¿Qué hay que configurar primero en la seguridad de Google Workspace?
Seis cosas, por este orden: verificación en dos pasos obligatoria para toda la empresa; pocos superadministradores, con cuenta aparte y llave de seguridad; uso compartido de Drive fuera de la empresa limitado; reenvío automático del correo controlado; aplicaciones de terceros revisadas; y activadas las alertas por correo que vienen desactivadas.
Google protege su infraestructura; quién entra, qué se comparte fuera y qué aplicaciones leen el correo lo decide tu configuración. Todo lo de esta guía se hace en la consola de administración de Google con una cuenta de administrador, y casi todos los ajustes se aplican por unidad organizativa, que Google describe como la forma habitual de agrupar departamentos.
Accesos
- Verificación en dos pasos permitida y forzada en todas las unidades organizativas
- Periodo de inscripción para los recién llegados, lo más corto posible
- Dos o más superadministradores, de personas distintas, con llave de seguridad y otra de repuesto
- Cuenta de superadministrador separada de la de uso diario
Drive
- Uso compartido externo desactivado, limitado a dominios de confianza o con aviso previo
- Indicador «Externo» activado
- Archivos de clientes en unidades compartidas, no en la Mi unidad de cada persona
Correo y aplicaciones
- Reenvío automático desactivado o limitado a direcciones internas
- Apps con acceso revisadas en Controles de API
- Gmail y Drive restringidos para las apps que no sean de confianza
Alertas y móviles
- Alertas de privilegio de administrador y de cambios en Drive y en el correo, activadas
- Gestión básica de móviles activa
¿Cómo se hace obligatoria la verificación en dos pasos en Google Workspace?
En Seguridad, Autenticación, Verificación en 2 pasos: primero se avisa al equipo con una fecha, después se permite activarla y al final se fuerza por unidad organizativa. Para los recién llegados, Google deja un periodo de 1 día a 6 meses en el que entran solo con su contraseña: conviene que sea corto.
| Opción de Google | Qué admite | Cuándo elegirla |
|---|---|---|
| Cualquiera | Llave de seguridad, notificación de Google, mensaje de texto o llamada, aplicación de autenticación y códigos de respaldo | Para empezar, mientras todo el equipo se inscribe |
| Cualquiera, excepto mensaje de texto o llamada | Todo menos los códigos que llegan al teléfono | Cuando todo el equipo tenga otro método registrado |
| Solo llave de seguridad | Llaves de seguridad y llaves de acceso | Administradores y cuentas con datos sensibles |
Dos ajustes más de la misma pantalla. «Activar la aplicación forzosa a partir de la fecha» empieza entre 24 y 48 horas después del día elegido; si necesitas una hora exacta, Google aconseja la opción «Activado». Y «Permitir que el usuario confíe en el dispositivo» evita pedir el segundo paso en un equipo conocido, pero Google no lo recomienda salvo que la gente cambie de dispositivo a menudo. Qué método elegir y por qué, en la guía del doble factor.
¿Obliga Google a los administradores a usar la verificación en dos pasos?
Sí, por fases a lo largo de los próximos años. A octubre de 2026 ya se aplica en Education, Nonprofits, Cloud Identity, Android Enterprise y Enterprise con inicio de sesión único de otro proveedor. Google avisa a los superadministradores unos 90 días antes y al resto unos 60. Conviene activarla antes del aviso.
Unos 90 días antes
Aviso a los superadministradores
Además, un recordatorio al iniciar sesión y otro en la página principal de la consola.
Unos 60 días antes
Aviso al resto de administradores
Por correo y en el móvil.
A los 7 días sin activarla
Siguen los recordatorios en la consola
A los 15 días
Sin acceso a las apps de Workspace en el móvil
A los 30 días
Sin acceso a las apps web hasta que la active
Fuente: Google Workspace Admin Help, «About 2SV enforcement for admins» (actualizada el 13-10-2026), consultado el .
