← До повного змісту CIS Google Workspace Foundations Benchmark

CIS Benchmark

CIS Benchmark • Google Workspace v1.4

4. Політики безпеки та аутентифікації

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Політики безпеки та аутентифікації».


Рекомендацій: 18


Google Workspace v1.4

4.1.1.1 Переконайтеся, що 2-етапна перевірка (багатофакторна автентифікація) застосовується для всіх користувачів із адміністративними ролями (Вручну)

Level 1Вручну

Оригінал: Ensure 2-Step Verification (Multi-Factor Authentication) is enforced for all users in administrative roles (Manual)

Застосувати двоетапну перевірку (багатофакторну автентифікацію) для всіх призначених користувачів адміністративні ролі. До них належать такі ролі, як: • Адміністратор служби підтримки • Адміністратор груп • Супер адміністратор • Служби адмін • Адміністратор керування користувачами • Мобільний адміністратор • Адміністратор Android • Спеціальні ролі адміністратора

💡 Обґрунтування безпеки:

Додайте додатковий рівень безпеки обліковим записам користувачів, попросивши користувачів підтвердити свою особу коли вони вводять ім’я користувача та пароль. Двохетапна перевірка (багатофакторна автентифікація) вимагає від особи надати принаймні дві окремі форми автентифікація перед наданням доступу. 2-етапна перевірка надає додаткові впевненість у тому, що особа, яка намагається отримати доступ, є тим, за кого себе видає. з 2- Етап перевірки, зловмиснику потрібно буде скомпрометувати принаймні два різних механізмів автентифікації, що збільшує складність компромісу і, таким чином, зменшує ризик.

⚠️ Вплив на робочий процес (Impact):

Впровадження 2-етапної перевірки (багатофакторної автентифікації) для всіх користувачів у адміністративні ролі вимагатимуть зміни розпорядку користувача. Усі користувачі в адмін для реєстрації в двоетапній перевірці за допомогою телефону, SMS або додаток автентифікації. Після реєстрації потрібно використовувати двоетапну перевірку для майбутнього доступу до середовища.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Перейдіть у розділ «Безпека» та натисніть «Двохетапна перевірка».
  3. Виберіть відповідну групу з УСІМА РОЛЯМИ АДМІНІСТРАТОРА — Створіть цю групу, якщо потрібно
  4. У розділі Автентифікація переконайтеся, що позначено параметр Дозволити користувачам увімкнути двоетапну перевірку
  5. Переконайтеся, що для параметра Enforcement встановлено значення On
  6. Переконайтеся, що для періоду реєстрації нового користувача встановлено 2 тижні
  7. Переконайтеся, що в розділі «Частота» знято прапорець «Дозволити користувачеві довіряти пристрою».
  8. У розділі «Методи» переконайтеся, що вибрано «Телефонний дзвінок», крім кодів підтвердження через текстове повідомлення
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Перейдіть у розділ «Безпека» та натисніть «Двохетапна перевірка».
  3. Виберіть відповідну групу з УСІМА РОЛЯМИ АДМІНІСТРАТОРА — Створіть цю групу, якщо потрібно
  4. У розділі «Автентифікація» встановіть прапорець «Дозволити користувачам вмикати двоетапну перевірку».
  5. Установіть Enforcement на On
  6. Період реєстрації нового користувача встановлено на 2 тижні
  7. У розділі «Частота» зніміть прапорець «Дозволити користувачеві довіряти пристрою».
  8. У розділі «Методи» встановіть «Будь-який, крім кодів підтвердження через текстове повідомлення, телефонний дзвінок» на вибране
  9. Виберіть Зберегти
Значення за замовчуванням: • Поставлено прапорець «Дозволити користувачам увімкнути двоетапну перевірку» • «Примусове виконання» вимкнено • Період реєстрації нового користувача позначено «Немає» • Позначено «Частота» — «Дозволити користувачеві довіряти пристрою» • «Методи» поставлено «Будь-який»
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 6.5
IG 1, 2, 3
Require MFA for Administrative Access Require MFA for all administrative access accounts, where supported, on all enterprise assets, whether managed on-site or through a third-party provider.

CIS Controls V7: 4.5
IG 1, 2
Use Multifactor Authentication For All Administrative Access Use multi-factor authentication and encrypted channels for all administrative account access.

4.1.1.2 Переконайтеся, що апаратні ключі безпеки використовуються всіма користувачами з адміністративними ролями та іншими важливими обліковими записами (Вручну)

Level 2Вручну

Оригінал: Ensure hardware security keys are used for all users in administrative roles and other high-value accounts (Manual)

Апаратний ключ безпеки підключається до пристрою користувача за допомогою USB (A & C), Lightning, З’єднання NFC або Bluetooth. Крім того, багато телефонів Android і Apple iPhone мають вбудовані ключі безпеки, доступні через Bluetooth і які можна призначити Google Обліковий запис Workspace. Призначення фізичного ключа безпеки – забезпечити додатковий рівень безпеки до високого рахунки вартості; у разі зламу облікових даних користувача (ім’я користувача та пароль) без відповідного ключа безпеки процес автентифікації неможливий успішно завершено.

💡 Обґрунтування безпеки:

Призначення фізичного ключа безпеки – забезпечити додатковий рівень безпеки до високого рахунки вартості; у разі зламу облікових даних користувача (ім’я користувача та пароль) без відповідного ключа безпеки процес автентифікації неможливий успішно завершено. Апаратні ключі безпеки допомагають захистити важливі облікові записи від цілеспрямованих атак, включаючи спроби фішингу. Додавання вимоги апаратного ключа безпеки до ваших привілейованих облікових записів Google додає інший рівень глибини захисту, більший, ніж будь-яка інша форма двофакторного аутентифікація.

⚠️ Вплив на робочий процес (Impact):

Користувачі з увімкненими апаратними ключами безпеки повинні мати фізичний доступ до апаратний ключ, щоб завершити процес автентифікації, і це змусить користувачів прийняти практику переконатися, що фізичний ключ доступний для них у будь-який момент час, потрібний їм для входу. Якщо апаратний ключ безпеки втрачено або вкрадено, користувач, якого це стосується, може отримати до нього доступ обліковий запис Google за допомогою процесу резервного копіювання MFA, а потім видаліть втрачений/викрадений ключ і додайте ще один. Якщо апаратний ключ безпеки викрадено, обліковий запис користувача не буде автоматично скомпрометовано, оскільки апаратний ключ працює разом з обліковим записом користувача облікові дані (ім’я користувача та пароль).

