Segurança do Google Workspace: o Guia Completo para Administradores de TI (2026)

O Google Workspace sustenta o dia de trabalho de milhões de organizações — e-mail, documentos, drives partilhados, calendários e as identidades que os ligam entre si. É precisamente essa concentração de dados e acessos que justifica uma estratégia de segurança deliberada, em vez das definições predefinidas que aceitou no primeiro dia.

Este guia percorre as áreas mais importantes, pela ordem em que um administrador de TI deve pensar nelas: identidade, partilha, acesso de terceiros, configuração administrativa e monitorização contínua. Nada disto exige um projeto de substituição total. A maioria das alterações de maior impacto são definições que já controla.

Comece pela identidade, porque tudo o resto depende dela

Cada ficheiro, cada calendário, cada caixa de correio no Google Workspace é acessível através de uma identidade. Se um atacante controlar uma conta, os dados que essa conta consegue ver são, na prática, dele. Isso torna a identidade o alicerce da segurança do Workspace.

Três controlos fazem a maior parte do trabalho pesado:

• Autenticação multifator (MFA), obrigatória — não opcional. Uma palavra-passe isolada constitui um único ponto de falha. Impor a Verificação em Duas Etapas em toda a organização é o controlo mais eficaz que pode implementar. Abordamos essa implementação em detalhe no nosso guia sobre como impor MFA em todo o Google Workspace.
• Segundos fatores fortes e resistentes a phishing, sempre que possível. As chaves de segurança físicas e as passkeys resistem aos kits de phishing de credenciais que conseguem contornar os códigos de utilização única. Reserve-os, no mínimo, para administradores e outras contas de elevado valor.
• Funções de administrador com privilégio mínimo. A função de super-administrador pode fazer tudo. A maioria dos seus administradores não precisa dela. O Google Workspace suporta funções de administrador personalizadas, limitadas a tarefas específicas; utilize-as e mantenha o número de super-administradores tão reduzido quanto for defensável.

Um exercício útil: liste todas as contas com privilégios administrativos e pergunte, para cada uma, «qual é a pior coisa que esta conta poderia fazer se fosse comprometida amanhã?». As respostas costumam revelar algumas funções mais amplas do que o necessário.

Controle a partilha no Drive

É no Drive que reside o conhecimento da organização, e é na partilha que começa a maior parte da exposição de dados. O problema raramente é malicioso — é a conveniência. Alguém define um documento como «Qualquer pessoa com o link» para desbloquear uma reunião, a reunião termina, e o link permanece ativo indefinidamente, indexado e reencaminhável.

Os padrões que vale a pena identificar:

• Links públicos. Os ficheiros partilhados com «qualquer pessoa com o link» são acessíveis a quem quer que obtenha o URL. Para conteúdo sensível, isso é uma porta aberta.
• Partilha externa. Ficheiros e pastas partilhados com endereços fora do seu domínio — parceiros, prestadores de serviços, contas pessoais — alargam o perímetro de dados a sistemas que não controla.
• Partilha em todo o domínio. «Qualquer pessoa na organização» é adequado para um manual, mas perigoso para uma pasta com dados de remunerações.
• Herança quebrada e propriedade excessiva. Uma única pasta-mãe partilhada em excesso pode expor silenciosamente tudo o que está abaixo dela.

Defina predefinições sensatas ao nível da organização na consola de administração (restrinja a partilha fora do domínio a uma lista de confiança, sempre que o seu fluxo de trabalho o permita), mas as predefinições só regem as partilhas *novas*. As partilhas criadas antes de reforçar a política continuam por aí. Encontrá-las é um problema de deteção, e é aí que a análise contínua compensa. A nossa checklist de permissões de partilha do Google Drive transforma isto numa revisão concreta e repetível.

Audite as aplicações de terceiros ligadas ao seu tenant

Cada «Iniciar sessão com o Google» e cada extensão que um utilizador instala concede a uma aplicação OAuth uma fatia de acesso aos dados do Workspace — frequentemente o Drive, por vezes o Gmail, ocasionalmente a capacidade de agir em nome de um utilizador. Ao longo de meses e anos, essa lista transforma-se numa acumulação de integrações esquecidas, ferramentas de teste e fornecedores abandonados, cada um deles uma concessão de acesso permanente que ninguém está a rever.

Isto é shadow IT na sua forma mais literal: acesso que não provisionou e cuja existência pode nem sequer conhecer. Uma concessão OAuth de risco não precisa de fazer phishing a ninguém — o utilizador já clicou em «Permitir».

O que procurar:

• Aplicações com âmbitos amplos (acesso total ao Drive, envio pelo Gmail, diretório de administração).
• Aplicações utilizadas apenas por uma ou duas pessoas, mas com acesso alargado.
• Aplicações de programadores não verificados.
• Aplicações que ninguém utiliza há meses.

