Seguridad en Gmail empresarial: buenas prácticas para proteger tu empresa

Por qué la seguridad del correo empresarial importa

El correo sigue siendo una de las principales puertas de entrada a una empresa. Facturas falsas, enlaces de phishing, archivos maliciosos, suplantación de proveedores y robo de credenciales suelen comenzar con un mensaje aparentemente legítimo.

Utilizar Gmail empresarial dentro de Google Workspace agrega controles de administración y seguridad que no existen de la misma manera en una cuenta personal. Sin embargo, ninguna plataforma protege por completo una organización si las cuentas están mal configuradas o si el equipo no reconoce señales de riesgo.

La seguridad del correo depende de tres áreas:

• Configuración técnica.
• Administración de usuarios.
• Hábitos de las personas.

Activar la verificación en dos pasos

La verificación en dos pasos agrega una segunda comprobación además de la contraseña.

Puede utilizarse mediante:

• Aplicaciones de autenticación.
• Llaves de seguridad.
• Avisos en dispositivos.
• Códigos de respaldo.
• Otros métodos permitidos por la organización.

Para una empresa, conviene aplicar la verificación en dos pasos de forma obligatoria y no dejarla como una recomendación opcional.

Antes de exigirla a todo el equipo:

• Confirmá que cada persona tenga un método válido.
• Prepará códigos de respaldo.
• Definí cómo recuperar cuentas.
• Probá el proceso con un grupo pequeño.
• Documentá qué hacer ante la pérdida de un dispositivo.

Las cuentas con privilegios administrativos deberían utilizar métodos resistentes al phishing, como llaves de seguridad, siempre que sea posible.

Reducir la cantidad de administradores

No todas las personas necesitan privilegios administrativos.

Una cuenta administradora puede modificar usuarios, restablecer contraseñas, cambiar políticas y acceder a configuraciones críticas. Por eso, otorgar permisos amplios aumenta el impacto de un error o de una cuenta comprometida.

Buenas prácticas:

• Mantener pocos superadministradores.
• Crear roles administrativos limitados para tareas específicas.
• Evitar usar la cuenta administradora para el trabajo diario.
• Proteger las cuentas administrativas con verificación reforzada.
• Revisar periódicamente quién conserva privilegios.
• Mantener más de un administrador de confianza para evitar bloqueos.

Usar contraseñas únicas

Cada cuenta debe tener una contraseña única.

Reutilizar la misma contraseña en servicios personales y empresariales permite que una filtración externa comprometa el correo de la empresa.

Una contraseña segura debería:

• Ser larga.
• Ser difícil de adivinar.
• No contener datos personales.
• No repetirse en otros servicios.
• Guardarse en un administrador de contraseñas confiable.

Cambiar contraseñas con demasiada frecuencia no siempre mejora la seguridad si las personas terminan utilizando variaciones previsibles. Es más importante evitar reutilización, aplicar verificación en dos pasos y actuar ante señales de compromiso.

Reconocer intentos de phishing

Un mensaje de phishing intenta convencer a la persona de entregar credenciales, descargar un archivo o realizar una acción urgente.

Señales frecuentes:

• Remitente parecido, pero no idéntico.
• Dominio extraño.
• Pedido urgente de pago.
• Cambio inesperado de cuenta bancaria.
• Enlace que no coincide con el sitio mencionado.
• Archivo adjunto no solicitado.
• Mensaje que pide desactivar una medida de seguridad.
• Solicitud de contraseña o código de verificación.
• Redacción poco habitual para el supuesto remitente.

Antes de actuar:

• Verificá la dirección completa del remitente.
• Pasá el cursor sobre el enlace.
• Confirmá por otro canal.
• No compartas códigos de verificación.
• No abras archivos inesperados.
• Informá el mensaje al responsable de seguridad o administración.

Protegerse contra fraude de proveedores

Un ataque frecuente consiste en suplantar a un proveedor y solicitar que un pago se envíe a una cuenta bancaria diferente.

La empresa debería definir un procedimiento formal:

• Todo cambio bancario debe confirmarse por otro canal.
• La aprobación debe involucrar a más de una persona.
• No se deben aceptar cambios únicamente por correo.
• Los datos nuevos deben verificarse con un contacto conocido.
• Las facturas deben compararse con órdenes y contratos.

La seguridad del correo no reemplaza los controles administrativos.

Configurar SPF, DKIM y DMARC

Estos registros ayudan a autenticar los mensajes enviados desde el dominio.

SPF

SPF indica qué servidores están autorizados a enviar correo en nombre del dominio.

Una configuración incompleta puede permitir suplantaciones. Una configuración incorrecta puede afectar mensajes legítimos.

DKIM

DKIM agrega una firma criptográfica a los mensajes salientes.

El servidor receptor puede verificar que el mensaje no fue alterado y que la firma corresponde al dominio configurado.

DMARC

DMARC indica qué debería ocurrir cuando un mensaje no supera las verificaciones de SPF o DKIM y permite recibir informes.

Conviene comenzar con una política de observación, analizar los informes y endurecerla de forma gradual. Aplicar una política estricta sin revisar servicios autorizados puede bloquear correos legítimos enviados desde formularios, sistemas de facturación, CRM o plataformas de marketing.

Revisar aplicaciones conectadas

Las personas pueden autorizar aplicaciones externas para acceder a Gmail, Drive, Calendar u otros servicios.