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Перейдіть до «Безпека» та натисніть «Автентифікація».
  3. У розділі Автентифікація виберіть 2-етапну перевірку
  4. Переконайтеся, що позначено параметр «Дозволити користувачам увімкнути двоетапну перевірку».
  5. Переконайтеся, що параметр Enforcement встановлено на «On» або «On from» із дійсною датою
  6. У розділі Методи переконайтеся, що вибрано Лише ключ безпеки
  7. У політиці 2-етапної перевірки пільговий період призупинення переконайтеся, що вибрано 1 день
  8. Переконайтеся, що в розділі «Коди безпеки» вибрано «Заборонити користувачам генерувати коди безпеки».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Перейдіть до «Безпека» та натисніть «Автентифікація».
  3. У розділі Автентифікація виберіть 2-етапну перевірку
  4. Виберіть опцію «Дозволити користувачам увімкнути двоетапну перевірку».
  5. У розділі «Застосування» ввімкніть «Увімкнути» або «Увімкнути з» і налаштуйте дійсну дату
  6. У розділі Методи виберіть Лише ключ безпеки, щоб примусово використовувати ключ безпеки
  7. У полі пільгового періоду призупинення двоетапної перевірки виберіть 1 день
  8. У розділі «Коди безпеки» виберіть «Заборонити користувачам створювати коди безпеки».
  9. Виберіть Зберегти
Значення за замовчуванням: • Поставлено прапорець «Дозволити користувачам увімкнути двоетапну перевірку» • «Застосування» вимкнено • Період реєстрації нового користувача — «Немає» • Позначено «Частота» — «Дозволити користувачеві довіряти пристрою» • «Методи» — «Будь-який»
📋 CIS Controls & Нормативні посилання
  1. https://support.google.com/accounts/answer/6103523?hl=En
CIS Controls V8: 6.5
IG 1, 2, 3
Require MFA for Administrative Access Require MFA for all administrative access accounts, where supported, on all enterprise assets, whether managed on-site or through a third-party provider.

CIS Controls V7: 4.5
IG 1, 2
Use Multifactor Authentication For All Administrative Access Use multi-factor authentication and encrypted channels for all administrative account access.

4.1.1.3 Переконайтеся, що 2-етапна перевірка (багатофакторна автентифікація) застосовується для всіх користувачів (Вручну)

Level 1Вручну

Оригінал: Ensure 2-Step Verification (Multi-Factor Authentication) is enforced for all users (Manual)

Застосуйте двоетапну перевірку (багатофакторну автентифікацію) для всіх користувачів.

💡 Обґрунтування безпеки:

Додайте додатковий рівень безпеки обліковим записам користувачів, попросивши користувачів підтвердити свою особу коли вони вводять ім’я користувача та пароль. Двохетапна перевірка (багатофакторна автентифікація) вимагає від особи надати принаймні дві окремі форми автентифікація перед наданням доступу. 2-етапна перевірка надає додаткові впевненість у тому, що особа, яка намагається отримати доступ, є тим, за кого себе видає. з 2- Етап перевірки, зловмиснику потрібно буде скомпрометувати принаймні два різних механізмів автентифікації, що збільшує складність компромісу і, таким чином, зменшує ризик.

⚠️ Вплив на робочий процес (Impact):

Впровадження 2-етапної перевірки (багатофакторної автентифікації) для всіх користувачів вимагають зміни розпорядку користувача. Усі користувачі повинні будуть зареєструватися в 2-Step Перевірка за допомогою телефону, SMS або додатка для аутентифікації. Після реєстрації, для майбутнього доступу до середовища буде потрібно використання 2-етапної перевірки.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть 2-етапну перевірку
  4. У розділі Автентифікація переконайтеся, що позначено параметр Дозволити користувачам увімкнути двоетапну перевірку
  5. Переконайтеся, що для параметра Enforcement встановлено значення On
  6. Переконайтеся, що для періоду реєстрації нового користувача встановлено 2 тижні
  7. У розділі «Частота» переконайтеся, що не встановлено прапорець «Дозволити користувачу довіряти пристрою».
  8. У розділі «Методи» переконайтеся, що вибрано «Будь-який, крім кодів підтвердження через текстове повідомлення», телефонний дзвінок.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть 2-етапну перевірку
  4. У розділі «Автентифікація» поставте прапорець «Дозволити користувачам увімкнути двоетапну перевірку».
  5. Установіть Enforcement на On
  6. Встановіть період реєстрації нового користувача на 2 тижні
  7. У розділі «Частота» зніміть прапорець «Дозволити користувачеві довіряти пристрою».
  8. У розділі «Методи» виберіть «Будь-який, крім кодів підтвердження через текстове повідомлення, телефонний дзвінок».
  9. Виберіть Зберегти
Значення за замовчуванням: • Поставлено прапорець «Дозволити користувачам увімкнути двоетапну перевірку» • «Застосування» вимкнено • Період реєстрації нового користувача — «Немає» • Позначено «Частота» — «Дозволити користувачеві довіряти пристрою» • «Методи» — «Будь-який»
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 6.3
IG 1, 2, 3
Require MFA for Externally-Exposed Applications Require all externally-exposed enterprise or third-party applications to enforce MFA, where supported. Enforcing MFA through a directory service or SSO provider is a satisfactory implementation of this Safeguard.

CIS Controls V7: 16.3
IG 1, 2
Require Multi-factor Authentication Require multi-factor authentication for all user accounts, on all systems, whether managed onsite or by a third-party provider.

4.1.2.1 Переконайтеся, що відновлення облікового запису суперадміністратора вимкнено (Вручну)

Level 2Вручну

Оригінал: Ensure Super Admin account recovery is disabled (Manual)

Ця опція дозволяє користувачам суперадміністратора відновити доступ до своїх облікових записів, якщо вони пароль забули. Цей параметр недоступний, якщо використовується Single Sign On або Password Sync.

💡 Обґрунтування безпеки:

Дозволяючи суперадміністраторам відновлювати доступ до своїх облікових записів, якщо вони це зробили забули свої паролі, це також значно зменшує кількість звернень до служби підтримки знижує безпеку цих облікових записів суперадміністратора. Якщо зловмисник має доступ до стандартного облікового запису суперадміністратора, вони можуть отримати доступ до суперадміністратора Обліковий запис адміністратора також.

⚠️ Вплив на робочий процес (Impact):

Вплив на те, що суперадміністраторам не дозволено відновити свої облікові записи, є такий може бути простой, поки інший суперадміністратор скидає свій пароль.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор.
  2. Виберіть Безпека.
  3. Виберіть Автентифікація.
  4. У розділі Відновлення облікового запису виберіть Відновлення облікового запису суперадміністратора.
  5. Переконайтеся, що прапорець «Дозволити суперадміністраторам відновлювати облікові записи» знято.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор.
  2. Виберіть Безпека.
  3. Виберіть Автентифікація.
  4. У розділі Відновлення облікового запису виберіть Відновлення облікового запису суперадміністратора.
  5. Зніміть позначку «Дозволити суперадміністраторам відновлювати обліковий запис».
  6. Клацніть «Зберегти».
Значення за замовчуванням: Дозвол суперадміністраторам відновлювати їхні облікові записи ВИМКНЕНО
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.4
IG 1, 2, 3
Restrict Administrator Privileges to Dedicated Administrator Accounts Restrict administrator privileges to dedicated administrator accounts on enterprise assets. Conduct general computing activities, such as internet browsing, email, and productivity suite use, from the user’s primary, non-privileged account.

