La seguridad del data center no puede depender de una cámara, una tarjeta de acceso o un guardia. Por el contrario, requiere varios controles coordinados. Cada uno debe prevenir, detectar, retrasar o contener un intento de acceso no autorizado.
Un centro de datos concentra servidores, redes, almacenamiento y sistemas esenciales. Además, aloja información y procesos que sostienen la operación de sus clientes. Por ello, una intrusión física puede afectar la confidencialidad, integridad y disponibilidad de múltiples servicios.
Aunque la ciberseguridad recibe gran atención, el acceso físico conserva la misma importancia. Después de todo, una persona frente a un servidor puede intentar desconectarlo, alterarlo o retirar componentes. También podría conectar dispositivos no autorizados.
Por esta razón, los data centers en México necesitan implementar una estrategia de protección por capas. El objetivo consiste en reducir el riesgo desde el perímetro del inmueble hasta el acceso individual a cada rack.
¿Qué significa proteger un data center por capas?
La protección por capas, también conocida como defensa en profundidad, utiliza controles sucesivos e interdependientes. Por lo tanto, si una barrera falla, las siguientes continúan protegiendo el activo.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, CISA, explica que este enfoque puede integrar barreras físicas, vigilancia, personal de seguridad y controles de acceso. En conjunto, estos elementos permiten disuadir, detectar, retrasar y responder ante accesos no autorizados.
Sin embargo, instalar varias tecnologías no garantiza una protección efectiva. Los controles deben responder a una evaluación de riesgos. Asimismo, necesitan operar bajo políticas claras, procedimientos documentados y responsabilidades definidas.
Una arquitectura madura establece diferentes zonas. A medida que una persona avanza, los requisitos de autorización aumentan. De este modo, ingresar al estacionamiento no concede acceso al edificio. A su vez, entrar al edificio no permite llegar a las salas técnicas.
Finalmente, acceder a una sala tampoco debería autorizar la apertura de cualquier rack.
Primera capa: protección del perímetro
El perímetro representa el primer punto de control. Su función principal consiste en reducir la aproximación no autorizada y dirigir el tránsito hacia accesos supervisados.
Dependiendo de la ubicación y del análisis de riesgos, esta capa puede incluir:
- Bardas o cercas perimetrales.
- Bolardos y barreras vehiculares.
- Iluminación exterior.
- Cámaras con cobertura de puntos críticos.
- Sensores de intrusión.
- Vigilancia y rondines.
- Control de estacionamientos.
- Separación entre accesos peatonales y vehiculares.
No obstante, estos elementos deben formar un sistema. Por ejemplo, una cámara pierde eficacia si la iluminación no permite identificar un rostro. De igual forma, una alarma aporta poco valor cuando no existe un procedimiento de respuesta.
Además, el perímetro debe evitar puntos ciegos. Para lograrlo, el equipo necesita revisar la ubicación de equipos, vegetación, accesos de servicio y zonas de carga. Estas áreas suelen recibir proveedores y materiales. Por consiguiente, requieren controles específicos.
Segunda capa: identificación antes del ingreso
La recepción constituye una frontera de seguridad, no solo un punto administrativo. Por ello, el personal debe confirmar quién solicita acceso, cuál es el motivo y quién autorizó la visita.
Un proceso adecuado debe responder cuatro preguntas:
- ¿Quién es la persona?
- ¿Tiene autorización vigente?
- ¿A qué zona necesita ingresar?
- ¿Durante cuánto tiempo requiere el acceso?
La identificación puede apoyarse en documentos oficiales, credenciales corporativas o registros previos. Sin embargo, presentar una identificación no demuestra por sí mismo que la persona tenga autorización.
Por esa razón, el sistema debe relacionar identidad, permiso, horario y área autorizada. Además, necesita registrar entradas, salidas, intentos rechazados y cambios de privilegios.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos define un sistema de control de acceso físico como una solución electrónica que controla la entrada de personas o vehículos mediante autenticación y autorización.
Esta distinción es esencial. Primero, el sistema comprueba la identidad. Después, determina si esa identidad puede acceder a un espacio específico.
Tercera capa: esclusas y prevención del acceso simultáneo
Una puerta controlada puede perder efectividad cuando una persona autorizada permite que otra pase detrás de ella. Esta práctica se conoce como tailgating. También puede ocurrir sin intención, especialmente en horarios de alta actividad.
