Безопасность Google Workspace: лучшие практики на 2026 год

Google Workspace — это основа продуктивности миллионов организаций: электронная почта, документы, календари, видеовстречи и управление задачами работают на одной платформе. Такая централизация обеспечивает огромное удобство. Но она также создает концентрированную цель для злоумышленников, случайной утечки данных и внутренних рисков.

Безопасность Google Workspace — это не разовая настройка. Это непрерывный процесс, который охватывает административный контроль, поведение конечных пользователей, сторонние интеграции и организационную политику. В этом руководстве собраны самые важные практики безопасности на 2026 год, распределенные по уровням контроля.

Почему безопасность Google Workspace заслуживает серьезного внимания

Google вкладывает значительные средства в безопасность инфраструктуры: шифрование при передаче и хранении, физическая защита дата-центров и непрерывное обнаружение угроз. Однако Google не может полностью защитить организацию от того, как она настраивает и использует платформу.

Наиболее распространенные инциденты безопасности в Google Workspace связаны не со взломом инфраструктуры Google. Это:

Захват аккаунта через фишинг — злоумышленник обманом заставляет сотрудника ввести учетные данные на поддельной странице входа.
OAuth-приложения с избыточными правами — стороннее приложение, получившее доступ к Google Drive или Gmail, которое позже становится вредоносным или приобретается недобросовестной компанией.
Случайный общий доступ — конфиденциальный документ, открытый для «всех, у кого есть ссылка», а не для конкретных людей.
Слабые или повторно используемые пароли — особенно в аккаунтах без 2-step verification.
Компрометация аккаунтов администраторов — самый рискованный тип аккаунта в любой организации Google Workspace.

Для каждого из этих рисков есть четкий способ защиты. Сложность заключается в их последовательном внедрении.

Консоль администратора: фундамент безопасности Google Workspace

Admin Console Controls

2-Step Verification enforcement

Password policy configuration

Session duration settings

Google Admin Console — это место, где находятся настройки безопасности организации. Каждая описанная здесь рекомендация требует прав администратора для реализации.

Принудительная 2-step verification

Двухэтапная проверка (2SV) — это самый эффективный инструмент безопасности в Google Workspace. Она требует второй фактор — код, аппаратный ключ или биометрию — в дополнение к паролю. Даже если злоумышленник получит пароль пользователя, он не сможет получить доступ к аккаунту без второго фактора.

Как внедрить:

В консоли администратора перейдите в Security > Authentication > 2-step verification.
Включите принудительное использование для всех пользователей (не оставляйте опциональным).
Установите льготный период (7–30 дней) для регистрации пользователей до вступления политики в силу.
Рассмотрите возможность обязательного использования аппаратных ключей безопасности (FIDO2/WebAuthn) для аккаунтов с высокими привилегиями, таких как администраторы.

Для максимальной защиты аппаратные ключи безопасности значительно устойчивее к фишингу, чем SMS-коды или приложения-аутентификаторы. Исследования Google показали, что аппаратные ключи блокируют 100% автоматизированных атак ботов, 99% массовых фишинговых атак и 90% целевых атак.

Требования к надежным паролям

Установите минимальную длину пароля не менее 12 символов и запретите повторное использование (блокировка последних 10 паролей). Дополните это обнаружением скомпрометированных учетных данных (в стиле Have I Been Pwned), которое Google включает в Security Center.

Аудит аккаунтов суперадминистраторов

Аккаунты суперадминистраторов имеют неограниченный доступ ко всем данным и настройкам в вашей организации Google Workspace. Лучшие практики:

Поддерживайте не более 2–4 аккаунтов суперадминистраторов.
Никогда не используйте аккаунты суперадминистраторов для повседневной работы — создайте отдельные аккаунты администраторов для рутинных задач.
Включите проверки при входе и требуйте аппаратные ключи безопасности для всех аккаунтов суперадминистраторов.
Проверяйте список суперадминистраторов ежеквартально.

Защита пользовательских данных: общий доступ и DLP

Аудит настроек внешнего доступа

Настройки общего доступа в Google Drive по умолчанию позволяют пользователям делиться файлами с любым, у кого есть ссылка, включая людей вне организации. Для большинства компаний это слишком мягкие настройки.

В консоли администратора проверьте:

Drive and Docs > Sharing settings > Sharing outside [your domain] — ограничьте доступ только доверенными доменами или полностью отключите внешний доступ для чувствительных организационных подразделений.
Отключите доступ по ссылке «всем, у кого есть ссылка» для подразделений, работающих с конфиденциальными данными.

Предотвращение утечки данных (DLP)

Правила DLP в Google Workspace автоматически сканируют исходящую почту и файлы на Google Drive на наличие шаблонов конфиденциальных данных — номеров кредитных карт, номеров социального страхования, идентификационных номеров и пользовательских шаблонов.

Когда DLP обнаруживает конфиденциальный шаблон, система может заблокировать отправку, предупредить пользователя или уведомить администратора. DLP доступен в планах Business Plus, Enterprise и Education Plus.

