Buenas prácticas de seguridad en Google Meet

Google Meet es ahora el lugar de muchas conversaciones sensibles: actualizaciones al consejo, puentes de incidentes, negociaciones con proveedores, llamadas de RR. HH. Como se abre desde un enlace en el navegador, parece informal, y es justo esa informalidad por donde se cuelan los invitados no deseados, las grabaciones compartidas en exceso y las llamadas telefónicas desconocidas. Esta guía acompaña a un CISO o a un administrador de Workspace por los controles que de verdad reducen el riesgo, desde los ajustes por reunión del organizador que tu gente toca a diario hasta las políticas de la Consola de administración que hacen que el camino seguro sea el predeterminado.

El acceso adaptado al contexto (Context-Aware Access) de Meet funciona como el acceso condicional en otras plataformas: practica la creación de políticas de dispositivo, ubicación y riesgo en el laboratorio de acceso condicional de PlayCISO.

Empieza por la gestión del organizador y el tipo de acceso a la reunión

Toda llamada de Meet tiene un organizador, y el hábito más valioso que puedes crear es elegir el tipo de acceso a la reunión adecuado para el contenido sensible. Meet ofrece tres: Abierto (cualquiera con el enlace entra sin pedir permiso), De confianza (las personas de tu organización con el enlace y los invitados externos incluidos en la invitación del calendario entran directamente) y Restringido (solo entran directamente los invitados del calendario y las personas a las que un organizador invita desde dentro de la reunión; el resto debe pedir permiso). Sustituyeron al antiguo ajuste de Acceso rápido.

• Usa Restringido en las reuniones confidenciales para que cada entrada no invitada tenga que pedir permiso y ser admitida.
• Activa la gestión del organizador y nombra coorganizadores antes de que empiece la llamada, para que admitir a la gente y moderar no dependa de una sola persona si el organizador principal se desconecta.
• Recuerda que las personas incluidas en la invitación del calendario no tienen que pedir permiso para entrar; en una reunión Restringida, a cualquier otra hay que dejarla entrar de forma explícita.
• Trata cada solicitud para unirse como un punto de decisión, no como un trámite: admite solo los nombres que reconozcas y cuestiona las entradas anónimas o de «invitado».

Restringe quién puede unirse

Las solicitudes para unirse controlan la admisión en cada reunión, pero el control más fuerte es limitar quién puede siquiera optar a entrar. Google Meet y la Consola de administración de Workspace te permiten exigir que los participantes inicien sesión y, opcionalmente, que pertenezcan a tu propia organización.

• Exige que los participantes hayan iniciado sesión con una cuenta de Google para bloquear por completo las entradas anónimas y sin autenticar; además, así cada asistente queda identificado en los logs.
• En las reuniones solo internas, limita la entrada a los usuarios de tu organización para que un enlace filtrado no pueda usarlo en absoluto alguien de fuera.
• Fíjate en las etiquetas de participante externo que muestra Meet: los invitados de fuera de tu dominio aparecen señalados, y los usuarios anónimos o sin cuenta de Google se marcan de forma distinta. Enseña a los organizadores a leer esas etiquetas antes de compartir nada sensible. Lo mismo vale para los asistentes de notas con IA: un participante que ejecuta una grabadora local como Google Foresight sigue grabando a todos, así que acordad la grabación antes de que empiece la reunión.
• Fija una política de Workspace sobre si los usuarios pueden unirse a reuniones organizadas por otras organizaciones y si se puede invitar a invitados externos a las vuestras: decídelo de forma centralizada en lugar de dejarlo en manos de cada organizador.

Modera la reunión en directo

Una vez dentro, el organizador y los coorganizadores tienen un conjunto de controles de moderación que contienen el radio de impacto de un participante problemático o curioso. Son las palancas a las que recurrir en cuanto algo no cuadre.

• Cambia la reunión a Restringida cuando hayan llegado los asistentes previstos, para que cualquier otra persona que intente unirse tenga que pedir permiso y ser admitida.
• Usa los controles del organizador para decidir quién puede compartir pantalla, quién puede enviar mensajes de chat y si los asistentes pueden activar el micrófono o la cámara; limita la compartición a los organizadores en las sesiones informativas.
• Silencia a los participantes que molesten y expulsa a quien no debería estar; la expulsión puede ir acompañada de una denuncia por abuso a Google.
• Activa «Silenciar a todos» y, en las sesiones grandes, mantén las cámaras apagadas por defecto para reducir la exposición accidental de pantallas y entornos.
• Ten en cuenta el modo complementario y las salas para grupos pequeños: los ajustes de moderación deberían aplicarse también en ellas, así que confirma que los límites de compartición y de chat siguen vigentes.

Seguridad de la llamada telefónica

Unirse por teléfono es cómodo y también es la forma más fácil de que aparezca un participante sin identificar como un simple número de teléfono. Trátalo como una elección deliberada, no como algo activado siempre por defecto.

