En gennemgang af Google Workspace kan bygge på CISA’s baseline for de fælles kontroller i ScubaGoggles. Den samler de indstillinger, der går på tværs af tjenesterne: MFA uden SMS, mellem to og otte superadministratorer, stramme regler for tredjepartsapps og en auditlog, der kan søges og hentes længe nok.
Kontorplatformen hos Google samler post, dokumenter, kalender og identiteter i én administrationskonsol. Mange af de vigtigste indstillinger ligger ét sted og gælder alle tjenester. Det gør gennemgangen overskuelig, og det betyder også, at én forkert indstilling rammer bredt.
Målestokken
CISA udgiver under projektet SCuBA baselines for Google Workspace og værktøjet ScubaGoggles, der måler opsætningen mod dem uden licensbetaling. Version 1.1.0 kom 22. oktober 2026. Baselinen for de fælles kontroller er den, der er læst her. Der findes også baselines for Gmail, Drive, Calendar, Chat, Meet, Groups, Sites, Classroom, Gemini og Assured Controls. Dem er indholdet ikke gengivet af.
Baselinerne er skrevet til amerikanske føderale civile myndigheder. For andre er de til information. Bruger I dem, er det et valg, rapporten skal nævne. To punkter er rent føderale og bruges ikke her: kravet om datalagring i USA (GWS.COMMONCONTROLS.15.1) og kravet om at sende logs til agenturets egen logplatform (14.1).
MFA og login
- 1.1 · Phishing-resistent MFA for alle brugere
- 1.2 · Hvis ikke det er muligt: anden MFA for alle brugere
- 1.3 · SMS og opkald bruges ikke som MFA-metode
- 1.4 · Tilmeldingsperioden for totrinsbekræftelse er mellem én dag og én uge
- 1.5 · Muligheden for at stole på enheden er slået fra
- 4.1 · Ny godkendelse efter 12 timers session
Beviset er indstillingerne for totrinsbekræftelse og en rapport over, hvilke brugere der er tilmeldt med hvilken metode. Rapporten viser, hvem der stadig bruger SMS. Gennemgangen kontrollerer også, om indstillingen er ens for alle brugere eller sat forskelligt for dele af organisationen, fx en afdeling eller en gruppe konsulenter. Hvordan MFA-metoderne vurderes, står i MFA-metoderne i udtrækket.
Adgangskoder
Baselinen siger, at styrken håndhæves (5.1), at adgangskoder er mindst 12 tegn (5.2) og bør være mindst 16 (5.3), at gamle adgangskoder ikke må genbruges (5.4 og 5.5), og at adgangskoder ikke udløber (5.6). Det sidste overrasker stadig nogle, der er vant til faste skift. Hvordan en politik for adgangskoder holdes op mod andre målestokke, står i adgangskodepolitikken holdt op mod nyere vejledning.
Superadministratorer
Administratorkonti skal være rene cloudkonti, adskilt fra den lokale eller fødererede identitetsudbyder (6.1). Der skal være mindst to og højst otte superadministratorer (6.2). Selvbetjent gendannelse af kontoen er slået fra for superadministratorer (8.1) og for andre brugere (8.2).
Grænsen på to til otte er en af de mest konkrete i baselinen. To sikrer, at nogen kan komme ind, hvis den ene er væk. Otte er loftet. Beviset er en liste over superadministratorer med navn, funktion og seneste login. Står der en tidligere medarbejder eller en leverandør på listen, er det et fund.
Tredjepartsapps
Apps, der får adgang til brugernes data, er et område, hvor mange lejere står åbent. Baselinen har en række punkter:
- Adgangskontrol til apps er slået til for alle tjenester (10.1).
- Brugerne kan ikke selv give samtykke til apps, heller ikke ved scopes, der vurderes som lav risiko (10.2).
- Interne apps, der ikke er konfigureret, er ikke betroede (10.3).
- Der er ingen adgang til tredjepartsapps, der ikke er konfigureret (10.4).
- Mindre sikre apps forhindres (10.5).
- Kun godkendte apps fra Marketplace kan installeres (11.1).
Gennemgangen trækker listen over apps, der har adgang til data i dag, med hvilke scopes og hvor mange brugere. De apps, der blev godkendt af brugerne selv, før reglerne blev strammet, ligger der stadig.
Data ud og log ind
Takeout, funktionen til at hente egne data ud, er slået fra (12.1). De systemdefinerede alarmregler er slået til (13.1). Auditlogs skal være søgbare i 3 måneder og kunne hentes i 12 (14.2). Tallene er CISA’s. SAMSIK’s logvejledning taler for 13 måneders opbevaring, hvis ingen lov fastsætter en anden periode.
Står Takeout åben, bør det være et bevidst valg, fordi funktionen gør det let at tage store mængder data med ud. Alarmreglerne er kun til nytte, hvis nogen modtager dem. Gennemgangen tjekker modtagerne på samme måde som for andre advarsler: findes de, og har de stadig opgaven?
Hvad det kræver, og hvad det koster at lade være
Det kræver en administrator med læseadgang til konsollen og en time eller to til hver gruppe af punkter. Listen over apps og superadministratorer kræver svar fra forretningen om, hvem der skal have hvad.
Uden gennemgangen kan SMS stadig være MFA for dem, der kom først, en tidligere leverandør kan stadig være superadministrator, og apps, som brugerne engang sagde ja til, kan stadig læse post og dokumenter.
Det skal I lade være med
- At nøjes med indstillingen for hele organisationen · tjek, om dele af den er sat anderledes.
- At have én superadministrator · baselinen siger mindst to og højst otte.
- At bruge de føderale punkter om datalagring i USA og myndighedens logplatform · de passer ikke til en dansk virksomhed.
Det skal gennemgangen kunne vise
- ☐ MFA-indstillinger for alle dele af organisationen og brugere med SMS som metode.
- ☐ En liste over superadministratorer med funktion og seneste login.
- ☐ Indstillingerne for adgangskoder holdt op mod punkt 5.1 til 5.6.
- ☐ Apps med adgang til data, deres scopes og hvem der har godkendt dem.
- ☐ Status for Takeout, alarmregler og logopbevaring.
Kilder
- CISA, ScubaGoggles-baseline for Google Workspace, fælles kontroller (commoncontrols.md), ScubaGoggles v1.1.0, læst 13. november 2026.
- CISA, Secure Cloud Business Applications (SCuBA), læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over superadministratorer, og se, om den ligger mellem to og otte navne, I kender.
Læs også: App-registreringer og samtykker · Nødkonti
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
