Prácticas recomendadas de seguridad para proteger cuentas de administrador

Sigue las prácticas recomendadas que se indican en este artículo para mejorar la seguridad de tus cuentas de administrador y, por extensión, de tu empresa en general.

Para ver más prácticas recomendadas sobre seguridad, consulta el artículo Listas de comprobación de seguridad.

Proteger las cuentas de administrador  |   Gestionar las cuentas de superadministrador  |   Supervisar actividad  |   Prepararse para recuperar cuentas

Proteger las cuentas de administrador

	Aplicar la verificación en dos pasos obligatoria a las cuentas de administrador Con la verificación en dos pasos puedes proteger las cuentas de administrador frente a accesos no autorizados, incluso si alguien descubre una contraseña de administrador. Resulta especialmente importante usar la verificación en dos pasos en las cuentas de superadministrador, ya que con ellas se controla el acceso a todos los datos de los empleados y de la empresa. Proteger una empresa mediante la verificación en dos pasos
	Aplicar la verificación en dos pasos mediante llaves de seguridad La verificación en dos pasos puede completarse de varias maneras; por ejemplo, mediante llaves de seguridad, notificaciones de Google, Google Authenticator o códigos de seguridad. Las llaves de seguridad son pequeños dispositivos de hardware con los que se puede realizar la autenticación de dos factores. Estos dispositivos sirven de protección frente a amenazas de suplantación de identidad y son el método más seguro de verificación en dos pasos. Llaves de seguridad
	No compartir cuentas de administrador entre usuarios Da a cada administrador su propia cuenta de administrador identificable. De lo contrario, si varias personas inician sesión en la consola de administración con la misma cuenta de administrador (por ejemplo, [e-mail]), no se puede saber cuál de ellas ha hecho cada una de las actividades que figuran en el registro de auditoría.
	Protección contra ataques dirigidos Puedes aplicar muchas de las recomendaciones incluidas en este artículo a la vez registrando las cuentas de superadministrador y otras cuentas sensibles en el Programa de Protección Avanzada. Proteger a usuarios con el Programa de Protección Avanzada

Gestionar las cuentas de superadministrador

	Configurar varias cuentas de superadministrador Recomendamos que las organizaciones tengan más de una cuenta de superadministrador, cada una de ellas gestionada por una persona diferente (no se recomienda compartir las cuentas de administrador). De este modo, si se pierde una cuenta o se vulnera su seguridad, otro superadministrador puede hacer las tareas importantes mientras dicha cuenta se recupera.
	No utilizar cuentas de superadministrador para llevar a cabo actividades diarias Da a cada superadministrador dos cuentas: su propia cuenta de superadministrador y otra cuenta aparte para las actividades habituales. Los usuarios solo deben iniciar sesión en su cuenta de superadministrador para llevar a cabo tareas de superadministrador, como configurar la verificación en dos pasos, gestionar la facturación y las licencias de usuario, o ayudar a otro administrador a recuperar su cuenta. Los superadministradores deben usar otra cuenta, no de administrador, para realizar las actividades habituales. Por ejemplo, si María y Juan son superadministradores, deberían tener una cuenta de administrador y otra de usuario cada uno, como las siguientes: [e-mail], [e-mail] [e-mail], [e-mail]
	Asegurarse de recibir anuncios de administración importantes Si no sueles iniciar sesión con tu cuenta de administrador principal, es posible que te pierdas importantes avisos de servicio obligatorios de Google. Para asegurarte de recibir estos avisos, configura un contacto de correo secundario para que se envíen a una cuenta que utilices habitualmente. Enviar notificaciones sobre la facturación y la cuenta a otro administrador
	Cerrar sesión siempre en las cuentas de superadministrador Si inicias sesión en una cuenta de superadministrador para realizar tareas de administración y luego no la cierras, el riesgo de que se produzcan ataques de suplantación de identidad aumenta. Por este motivo, recomendamos que los superadministradores inicien sesión cuando deban hacer tareas concretas y cierren sesión una vez que hayan terminado.
	Usar cuentas que no sean de superadministrador para las tareas de administración habituales Las cuentas de superadministrador deben utilizarse solo cuando sea necesario. Delega las tareas de administración a cuentas de usuario con roles de administrador limitados. Sigue el modelo de privilegios mínimos, en el que cada usuario tiene acceso a los recursos y herramientas necesarios para hacer sus tareas habituales. Por ejemplo, puedes dar permisos de administrador para crear cuentas de usuario y cambiar contraseñas, pero no para eliminar cuentas de usuario. Información sobre los roles de administrador
	Elegir cómo recuperan los superadministradores el acceso a su cuenta Controla cómo acceden los superadministradores a sus cuentas si olvidan su contraseña activando o desactivando la recuperación automática de la cuenta. La recuperación de las cuentas de superadministrador está desactivada de forma predeterminada en las cuentas de la mayoría de los clientes y en las de todos los clientes nuevos. Si ya eres cliente y tienes menos de 3 superadministradores o 500 usuarios, el ajuste está activado de forma predeterminada, como lo tenías antes. Permitir que los superadministradores recuperen su contraseña

