Los centros de datos, como aquellos espacios que almacenan los servidores que acogen la infraestructura de internet, han adquirido un papel crítico en la economía digital y su relevancia no hace más que crecer, porque puede que la demanda global de su capacidad se triplique para 2030. Pero a medida que aumenta la demanda de estos activos, se multiplican también los riesgos y, por tanto, la necesidad de protegerlos. 

La expansión de los centros de datos tiene una de sus principales palancas en el desarrollo de la inteligencia artificial, que podría hacer que el gasto global en centros de datos alcanzase los 7 billones de dólares para 2030, según las proyecciones de McKinsey. No obstante, encuentra otros factores de impulso en la mejora de la conectividad o el progreso del edge computing. 

Toda esta creciente digitalización de la vida y la construcción de infraestructuras cada vez más complejas y apoyadas en una mayor diversidad de tecnologías obligan a dejar de ver la seguridad como una suma de herramientas y sistemas independientes. El contexto actual exige trabajar la resiliencia abordando de manera conjunta las amenazas físicas, digitales, operativas y ambientales.

Durante mucho tiempo el mercado ha tendido a prestar más atención a la ciberseguridad por el temor a lo desconocido y los riesgos asociados a la información digital, pero lo cierto es que si la cuestión física no está bien blindada, de nada serviría contar con el mejor firewall del mundo porque todo quedaría expuesto.

Y en cuanto a la seguridad física, la conversación se ha centrado en cuestiones como el consumo energético, la refrigeración o la conectividad. Pero a medida que el mercado se adentra en una era nueva y más exigente el enfoque se está desplazando hacia una resiliencia holística y, por tanto, la capacidad de anticipar, resistir, adaptarse y recuperarse rápidamente tras cualquier interrupción o incidente, ya sean digitales o físicos.

Además, la protección y la seguridad son ya también cuestiones de cumplimiento obligatorio, impuestas por normativas internacionales. Por ejemplo la Directiva NIS2 (Seguridad de las Redes y de la Información) exige, entre otras cosas, medidas de gestión de riesgos de ciberseguridad más estrictas, protocolos robustos de notificación de incidentes y una seguridad reforzada en toda la cadena de
suministro. 

Por su parte, la Directiva CER (Resiliencia de las Entidades Críticas) exige a las
entidades críticas, que incluye a los centros de datos, a reforzar su resiliencia frente a todo tipo de amenazas, desde desastres naturales, ataques terroristas, sabotajes cibernéticos o emergencias de salud pública. El objetivo es prevenir cualquier interrupción que pueda desembocar en tiempos de inactividad significativos y, en consecuencia, afectar a servicios críticos o a operaciones comerciales provocando pérdidas financieras. 

Los riesgos de los centros de datos y cómo mitigarlos

En lo que respecta a la seguridad de los centros de datos, y como ocurre también en otros ámbitos, el exceso de confianza suele ser el error más habitual. Pensar que no va a ocurrir nada porque ya se instalaron buenos sistemas es una trampa. Según advierten desde la empresa de hosting y dominios Dinahosting, todas las medidas y soluciones, por muy buenas que sean, deben estar sometidas a auditorías y pruebas de estrés continuas. 

“Si no las pones a prueba, no tardan en aparecer puntos ciegos en las cámaras, accesos no autorizados en los que nadie había pensado o protocolos mal definidos, como qué pasa con los controles de acceso cuando se desata una emergencia real”, explica Miguel Alayón, Responsable de los Centros de Datos de Dinahosting, en declaraciones a Reason.Why “Otro fallo bastante típico es centrarse solo en blindar las salas interiores y dejar un poco de lado la seguridad perimetral exterior, un descuido que muchas veces viene provocado por la falta de personal suficiente para vigilar los accesos y las rondas”.

Y es que los centros de datos pueden verse expuestos a una amplia variedad de riesgos: 

• Riesgos de seguridad física, como incendios, daños por agua, intrusiones o daños intencionados, cortocircuitos eléctricos, fallos en baterías de litio, etc.
• Riesgos de ciberseguridad, que incluyen todos aquellos actos que amenazan la confidencialidad, integridad y disponibilidad de grandes volúmenes de información, como ataques terroristas
• Riesgos de seguridad y salud laboral, que implica, por un lado, errores humanos, y por otro, posibles riesgos para los profesionales de las instalaciones, como peligros eléctricos, de incendio y ruido, problemas ergonómicos, exposición a productos químicos, resbalones y caídas, etc.
• Riesgos ambientales, que incluyen desastres naturales, temperaturas y humedad extremas, daños por agua, mala calidad del aire, fauna,
  vegetación o las inclemencias derivadas del cambio climático

Un enfoque holístico de la seguridad física

La creciente diversidad de elementos que pueden afectar a la integridad de los centros de datos exige la adopción de un enfoque holístico que integra a personas, procesos y tecnología y se apoye en una estrategia proactiva. De esta forma, la seguridad física podrá convertirse en un activo y en una ventaja competitiva con ramificaciones positivas tanto en la marca como en el negocio. 