Aprofundamos os mecanismos — incluindo como interpretar os âmbitos que importam — em como auditar aplicações OAuth de terceiros no Google Workspace.

Reforce a configuração de administração

Para além da identidade e da partilha, existe um conjunto de definições ao nível da organização que determina, silenciosamente, a sua postura de segurança. São fáceis de configurar uma vez e esquecer, e é precisamente por isso que se desviam:

• Definições de partilha: regras de partilha externa, predefinições de partilha por link e se os utilizadores podem publicar ficheiros na Web.
• Política de Verificação em Duas Etapas: obrigatória, com um prazo de adesão e, idealmente, permitindo apenas fatores fortes para grupos sensíveis.
• Acesso de aplicações menos seguras e protocolos legados: desativados.
• Instalação de aplicações do Marketplace: restrita a aplicações incluídas em listas de permissões ou aprovadas pelo administrador, para que os utilizadores não possam conceder acesso a terceiros arbitrários.
• Gestão de dispositivos móveis: políticas básicas para que um telemóvel perdido não se transforme numa violação de dados.
• Autenticação de e-mail: SPF, DKIM e DMARC configurados para proteger o seu domínio contra spoofing.

Trate estas definições como uma linha de base de configuração. Documente o estado pretendido e, depois, verifique periodicamente a realidade em relação a ele — a configuração tende a desviar-se à medida que se criam exceções que nunca são revertidas.

Vigie comportamentos de risco e agentes de IA

A postura estática — quem *pode* aceder a quê — é metade da imagem. A outra metade é o comportamento ao longo do tempo: quem está *efetivamente* a fazer o quê, e se isso parece normal. Uma conta de serviço que esteve inativa durante seis meses e, de repente, acede a centenas de ficheiros merece atenção, mesmo que cada permissão individual seja tecnicamente válida.

Uma complicação mais recente são as identidades não humanas. Assistentes de IA, plataformas de automação e contas de serviço detêm cada vez mais acesso permanente aos dados do Workspace e atuam sobre eles de forma autónoma. Raramente aparecem numa revisão tradicional de utilizadores, mas conseguem ler, mover e partilhar dados à velocidade de uma máquina. Governá-los — saber que agentes existem, a que conseguem aceder e o que estão a fazer — está a tornar-se uma parte essencial da segurança do Workspace. Abordamos essa abordagem em como detetar agentes de IA de risco no seu Google Workspace.

Estabeleça uma cadência

A segurança não é um projeto com data de conclusão; é uma postura que se mantém. Um ritmo funcional para a maioria das equipas:

• Continuamente: analisar novos links públicos, partilhas externas e concessões OAuth, e alertar sobre os que representam risco.
• Mensalmente: rever a linha de base de configuração administrativa e a lista de administradores.
• Trimestralmente: rever as relações de partilha externa e o inventário de aplicações de terceiros; remover tudo o que estiver desatualizado.
• Em cada entrada, mudança de função ou saída de colaborador: ajustar o acesso prontamente. O acesso obsoleto de ex-colaboradores e as alterações de função estão entre as conclusões mais comuns de qualquer auditoria.

Se é responsável pela visão global, o nosso guia do CISO para a avaliação de risco do Google Workspace enquadra isto como uma avaliação repetível sobre a qual pode reportar.

Onde a automação ajuda

Pode fazer tudo isto manualmente. Os administradores têm-no feito há anos. Mas o Workspace é vasto, a partilha é constante, e as conclusões relevantes são agulhas num palheiro muito grande. O modo de falha realista não é as equipas não *saberem* o que verificar — é não conseguirem acompanhar o volume manualmente, pelo que as revisões atrasam e a exposição se acumula entre elas.

É essa a lacuna que a gestão contínua e automatizada da postura de segurança preenche: enumera quem e o que consegue aceder a cada recurso, sinaliza as exposições que importam, explica *porque* cada uma delas é de risco em linguagem clara, e volta a verificar a cada alteração, para que trabalhe com a realidade atual em vez da folha de cálculo do trimestre passado. É exatamente isto que a 8200.dev faz para o Google Workspace — saiba mais sobre como funciona ou o que verificamos.

O melhor momento para estabelecer uma linha de base foi no dia em que implementou o Workspace. O segundo melhor momento é hoje.

Pronto para ver a sua própria exposição? Inicie a sua auditoria de segurança gratuita e obtenha uma imagem priorizada de links públicos, partilhas externas, aplicações OAuth e configurações incorretas de administração em todo o seu Google Workspace — em minutos, apenas de leitura, sem necessidade de implementar qualquer agente.