Ediciones compatibles con esta función: Frontline Plus, Enterprise Plus, Education Standard, Education Plus y Enterprise Essentials Plus. Compara tu edición.
Como administrador de tu organización, puedes usar la herramienta de investigación de seguridad para hacer búsquedas relacionadas con eventos de registro de Transparencia de acceso. Puedes ver un registro de las acciones para consultar información sobre las actividades que realiza el personal de Google cuando accede a tus datos.
Los datos de eventos de registro de Transparencia de acceso incluyen la siguiente información:
- Recurso afectado y acción realizada
- Hora en la que se ha llevado a cabo la acción
- Motivo de la acción (por ejemplo, el número de caso asociado a una solicitud al servicio de asistencia)
- Miembro del personal de Google que ha realizado la acción (por ejemplo, la ubicación de su oficina)
Para obtener más información, consulta el artículo Transparencia de acceso: consultar registros sobre el acceso de Google al contenido de usuarios.
Reenviar datos de registro a Google Cloud
Puedes aceptar compartir datos de registro con Google Cloud. Si lo haces, esos datos se envían a Cloud Logging, donde podrás consultar tus registros y controlar cómo se enrutan y almacenan.
Buscar eventos de registro de Transparencia de acceso
La posibilidad de hacer una búsqueda depende de la edición de Google Workspace, de los privilegios de administrador y de la fuente de datos. Puedes hacer una búsqueda con todos los usuarios, independientemente de su edición de Google Workspace.
Para hacer una búsqueda en la herramienta de investigación de seguridad, primero debes elegir una fuente de datos. A continuación, elige una o varias condiciones para la búsqueda. Selecciona un atributo, un operador y un valor para cada condición.
Sigue estos pasos:
-
En la consola de administración de Google, ve a Menú
Seguridad Centro de Seguridad Herramienta de investigación.Se necesita el privilegio de administrador Centro de Seguridad.
- En la lista desplegable Fuente de datos, selecciona Eventos de registro de Transparencia de acceso.
- Haz clic en Añadir condición. Puedes incluir una o varias condiciones en tu búsqueda. También puedes personalizar la búsqueda con consultas anidadas, es decir, búsquedas con dos o tres niveles de condiciones (para conocer los detalles, consulta el artículo Personalizar la búsqueda con consultas anidadas).
En la lista desplegable Atributo, selecciona uno de los atributos (por ejemplo, Actor o Fecha). Para ver una lista completa de los atributos disponibles en los eventos de registro de Transparencia de acceso, consulta la sección siguiente.
Nota: Cuanto más reduzcas el periodo de la búsqueda, antes aparecerán los resultados en la herramienta de investigación de seguridad. Por ejemplo, si reduces la búsqueda a eventos que ocurrieron en la última semana, la consulta devolverá resultados más rápidamente que si buscas en un periodo más amplio.
Selecciona un operador; por ejemplo, Es, No es, Contiene o No contiene.
Elige o introduce un valor para el atributo. En algunos atributos puedes elegir el valor en una lista desplegable. En el resto de los atributos, introduce un valor.
(Opcional) Para incluir varias condiciones de búsqueda, repite los pasos anteriores.
Haz clic en Buscar. Los resultados de búsqueda de la herramienta se muestran en una tabla en la parte inferior de la página.
(Opcional) Para guardar tu búsqueda, haz clic en Guardar
e introduce un título y una descripción. A continuación, haz clic en Guardar.
Nota: En la pestaña Creador de condiciones, los filtros se representan como condiciones con los operadores Y/O. En la pestaña Filtrar también puedes incluir pares simples de parámetros y valores para filtrar los resultados de búsqueda.