Si tu empresa usa una edición Business, todavía no figura en esa lista: actívala igualmente. Dos detalles de la misma página de Google: la obligación se aplica en el momento en que alguien pasa a ser administrador, y quien no pueda activarla no tiene otra salida que dejar de serlo. Las cuentas de servicio no la necesitan, pero sí la cuenta de administrador a la que suplantan.
¿Cuántos superadministradores debe tener una pyme en Google Workspace?
Más de uno, y pocos. Google recomienda varias cuentas de superadministrador, cada una de una persona distinta, para que otra pueda actuar si se pierde o se roba una. Y cada superadministrador, con dos cuentas: la de administrar, con llave de seguridad y otra de repuesto, y la del trabajo diario.
| Práctica | Así sí | Así no |
|---|---|---|
| Cuántos | Dos o más, de personas distintas | Uno solo, del informático externo |
| Qué cuenta | admin-nombre@ para administrar y nombre@ para el día a día | La cuenta de siempre con permisos de superadministrador |
| Compartir | Cada administrador, su propia cuenta | Una cuenta admin@ que usan varias personas |
| Segundo paso | Llave de seguridad y otra de repuesto | Solo contraseña |
| Sesión | Entrar, hacer la tarea y salir | Sesión abierta todo el día |
| Tareas diarias | Roles limitados, como crear usuarios o restablecer contraseñas | Todo con el superadministrador |
Por qué no compartir una cuenta admin@: si la usan varias personas, el registro de auditoría no dice quién hizo cada cambio. Y un detalle sobre recuperarla: si se pierde el acceso y no hay otro superadministrador, el asistente de recuperación de Google pide verificar la propiedad del DNS del dominio, así que alguien tiene que tener las credenciales del registrador. Que esa cuenta no se pierda, en el dominio de empresa caducado.
¿Cómo se controla qué archivos de Drive salen de la empresa?
En Drive y Documentos, Configuración de uso compartido: puedes desactivar el uso compartido externo, limitarlo a dominios de confianza o permitirlo con aviso previo y sin enlaces abiertos. El indicador «Externo» viene activado. Para compartir fuera solo una parte, Google propone unidades compartidas con su propia regla, también en las ediciones Business.
| Situación | Así sí | Así no |
|---|---|---|
| Compartir con un cliente | Con su cuenta, desde una unidad compartida para externos | «Cualquier persona con el enlace» |
| Documentos de clientes | En unidades compartidas por equipo | En la Mi unidad de quien luego se va |
| Qué hay compartido fuera | Revisión trimestral | Nadie lo sabe |
| Cambios en la configuración de Drive | Alerta activada | Se descubren por casualidad |
Dos avisos de Google antes de tocar nada. Si desactivas el uso compartido externo, las personas de fuera pierden también el acceso a lo que ya se les había compartido. Y los cambios pueden tardar hasta 24 horas en aplicarse, con la configuración antigua y la nueva alternándose mientras tanto (Google, «Administra el uso compartido externo»).
La receta de Google para compartir fuera solo lo necesario: una unidad organizativa sin miembros con el uso compartido externo activado, una unidad compartida asignada a ella y, como miembros de esa unidad compartida, solo quien deba compartir hacia fuera. El resto de la empresa sigue cerrado.
¿Qué aplicaciones de terceros pueden leer tu correo en Google Workspace?
Las que alguien de tu equipo autorizó con su cuenta de Google. En Seguridad, Control de acceso y datos, Controles de API, ves cada app, sus usuarios y qué servicios usa. Puedes marcarla de confianza, limitarla o bloquearla, y restringir Gmail y Drive para que las que no sean de confianza pierdan el acceso.