Los expertos recomiendan, en primer lugar, respaldar los sistemas con certificaciones y estándares oficiales y reconocidos, como el Esquema Nacional de Seguridad (ENS), Tier, la ISO 27001 o normativas como NIS2, ya que obligan a los centros de datos a pasar revisiones periódicas estrictas y dan a las empresas la certeza de que sus infraestructuras cumplen con las mejores prácticas del sector.

En segundo lugar, sugieren prestar especial atención a los accesos. Además de evitar la entrada de intrusos, el foco ha de estar puesto en una gestión adecuada de los permisos, que en muchas ocasiones plantean los mayores riesgos. Desde Dinahosting apuntan a la aplicación de una política estricta de mínimo privilegio, es decir, que cada empleado o técnico tenga acceso exclusivamente a lo que necesita para su trabajo y a nada más. En esta misma línea, destacan la importancia de la pulcritud en los procesos internos para que no haya fallos o retrasos, por ejemplo, a la hora de retirar tarjetas, llaves y permisos cuando un trabajador es despedido, cambia de puesto o está de baja.

Por otro lado, desde Axis Communications, empresa especializada en seguridad para empresas, proponen en su informe “Repensar la seguridad física en la era de los centros de datos”, un enfoque multicapa; es decir, abordar las medidas de seguridad atendiendo a los riesgos que pueden experimentar cada parte y elementos que integran un centro de datos. Así, dividen las intervenciones en las siguientes capas: 

Perímetro y áreas externas

En esta zona podrían verse afectados el perímetro, los accesos a los edificios, las zonas de tráfico o aparcamientos

• Riesgos: intrusiones o accesos no autorizados, vulnerabilidades en los muelles de carga y entrega, robos de vehículos, monitorización de rutinas de empleados, vigilancia visual, ataques basados en correo físico, mapeo de infraestructura, etc.
• Soluciones: se pueden implementar cámaras de video y cámaras térmicas, radares para detectar el movimiento y clasificar objetos, soluciones de control de acceso para personal y vehículos autorizados o líneas de comunicación directa con conductores

Instalaciones

En esta zona podrían verse afectados los generadores de energía, los sistemas de climatización o de refrigeración.

• Riesgos: sabotaje, vandalismo, robo de combustibles o componentes, manipulación mediante acceso no autorizado, combustible contaminado deliberadamente, ataques cibernéticos, bloqueos de flujos de aire, manipulación de controladores, etc
• Soluciones: medidas como el control de acceso a personal autorizado, las cámaras térmicas, la revisión periódica de componentes y los controles de calidad, o los intercomunicadores aplican en esta zona.

Noticias Relacionadas

Diez claves legales y éticas para usar la IA en marketing sin perder el control

La Directiva NIS2: qué es, a qué empresas afecta y cómo adaptarse

Edificios

Las entradas, las azoteas, la recepción y las oficina, las salas de seguridad o los aires acondicionados pueden ser objeto de ataques o amenazas

• Riesgos: el seguimiento a empleados (tailgating), entrada forzada, robo o clonación de credenciales, errores humanos, daño de componentes, hurto o sabotaje de documentos, manipulación de software o hardware, acceso a datos e información, etc.
• Soluciones: las medidas que se pueden implementar son soluciones de vigilancia y seguridad, tanto humana como material; controles de acceso, tanto físicos como electrónicos; o sistemas de monitorización de los dispositivos y herramientas digitales.

Salas de servidores

En este nivel lo que podría verse afectados son las salas de servidores y salas de red. 

• Riesgos: acceso no autorizado, fallos en la climatización eléctrica, en la prevención de incendios o en el suministro energético, sobrecalentamientos, daños por agua, o robo y sabotaje de componentes, etc.
• Soluciones: de nuevo, se pueden implementar controles de acceso, sistemas de alertas en caso de intrusión, videovigilancia, sistemas alternativos y redundantes para el suministro eléctrico y prevención de datos, instalación de cortafuegos (firewalls), segmentación de redes o encriptación de datos, etc.

Mitigar los riesgos garantiza la fiabilidad, la seguridad y eficiencia de la actividad y en última instancia protege los servicios y los negocios. Y también impulsa la marca. “La seguridad física se ha convertido en una ventaja competitiva brutal”, asegura Miguel Alayón (Dinahosting). "La imagen y la reputación de un centro de datos se dispara cuanta más seguridad demuestra tener, porque hoy las empresas no solo buscan potencia o conectividad, buscan la total tranquilidad de que sus datos están bajo llave”.