Descripciones de atributos
En esta fuente de datos, puedes usar los siguientes atributos cuando busques datos de eventos de registro.
| Atributo | Descripción |
|---|---|
| Nombre del grupo actor |
El nombre del grupo actor. Para obtener más información, consulta la sección Filtrar resultados por grupo de Google. Para añadir un grupo a la lista de grupos de filtrado permitidos:
|
| Oficina principal del actor |
Oficina principal del actor que accedió a los datos. Muestra el código del país o de la región (según la norma ISO 3166-1 alfa-2) donde el usuario que ha accedido a los datos trabaja de manera permanente. Entre los valores posibles se incluyen los siguientes:
|
| Unidad organizativa del actor | Unidad organizativa del actor |
| Fecha | Fecha y hora en las que se ha producido el evento (se muestran en la zona horaria predeterminada de tu navegador) |
| Evento | La acción del evento registrado; por ejemplo, Se ha accedido al recurso |
| Producto de Google Workspace | Nombre del producto al que se ha accedido |
|
ASN de IP Debes añadir esta columna a los resultados de búsqueda. Para ver los pasos, consulta Gestionar datos de columnas de resultados de búsqueda. |
Número de sistema autónomo (ASN) de IP, subdivisión y región asociados a la entrada de registro. Para revisar el ASN de IP, la subdivisión y el código de región donde se produjo la actividad, haz clic en el nombre de los resultados de búsqueda. |
| Justificaciones | Justificaciones del acceso. Por ejemplo, Servicio de asistencia iniciado por el cliente. Número de caso: 12345678. |
| ID de registro | ID de registro único |
| En nombre de | Direcciones de correo de los usuarios cuya autoridad se haya utilizado para los controles de Gestión de Accesos |
| Correo del propietario | ID de correo electrónico o identificador de equipo del cliente propietario del recurso |
| Nombre de recurso | Nombre del recurso al que se ha accedido |
| Incidencias | Incidencias asociadas a la justificación, si las hubiera |
.Tomar medidas en función de los resultados de búsqueda
Crear reglas de actividad y configurar alertas
- Puedes configurar alertas basadas en datos de eventos de registro mediante reglas de informes. Consulta las instrucciones en el artículo Crear y gestionar reglas de informes.
-
Ediciones compatibles con esta función: Frontline Standard y Frontline Plus; Enterprise Standard y Enterprise Plus; Education Standard y Education Plus; Enterprise Essentials Plus y Cloud Identity Premium.
Compara tu edición.
Para prevenir, detectar y solucionar problemas de seguridad de forma eficiente, puedes automatizar acciones en la herramienta de investigación de seguridad y configurar alertas creando reglas de actividad. Para configurar una regla, establece las condiciones que debe cumplir y, a continuación, especifica las acciones que se realizarán cuando se cumplan. Consulta más información en el artículo Crear y gestionar reglas de actividad.
Tomar medidas en función de los resultados de búsqueda
Ediciones compatibles con esta función: Frontline Standard y Frontline Plus; Enterprise Standard y Enterprise Plus; Education Standard y Education Plus; Enterprise Essentials Plus y Cloud Identity Premium. Compara tu edición.
Después de hacer una búsqueda en la herramienta de investigación de seguridad, puedes tomar medidas con respecto a los resultados. Por ejemplo, puedes hacer una búsqueda en eventos de registro de Gmail y luego usar la herramienta para eliminar mensajes específicos o enviarlos a cuarentena o a las bandejas de entrada de los usuarios. Consulta más información en el artículo Tomar medidas en función de los resultados de búsqueda.
Interpretar los datos del registro de Transparencia de acceso
Descripción de los campos del registro
| Nombre del campo en el registro | Nombre del campo en el sistema | Descripción |
|---|---|---|
| Fecha | items:id:time | Fecha y hora en que se ha anotado el registro. |
| Producto de Google Workspace | items:events:parameters:GSUITE_PRODUCT_NAME | Producto del cliente al que se ha accedido (en mayúsculas). Valores posibles:
|
| Correo del propietario | items:events:parameters:OWNER_EMAIL | ID de correo electrónico o identificador de equipo del cliente propietario del recurso. |
| Oficina principal del actor | items:events:parameters:ACTOR_HOME_OFFICE |
Código del país o del territorio (según la norma ISO 3166-1 alfa-2) donde el usuario que ha accedido a los datos trabaja de manera permanente:
|
| Justificaciones |
items:events:parameters:JUSTIFICATIONS |
Justificaciones del acceso. Por ejemplo, Servicio de asistencia iniciado por el cliente. Número de caso: 12345678. |
| Incidencias | tickets | Incidencias asociadas a la justificación, si las hubiera. |
| ID de registro | items:events:parameters:LOG_ID | ID de registro único. |
| Nombre de recurso | items:events:parameters:RESOURCE_NAME | Nombre del recurso al que se ha accedido. Los nombres de recurso se pueden usar en la herramienta de investigación de seguridad para identificar y clasificar problemas de seguridad y privacidad de tu dominio, así como para tomar medidas al respecto. |
| En nombre de | items:events:parameters:ON_BEHALF_OF | A quién se le da acceso. La persona a la que se le da acceso a un documento puede ser quien contactó con el servicio de asistencia, en lugar del propietario. En nombre de proporciona información adicional para comprender el contexto de un acceso. |
| Política de Gestión de Accesos | items:events:parameters: ACCESS_MANAGEMENT_POLICY |
La política de Gestión de Accesos validada antes de acceder. Solo se aplica a los clientes que tienen Gestión de Accesos configurada. |
Descripción de las justificaciones
| Motivo | Descripción |
|---|---|
| Servicio de asistencia iniciado por el cliente | Es un evento de asistencia solicitado por el cliente, como un número de caso. |
| Revisión por uso inadecuado iniciada externamente | Se activa una revisión por uso inadecuado externamente cuando se denuncia cierto contenido para que Google lo revise.