• Desactiva la participación por teléfono en las reuniones que deban seguir siendo internas o autenticadas: quien llama por la red telefónica no puede ser un usuario autenticado de Workspace.
• Si hace falta la participación por teléfono, recuerda que los participantes telefónicos solo aparecen con un número parcial; los organizadores deberían verificar quiénes son antes de seguir con una conversación sensible, y pueden silenciar o expulsar a quien llame sin identificarse.
• Controla la disponibilidad de la participación por teléfono en la Consola de administración para que no esté activada en silencio en todas las reuniones del dominio.

Controles de grabación, almacenamiento en Drive y retención

Una grabación convierte una conversación efímera en un archivo duradero, reenviable y que puede salir en un procedimiento de descubrimiento. Las grabaciones, las transcripciones y las notas generadas se guardan en el Google Drive del organizador, lo que significa que son la política de compartición y de retención de Drive, y no Meet, las que determinan quién puede acceder a ellas después.

• Restringe quién puede grabar (y quién puede iniciar transcripciones o «tomar notas por mí») desde la Consola de administración; no dejes la grabación abierta a todos los usuarios.
• Ten presente que las grabaciones acaban en el Drive del organizador (en una carpeta Meet Recordings) y heredan la compartición de esa cuenta: audita esas carpetas y evita el acceso amplio de «cualquier persona con el enlace».
• Aplica la retención de Google Vault y, cuando haga falta, conservaciones a las grabaciones y al chat de Meet para que se guarden o se eliminen conforme a la política en lugar de quedarse para siempre por accidente.
• Meet avisa a los participantes de que se está grabando, pero aun así deberías fijar en la política cuándo está permitido grabar y cómo se protege el archivo.

Controles de administración a nivel de Workspace

La higiene por reunión solo escala si la Consola de administración convierte la configuración segura en la predeterminada. Aquí es donde un CISO obtiene palanca sobre miles de reuniones a la vez.

• Usa el acceso adaptado al contexto para condicionar Meet (y el resto de Workspace) a requisitos como un dispositivo corporativo, un navegador gestionado, un rango de IP o la ubicación geográfica, para que las credenciales por sí solas no basten desde un endpoint no gestionado.
• Aplica la gestión de dispositivos y las políticas de dispositivos a las cuentas que se unen a reuniones sensibles: bloqueo de pantalla, cifrado, versión mínima del sistema operativo y la posibilidad de borrado remoto.
• Fija valores predeterminados por unidad organizativa para el tipo de acceso a las reuniones, la participación externa, la grabación y la participación por teléfono, para que los grupos de alta sensibilidad estén blindados sin depender de cada organizador.
• Activa la verificación de endpoints para tener un inventario de los dispositivos que acceden a Workspace y poder usar esa señal en las reglas de acceso adaptado al contexto.

Identidad: verificación en dos pasos, llaves resistentes al phishing y auditoría

Todos los controles de Meet dan por supuesto que la cuenta que se une pertenece de verdad a su titular. Refuerza primero esa suposición.

• Exige la verificación en dos pasos (2SV/MFA) a todos los usuarios y, para administradores y directivos, llaves de seguridad o passkeys resistentes al phishing en lugar de SMS o códigos de un solo uso.
• Inscribe las cuentas privilegiadas en el Programa de Protección Avanzada cuando esté justificado: impone llaves de hardware y comprobaciones más estrictas.
• Revisa los registros de auditoría de Meet en la Consola de administración: quién organizó, quién se unió (incluidos los participantes externos y telefónicos), la duración de la reunión y los endpoints de dispositivo y de red; envíalos a tu SIEM para generar alertas.
• Correlaciona los logs de Meet con los logs de inicio de sesión y de acceso a Drive para que una entrada extraña y una descarga posterior de la grabación aparezcan como una sola historia, no como tres.

Checklist práctico

• Usa el tipo de acceso Restringido en las reuniones confidenciales para que cada entrada no invitada tenga que pedir ser admitida.
• Exige que los asistentes hayan iniciado sesión; limita las reuniones internas a usuarios de la misma organización.
• Enseña a los organizadores a leer las etiquetas de participante externo antes de compartir contenido sensible.
• Asigna coorganizadores y usa los controles del organizador para limitar la compartición de pantalla y el chat a los organizadores en las sesiones informativas.
• Bloquea la reunión cuando se hayan unido todas las personas previstas.
• Desactiva la participación por teléfono salvo que sea explícitamente necesaria, y verifica a cualquiera que llame.
• Limita quién puede grabar; audita la compartición de la carpeta Meet Recordings de Drive del organizador.
• Aplica la retención y las conservaciones de Vault a las grabaciones, las transcripciones y el chat.
• Despliega el acceso adaptado al contexto y las políticas de dispositivos para que los endpoints no gestionados no puedan unirse a reuniones sensibles.
• Activa la verificación de endpoints y mantén un inventario de dispositivos gestionados.
• Impón la verificación en dos pasos en todas partes y llaves o passkeys resistentes al phishing para administradores y directivos.
• Envía los registros de auditoría de Meet a tu SIEM y revisa con regularidad las entradas externas y telefónicas.