Una aplicación antigua, innecesaria o poco confiable puede mantener acceso a datos empresariales.

La empresa debería:

• Revisar aplicaciones autorizadas.
• Retirar accesos que ya no se utilizan.
• Limitar aplicaciones no verificadas.
• Definir qué servicios pueden conectarse.
• Evaluar permisos solicitados.
• Documentar integraciones empresariales.

No todas las aplicaciones necesitan acceso completo al correo o a todos los archivos.

Controlar reenvíos y reglas

Una cuenta comprometida puede crear filtros o reglas para ocultar mensajes, reenviar información o eliminar alertas.

Revisá:

• Direcciones de reenvío.
• Filtros de Gmail.
• Reglas de bandeja.
• Delegaciones.
• Respuestas automáticas.
• Direcciones bloqueadas.
• Configuración POP e IMAP.

Ante una sospecha de compromiso, no alcanza con cambiar la contraseña. También hay que revisar configuraciones persistentes.

Mantener actualizados los métodos de recuperación

Los teléfonos, correos alternativos y métodos de recuperación deben pertenecer a la persona o a la organización adecuada.

Cuando alguien cambia de función o deja la empresa:

• Actualizá los datos de recuperación.
• Retirá dispositivos antiguos.
• Cerrá sesiones.
• Revocá tokens.
• Cambiá responsables de servicios.
• Revisá alias y grupos.

Un dato de recuperación desactualizado puede permitir que una persona que ya no trabaja en la organización conserve acceso.

Proteger dispositivos

El correo empresarial también depende del dispositivo desde el que se utiliza.

Buenas prácticas:

• Bloqueo de pantalla.
• Cifrado del dispositivo.
• Sistema operativo actualizado.
• Navegador actualizado.
• Antivirus o protección equivalente.
• Instalación limitada de aplicaciones.
• Capacidad de borrar datos de forma remota.
• Separación entre perfiles personales y laborales.

No conviene guardar contraseñas en navegadores de equipos compartidos.

Revisar actividad sospechosa

La consola de administración y los registros disponibles permiten revisar actividad relacionada con accesos y cambios.

Conviene prestar atención a:

• Inicios de sesión desde ubicaciones inesperadas.
• Dispositivos desconocidos.
• Cambios de contraseña no solicitados.
• Creación de reglas o reenvíos.
• Descargas masivas.
• Aplicaciones nuevas.
• Cambios en permisos administrativos.
• Mensajes enviados que la persona no reconoce.

La disponibilidad exacta de informes y alertas depende de la edición de Google Workspace.

Preparar un procedimiento de respuesta

La empresa debería saber qué hacer antes de que ocurra un incidente.

Un procedimiento básico puede incluir:

• Suspender temporalmente la cuenta.
• Restablecer la contraseña.
• Revocar sesiones y tokens.
• Revisar reglas, reenvíos y aplicaciones.
• Comprobar mensajes enviados.
• Analizar archivos compartidos.
• Avisar a personas afectadas.
• Registrar lo ocurrido.
• Corregir la causa.
• Revisar otras cuentas relacionadas.

La rapidez reduce el impacto.

Capacitar al equipo

La capacitación no necesita ser extensa para ser útil.

Un programa simple puede incluir:

• Ejemplos reales de phishing.
• Revisión de dominios y enlaces.
• Procedimiento para pagos.
• Uso de verificación en dos pasos.
• Manejo de archivos adjuntos.
• Reporte de mensajes sospechosos.
• Protección de códigos de verificación.
• Reglas para compartir información.

Es mejor realizar sesiones breves y periódicas que una única capacitación anual.

Errores frecuentes

Compartir contraseñas

Impide saber quién realizó una acción y dificulta la recuperación segura.

Usar una cuenta genérica entre varias personas

Conviene utilizar grupos, alias, delegación o bandejas colaborativas según la necesidad.

Ignorar alertas de acceso

Una alerta puede ser la primera señal de una cuenta comprometida.

Mantener cuentas de personas que ya no trabajan

Las bajas deben ejecutarse rápidamente y seguir un procedimiento documentado.

Confiar únicamente en el filtro de spam

Los atacantes adaptan mensajes para parecer legítimos. La revisión humana sigue siendo necesaria.

Configurar DMARC de forma estricta sin analizar envíos

Esto puede bloquear formularios, CRM, facturación y servicios externos legítimos.

Checklist de seguridad para Gmail empresarial

• La verificación en dos pasos está activada.
• Los administradores utilizan protección reforzada.
• Hay pocos superadministradores.
• Las contraseñas son únicas.
• Los métodos de recuperación están actualizados.
• Las aplicaciones conectadas se revisan.
• SPF está configurado.
• DKIM está habilitado.
• DMARC está implementado de forma gradual.
• Los cambios bancarios se confirman por otro canal.
• Existen procedimientos de alta y baja.
• Los dispositivos están protegidos.
• El equipo recibe capacitación.
• Existe un plan de respuesta a incidentes.

Conclusión

Gmail empresarial puede ofrecer una base sólida de seguridad, pero la protección real depende de cómo se configure y administre.

Las medidas más importantes son activar la verificación en dos pasos, limitar administradores, autenticar el dominio con SPF, DKIM y DMARC, revisar aplicaciones y capacitar al equipo.

Consultá nuestra guía de Google Workspace para empresas para conocer el resto de las herramientas y criterios de administración del entorno.