Para reducir ese riesgo, algunos centros de datos utilizan esclusas de seguridad. Estos espacios cuentan con dos puertas coordinadas. Por lo general, la segunda no abre hasta que la primera se cierra y el sistema valida al ocupante.
Además, la esclusa puede integrar sensores, cámaras, intercomunicación y métodos adicionales de autenticación. De este modo, el centro de datos limita el paso simultáneo y conserva evidencia del evento.
Sin embargo, una esclusa no sustituye los procedimientos. El personal debe saber cómo actuar ante una validación fallida, una emergencia o un intento de ingreso acompañado.
Biometría dentro de la seguridad del data center
La biometría puede fortalecer la seguridad del data center porque vincula el acceso con una característica de la persona. Entre las alternativas se encuentran la huella digital, el rostro y el iris.
No obstante, la biometría no debe considerarse infalible. Su efectividad depende de la tecnología, la configuración, el entorno y los procedimientos de alta y baja de usuarios.
Por ello, conviene combinar diferentes factores:
- Algo que la persona tiene, como una tarjeta.
- Algo que la persona sabe, como un código.
- Algo que la persona es, como un rasgo biométrico.
Este enfoque incrementa la certeza de la autenticación. Asimismo, dificulta que una credencial extraviada permita el acceso por sí sola.
La información de ISO sobre control de acceso destaca la necesidad de comprobar tanto la identidad como el derecho para acceder. Por lo tanto, el sistema no solo debe reconocer a la persona. También debe confirmar que conserva un permiso válido.
Cuarta capa: segmentación de las áreas internas
Después del ingreso, el edificio debe mantener una división clara de zonas. No todos los colaboradores, clientes, técnicos o proveedores necesitan acceder a los mismos espacios.
Una clasificación básica puede separar:
- Áreas públicas o de recepción.
- Oficinas administrativas.
- Centro de operaciones.
- Cuartos eléctricos.
- Áreas de climatización.
- Salas de telecomunicaciones.
- Piso blanco o sala de datos.
- Zonas de almacenamiento.
- Áreas de carga y descarga.
Cada zona requiere permisos acordes con la función de la persona. Por ejemplo, un proveedor de climatización puede necesitar acceso a equipos mecánicos. Sin embargo, eso no justifica su entrada al piso blanco.
Este principio se conoce como mínimo privilegio. En consecuencia, cada persona recibe únicamente el acceso necesario y durante el tiempo requerido.
Además, los permisos temporales deben vencer de forma automática. Así se evita que una autorización asociada con una visita o mantenimiento permanezca activa después de concluir el trabajo.
Quinta capa: control de salas, pasillos y racks
El acceso al piso blanco representa un nivel elevado de autorización. Aun así, no debería conceder acceso ilimitado a toda la infraestructura.
Los entornos de colocación necesitan separar los equipos de diferentes clientes. Para ello, pueden utilizar jaulas, pasillos controlados, gabinetes cerrados y cerraduras con registros electrónicos.
La protección debe llegar hasta el rack porque allí reside el activo final. Por tanto, conviene registrar quién abrió el gabinete, cuándo lo hizo y cuánto tiempo permaneció abierto.
Asimismo, el centro de datos debe controlar llaves físicas, tarjetas maestras y credenciales de emergencia. Si estos elementos no cuentan con inventario y trazabilidad, pueden convertirse en una vulnerabilidad.
La norma ISO/IEC 22237-6:2024 establece requisitos y recomendaciones para los sistemas de seguridad física de centros de datos. Entre otros riesgos, considera el acceso no autorizado y la intrusión.
En consecuencia, la seguridad del data center debe aplicarse a los espacios, sistemas y procedimientos. No basta con proteger la puerta principal.
Videovigilancia y trazabilidad de eventos
Las cámaras cumplen varias funciones. Primero, pueden disuadir conductas no autorizadas. Además, permiten verificar alarmas y reconstruir acontecimientos.
Sin embargo, grabar video no equivale a vigilar. Una estrategia efectiva debe definir:
- Qué áreas necesitan cobertura.
- Quién supervisa los eventos.
- Cuánto tiempo se conserva la evidencia.
- Quién puede consultar o exportar grabaciones.