CIS Controls V7: 4.9
IG 1, 2
Log and Alert on Unsuccessful Administrative Account Login Configure systems to issue a log entry and alert on unsuccessful logins to an administrative account.

4.1.2.2 Переконайтеся, що відновлення облікового запису користувача ввімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure User account recovery is enabled (Manual)

Ця опція дозволяє користувачам, які не є суперадміністраторами, відновити доступ до своїх облікових записів, якщо вони пароль забули. Цей параметр недоступний, якщо використовується Single Sign On або Password Sync.

💡 Обґрунтування безпеки:

Дозволяє користувачам відновлювати доступ до своїх облікових записів, якщо вони їх забули паролів зменшує кількість звернень до служби підтримки, згенерованих користувачами, і зменшує кількість часу простою, витраченого на очікування початку процесу відновлення облікового запису та повний.

⚠️ Вплив на робочий процес (Impact):

Потенційний вплив на користувачів, яким буде дозволено відновити облікові записи, включає: 1. Тепер користувач має право скидати свої паролі. 2. Користувачеві більше не потрібно буде дзвонити в службу підтримки або відкривати заявку на підтримку, щоб відновити доступ до свого облікового запису. Організація, яка дозволяє користувачам відновлювати облікові записи, витратить менше часу адміністративний персонал, який працює над цими завданнями.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор.
  2. Виберіть Безпека.
  3. Виберіть Відновлення облікового запису користувача
  4. Перевірити Дозволити користувачам і не суперадміністраторам відновлювати облікові записи.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор.
  2. Виберіть Безпека.
  3. Виберіть Відновлення облікового запису користувача
  4. Виберіть піктограму олівця або сам параметр.
  5. Установіть прапорець «Дозволити користувачам і несуперадміністраторам відновлювати облікові записи».
  6. Виберіть Зберегти.
Значення за замовчуванням: Дозволити користувачам і користувачам, які не є суперадміністраторами, відновлювати свої облікові записи ВИМКНЕНО
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

4.1.3.1 Переконайтеся, що програму розширеного захисту налаштовано (Вручну)

Level 2Вручну

Оригінал: Ensure Advanced Protection Program is configured (Manual)

Увімкніть платформу додаткового захисту Google для всіх користувачів і забороніть використання коди безпеки, де це можливо.

💡 Обґрунтування безпеки:

Витончена тактика фішингу може обманом змусити найбільш кмітливих користувачів увійти облікові дані для зловмисників. Розширений захист вимагає використання ключа безпеки, який це апаратний пристрій або спеціальне програмне забезпечення на вашому телефоні, яке використовується для підтвердження вашої особи увійдіть у свій обліковий запис Google. Неавторизовані користувачі не зможуть увійти без вас ключ безпеки, навіть якщо вони мають ваше ім’я користувача та пароль. Програма додаткового захисту включає групу політик високого рівня безпеки які застосовуються до зареєстрованих облікових записів. Додаткові політики можуть бути додані до розширеного Програма захисту для забезпечення актуальності засобів захисту. Розширений захист дозволяє застосувати всі ці засоби захисту одночасно та замінити їх аналогічні параметри, які ви могли налаштувати вручну. Ці політики включають: • Надійна автентифікація за допомогою ключів безпеки • Використання кодів безпеки з ключами безпеки (за потреби) • Обмеження стороннього доступу до даних облікового запису • Глибоке сканування Gmail • Захист Google Safe Browsing у Chrome (коли користувачі ввійшли в систему Chrome використовує той самий ідентифікатор, що й його ідентифікатор Програми додаткового захисту) • Відновлення облікового запису через адмінку

Тільки внутрішні – загальні

⚠️ Вплив на робочий процес (Impact):

Вплив на користувача • Вам потрібен ключ безпеки, коли ви входите в систему вперше на комп’ютері, браузер або пристрій. Якщо ви залишитеся в системі, вас можуть не попросити використовувати свій ключ безпеки під час наступного входу. • Обмежує доступ сторонніх додатків до ваших даних, посилює перевірку підозрілих завантажень і посилює безпеку відновлення облікового запису, щоб запобігти неавторизованим доступу. Ключі безпеки – потрібно 2 • Android: з телефоном Android 7.0+ ви можете зареєструватися кількома дотиками, зареєструвавшись вбудований ключ безпеки вашого телефону. • iPhone: якщо у вас iPhone з iOS 10.0+, інсталюйте Google Smart Спочатку заблокуйте програму, щоб зареєструвати ключ безпеки, а потім зареєструйтеся. • Для додаткової гарантії потрібні два ключі безпеки. Якщо один ключ загублений або пошкоджено, користувачі можуть використовувати другий ключ, щоб відновити доступ до облікового запису. IDP третьої сторони • Ви можете використовувати Програму додаткового захисту з обліковими записами, які інтегруються з IdP за допомогою SAML. Коли користувачі з цими обліковими записами зареєструються в Advanced Програма захисту, ми вимагатимемо використання ключа безпеки після входу користувача на IDP. Зауважте, що користувачі SAML можуть вибрати «Запам’ятати пристрій», щоб уникнути проблем у браузері чи на пристрої. Коди безпеки • Перш ніж дозволити користувачам генерувати коди безпеки, ретельно оцініть, чи ваш організація їх потребує. Використання ключів безпеки з кодами безпеки збільшує ризик фішингу. Однак якщо у вашій організації є важливі робочі процеси, де ключі безпеки не можна використовувати безпосередньо, увімкнувши коди безпеки для таких ситуацій може допомогти покращити вашу безпеку в цілому. Використання функції «Вхід через Google» з іншими програмами та службами • Ви все ще можете входити в програми та служби за допомогою Google. Якщо вони вимагають доступу до ваших даних Gmail або Диска, доступ заборонено.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Програма додаткового захисту
  4. У розділі «Реєстрація – дозволити користувачам реєструватися в програмі додаткового захисту» переконайтеся, що для потрібного організаційного підрозділу чи групи вибрано параметр «Увімкнути реєстрацію користувачів».
  5. У розділі «Коди безпеки» переконайтеся, що для потрібного організаційного підрозділу чи групи вибрано параметр «Не дозволяти користувачам створювати коди безпеки».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Програма додаткового захисту
  4. У розділі «Реєстрація — дозволити користувачам реєструватися в Програмі додаткового захисту» встановіть для параметра «Увімкнути реєстрацію користувачів» значення для потрібного організаційного підрозділу чи групи.
  5. У розділі «Коди безпеки» встановіть «Заборонити користувачам генерувати коди безпеки» для потрібного організаційного підрозділу чи групи
  6. Виберіть Зберегти
Значення за замовчуванням: • Вибрано параметр «Дозволити користувачам реєструватися на платформі розширеного захисту» • Для кодів безпеки встановлено значення «Дозволити коди безпеки без віддаленого доступу»
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 6.3
IG 1, 2, 3
Require MFA for Externally-Exposed Applications Require all externally-exposed enterprise or third-party applications to enforce MFA, where supported. Enforcing MFA through a directory service or SSO provider is a satisfactory implementation of this Safeguard.