Ключевые правила DLP для настройки:

Блокировка внешнего доступа к файлам на Google Drive, содержащим номера кредитных карт.
Предупреждение перед отправкой писем, содержащих определенные ключевые слова (конфиденциально, собственность, персональные данные).
Помещение в карантин писем Gmail с подозрительными типами вложений.

Vault для хранения и eDiscovery

Google Vault позволяет администраторам устанавливать правила хранения для Gmail, Drive, Chat и Meet. Это гарантирует, что данные будут сохранены в течение требуемого периода, даже если пользователи их удалят, что важно для юридических и комплаенс-требований.

Для организаций, подпадающих под действие GDPR, HIPAA или финансовых регуляций, Vault является необходимой инфраструктурой, а не дополнительной опцией.

Управление доступом сторонних приложений

Сторонние приложения, подключающиеся к Google Workspace через OAuth, являются одним из самых недооцененных рисков безопасности. Каждый раз, когда пользователь нажимает «Войти через Google» и предоставляет разрешения приложению, оно получает постоянный доступ к данным — пока пользователь не отзовет его вручную.

Аудит подключенных приложений

В консоли администратора перейдите в Security > Access and data control > API controls > App access control, чтобы увидеть все сторонние приложения, получившие доступ OAuth к данным вашей организации.

Проверьте этот список на наличие:

Приложений, запрашивающих более широкие права, чем требуется для их функций.
Приложений от поставщиков, которыми ваша организация больше не пользуется.
Приложений, которыми никто не пользуется.
Приложений, которые были признаны устаревшими или чьи разработчики были поглощены другими компаниями.

Ограничение доступа сторонних приложений

Для организаций с высокими требованиями к безопасности можно полностью ограничить подключение сторонних приложений. Два варианта:

Режим белого списка (Allowlist) — подключаться могут только приложения, явно одобренные администратором.
Ограничение непроверенных приложений — только приложения, прошедшие процесс проверки OAuth от Google, могут запрашивать доступ к конфиденциальным областям.

Подход с белым списком обеспечивает максимальную защиту, но требует постоянного обслуживания по мере внедрения новых инструментов.

Безопасность TasksBoard и OAuth

TasksBoard использует официальный Google Tasks API через OAuth, запрашивая доступ только к данным Google Tasks — он не запрашивает доступ к содержимому Gmail, Google Drive или Calendar. Когда вы предоставляете доступ TasksBoard, он может только читать и записывать ваши Google Tasks. Этот минимальный объем разрешений соответствует принципу наименьших привилегий.

При оценке любого стороннего приложения для Google Workspace проверяйте запрашиваемые области разрешений перед предоставлением доступа. Приложение, которое запрашивает доступ ко всем данным Gmail для «повышения продуктивности», — это тревожный сигнал.

Безопасность электронной почты: защита Gmail

Security

Gmail

Users

Gmail включает несколько уровней безопасности, которые администраторы могут настраивать и усиливать.

Защита от фишинга и вредоносного ПО

В консоли администратора в разделе Apps > Google Workspace > Gmail > Safety включите:

Enhanced pre-delivery message scanning — дополнительное сканирование с помощью ИИ до того, как сообщения попадут в почтовые ящики пользователей.
Attachments: Protect against attachments from untrusted senders.
Links and external images: Identify links behind shortened URLs.
Spoofing and authentication: Protect against unauthenticated email.

Настройка SPF, DKIM и DMARC

Эти стандарты аутентификации почты подтверждают, что письмо, отправленное с вашего домена, действительно исходит с ваших авторизованных почтовых серверов.

SPF (Sender Policy Framework) — список авторизованных IP-адресов отправителей в вашем DNS.
DKIM (DomainKeys Identified Mail) — добавляет криптографическую подпись к исходящим письмам.
DMARC — указывает серверам получателей, что делать с письмами, которые не прошли проверки SPF/DKIM.

Google Workspace делает настройку DKIM простой через консоль администратора. DMARC требует записи в DNS. Начните с политики p=none, которая только отслеживает, затем перейдите к p=quarantine и, в конечном итоге, к p=reject после проверки того, что легитимная почта проходит аутентификацию.

Безопасный LDAP и SSO

Для организаций, использующих Secure LDAP или единый вход (SSO) на базе SAML, убедитесь, что ваш поставщик SSO применяет те же политики 2SV, что и Google Workspace. Обход 2SV на уровне SSO сводит на нет защиту 2SV в Google Workspace.

Управление конечными точками и мобильными устройствами

Каждое устройство, получающее доступ к Google Workspace, является потенциальным вектором атаки. Управление мобильными устройствами (MDM) позволяет администраторам контролировать и удаленно очищать устройства, имеющие доступ к корпоративным данным.

Базовое и расширенное управление устройствами

Google Workspace включает базовое управление устройствами без дополнительной оплаты. Расширенное управление конечными точками доступно в более дорогих планах. Ключевые возможности:

Базовое (бесплатно):

Требование блокировки экрана на мобильных устройствах.
Удаленная очистка аккаунта (удаляет данные Google Workspace без полной очистки устройства).
Инвентаризация устройств.