Para obtener más información e instrucciones, consulta Hacer búsquedas en la herramienta de investigación de seguridad. |
| Respuesta de Google a una alerta de producción | Acceso de Google a los datos para mantener la fiabilidad del sistema al sospechar que se ha producido una interrupción. Por ejemplo, puede acceder con los siguientes propósitos:
|
| Revisión iniciada por Google | Acceso iniciado por Google a los datos por razones de seguridad o de cumplimiento de políticas, o para investigar casos de fraude o uso inadecuado. Por ejemplo, puede acceder con los siguientes propósitos:
|
|
Servicio iniciado por Google |
Acceso iniciado por Google para realizar tareas de mantenimiento y prestar servicios de Google Cloud. Por ejemplo, puede acceder con los siguientes propósitos:
|
| Solicitud de datos de terceros | Google accede a los datos de los clientes para responder a una solicitud legal o un proceso legal. Con esta justificación también se registran aquellas ocasiones en las que respondemos a procesos legales del cliente que requieran que accedamos a datos de su propiedad. En este caso, es posible que no aparezca ningún registro en Transparencia de acceso si Google no puede informarte legalmente de que se ha abierto una solicitud o proceso de este tipo. |
Configurar alertas de Transparencia de acceso
Puedes configurar alertas para que se te notifique por correo cuando se registre un evento que coincida con determinados filtros, como Correo del propietario u Oficina principal del actor. También puedes habilitar una alerta que te avise cuando se genere un registro de Transparencia de acceso de cualquier producto compatible con esta función de seguridad.
-
En la consola de administración de Google, ve a Menú
Seguridad Centro de Seguridad Herramienta de investigación.Se necesita el privilegio de administrador Centro de Seguridad.
- En la lista desplegable Fuente de datos, selecciona Eventos de registro de Transparencia de acceso.
- Haz clic en + Añadir un filtro.
- Selecciona uno o varios filtros y haz clic en Aplicar.
- (Opcional) Para activar una alerta cuando se genere un registro de cualquier producto compatible, haz clic en Nombre del evento Acceso. Al hacerlo, se crea un filtro llamado Nombre del evento: Acceso.
- Haz clic en Crear regla de notificación
, da un nombre a la regla y, a continuación, escribe las direcciones de correo electrónico de los destinatarios de la alerta. - Haz clic en Crear.
Integrar los datos del registro de Transparencia de acceso con herramientas de terceros
Con la API Reports, puedes integrar los registros de Transparencia de acceso con las herramientas de gestión de información y eventos de seguridad (SIEM) que ya utilices. Para obtener más información, consulta el artículo sobre los eventos de actividad de Transparencia de acceso.
¿Cuándo están disponibles los datos y durante cuánto tiempo?
Consulta el artículo Plazos de conservación y periodos de retraso de los datos.
Temas relacionados
- Iniciar investigaciones basadas en un gráfico del panel de control
- Crear gráficos personalizados basados en investigaciones
- Iniciar investigaciones desde el Centro de alertas
- Investigar informes de correos electrónicos maliciosos
- Investigar el uso compartido de archivos
- Investigar a usuarios en varias fuentes de datos