CIS Controls V7: 16.3
IG 1, 2
Require Multi-factor Authentication Require multi-factor authentication for all user accounts, on all systems, whether managed onsite or by a third-party provider.

4.1.4.1 Переконайтеся, що виклики входу виконуються (Вручну)

Level 2Вручну

Оригінал: Ensure login challenges are enforced (Manual)

Налаштуйте Google Workspace для підтвердження особи користувача після SSO.

💡 Обґрунтування безпеки:

Багато організацій використовують сторонніх постачальників ідентифікаційної інформації (IdP) для автентифікації користувачів, які використовувати систему єдиного входу (SSO) через SAML. Сторонній IdP автентифікує користувачів і ні перед ними постають додаткові виклики, засновані на ризику. Будь-яка двоетапна перевірка Google (2SV) конфігурація ігнорується. Це типова поведінка. Ви можете встановити політику дозволу додаткові виклики автентифікації на основі ризику та 2SV, якщо його налаштовано. Якщо Google отримує дійсне твердження SAML (інформацію про автентифікацію користувача) від IdP під час входу користувача, Google може створити додаткові проблеми для користувача. Проблеми входу вимагають від користувачів номера телефону для відновлення або облікового запису електронної пошти пов’язані з обліковим записом організації. Якщо раніше не було налаштовано, користувачі будуть буде запропоновано періодично вводити цю інформацію, доки вона не буде надана. Один із варіантів виклику входу пропонує користувачам ввести свій ідентифікатор працівника. Цей метод є сприйнятливий до атак зі збору інформації, якщо список ідентифікаторів співробітників коли-небудь буде витік.

⚠️ Вплив на робочий процес (Impact):

Потенційний вплив, пов’язаний із впровадженням цього параметра, залежить від існуючі правила двоетапної перевірки (2SV). • Якщо у вас є існуючі політики 2SV, такі як примусове застосування 2SV, ці політики застосовуються негайно. • Користувачі, яких стосується нова політика та які зареєстровані в 2SV, отримують 2SV виклик під час входу. • На основі аналізу ризиків входу в обліковий запис Google користувачі можуть помітити проблеми, пов’язані з ризиком вхід.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Автентифікація
  4. Виберіть Завдання входу
  5. Виберіть Перевірка після SSO
  6. Залежно від конфігурації системи єдиного входу вашої організації: o У налаштуваннях для користувачів, які входять за допомогою застарілого профілю SSO, переконайтеся, що запитувати користувачів про додаткові перевірки від Google, якщо вхід або поведінка сеансу виглядають підозрілими, і завжди застосовувати політику двоетапної перевірки (якщо налаштовано) позначено o У налаштуваннях для користувачів, які входять за допомогою інших профілів єдиного входу, переконайтеся, що просити користувачів про додаткові перевірки від Google, якщо поведінка входу або сеансу виглядає підозріло, і завжди застосовуйте Правила двоетапної перевірки (якщо налаштовано) перевіряються
  7. У розділі Проблеми входу переконайтеся, що прапорець Використовувати ідентифікатор працівника для забезпечення більшої безпеки моїх користувачів знято
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Автентифікація
  4. Виберіть Завдання входу
  5. Залежно від конфігурації системи єдиного входу вашої організації: o У налаштуваннях для користувачів, які входять за допомогою застарілого профілю SSO, установіть Запитуйте користувачів про додаткові перевірки від Google, якщо вхід або поведінка сеансу виглядають підозрілими, і завжди застосовуйте політику двоетапної перевірки (якщо налаштовано) до поставленого прапорця o У розділі Налаштування для користувачів, які входять за допомогою інших профілів SSO, установіть Запитуйте користувачів про додаткові перевірки від Google, якщо поведінка входу або сеансу виглядає підозріло, і завжди застосовуйте Політики двоетапної перевірки (якщо налаштовано) потрібно перевірити
  6. Виберіть Зберегти
  7. У розділі «Проблеми входу» встановіть прапорець «Використовувати ідентифікатор співробітника, щоб мої користувачі були більш безпечними».
  8. Виберіть Зберегти
Значення за замовчуванням: • Перевірка після SSO – це вхід із використанням SSO в обхід додаткових перевірок • Використовувати ідентифікатор працівника для забезпечення більшої безпеки моїх користувачів не позначено Додаткова інформація: ця рекомендація містить вказівки щодо використання автентифікації Google як основної системи SSO. Якщо ви використовуєте систему єдиного входу третьої сторони, вам потрібно буде налаштувати це за допомогою: Щоб налаштувати це налаштування через консоль адміністратора Google Workspace: 1. Увійдіть на сторінку https://admin.google.com як адміністратор 2. Виберіть Безпека 3. Виберіть Автентифікація 4. Залежно від конфігурації SSO та SAML вашої організації: o Виберіть SSO із програмами SAML o Виберіть SSO із стороннім IdP. Вам потрібно буде налаштувати будь-який варіант відповідно до вимог стороннього постачальника вашої організації. Ваш провайдер повинен допомогти вам із цією конфігурацією, але це виходить за межі тесту.
ℹ️ Додаткова інженерна інформація (Additional Information):

Ця рекомендація містить вказівки щодо використання автентифікації Google як основної системи єдиного входу. Якщо ви використовуєте систему єдиного входу третьої сторони, вам потрібно буде налаштувати це за допомогою: Щоб налаштувати це налаштування через консоль адміністратора Google Workspace: 1. Увійдіть на сторінку https://admin.google.com як адміністратор 2. Виберіть Безпека 3. Виберіть Автентифікація 4. Залежно від конфігурації SSO та SAML вашої організації: o Виберіть SSO із програмами SAML o Виберіть SSO із стороннім IdP. Вам потрібно буде налаштувати будь-який варіант відповідно до вимог стороннього постачальника вашої організації. Ваш провайдер повинен допомогти вам із цією конфігурацією, але це виходить за межі тесту.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 6.3
IG 1, 2, 3
Require MFA for Externally-Exposed Applications Require all externally-exposed enterprise or third-party applications to enforce MFA, where supported. Enforcing MFA through a directory service or SSO provider is a satisfactory implementation of this Safeguard.

CIS Controls V7: 16.3
IG 1, 2
Require Multi-factor Authentication Require multi-factor authentication for all user accounts, on all systems, whether managed onsite or by a third-party provider.

4.1.5.1 Переконайтеся, що політику паролів налаштовано для підвищення безпеки (Вручну)

Level 1Вручну

Оригінал: Ensure password policy is configured for enhanced security (Manual)

Налаштуйте політику паролів Google Workspace із безпечнішою довжиною та є застосовується під час наступного входу, щоб захистити від використання звичайних паролів.