Расширенное (платные планы):

Разрешение только одобренных приложений.
Блокировка доступа с скомпрометированных устройств.
Возможность полной очистки устройства.
Принудительное обновление ОС.

Управление Chromebook

Организации, использующие Chromebook, могут управлять ими через Google Admin с помощью гранулярных политик: блокировка USB-накопителей, принудительная безопасная загрузка, ограничение установки приложений и настройка политик сетевого доступа.

Мониторинг безопасности и реагирование на инциденты

Security Center

Google Workspace Security Center (доступен в Business Plus и Enterprise) предоставляет панель мониторинга показателей безопасности, оповещений и инструментов расследования. Отслеживайте:

Неудачные попытки входа и подозрительные действия.
Аномалии в активности почты и Google Drive.
OAuth-разрешения сторонних приложений.
Индикаторы утечки данных.

Настройте оповещения по электронной почте о критических событиях безопасности, чтобы команда администраторов получала уведомления оперативно.

Alert Center

Alert Center в консоли администратора агрегирует оповещения безопасности со всего Google Workspace — предупреждения о компрометации аккаунтов, уведомления об атаках, поддерживаемых государственными структурами, подозрительная активность при входе и фишинговые кампании, направленные на ваш домен.

Регулярно проверяйте Alert Center и создайте рабочий процесс реагирования на инциденты для распространенных типов оповещений.

Хранение логов и журналы аудита

Google Workspace создает журналы аудита для действий администраторов, активности на Google Drive, Gmail и других сервисов. Эти логи являются основой любого расследования безопасности.

Для большинства планов журналы аудита хранятся 180 дней. Организациям, требующим более длительного хранения, следует настроить экспорт в Google Cloud Storage или интеграцию с SIEM.

Часто задаваемые вопросы

Какая настройка безопасности Google Workspace самая важная?

Принудительная двухэтапная проверка (2SV) для всех пользователей — это самый эффективный инструмент безопасности. Захват аккаунта является наиболее распространенным серьезным инцидентом в средах Google Workspace, и 2SV предотвращает подавляющее большинство атак, основанных на краже учетных данных.

Как увидеть, какие приложения имеют доступ к моему Google Workspace?

В консоли администратора перейдите в Security > Access and data control > API controls > App access control. Здесь отображаются все сторонние приложения с доступом OAuth к данным вашей организации. Отдельные пользователи также могут увидеть свои личные подключенные приложения на странице myaccount.google.com/permissions.

Может ли Google Workspace соответствовать требованиям HIPAA?

Да, при правильной настройке. Google предлагает соглашение о деловом партнерстве (BAA) для клиентов Google Workspace, которое охватывает Gmail, Drive, Calendar и другие основные сервисы. Вы должны заключить BAA с Google и настроить соответствующие средства контроля (шифрование, контроль доступа, аудит), чтобы соответствовать требованиям HIPAA.

Какой подход к шифрованию данных у Google Workspace?

Google шифрует данные при передаче (TLS) и при хранении (AES 256-бит). Для организаций, требующих ключи шифрования, управляемые клиентом, Google Workspace предлагает шифрование на стороне клиента (CSE) в планах Enterprise и Education Plus, которое позволяет шифровать данные ключами, которые вы контролируете, до того, как они попадут на серверы Google.

Как предотвратить случайные утечки данных на Google Drive?

Основные меры: ограничение настроек внешнего доступа в консоли администратора, внедрение правил DLP для выявления шаблонов конфиденциальных данных и обучение пользователей лучшим практикам обмена файлами. Для организаций с высокой чувствительностью данных требование предоставлять доступ по ссылке конкретным людям, а не «всем, у кого есть ссылка», устраняет самый распространенный вектор случайной утечки.

Как TasksBoard обеспечивает безопасность Google Workspace?

TasksBoard получает доступ только к Google Tasks — он не запрашивает доступ к Gmail, Google Drive или любому другому сервису Google Workspace, кроме задач. TasksBoard использует OAuth 2.0 для аутентификации, что означает, что он никогда не получает и не хранит ваш пароль от Google. Вы можете просмотреть и отозвать доступ TasksBoard в любое время через настройки безопасности вашего аккаунта Google на странице myaccount.google.com/permissions.

Построение программы безопасности, а не просто настройка

Самая устойчивая модель безопасности Google Workspace — это не разовая настройка, а живая программа с регулярными проверками, постоянным обучением пользователей и четкими процессами реагирования на инциденты.

Начните с высокоприоритетных мер: принудительная 2-step verification, аудит аккаунтов суперадминистраторов, проверка настроек внешнего доступа и настройка аутентификации почты (SPF/DKIM/DMARC). Затем систематически прорабатывайте менее приоритетные элементы.

Безопасность наиболее эффективна, когда она соразмерна профилю риска вашей организации. У стартапа из десяти человек потребности отличаются от потребностей медицинского учреждения или фирмы финансовых услуг. Используйте это руководство как основу и корректируйте строгость каждого контроля в соответствии с тем, что действительно стоит на кону для вашей организации.

Для получения дополнительных рекомендаций по функциям и возможностям Google Workspace см. учебное пособие по Google Workspace.