. Це не обов’язкова конфігурація, але рекомендована.

📋 CIS Controls & Нормативні посилання
  1. https://support.google.com/a/answer/2520500
CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

3.1.4.1.1 Переконайтеся, що зовнішній обмін файлами в Google Chat і Hangouts вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure external filesharing in Google Chat and Hangouts is disabled (Manual)

Керуйте зовнішнім доступом до файлів у Google Chat і Hangouts.

💡 Обґрунтування безпеки:

Файли часто містять конфіденційну інформацію, а деякі організації, зокрема в регульованих галузей, потрібно контролювати потік цієї інформації всередині та за її межами їх організації.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть ділитися файлами через зовнішній чат.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Обмін файлами в чаті
  5. У розділі «Налаштування» переконайтеся, що для зовнішнього доступу до файлів встановлено значення «Немає файлів».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Обмін файлами в чаті
  5. У розділі «Налаштування» встановіть «Зовнішній доступ до файлів» на «Без файлів».
  6. Виберіть Зберегти
Значення за замовчуванням: Зовнішній спільний доступ до файлів Дозволити всі файли
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

3.1.4.1.2 Переконайтеся, що внутрішній обмін файлами в Google Chat і Hangouts вимкнено (Вручну)

Level 2Вручну

Оригінал: Ensure internal filesharing in Google Chat and Hangouts is disabled (Manual)

Керуйте внутрішнім доступом до файлів у Google Chat і Hangouts.

💡 Обґрунтування безпеки:

Файли часто містять конфіденційну інформацію, а деякі організації, зокрема в регульованих галузей, потрібно контролювати потік цієї інформації всередині та за її межами їх організації.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть ділитися файлами через внутрішній чат.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Обмін файлами в чаті
  5. У розділі «Налаштування» переконайтеся, що для параметра «Внутрішній обмін файлами» встановлено значення «Без файлів».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Обмін файлами в чаті
  5. У розділі «Налаштування» встановіть «Внутрішній обмін файлами» на «Без файлів».
  6. Виберіть Зберегти
Значення за замовчуванням: Внутрішній обмін файлами – це Дозволити всі файлиЛише внутрішні – Загальні
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

3.1.4.2.1 Переконайтеся, що зовнішній чат Google обмежено дозволеними доменами (Вручну)

Level 1Вручну

Оригінал: Ensure Google Chat externally is restricted to allowed domains (Manual)

Керуйте тим, як користувачі спілкуються з людьми за межами вашої організації. Якщо ви дозволите своїм користувачам щоб спілкуватися з іншими людьми, ви також можете дозволити їм створювати простори та приєднуватися до них за межами вашої організації.

💡 Обґрунтування безпеки:

Обмеження зовнішнього чату лише схваленими доменами потенційно обмежує поширення інформація про компанію.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть спілкуватися з користувачами в будь-якому зовнішньому домені, лише схвалені домени. Для цього знадобиться схвалення на рівні адміністратора та підтримка білого списку.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Параметри зовнішнього чату
  5. Виберіть Зовнішній чат
  6. Переконайтеся, що параметр «Дозволити користувачам надсилати повідомлення за межами <компанії>» УВІМКНЕНО
  7. Перевірити Дозволити це лише для доменів із білого списку позначено
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Параметри зовнішнього чату
  5. Виберіть Зовнішній чат
  6. Увімкніть параметр «Дозволити користувачам надсилати повідомлення за межами <компанії>».
  7. Установіть, щоб дозволити це лише для доменів із білого списку
  8. Виберіть Зберегти
Значення за замовчуванням: • Для параметра «Дозволити користувачам надсилати повідомлення за межами <компанії>» встановлено значення «УВІМКНЕНО» • Не позначено «Дозволити це лише для доменів із білого списку»
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.4.3.1 Переконайтеся, що зовнішні простори в Google Chat і Hangouts обмежені (Вручну)

Level 1Вручну

Оригінал: Ensure external spaces in Google Chat and Hangouts are restricted (Manual)

Контролюйте, чи можуть користувачі створювати або приєднуватися до груп у вашій організації, які включають сторонні люди за межами вашої організації.

💡 Обґрунтування безпеки:

Обмеження зовнішніх просторів лише схваленими доменами потенційно обмежує поширення інформація про компанію.