💡 Обґрунтування безпеки:

Політика надійних паролів захищає організацію, забороняючи використання слабких паролів паролі.

⚠️ Вплив на робочий процес (Impact):

Потенційний вплив, пов’язаний із впровадженням цього параметра, залежить від існуючі політики паролів у середовищі. Для середовищ, які мають надійні політики паролів, вплив буде мінімальним. Для організацій, які це роблять не мають надійних політик паролів, може знадобитися вдосконалення політики паролів користувачам змінювати паролі та дотримуватися більш суворих вимог, ніж вони звикли. Налаштування терміну дії паролів через 1 рік гарантує, що користувачі не будуть змушені це робити змінювати паролі так часто, що легко розрізнити шаблони використовуються при створенні паролі. Щоденний вплив на користувачів полягатиме в тому, що їм доведеться керувати меншою кількістю часта зміна паролів. ПРИМІТКА. Пароль слід негайно змінити, коли з’явиться будь-яка ознака системи компроміс, коли змінюється роль користувача та коли користувач залишає організацію.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Керування паролями
  4. У розділі «Надійність» переконайтеся, що встановлено прапорець «Застосовувати надійні паролі».
  5. У розділі «Довжина» переконайтеся, що для мінімальної довжини встановлено значення 14+
  6. У розділі Strength and Length enforcement переконайтеся, що встановлено прапорець Enforce password policy at next sign-in
  7. Переконайтеся, що в розділі «Повторне використання» знято прапорець «Дозволити повторне використання пароля».
  8. У розділі Термін дії переконайтеся, що для частоти скидання пароля встановлено значення 365 днів.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Керування паролями
  4. У розділі «Надійність» установіть прапорець «Застосовувати надійні паролі».
  5. У розділі «Довжина» встановіть «Мінімальна довжина» на 14 або більше
  6. У розділі Strength and Length enforcement установіть прапорець «Застосовувати політику пароля під час наступного входу».
  7. У розділі «Повторне використання» зніміть прапорець «Дозволити повторне використання пароля».
  8. У розділі Термін дії встановіть частоту скидання пароля на 365 днів
  9. Виберіть Зберегти
Значення за замовчуванням: • Поставлено прапорець «Застосовувати надійний пароль» • Мінімальна довжина — 8 • Максимальна довжина — 100 • Застосовувати політику пароля під час наступного входу не поставлено прапорець • Не позначено Дозволити повторне використання пароля • Термін дії — Ніколи не закінчується
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

4.2.1.1 Переконайтеся, що доступ програми до служб Google обмежено (Вручну)

Level 2Вручну

Оригінал: Ensure application access to Google services is restricted (Manual)

Заборонити необмежений доступ програм до служб Google.

💡 Обґрунтування безпеки:

Ви можете обмежити (або залишити необмеженим) доступ до більшості служб Workspace, зокрема Сервіси Google Cloud Platform, як-от машинне навчання. Для Gmail і Google Диск, ви можете спеціально обмежити доступ до областей високого ризику (наприклад, надсилання Gmail або видалення файлів на Диску). Тоді як користувачам пропонується дати згоду на додатки, якщо програма використовує обмежені області, і ви не довіряєте йому, користувачі не можуть його додати.

⚠️ Вплив на робочий процес (Impact):

Потенційний вплив, пов’язаний із впровадженням цього параметра, такий, як і раніше встановлені програми, яким ви не довіряєте, перестають працювати, а маркери відкликаються. Коли a користувач намагається встановити програму з обмеженим діапазоном, він отримує сповіщення про те, що її заблоковано.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть «Керування API», а потім виберіть «Керування доступом до програми».
  5. У розділі «Огляд» виберіть «КЕРУВАННЯ СЛУЖБАМИ GOOGLE».
  6. Переконайтеся, що ВСІ відповідні служби Google обмежено в стовпці «Доступ».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть «Керування API», а потім виберіть «Керування доступом до програми».
  5. У розділі «Огляд» виберіть «КЕРУВАННЯ СЛУЖБАМИ GOOGLE».
  6. Виберіть УСІ відповідні служби Google
  7. Натисніть Змінити доступ
  8. Виберіть Restricted: Лише надійні програми можуть отримати доступ до службиЛише внутрішні – Загальні
Значення за замовчуванням: Доступ необмежений
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

4.2.1.2 Періодично переглядайте програми сторонніх розробників (Вручну)

Level 2Вручну

Оригінал: Review third-party applications periodically (Manual)

Щотижня перевіряйте підключені програми на предмет можливого зловмисного чи ненавмисного доступу або з’єднання.

💡 Обґрунтування безпеки:

Виконання періодичної перевірки підключених додатків та їхніх дозволів гарантує, що лише дозволені та необхідні програми можуть отримати доступ до організаційних даних або ресурси. Зловмисники зазвичай намагаються переконати або обдурити користувачів надати їх доступ програми до організаційних ресурсів даних, запитуючи їх згоду.

⚠️ Вплив на робочий процес (Impact):

Блокування або видалення неавторизованих програм сторонніх розробників призведе до їх негайного скасування доступ до організаційних даних, а також API Google Workspace. Це зменшує ризику організації.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть «Керування API», а потім виберіть «Керування доступом до програми».
  5. У розділі «Огляд» виберіть «КЕРУВАТИ ДОСТУПОМ СТОРОННІХ ПРОГРАМ».
  6. Переконайтеся, що всі перелічені програми були належним чином перевірені та авторизовані відповідним персоналом.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть «Керування API», а потім виберіть «Керування доступом до програми».
  5. У розділі «Огляд» виберіть «КЕРУВАТИ ДОСТУПОМ СТОРОННІХ ПРОГРАМ».
  6. Виберіть Змінити доступ для програми, яку потрібно видалити
  7. Виберіть Заблоковано: немає доступу до жодної служби Google
  8. Увійдіть до Google Cloud Platform – Resource Manager https://console.cloud.google.com/cloud-resource-manager як адміністратор
  9. Тепер видаліть потрібну програму
Значення за замовчуванням: Жодного
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 2.1
IG 1, 2, 3
Establish and Maintain a Software Inventory Establish and maintain a detailed inventory of all licensed software installed on enterprise assets. The software inventory must document the title, publisher, initial install/use date, and business purpose for each entry; where appropriate, include the Uniform Resource Locator (URL), app store(s), version(s), deployment mechanism, and decommission date. Review and update the software inventory bi- annually, or more frequently.

CIS Controls V8: 2.3
IG 1, 2, 3
Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V7: 2.1
IG 1, 2, 3
Maintain Inventory of Authorized Software Maintain an up-to-date list of all authorized software that is required in the enterprise for any business purpose on any business system.

CIS Controls V7: 2.6
IG 1, 2, 3
Address unapproved software Ensure that unauthorized software is either removed or the inventory is updated in a timely manner

4.2.1.3 Переконайтеся, що внутрішні програми мають доступ до Google Workspace API (Вручну)

Level 1Вручну

Оригінал: Ensure internal apps can access Google Workspace APIs (Manual)

Увімкніть доступ до API Google Workspace для власників/розробників клієнтів програми.

