Stručně
- Zapněte dvoufázové ověření pro všechny, správce nejdřív a ideálně s bezpečnostními klíči.
- Mějte aspoň dva superadministrátory a na běžnou práci používejte jiný účet.
- Omezte sdílení odkazem, externí kalendáře a přístup aplikací třetích stran.
Účty a přihlášení
- Dvoufázové ověření pro všechny, vynucené. Správce zapněte jako první, viz dvoufázové ověření.
- Passkeys a bezpečnostní klíče: nejbezpečnější druhý krok. Správci by jich měli mít několik, včetně záložního.
- Program Rozšířená ochrana (Advanced Protection) pro superadministrátory a vedení.
- Obnovovací telefon a e-mail u každého správce.
Správci
- Aspoň dva superadministrátoři, každý jiný člověk. Firma nesmí záviset na jednom účtu.
- Superadministrátor má dva účty: správcovský jen na správu, běžný na každodenní práci.
- Ostatním dávejte omezené role (správa uživatelů, nápověda), ne superadmina.
Gmail
- Zapněte rozšířenou kontrolu zpráv před doručením.
- Nastavte SPF, DKIM a DMARC.
- Upozornění na přílohy a odkazy z neznámých zdrojů.
Disk a kalendář
- Sdílení odkazem vypnuté jako výchozí, ať se dokument nedostane ke každému, kdo má odkaz.
- Upozornění při sdílení mimo organizaci.
- Externí sdílení kalendářů jen jako volno/obsazeno.
- Firemní soubory na sdílených discích, ne v osobních.
Aplikace třetích stran
V Admin konzoli nastavte, které aplikace se smí připojit k firemním datům: důvěryhodné, omezené, nebo blokované. Rizikové oprávnění (čtení celého Gmailu nebo Disku) povolujte jen ověřeným aplikacím.
Odchody a zařízení
- Při odchodu zaměstnance účet pozastavit, data převést, přístupy zrušit, viz checklist odchodu.
- Správa mobilních zařízení: firemní data jen na zařízeních se zámkem obrazovky.
Podle edice
Přístup podle kontextu (Context-Aware Access) mají jen edice Enterprise a Education, ne Business. Archivaci a eDiscovery přes Google Vault má Business Plus a vyšší.
Časté otázky
Jak zabezpečit Google Workspace?
Vynutit dvoufázové ověření, mít dva superadministrátory s oddělenými účty, omezit sdílení odkazem a aplikace třetích stran a nastavit SPF, DKIM a DMARC.
Kolik superadministrátorů mít v Google Workspace?
Google doporučuje víc než jednoho, každého spravovaného jiným člověkem, a pro běžnou práci samostatný účet.
Mají Business tarify Context-Aware Access?
Ne. Context-Aware Access je jen v edicích Enterprise, Frontline a Education.