⚠️ Вплив на робочий процес (Impact):

Користувачі, для яких це налаштування вимкнено або мають випуски, які не підтримують зовнішні простори не можуть створювати ці простори, але вони можуть приєднуватися до існуючих просторів із зовнішніми людьми

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Зовнішні простори
  5. У розділі «Налаштування» переконайтеся, що «Дозволити користувачам у домені створювати та приєднуватися до груп із людьми за межами їхньої організації» УВІМКНЕНО
  6. Підтвердьте, що встановлено прапорець «Дозволити користувачам додавати людей лише з доменів із білого списку».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Зовнішні простори
  5. У розділі «Налаштування» встановіть «Увімкнено» параметр «Дозволити користувачам у домені створювати та приєднуватися до груп із людьми, які не належать до їхньої організації».
  6. Установіть прапорець «Лише дозволяти користувачам додавати людей із доменів із білого списку».
  7. Виберіть Зберегти
Значення за замовчуванням: • Дозволити користувачам у <company> створювати та приєднуватися до груп із людьми за межами їхньої організації УВІМКНЕНО • Дозволяти користувачам додавати людей лише з доменів із білого списку не позначено
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.4.4.1 Переконайтеся, що параметр «Дозволити користувачам встановлювати програми чату» вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure allow users to install Chat apps is disabled (Manual)

Керуйте використанням додатків для чату в групах або прямих повідомлень для підключення до служб Чат Google і пошук інформації, планування зустрічей або виконання завдань. Додатки є облікові записи, створені Google, користувачами вашої організації або третіми сторонами.

💡 Обґрунтування безпеки:

Коли користувач взаємодіє з програмою в чаті, програма може бачити адресу електронної пошти користувача, аватар, іншу основну інформацію про користувача, мову користувача, часовий пояс та інформацію про взаємодію. Програма також може бачити основну інформацію про інших людей у чаті, але не може бачити свою електронну адресу або аватар, якщо вони також не взаємодіють безпосередньо з програмою. Програми для чату, які ви встановлюєте з Google Workspace Marketplace, можуть бути створені розробників за межами вашої організації. Використання цієї програми Chat потрібно ретельно контролювати (перевіряти та схвалювати), оскільки a шкідлива програма Chat може дозволити викрадання конфіденційної інформації компанії.

⚠️ Вплив на робочий процес (Impact):

За умовчанням користувачі не зможуть установлювати програми для чату.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Програми для чату
  5. У налаштуваннях доступу до програм чату переконайтеся, що параметр «Дозволити користувачам встановлювати програми чату» ВИМКНЕНО.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Програми для чату
  5. У налаштуваннях доступу до програм чату встановіть параметр «Дозволити користувачам встановлювати програми чату» на ВИМК
  6. Виберіть Зберегти
Значення за замовчуванням: Дозволити користувачам встановлювати програми чату УВІМКНЕНО
📋 CIS Controls & Нормативні посилання
  1. https://developers.google.com/chat/concepts/apps
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.4.4.2 Переконайтеся, що дозвіл користувачам додавати та використовувати вхідні вебхуки вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure allow users to add and use incoming webhooks is disabled (Manual)

Дозволити користувачам налаштовувати вхідні веб-хуки, а розробникам – викликати вхідні веб-хуки публікувати вміст. Вхідні вебхуки дозволяють надсилати асинхронні повідомлення в Google Чат із програм, які не є програмами для чату.

💡 Обґрунтування безпеки:

Використання веб-хука має ретельно контролюватися (перевірятися та схвалюватися), оскільки є зловмисним програма може надсилати фальшиву інформацію відкритим веб-хукам і, зрештою, цим користувачів.

⚠️ Вплив на робочий процес (Impact):

За умовчанням користувачі матимуть доступ до веб-хуків.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Програми для чату
  5. У налаштуваннях доступу до програм чату переконайтеся, що параметр «Дозволити користувачам додавати та використовувати вхідні веб-хуки» ВИМКНЕНО
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Chat і класичну версію Hangouts
  4. Виберіть Програми для чату
  5. У розділі «Налаштування доступу до програм чату» встановіть для параметра «Дозволити користувачам додавати та використовувати вхідні веб-хуки» значення «ВИМК.».
Значення за замовчуванням: Дозволити користувачам додавати та використовувати вхідні вебхуки УВІМКНЕНО
📋 CIS Controls & Нормативні посилання
  1. https://developers.google.com/chat/concepts/apps
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.6.1 Переконайтеся, що доступ до груп за межами цієї організації встановлено як приватний (Вручну)

Level 1Вручну

Оригінал: Ensure accessing groups from outside this organization is set to private (Manual)

Виберіть, чи можуть люди за межами вашої організації отримувати доступ до ваших груп. Група власники можуть додатково обмежити доступ за потреби.