💡 Обґрунтування безпеки:

Можна довіряти всім внутрішнім додаткам організації (належать вашій організації). доступ до обмежених API Google Workspace. Таким чином, організації не потрібно довіряти їм усім окремо.

⚠️ Вплив на робочий процес (Impact):

Налаштування статусу «Надійний» для внутрішніх програм дозволяє програмам отримувати доступ до Google API робочої області. Це обходить індивідуальне схвалення адміністратора для кожного використання додаток із збереженням дозволів на рівні домену.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть «Керування API», а потім виберіть «Керування доступом до програми».
  5. У розділі «Налаштування» перевірте, чи вибрано «Довіряти внутрішнім програмам, що належать домену».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть «Керування API», а потім виберіть «Керування доступом до програми».
  5. У розділі «Налаштування» виберіть Довіряти внутрішнім програмам, що належать домену
  6. Виберіть Зберегти
Значення за замовчуванням: Вибрано «Довіряти внутрішнім програмам, що належать домену»
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

4.2.1.4 Періодично переглядайте делегування домену для програм (Вручну)

Level 2Вручну

Оригінал: Review domain-wide delegation for applications periodically (Manual)

Щотижневий перегляд доменних делегувань для програм на наявність потенційно шкідливих або ненавмисний доступ або підключення.

💡 Обґрунтування безпеки:

Делегування на рівні домену — потужна функція, яка дозволяє програмам отримувати доступ до даних користувачів у всьому обліковому записі Workspace вашої організації. Проведення періодичного огляду делегування на рівні домену для додатків і їхніх областей дозволів забезпечує лише дозволені та необхідні програми можуть отримати доступ до організаційних даних або ресурсів.

⚠️ Вплив на робочий процес (Impact):

Видалення або зміна делегування домену для програми негайно впливає його здатність отримувати доступ до даних користувача в усьому домені.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть елементи керування API
  5. У розділі «Делегування в масштабах домену» виберіть «КЕРУВАННЯ ДЕЛЕГУВАННЯМ У РІЗНОМУ ДОМЕНІ».
  6. Переконайтеся, що всі перелічені програми були належним чином перевірені та авторизовані відповідним персоналом
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть елементи керування API
  5. У розділі «Делегування в масштабах домену» виберіть «КЕРУВАННЯ ДЕЛЕГУВАННЯМ У РІЗНОМУ ДОМЕНІ».
  6. Виберіть Змінити доступ для програми, яку потрібно видалити
  7. Тепер видаліть потрібну програмуЛише внутрішні – Загальні
Значення за замовчуванням: Жодного
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

4.2.2.1 Забезпечте блокування доступу з несхвалених географічних місць (Вручну)

Level 1Вручну

Оригінал: Ensure blocking access from unapproved geographic locations (Manual)

Обмежте доступ до вибраних програм Google за географічним розташуванням. Примітка. Цей параметр не відображатиметься, якщо ваша організація використовує систему єдиного входу третьої сторони, тобто MS365.

💡 Обґрунтування безпеки:

Обмеження доступу до відомих/схвалених географічних місць є простим способом обмеження звідки можуть виникнути напади. Особливо для невеликих організацій, які не потребують глобальний доступ до програм.

⚠️ Вплив на робочий процес (Impact):

Дійсні/схвалені користувачі, які подорожують до географічного регіону, не визначеного в Рівень доступу не матиме доступу до своїх програм.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
ℹ️ Примітка: СНД рекомендує географічно обмежити доступ до наступних Google
мінімальні додатки:
1. Консоль адміністратора
2. Диски та документи
3. Gmail
4. Google Vault

Тільки внутрішні – загальні

⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: СНД рекомендує географічно обмежити оцінювання наступним Google
мінімальні додатки:
1. Консоль адміністратора
2. Диски та документи
3. Gmail
4. Google Vault

Значення за замовчуванням: Немає
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 6.7
IG 1, 2
Centralize Access Control Centralize access control for all enterprise assets through a directory service or SSO provider, where supported.

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

4.2.3.1 Переконайтеся, що політику DLP для Google Диска налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure DLP policies for Google Drive are configured (Manual)

Увімкнення політики запобігання втраті даних (DLP) для Диска Google дозволяє організаціям контролювати вміст, яким користувачі можуть ділитися у файлах Google Drive за межами організації.

💡 Обґрунтування безпеки:

Увімкнення політик DLP попереджає користувачів і адміністраторів про певні типи даних не піддаватися впливу, допомагаючи захистити дані від випадкового розкриття. DLP надає вам контроль над тим, чим користувачі можуть ділитися, і запобігає ненавмисному виявленню конфіденційних таку інформацію, як номери кредитних карток або ідентифікаційні номери

⚠️ Вплив на робочий процес (Impact):

Налаштування політики DLP для Диска Google виявить або заблокує конфіденційну інформацію.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть Захист даних
  5. Виберіть Керувати правилами
  6. Переконайтеся, що правила захисту даних існують і ввімкнено
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть Захист даних
  5. Виберіть Керувати правилами
  6. Виберіть «ДОДАТИ ПРАВИЛО», потім виберіть «Нове правило» або «Нове правило з шаблону». Приклади нового правила можна знайти тут.
  7. Встановіть назву правила
  8. За бажанням – установіть опис правила
  9. Встановіть необхідний діапазон
  10. Виберіть Продовжити
  11. Установіть тригери, встановивши прапорець – файл змінено на Диску Google
  12. Виберіть ДОДАТИ УМОВА та налаштуйте значення (Поле, Оператор порівняння, Вміст для відповідності) – повторіть відповідні дії
  13. Виберіть Продовжити
  14. У розділі «Дії» виберіть потрібну дію для кожного інциденту
  15. У розділі «Попередження» виберіть потрібний рівень серйозності
  16. У розділі Сповіщення виберіть – Надіслати до центру сповіщень
  17. Виберіть Продовжити
  18. Виберіть Створити нове правило з шаблону
  19. Виберіть потрібний шаблон правила
  20. Додатково встановіть назву за бажанням
  21. Додатково встановіть `Опис за бажанням
  22. Встановіть необхідний діапазон
  23. Виберіть Продовжити
  24. Змініть попередньо налаштовані умови за бажанням або додайте додаткові умови
  25. Виберіть Продовжити
  26. У розділі Сповіщення виберіть – Надіслати до центру сповіщень
  27. Виберіть Продовжити
  28. Виберіть Створити
Значення за замовчуванням: Жодна політика DLP для Диска Google не налаштована за замовчуванням
📋 CIS Controls & Нормативні посилання
  1. https://apps.google.com/supportwidget/articlehome?article_url=https%3A%2F%2
  2. Fsupport.google.com%2Fa%2Fanswer%2F10846568%3Fvisit_id%3D63805868
  3. 5723082013-
  4. 4065283876&product_context=10846568&product_name=UnuFlow&trigger_cont
  5. ext=a
  6. https://workspaceupdates.googleblog.com/2020/10/data-protection-dlp-
  7. reports.html
CIS Controls V8: 3.13
IG 1
Deploy a Data Loss Prevention Solution Implement an automated tool, such as a host-based Data Loss Prevention (DLP) tool to identify all sensitive data stored, processed, or transmitted through enterprise assets, including those located onsite or at a remote service provider, and update the enterprise’s sensitive data inventory.

