Permisos solicitados de Human Security

Stoïk Human Security protege a tu equipo contra el phishing, el fraude y el compromiso de cuentas. Para detener amenazas reales y no solo marcarlas, Stoïk necesita un conjunto definido de permisos en tu Microsoft 365 o Google Workspace.

Las listas de permisos pueden parecer intimidantes, así que esta página explica cada permiso que solicitamos y exactamente qué hace.

Nuestros principios

• Mínimo privilegio: solicitamos solo lo que necesita una función.

• Vinculado a un propósito: cada permiso se corresponde con una acción específica, que se indica a continuación.

• Leer primero, actuar de forma limitada: la mayor parte del acceso es de solo lectura; la escritura se limita a acciones de protección.

• Tus datos siguen siendo tuyos: nunca se venden, nunca se usan más allá del servicio que activaste.

• Revocable en cualquier momento: revoca el acceso desde tu consola de administración cuando quieras.

Cómo se estructura el acceso

Human Security se construye a partir de tres bloques de acceso. Cada función usa solo los bloques que necesita, así que solo otorgas lo que activas.

Los bloques de construcción

1. Acceso al directorio del equipo Acceso de solo lectura a la lista y los grupos de tus empleados, para que Stoïk sepa a quién proteger, simular y entrenar. Sin acceso al buzón.

2. Protección del buzón Acceso seguro al buzón para entregar simulaciones de phishing, revisar correos reportados y actuar sobre amenazas confirmadas.

3. El botón Reportar Un complemento ligero que los empleados instalan para marcar correos sospechosos con un clic. Sin acceso al buzón.

Qué requiere cada función

Función	Acceso al directorio del equipo	Protección del buzón	El botón Reportar
Simulación	✓	✓	✗
Aprendizaje	✓	✗	✗
Reportar	✓	✓	✓

Solo otorgas lo que usas. El aprendizaje necesita acceso de solo lectura al directorio y nada más. Solo Reportar también requiere el complemento que instalan los empleados.

1. Acceso al directorio del equipo

Acceso de solo lectura a la lista y los grupos de tus empleados, para que Stoïk sepa a quién proteger, simular y entrenar. Sin acceso al buzón.

Microsoft 365

Permiso	Para qué sirve
User.Read.All	Leer usuarios para crear y actualizar tu lista de empleados (nombres, correos electrónicos, números de teléfono).
Group.Read.All	Leer grupos para poder dirigirte a los empleados y organizarlos por equipo.
UserAuthenticationMethod.Read.All	Leer los métodos de autenticación (MFA) de los empleados.

Google Workspace

Permiso	Para qué sirve
admin.directory.user.readonly	Leer usuarios del directorio para crear y actualizar tu lista de empleados.
admin.directory.group.readonly	Leer grupos para poder dirigirte a los empleados y organizarlos por equipo.
userinfo.email	Identificar al administrador que concede el acceso.

2. Protección del buzón

Acceso seguro al buzón para entregar simulaciones de phishing, revisar correos reportados y actuar sobre amenazas confirmadas.

Estos impulsan tres capacidades de Human Security: entregar simulaciones de phishing, leer y analizar correos reportados y actuar sobre amenazas confirmadas. Los otorgas cuando conectas tu espacio de trabajo para Simulación o Reportar.

Microsoft 365

Permiso	Para qué sirve
User.Read.All	Encontrar usuarios y asociar direcciones de correo con buzones.
Mail.ReadWrite	Entregar simulaciones de phishing (insertar, leer, limpiar), leer correos reportados y, pronto, actuar sobre una amenaza confirmada: añadir o quitar un banner de advertencia, o mover el correo hacia o desde una carpeta de cuarentena.
SecurityAnalyzedMessage.Read.All	Recuperar los detalles de detección de un correo reportado para que podamos decirle a tu responsable de TI si es una amenaza real (phishing o fraude).
AuditLog.Read.All · AuditLogsQuery.Read.All · ActivityFeed.Read	Detectar actividad maliciosa y confirmar si un correo reportado es una amenaza real o condujo a un compromiso.
MailboxSettings.Read	Detectar reglas maliciosas del buzón, una señal común de que un correo llevó a la toma de control de la cuenta.
UserAuthenticationMethod.Read.All	Detectar manipulaciones de los métodos MFA de un usuario y mostrar el estado de MFA.
Policy.Read.ConditionalAccess	Incorporar la postura de protección de la cuenta en la evaluación de la amenaza.
Application.Read.All	Detectar aplicaciones maliciosas de terceros conectadas a una cuenta.
Reports.Read.All	Comprender el volumen y los patrones de correo, usados para sugerir los mejores objetivos para simulaciones de fraude de pagos (los empleados que reciben más facturas son los objetivos más realistas).