Supervisar la actividad de cuentas de administrador

Configurar alertas de actividad de administradores por correo electrónico Puedes supervisar la actividad de los administradores y controlar los posibles riesgos de seguridad configurando alertas por correo para recibir notificaciones cuando se den determinadas situaciones (por ejemplo, cuando se produzcan intentos de inicio de sesión sospechosos, se vulneren dispositivos móviles u otro administrador haga cambios en la configuración). Al activar las alertas de una actividad, recibes un correo cada vez que se produzca dicha actividad. Alertas por correo enviadas a los administradores y reglas definidas por el sistema

Revisar eventos de registro de administrador Consulta los datos de eventos de registro para ver el historial de todas las tareas que se han realizado en la consola de administración de Google, qué administrador las llevó a cabo, cuándo lo hizo y desde qué dirección IP inició sesión. Cuando se registran actividades de superadministradores, en la columna Descripción del evento aparece _SEED_ADMIN_ROLE seguido del nombre de usuario. Eventos de registro de administrador

Prepararse para recuperar cuentas de administrador

	Añadir opciones de recuperación a las cuentas de administrador Recomendamos que los administradores añadan opciones de recuperación a su cuenta de administrador. Si un administrador olvida su contraseña, puede hacer clic en el enlace ¿Necesitas ayuda? de la página de inicio de sesión para que Google le envíe una contraseña nueva por teléfono, mensaje de texto o correo electrónico. Para que Google pueda enviársela, el administrador debe haber incluido un número de teléfono y una dirección de correo de recuperación en la cuenta. Añadir información de recuperación a las cuentas de administrador
	Tener a mano la información necesaria para recuperar contraseñas Si la recuperación automática de las cuentas de superadministrador está activada, los superadministradores que hayan añadido opciones de recuperación a sus cuentas podrán cambiar su contraseña mediante las opciones de recuperación por correo o por teléfono.  Si la recuperación automática de las cuentas de superadministrador está desactivada y no hay otro superadministrador que pueda cambiar la contraseña, los superadministradores que necesiten cambiarla pueden usar el asistente de recuperación. Para verificar la identidad, Google solicita la siguiente información sobre la cuenta de la organización: La fecha en que se creó la cuenta La dirección de correo electrónico alternativa que se asoció a la cuenta originalmente (es decir, el correo electrónico que se utilizó para registrarse) El número de pedido de Google asociado a la cuenta (si procede) El número de cuentas de usuario creadas La dirección de facturación vinculada a la cuenta El tipo de tarjeta de crédito utilizada y sus últimos cuatro dígitos Google también pide al administrador que verifique la propiedad de DNS del dominio, por lo que este debe tener las credenciales para editar la configuración de DNS del dominio con su registrador. Cambiar la contraseña de administrador: si las opciones de teléfono y correo electrónico no están disponibles
	Registrar una llave de seguridad de repuesto Recomendamos que los administradores registren varias llaves de seguridad en su cuenta de administrador y las guarden en un lugar seguro. De este modo, en el caso de pérdida o robo de la llave de seguridad principal, aún podrán iniciar sesión en sus cuentas. Utilizar una llave de seguridad para la verificación en dos pasos
	Guardar códigos de verificación alternativos con antelación Si un administrador pierde la llave de seguridad o el teléfono en el que recibe los códigos de la verificación en dos pasos o las notificaciones de Google, puede introducir un código de verificación alternativo para iniciar sesión. Por este motivo, recomendamos que los administradores generen e impriman códigos de verificación alternativos por si los necesitan y que los guarden en una ubicación segura. Generar e imprimir códigos de verificación alternativos

Temas relacionados

• Convertir a un usuario en administrador
• Roles de administrador para empresas
• Lista de comprobación de seguridad para medianas y grandes empresas (más de 100 usuarios)
• Lista de comprobación de seguridad para empresas de 1 a 100 usuarios