- Cómo se sincroniza el tiempo entre sistemas.
- Qué sucede cuando una cámara deja de operar.
La sincronización resulta especialmente importante. Si los controles de acceso, alarmas y cámaras utilizan horarios diferentes, investigar un incidente será más difícil.
Por ello, los eventos deben relacionarse. Cuando alguien presenta una credencial, el sistema debería permitir consultar el registro, la puerta, la cámara y el resultado de la autenticación.
De este modo, la trazabilidad se convierte en evidencia verificable.
Gestión de visitantes, técnicos y proveedores
Los visitantes representan una necesidad operativa. Sin embargo, su acceso requiere una gestión diferente a la del personal permanente.
Primero, un responsable interno debe autorizar la visita. Después, el centro de datos debe verificar la identidad, entregar una credencial temporal y limitar las zonas permitidas.
Además, la política debe definir cuándo se necesita acompañamiento. Un visitante no debería desplazarse libremente por espacios que no forman parte de su actividad.
En el caso de proveedores, también conviene registrar herramientas, equipos y componentes. Así, el personal puede verificar lo que ingresa y lo que sale.
Finalmente, la credencial temporal debe devolverse o desactivarse. Este paso parece sencillo, pero resulta indispensable para cerrar el ciclo de acceso.
Integrar la seguridad física y la seguridad lógica
La separación entre seguridad física y ciberseguridad genera puntos ciegos. Por ejemplo, el área física puede desactivar una credencial de edificio, mientras una cuenta informática permanece vigente.
Para evitarlo, ambas funciones deben compartir procesos. La contratación, el cambio de puesto y la baja de una persona deberían actualizar tanto sus permisos físicos como sus accesos digitales.
El NIST SP 1800-2 presenta un enfoque que integra la gestión de identidad con los sistemas de acceso físico y las plataformas de tecnología. Aunque el documento se enfoca en infraestructura energética, el principio resulta relevante para cualquier instalación crítica.
Por lo tanto, una identidad debe administrarse durante todo su ciclo de vida. Además, cada modificación necesita autorización y evidencia.
Esta integración también mejora la detección. Si una cuenta se utiliza desde un sistema, pero su propietario no ingresó físicamente al sitio, el evento merece revisión.
Cómo evaluar la seguridad del data center
Antes de contratar un servicio, la organización debe solicitar evidencia. Una presentación comercial o una lista de tecnologías no demuestra que los controles funcionen.
Por ello, conviene revisar:
- La cantidad y función de las capas de acceso.
- Los métodos de autenticación utilizados.
- La segmentación de áreas internas.
- La gestión de visitantes y proveedores.
- La protección individual de racks o jaulas.
- La cobertura y operación de videovigilancia.
- La conservación de registros.
- Los procedimientos ante credenciales perdidas.
- La baja de permisos físicos y lógicos.
- Las auditorías y pruebas periódicas.
- La respuesta ante intrusiones o accesos rechazados.
- La documentación de excepciones.
También resulta importante conocer quién puede autorizar accesos de emergencia. Asimismo, la organización debe verificar si esas excepciones quedan registradas y se revisan posteriormente.
Una política que nadie prueba puede fallar durante un incidente. Por esta razón, el data center necesita realizar simulacros, inspecciones y revisiones de permisos.
La seguridad debe demostrarse, no suponerse
La seguridad del data center depende de controles físicos, tecnología y personas. No obstante, su madurez se demuestra mediante procedimientos, registros y capacidad de respuesta.
Una cámara puede detectar un evento. Por su parte, las credenciales permiten restringir el acceso. Además, una esclusa puede retrasar un intento de ingreso no autorizado.
Por ello, la defensa debe comenzar en el perímetro y terminar en el rack. Además, necesita cubrir el ciclo completo de cada identidad, desde la autorización inicial hasta la revocación del permiso.
Finalmente, los responsables de infraestructura deben evaluar resultados, no únicamente componentes. La pregunta correcta no es cuántos sistemas de seguridad existen. La pregunta es si pueden prevenir, detectar, contener y documentar un acceso no autorizado.
En DC Platforms diseñamos soluciones para fortalecer la operación, el control y la seguridad de los data centers. Conoce nuestros servicios o contacta a nuestro equipo para desarrollar una estrategia alineada con las necesidades de tu infraestructura.