| Lo que encuentras | Qué hacer | Qué pasa |
|---|---|---|
| Una app que la empresa usa a diario, como la de firma de documentos | Marcarla «De confianza» | Sigue funcionando aunque restrinjas el servicio |
| Una app que nadie reconoce, con acceso a Gmail | Bloquearla y preguntar quién la autorizó | Deja de poder acceder a los datos de Google |
| Una app con permisos de alto riesgo, como enviar correo o borrar archivos de Drive | Hablar con quien la usa y decidir | Gmail, Drive y Chat permiten restringir esos permisos en concreto |
| Muchas apps sin revisar | Restringir Gmail y Drive | Las que no sean de confianza dejan de funcionar y se revocan sus permisos |
La lista tarda: según Google, los detalles de una app suelen aparecer entre 24 y 48 horas después de que alguien la autorice. Y el sello de app verificada solo dice que Google comprobó que cumple ciertas políticas de seguridad y privacidad, no que tu empresa la necesite; la propia ayuda avisa de que muchas apps conocidas no están verificadas.
¿Qué alertas de seguridad conviene activar en Google Workspace?
Las que avisan de algo que nadie esperaba. Google trae activadas, entre otras, la de contraseña filtrada y la de acceso sospechoso, pero deja desactivadas la de privilegio de administrador concedido, las de cambios en la configuración de Drive y del correo y la de usuario nuevo. Se activan en Reglas, con aviso por correo.
| Regla del sistema | De serie | Qué hacer si salta |
|---|---|---|
| Contraseña filtrada | Activada | Google ya pide restablecerla: comprueba si la cuenta se llegó a usar |
| Acceso sospechoso | Activada | Llama a la persona al número de siempre y revisa sus sesiones |
| Se otorgó el privilegio de administrador al usuario | Desactivada: actívala | Si nadie lo pidió, retíralo y mira quién lo concedió |
| Se cambió la configuración de Drive | Desactivada: actívala | Comprueba qué cambió y quién lo hizo |
| Se cambió la configuración de correo electrónico | Desactivada: actívala | Comprueba qué cambió y quién lo hizo |
| Se agregó un usuario nuevo | Desactivada | Que coincida con una alta real |
Cada alerta activada manda un correo cada vez que se cumple, hasta 25 en 2 horas, y solo a usuarios del propio dominio; para avisar a alguien de fuera, como tu proveedor de seguridad, Google indica que se haga a través de un grupo de Google.
Un ajuste que no es una alerta y evita sustos: el reenvío automático del correo viene activado de forma predeterminada, y en Gmail, Acceso de usuario final, se puede desactivar o limitar a direcciones internas (Google, reenvío automático). Limitado a direcciones internas, ningún buzón puede reenviar solo todo lo que recibe a una cuenta de fuera. Si sospechas que eso ya ha pasado, mira te han robado la cuenta de correo.
¿Tiene tu edición de Google Workspace la página Estado de la seguridad?
Solo si es Frontline Standard o Plus, Enterprise Plus, Education Standard o Plus, o Enterprise Essentials Plus, según la ayuda de Google a octubre de 2026. Las ediciones Business Starter, Standard y Plus no la tienen: en ellas, la revisión se hace a mano con el informe de seguridad de usuarios.
| Edición | ¿Tiene Estado de la seguridad? |
|---|---|
| Business Starter, Standard y Plus | No |
| Enterprise Standard | No |
| Enterprise Plus | Sí |
| Frontline Standard y Plus | Sí |
| Education Standard y Plus | Sí |
| Enterprise Essentials Plus | Sí |
Esa página revisa, por unidad organizativa, si la verificación en dos pasos y la llave de seguridad son obligatorias para usuarios y administradores. Sin ella, el informe de Informes, Informes de usuarios, Seguridad muestra el estado de inscripción y de aplicación de cada persona (Google, «Implementa la verificación en 2 pasos»). Guarda una captura con fecha cada trimestre: es la prueba que necesitas si un cliente te pregunta en un cuestionario de seguridad.
¿Qué pasa con el Drive y el correo de alguien que se va de la empresa?
Si borras su cuenta sin transferir nada, se pierde lo que no hayas pasado a otra persona; Google guarda algunos datos 20 días, el plazo para restablecer el usuario. Antes de borrar, transfiere sus archivos de Drive y su correo a otra cuenta, o suspéndela o archívala si necesitas conservarlos.