💡 Обґрунтування безпеки:

Хто може зовні переглядати внутрішні групи організації, слід бути уважним контролюється, а їхній доступ перевіряється за потреби.

⚠️ Вплив на робочий процес (Impact):

Ніхто за межами вашої організації не може переглядати або шукати ваші групи. Зовнішні користувачі може надіслати групі електронний лист, якщо це дозволяють налаштування групи.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Groups for Business
  5. Виберіть Параметри спільного доступу
  6. Переконайтеся, що доступ до груп за межами цієї організації є приватним
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Groups for Business
  5. Виберіть Параметри спільного доступу
  6. Установіть для параметра Доступ до груп за межами цієї організації значення Приватне
  7. Виберіть Зберегти
Значення за замовчуванням: Доступ до груп за межами цієї організації є приватним
📋 CIS Controls & Нормативні посилання
  1. https://apps.google.com/supportwidget/articlehome?hl=en&article_url=https%3A
  2. %2F%2Fsupport.google.com%2Fa%2Fanswer%2F10308022%3Fhl%3Den&pro
  3. duct_context=10308022&product_name=UnuFlow&trigger_context=a
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.6.2 Переконайтеся, що створення груп обмежено (Вручну)

Level 1Вручну

Оригінал: Ensure creating groups is restricted (Manual)

Контролюйте, кому дозволено створювати групи у вашій організації та чи можуть вони це робити зовнішні учасники.

💡 Обґрунтування безпеки:

Організація повинна мати певний контроль над створеними організаційними групами ціль, для якої вони призначені.

⚠️ Вплив на робочий процес (Impact):

У великій організації це може спричинити надмірне навантаження на адміністраторів.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Groups for Business
  5. Виберіть Створення груп
  6. Перевірте, що лише адміністратори організації можуть створювати групи
  7. Переконайтеся, що власники групи можуть дозволяти зовнішнім учасникам. Адміністратори організації можуть завжди додавати зовнішніх учасників
  8. Переконайтеся, що власники групи можуть дозволити вхідну електронну пошту з-за меж організації.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Groups for Business
  5. Виберіть Створення груп
  6. Виберіть Лише адміністратори організації можуть створювати групи
  7. Встановити Власники групи можуть дозволяти зовнішнім учасникам. Адміністратори організації завжди можуть додавати зовнішніх учасників, щоб зняти позначку
  8. Власники налаштувань групи можуть дозволити не перевіряти вхідну електронну пошту з-за меж організації
  9. Виберіть Зберегти
Значення за замовчуванням: • Будь-хто в організації може створювати групи вибрано • Власники групи можуть дозволяти зовнішнім учасникам Поле знято для адміністраторів організації завжди можуть додавати зовнішніх учасників • Власники групи можуть дозволяти вхідну електронну пошту з-за меж організації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.6.3 Переконайтеся, що дозвіл на перегляд розмов за умовчанням обмежено (Вручну)

Level 1Вручну

Оригінал: Ensure default for permission to view conversations is restricted (Manual)

За замовчуванням дозволити лише учасникам групи переглядати групові розмови.

💡 Обґрунтування безпеки:

Перегляд бесіди завжди можна розширити за винятком для певних груп, наприклад потрібно (Потрібно знати), але за замовчуванням обмежено.

⚠️ Вплив на робочий процес (Impact):

Жодного практичного ефекту, оскільки члени групи можуть переглядати розмови в групі.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Groups for Business
  5. Виберіть Параметри спільного доступу
  6. Перевірте, що за умовчанням для дозволу на перегляд бесід вибрано значення «Усі учасники групи».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Groups for Business
  5. Виберіть Параметри спільного доступу
  6. Установіть за замовчуванням дозвіл на перегляд розмов для всіх учасників групи
  7. Виберіть Зберегти
Значення за замовчуванням: За замовчуванням для дозволу на перегляд бесід є всі користувачі організаціїЛише внутрішні – загальні
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

3.1.7.1 Переконайтеся, що статус служби для сайтів Google вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure service status for Google Sites is set to off (Manual)

За замовчуванням Google Sites вимкнено для всіх користувачів.