CIS Controls V7: 14.7
IG 1
Enforce Access Control to Data through Automated Tools Use an automated tool, such as host-based Data Loss Prevention, to enforce access controls to data even when data is copied off a system.

4.2.4.1 Переконайтеся, що керування сеансом Google налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure Google session control is configured (Manual)

Налаштуйте керування сеансом Google Workspace, щоб покращити час закінчення сеансу.

💡 Обґрунтування безпеки:

Як адміністратор ви можете контролювати, як довго користувачі можуть отримувати доступ до служб Google, наприклад як Gmail в Інтернеті, без повторного входу. Наприклад, для користувачів, які працюють віддалено або з ненадійних місць, ви можете обмежити час, який вони можуть отримати доступ до конфіденційних ресурсів за допомогою меншої тривалості веб-сеансу. Якщо користувачі хочуть продовжувати доступ до ресурсу після завершення сеансу, їм буде запропоновано ввійти знову і почати новий сеанс. Те, як налаштування працюють на мобільних пристроях, залежить від пристрою та програми.

⚠️ Вплив на робочий процес (Impact):

Потенційний вплив, пов’язаний із застосуванням цього параметра: • Коли веб-сеанс закінчується для користувача, він бачить сторінку Підтвердження вашої особи та потрібно ввійти знову. • Коли ви змінюєте тривалість сеансу, користувачам потрібно вийти та знову ввійти щоб налаштування вступили в силу. • Якщо ви встановите, що сеанс ніколи не закінчується, користувачам більше ніколи не доведеться входити в систему. • Якщо вам потрібно, щоб деякі користувачі входили частіше, ніж інші, додайте їх різні організаційні одиниці. Потім застосуйте до них різну тривалість сеансу. що Таким чином, деякі користувачі не будуть перериватися під час входу, коли це не потрібно. • Якщо зустріч Google Meet починається протягом 2 годин після запланованої сесії після закінчення терміну дії, користувач змушений увійти знову перед початком зустрічі. Це допомагає уникнути переривання наради під час її проведення. • Якщо ви використовуєте стороннього постачальника ідентифікаційної інформації (IdP), наприклад Okta або Ping, і ви встановити тривалість веб-сеансу для ваших користувачів, вам потрібно встановити тривалість сеансу IdP термін дії параметра завершиться до завершення сеансу Google. Таким чином, ваші користувачі будуть буде змушений увійти знову. Якщо сеанс IdP третьої сторони все ще дійсний, коли Сеанс Google закінчився, сеанс Google може бути поновлено автоматично без повторного входу користувача.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть керування сеансом Google
  5. Перевірте, чи тривалість веб-сеансу становить 12 годин або менше
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть керування сеансом Google
  5. Встановіть тривалість веб-сеансу до 12 годин або менше
  6. Виберіть Зберегти
Значення за замовчуванням: Тривалість веб-сесії 14 днів
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

4.2.5.1 Переконайтеся, що керування сеансом Google Cloud налаштовано (Вручну)

Level 2Вручну

Оригінал: Ensure Google Cloud session control is configured (Manual)

Налаштуйте керування сеансом у хмарі Google, щоб покращити час закінчення сеансу.

💡 Обґрунтування безпеки:

Як адміністратор ви можете контролювати, як довго різні користувачі можуть мати доступ до Google Хмарна консоль і Cloud SDK без повторної автентифікації. Наприклад, ти можуть знадобитися користувачі з підвищеними привілеями, як-от власники проектів, адміністратори платежів або інші з ролями адміністратора, для повторної автентифікації частіше, ніж звичайні користувачі. Якщо ви встановите тривалість сеансу, їм буде запропоновано знову ввійти, щоб почати новий сеанс.

⚠️ Вплив на робочий процес (Impact):

Потенційний вплив, пов’язаний із застосуванням цього параметра: • Коли закінчується сеанс Google Cloud для користувача, він бачить сторінку «Підтвердити свою особу». і потрібно ввійти знову. • Якщо вам потрібен ключ безпеки, користувачі, які його не мають, не можуть використовувати GCP Консоль або Cloud SDK, доки вони не налаштують його. Отримавши ключ безпеки, вони можуть переключитися на використання свого пароля, якщо хочуть. Якщо ви використовуєте стороннього постачальника ідентифікаційної інформації (IdP): • За допомогою консолі GCP — якщо ви вимагаєте від користувача повторної автентифікації за допомогою свого пароль, вони перенаправляються до постачальника ідентифікаційної інформації (IdP). IdP може ні вимагати від користувача повторно ввести свій пароль, щоб почати інший сеанс консолі, якщо користувач уже має активний сеанс з IdP, оскільки він використовує інший програма, через яку сеанс залишався активним. Якщо користувач повинен повторно автентифікуватися, торкнувшись свого ключа безпеки, він може це зробити під час використання консолі. Вони не будуть перенаправлені до IdP. • З Cloud SDK — якщо для повторної автентифікації потрібен пароль, gcloud це зробить вимагати від користувача виконати команду входу gcloud auth, щоб поновити сеанс. Відкриється вікно браузера, і користувач перейде до IdP, де їм може бути запропоновано ввести облікові дані, якщо немає активного сеансу з IdP. Якщо a користувач повинен пройти повторну автентифікацію, торкнувшись свого ключа безпеки, він може зробити це на Cloud SDK. Вони не будуть перенаправлені до IdP.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть керування сеансом Google Cloud
  5. У розділі «Політика повторної автентифікації» переконайтеся, що вибрано «Вимагати повторної автентифікації», а прапорець «Звільнити надійні програми» знято
  6. Періодичність перевірки повторної автентифікації становить 16 годин (рекомендовано)
  7. Переконайтеся, що метод повторної автентифікації – це ключ безпеки
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати цей параметр за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Виберіть Безпека
  3. Виберіть Контроль доступу та даних
  4. Виберіть керування сеансом Google Cloud
  5. У розділі «Політика повторної автентифікації» встановіть для параметра «Вимагати повторної автентифікації» значення вибрано, а прапорець «Звільнити надійні програми» знято
  6. Встановіть періодичність повторної автентифікації на 16 годин (рекомендовано)
  7. Встановіть метод повторної автентифікації на Ключ безпеки
  8. Виберіть Перевизначити
Значення за замовчуванням: Політика повторної автентифікації: ніколи не вимагати повторної автентифікації
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