¿Tiene archivos de la empresa en su Mi unidad?
- Sí
- Transfiérelos a otra persona antes de borrar. Los de unidades compartidas no entran en la transferencia: pertenecen a la unidad.
- No
- Sigue al paso 2.
¿Hay que conservar su correo?
- Sí
- Mígralo a otra cuenta o redirige a otra dirección los mensajes que sigan llegando.
- No
- Sigue al paso 3.
¿Necesitas conservar la cuenta un tiempo?
- Sí
- Suspéndela o archívala en lugar de borrarla.
- No
- Bórrala: tienes 20 días para restablecerla si hace falta.
Los archivos de clientes no deberían vivir en la Mi unidad de nadie: en unidades compartidas, la salida de una persona no los mueve. El resto de accesos que hay que cerrar el último día está en la checklist de baja de un empleado.
Lo que esta guía no cubre
- Las funciones de las ediciones Enterprise, como la prevención de pérdida de datos o las reglas de confianza: esta guía se queda en lo que trae cualquier edición.
- La copia de seguridad de Gmail y Drive, que tiene su propia guía.
- Los pasos exactos de cada menú: Google los cambia, y aquí se describe la función más que el clic.
Preguntas frecuentes
¿Google ya protege mis datos?
Protege su infraestructura y su servicio. Quién entra en tus cuentas, qué se comparte fuera y qué aplicaciones leen tu correo depende de cómo esté configurada tu consola de administración, y eso lo decides tú o quien la administre.
¿Necesito copia de seguridad de Google Workspace?
Google recupera el correo borrado durante 30 días en la papelera y 25 más desde la consola; en Drive, hasta 25 días después de vaciar la papelera. Pasado ese plazo, ni el administrador ni Google pueden restablecerlo. Qué hacer con lo de más atrás, en copia de seguridad de Google Workspace.
¿Y los móviles con el correo de la empresa?
La gestión básica de móviles viene activada de forma predeterminada, también en las ediciones Business, y permite borrar la cuenta de trabajo de un móvil perdido o robado. Qué más conviene exigir a esos móviles, en móviles de empresa.
¿Incluye Talvit la protección de Google Workspace?
Los planes publicados de Talvit incluyen el filtro de correos trampa y la copia del correo para Microsoft 365. Si tu empresa trabaja con Google Workspace, cuéntanos tu caso y te decimos qué cubrimos y qué no.
Fuentes
- Google Workspace Admin Help, «About 2SV enforcement for admins» (actualizada el 13-10-2026), consultado el
- Ayuda de Google Workspace para administradores, «Implementa la verificación en 2 pasos», consultado el
- Ayuda de Google Workspace, «Prácticas recomendadas de seguridad para cuentas de administrador», consultado el
- Ayuda de Google Workspace, «Administra el uso compartido externo en tu organización», consultado el
- Ayuda de Google Workspace, «Controla qué apps acceden a los datos de Google Workspace», consultado el
- Ayuda de Google Workspace, reglas definidas por el sistema y sus estados predeterminados, consultado el
- Ayuda de Google Workspace, «Permitir que los usuarios reenvíen automáticamente sus propios correos electrónicos de Gmail», consultado el
- Ayuda de Google Workspace, «Supervisa el estado de la configuración de seguridad» (ediciones compatibles), consultado el
- Ayuda de Google Workspace, «Borra o quita un usuario de tu organización», consultado el
- Ayuda de Google Workspace, «Cómo restablecer el correo electrónico de un usuario borrado de forma permanente», consultado el
- Ayuda de Google Workspace, «Recupera archivos y carpetas borrados de usuarios de Drive», consultado el
- Ayuda de Google Workspace, «Cómo configurar la administración básica de dispositivos móviles», consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera con la ayuda oficial de Google para administradores: cómo se fuerza la verificación en dos pasos, la obligación para administradores por fases, superadministradores, Drive, apps de terceros, las alertas que vienen desactivadas, qué ediciones tienen la página Estado de la seguridad y qué pasa al borrar una cuenta.