💡 Обґрунтування безпеки:

Насправді немає причин, щоб кожен користувач в організації мав доступ до Google Сайти. Якщо ця можливість потрібна, її можна ввімкнути та налаштувати для цих користувачів групи за винятком, як того вимагає організація для задоволення конкретних потреб.

⚠️ Вплив на робочий процес (Impact):

Користувачі не матимуть доступу до сайтів Google.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Сайти
  5. Виберіть статус служби
  6. Перевірте, що статус служби ВИМКНЕНО для всіх
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть Сайти
  5. Виберіть статус служби
  6. Встановіть статус служби ВИМКНЕНО для всіх
  7. Виберіть Зберегти
Значення за замовчуванням: Статус служби УВІМКНЕНО для всіх
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.8.1 Переконайтеся, що доступ до зовнішніх груп Google ВИМКНЕНО для всіх (Вручну)

Level 1Вручну

Оригінал: Ensure access to external Google Groups is OFF for Everyone (Manual)

Контролюйте, чи можуть користувачі вашої організації отримувати доступ до зовнішніх груп зі своїх Обліковий запис Google Workspace. Зовнішні групи створюються за межами вашої організації та може включати загальнодоступну групу спільноти або групу для клубу, до якого належить користувач. Керуйте доступом до зовнішніх груп, увімкнувши або вимкнувши додаткові групи Google service — застаріла служба на консолі адміністратора, яка виконує лише одне: дозволяє або блокує користувачам доступ до зовнішніх груп з їхнього облікового запису Google Workspace. ПРИМІТКА. Ця служба не впливає на внутрішні групи вашої організації.

💡 Обґрунтування безпеки:

Загалом більшість персоналу організації не потребує оцінки зовнішніх груп. Вони можуть бути дозволені як виняток у разі потреби бізнесу.

⚠️ Вплив на робочий процес (Impact):

Користувачі не можуть отримати доступ до зовнішніх груп зі свого облікового запису Google Workspace. однак, вони продовжують отримувати дайджести електронною поштою від груп, на які вони вже підписані коли ви вимикаєте послугу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть «Додаткові служби Google».
  5. Прокрутіть униз до Груп Google
  6. Переконайтеся, що його ВИМКНЕНО для всіх
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть Google Workspace
  4. Виберіть «Додаткові служби Google».
  5. Прокрутіть униз до Груп Google
  6. Вимкніть для всіх
  7. Виберіть Зберегти
Значення за замовчуванням: Групи Google УВІМКНЕНО для всіх
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

3.1.9.1.1 Переконайтеся, що доступ користувачів до програм Google Workspace Marketplace обмежено (Вручну)

Level 1Вручну

Оригінал: Ensure users access to Google Workspace Marketplace apps is restricted (Manual)

Обмежте, які програми Google Marketplace користувач може встановлювати.

💡 Обґрунтування безпеки:

Користувачам має бути дозволено встановлювати лише затверджені та перевірені програми. Це обмежить загальна поверхня атаки для організації.

⚠️ Вплив на робочий процес (Impact):

Користувачі можуть установлювати лише схвалені програми Google Marketplace. Цей список повинен бути створений і підтримується.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть програми Google Workspace Marketplace
  4. Виберіть Налаштування
  5. У розділі «Керування доступом до білого списку Google Workspace Marketplace» перевірте «Налаштування», щоб установлювати сторонні програми Google Workspace Marketplace: встановлено значення «Дозволити користувачам встановлювати та запускати лише вибрані програми з Marketplace».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Програми
  3. Виберіть програми Google Workspace Marketplace
  4. Виберіть Налаштування
  5. У розділі «Керування доступом до білого списку Google Workspace Marketplace» установіть налаштування для встановлення сторонніх програм Google Workspace Marketplace: «Дозволити користувачам установлювати та запускати лише вибрані програми з Marketplace».
  6. Виберіть ЗберегтиЛише внутрішні – Загальні
Значення за замовчуванням: Налаштування для встановлення сторонніх програм Google Workspace Marketplace: дозволено користувачам установлювати та запускати будь-яку програму з Marketplace
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Google Workspace Foundations Benchmark →