4.3.1 Переконайтеся, що інформаційна панель регулярно перевіряється на наявність аномалій (Вручну)

Level 1Вручну

Оригінал: Ensure the Dashboard is reviewed regularly for anomalies (Manual)

Як адміністратор ви можете використовувати інформаційну панель безпеки, щоб переглянути огляд різних звіти безпеки. За замовчуванням кожна панель звітів про безпеку відображає дані з останніх 7 днів. Ви можете налаштувати інформаційну панель для перегляду даних за сьогодні, вчора, це тиждень, минулого тижня, цього місяця, минулого місяця або днів тому (до 180 днів). Доступні діаграми/звіти (мінімум, але може бути набагато більше залежно від облікового запису тип): • Інциденти DLP • Найпопулярніші політичні інциденти • Невдалі спроби ввести пароль пристрою • Події зламаного пристрою • Підозріла діяльність пристрою • Надання обсягу OAuth за продуктами (лише бета-клієнти) • Активність надання OAuth • OAuth надає нові програми • Спроби входу користувача – метод виклику • Спроби входу користувача – невдалі • Спроби входу користувача – підозрілі Детальну інформацію про значення кожної з цих діаграм/звітів можна знайти тут. Цей звіт слід переглядати щотижня. ПРИМІТКА. Доступність кожного окремого звіту на інформаційній панелі безпеки залежить від ваш випуск Google Workspace. Додаткову інформацію див. у документації Google. ПРИМІТКА. У великих організаціях щотижневий перегляд усього звіту може бути неможливим. Щонайменше всі користувачі з правами адміністратора та суперадміністратора мають бути перевірені, оскільки вони становлять більший ризик. Їх можна відфільтрувати із загального списку користувачів.

💡 Обґрунтування безпеки:

Звіт про безпеку надає всебічне уявлення про те, як люди надають спільний доступ і доступ дані та чи вживаються вони відповідних заходів безпеки. Наприклад, ви можете перевірити, хто встановлює зовнішні програми, ділиться численними файлами, пропускає двоетапну перевірку та використовує ключі безпеки.

⚠️ Вплив на робочий процес (Impact):

Без впливу на користувача.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор.
  2. Виберіть Звітування
  3. Виберіть Звіти
  4. Виберіть Звіти користувачів
  5. Виберіть «Безпека», і відобразиться таблиця результатів із полями, переліченими в описі рекомендації вище.
  6. Перегляньте відображені користувачі та значення на наявність аномалій
⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: Багато з цих налаштувань буде виправлено шляхом впровадження інших розділів цього
Еталон. Наприклад, якщо адміністратор не зареєстрований у двоетапній перевірці, це можна виправити
запровадивши процедуру виправлення для рекомендації Ensure 2-Step
Перевірка (багатофакторна автентифікація) застосовується для всіх користувачів у
адміністративні ролі.

Значення за замовчуванням: У звіті відображатимуться всі користувачі та поля.
📋 CIS Controls & Нормативні посилання
  1. https://apps.google.com/supportwidget/articlehome?article_url=https%3A%2F%2
  2. Fsupport.google.com%2Fa%2Fanswer%2F7492330&assistant_id=generic-
  3. unu&product_context=7492330&product_name=UnuFlow&trigger_context=a
CIS Controls V8: 8.11
IG 1, 2
Conduct Audit Log Reviews Conduct reviews of audit logs to detect anomalies or abnormal events that could indicate a potential threat. Conduct reviews on a weekly, or more frequent, basis.

CIS Controls V7: 6.7
IG 1, 2
Regularly Review Logs On a regular basis, review logs to identify anomalies or abnormal events.

4.3.2 Переконайтеся, що стан безпеки регулярно перевіряється на наявність аномалій (Вручну)

Level 1Вручну

Оригінал: Ensure the Security health is reviewed regularly for anomalies (Manual)

Як адміністратор, сторінка стану безпеки дає змогу контролювати конфігурацію налаштування консолі адміністратора з одного місця. Наприклад, ви можете перевірити статус таких налаштувань, як автоматичне пересилання електронної пошти, шифрування пристрою, налаштування спільного доступу до Диска, і багато іншого. Повідомлені налаштування (мінімум, але може бути набагато більше залежно від типу облікового запису): • Блокування скомпрометованих мобільних пристроїв • Мобільний менеджмент • Вимоги до мобільного пароля • Шифрування пристрою • Звіти про бездіяльність мобільних пристроїв • Автоматичне стирання облікового запису • Перевірка заявки • Установка мобільних додатків з невідомих джерел • Зовнішній накопичувач • Двохетапна перевірка для користувачів • Двохетапна перевірка для адміністраторів • Примусове застосування ключа безпеки для адміністраторів Докладні відомості про значення кожного з цих записів звіту можна знайти тут. Цей звіт слід переглядати щотижня. ПРИМІТКА. Доступність кожного окремого звіту на інформаційній панелі безпеки залежить від ваш випуск Google Workspace. Додаткову інформацію див. у документації Google.

💡 Обґрунтування безпеки:

Сторінка стану безпеки забезпечує видимість налаштувань консолі адміністратора, щоб допомогти вам краще розуміти ризики безпеки та керувати ними. При необхідності ви можете внести корективи налаштувань вашого домену на основі загальних інструкцій із безпеки та найкращих практик збалансувати ці вказівки з бізнес-потребами та ризиками вашої організації політика управління.

⚠️ Вплив на робочий процес (Impact):

Без впливу на користувача.

Тільки внутрішні – загальні

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор.
  2. Виберіть Безпека
  3. Виберіть Центр безпеки
  4. Виберіть «Справність безпеки», і відобразиться таблиця результатів із параметрами, переліченими в описі рекомендації вище.
  5. Перегляньте відображені значення на наявність аномалій
⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: Багато з цих налаштувань буде виправлено шляхом впровадження інших розділів цього
Еталон. Наприклад, якщо адміністратор не зареєстрований у двоетапній перевірці, це можна виправити
запровадивши процедуру виправлення для рекомендації Ensure 2-Step
Перевірка (багатофакторна автентифікація) застосовується для всіх користувачів у
адміністративні ролі.

Значення за замовчуванням: У звіті відображатиметься статус попередньо визначеної групи налаштувань на основі вашої ліцензії Google Workspace.
📋 CIS Controls & Нормативні посилання
  1. https://apps.google.com/supportwidget/articlehome?article_url=https%3A%2F%2
  2. Fsupport.google.com%2Fa%2Fanswer%2F7491656&assistant_id=generic-
  3. unu&product_context=7491656&product_name=UnuFlow&trigger_context=a
CIS Controls V8: 8.11
IG 1, 2
Conduct Audit Log Reviews Conduct reviews of audit logs to detect anomalies or abnormal events that could indicate a potential threat. Conduct reviews on a weekly, or more frequent, basis.

CIS Controls V7: 6.7
IG 1, 2
Regularly Review Logs On a regular basis, review logs to identify anomalies or abnormal events.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Google Workspace Foundations Benchmark →