Google Workspace

Permiso	Para qué sirve
gmail.insert	Insertar correos de simulación de phishing en los buzones.
gmail.metadata	Leer encabezados e IDs de mensajes para verificar y hacer seguimiento de las simulaciones.
gmail.modify	Mover a la papelera los correos de verificación de la configuración de la simulación y, pronto, actuar sobre una amenaza confirmada (banner de advertencia, cuarentena).
gmail.readonly	Leer el contenido de los correos reportados para su revisión y analizar los correos reales de facturas o pagos que reciben los empleados para crear simulaciones realistas de fraude de pagos y elegir los mejores objetivos.
gmail.settings.basic	Configurar la lista de permitidos para que las simulaciones lleguen de forma fiable a la bandeja de entrada.
admin.directory.user.readonly	Asociar los destinatarios con los usuarios del directorio.
admin.reports.audit.readonly	Detectar actividad sospechosa para confirmar si un correo reportado es una amenaza real e identificar quién recibe más facturas para orientar el fraude de pagos.
apps.alerts	Mostrar alertas de seguridad relacionadas de Google Workspace al analizar una amenaza.
admin.directory.customer.readonly	Leer los detalles de la organización necesarios para configurar la protección.
gmail.settings.sharing	Leer los delegados del buzón, para detectar accesos concedidos por una cuenta comprometida.
admin.directory.device.mobile.readonly	Leer los dispositivos móviles registrados en una cuenta, para detectar el dispositivo de un atacante.

Cómo los correos reportados se convierten en un veredicto claro. Cuando un empleado reporta un correo, Stoïk analiza el mensaje y las señales del entorno de la cuenta y del tenant para decidir si es phishing o fraude real, de modo que tu responsable de TI reciba un resultado fiable verdadero / falso positivo y pueda actuar directamente sobre él.

3. El botón Reportar

Un complemento ligero que los empleados instalan para marcar correos sospechosos con un clic. Sin acceso al buzón.

Esto es lo que instalan tus empleados en su buzón. Es intencionadamente ligero: no concede a Stoïk ningún acceso API a tus buzones.

Complemento de Outlook

Permiso	Para qué sirve
ReadWriteMailbox	Acceder al correo que se está reportando y, solo si el usuario lo elige, moverlo a Correo no deseado o Elementos eliminados.
Report.Phishing	Iniciar sesión en la API de informes de Stoïk para enviar el reporte.

Extensión de Gmail (Chrome / Edge)

Permiso	Para qué sirve
identidad	Abre el inicio de sesión de Google para confirmar qué usuario está reportando.
almacenamiento	Almacena temporalmente en caché el token de inicio de sesión y recuerda el correo de la cuenta, para evitar solicitudes repetidas de inicio de sesión.
mail.google.com (acceso al sitio)	Añade el Reportar a Stoïk botón en Gmail, identifica el mensaje y la cuenta abiertos, y usa los propios controles de Gmail para la acción resultante. Esto es acceso a la página del navegador, no un ámbito OAuth de la API de Gmail.
accounts.google.com (acceso al sitio)	Admite el inicio de sesión de Google.
*.phishing.cyber.stoik.io (acceso al sitio)	Envía el informe a la API de Stoïk.
Ámbitos de inicio de sesión: openid, email	Inicia sesión al usuario y lo identifica por su correo electrónico.

La extensión de Gmail no solicita ningún ámbito OAuth de buzón. El inicio de sesión se limita a tu identidad (openid + email). El acceso al sitio permite que la extensión actúe sobre la página de Gmail que tienes abierta; no es un acceso permanente del lado del servidor a tu bandeja de entrada.

Preguntas frecuentes

¿Leen todos nuestros correos? No. Entregamos correos de simulación y leemos los mensajes específicos que reportan tus empleados. Cualquier análisis continuo se ejecuta solo para detectar amenazas, y solo para las capacidades que activas.

¿Podemos conceder solo algunas capacidades? Sí. Los permisos están agrupados por capacidad. Si no activas una capacidad, no concedes sus permisos.

¿Podemos revocar el acceso más adelante? Sí, en cualquier momento, desde tu consola de administración de Microsoft 365 o Google Workspace. Revocar el acceso detiene la capacidad correspondiente.

¿Por qué algunos permisos permiten escribir y no solo leer? Proteger a tu equipo requiere actuar sobre las amenazas, no solo verlas: entregar una simulación, mover un correo reportado o poner en cuarentena un ataque confirmado. El acceso de escritura se limita a estas acciones.