Cómo reforzar la seguridad en el acceso a aplicaciones de Google para empresas

En este post vamos a mostrar como reforzar la seguridad en el acceso de los usuarios a las aplicaciones de Google para empresas (recientemente rebautizada como Google Apps for Work).

La solución para empresas de Google, al igual que otras ofertas de servicios en la nube,  brinda la posibilidad de establecer de manera rápida una completa infraestructura de aplicaciones básicas de negocio, accesibles desde Internet y a muy bajo coste, lo que favorece el emprendimiento empresarial. Se trata de soluciones que empiezan a ser muy populares entre empresas de consultoría, pequeños despachos de abogados, etc…

Esta flexibilidad conlleva sin embargo algunos riesgos que conviene gestionar adecuadamente. Entre ellos el control de acceso de los usuarios es esencial, dado que si alguien consigue hacerse fraudulentamente con alguna de las contraseñas de acceso, se pueden dar escenarios indeseables que van desde la interrupción del acceso al sistema hasta el robo o destrucción de toda la información sensible del negocio.  Especialmente sensible es el acceso a la consola del administrador, pues permite controlar todo el sistema.

Veremos como reforzar este control de acceso forzando al uso por parte de los empleados de contraseñas más seguras y mediante el establecimiento de un sistema de autenticación fuerte en dos pasos.

La autenticación fuerte en dos pasos, se basa en introducir una contraseña y además un código de un solo uso que se envía normalmente al teléfono móvil del usuario. Es decir, el acceso a las aplicaciones se basa en algo que el usuario conoce (la contraseña) y en algo que el usuario tiene (el dispositivo móvil).

PASO 1: ESTABLECER CONFIGURACIÓN BÁSICA DE SEGURIDAD

Acceder a la consola de administración de nuestra cuenta en Google para empresas:

SPLASH_02

Desde la consola, seleccionar la pestaña inferior ‘Más controles’:

SEQ_01

Seleccionar el icono ‘Seguridad’:

SEQ_02

En la pantalla de seguridad, seleccionar la opción ‘Configuración Básica’:

SEQ_03

En la pantalla que se abre podremos forzar el cifrado de la conexión mediante SSL, estableceremos una longitud mínima para la contraseña de los usuarios (recomendamos establecer mínimo entre 10 y 15 dígitos) y forzaremos a que los usuarios tengan que activar y usar la autenticación en dos pasos; para ello, en la parte inferior, marcar la opción ‘Permitir a los usuarios activar la verificación en dos pasos’ y pinchar en el enlace ‘Ir a la configuración avanzada para imponer la verificación en dos pasos’:

SEQ_04

Se abrirá la siguiente pantalla, en la que deberemos marcar la opción ‘Activar ejecución’ del apartado ‘Cumplimiento obligatorio’:

SEQ_05

PASO 2: CONFIGURACIÓN DE CADA CUENTA DE USUARIO

Una vez habilitada la configuración en dos pasos a nivel general, cada usuario de la empresa deberá configurar su acceso; para ello, desde el acceso de usuario de Google, seleccionar la opción ‘Cuenta’:

SEQ_07

En la ficha de usuario, seleccionar en la parte superior la opción ‘Seguridad’:

SEQ_08

En la siguiente pantalla, en la sección ‘Verificación en dos pasos’ del recuadro ‘Contraseña’; pinchar en ‘Configuración’:

SEQ_09

Esto abrirá la pantalla de la configuración del acceso en dos pasos. En esta pantalla, tendremos que dar de alta el número de teléfono principal en el que recibiremos por mensaje de texto los códigos para acceder al sistema. Este teléfono se configura en la sección ‘Número de teléfono principal’. Conviene configurar uno o varios números de teléfono alternativos adicionales  para el caso de que el principal no esté disponible; estos números se dan de alta en la sección ‘Números de teléfono alternativos’.

SEQ_10

Otra opción, en caso de no poder recibir mensajes de texto por teléfono, consiste en imprimir una lista de códigos de seguridad; para ello pulsar en el botón ‘Imprimir o Descargar’ de la sección ‘Códigos de seguridad’:

SEQ_FIN_01

ACCESO CON VERIFICACIÓN EN DOS PASOS

Esto finaliza la configuración de la cuenta. A partir de este momento, en el acceso del usuario se le solicitará primero la cuenta de correo y la contraseña:

SEQ_00_01

Si la contraseña se valida correctamente, entonces se recibirá en el móvil del usuario un mensaje de texto de Google con el código de acceso de un solo uso.  Este código (que puede ser usado durante un periodo de tiempo limitado) debe introducirse en la siguiente pantalla:

SEQ_00_02

Si el código es introducido correctamente, el usuario podrá acceder al sistema.

CONSEJOS ADICIONALES

La habilitación de contraseñas fuertes y la autenticación en dos pasos suponen un incremento considerable de la seguridad de nuestra cuenta de empresas de Google; sin embargo, es recomendable además:

  • Forzar el cambio periódico de las contraseñas de usuario
  • Dar de baja a la mayor brevedad posible las cuentas de usuario que ya no sean necesarias, para prevenir accesos no autorizados
  • Verificar periódicamente la fortaleza de las contraseñas usadas por los usuarios; la cual puede ser consultada en la sección ‘Control de Contraseñas’ desde la ventana de seguridad:SEQ_06
  • Monitorizar posibles actividades sospechosas en el sistema, a través de la función de auditoría que puede accederse desde la sección ‘Informes’ de la parte inferior de la consola del administrador

SEQ_11

Damos por finalizado aquí este post, esperando que sea útil. Un fuerte abrazo y hasta pronto.

 

Deja un comentario