La Seguridad Física Informática es el primer requisito para que un sistema sea seguro.
De nada nos sirve tener las mejores herramientas de seguridad, los usuarios más concienciados y formados en ciberseguridad y las aplicaciones más seguras si un intruso puede llegar a nuestros servidores y manipularlos. La seguridad física es fundamental y previa a la seguridad lógica.
Índice
Seguridad física y lógica de un sistema de información
La seguridad informática relativa a la seguridad física es relativa los equipos (Hardware) los servidores, lo puestos de trabajo, electrónica de red, etc., frente a la seguridad lógica que es la seguridad en a los procesos y aplicaciones.
Nuestros equipos son fundamentales para el funcionamiento de nuestra organización. Debemos de proteger las salas donde ubicamos nuestros servidores, tener claro que técnicos pueden acceder a ellas, y garantizar el funcionamiento en caso de corte de suministro eléctrico, inundación, incendio, etc.
Con la seguridad lógica nos permite que los procesos y aplicaciones funcionen de manera segura. Las aplicaciones no tengan vulnerabilidades, los sistemas operativos tengan instalados sus parches, los usuarios se autentiquen correctamente y usen las aplicaciones de manera correcta.
El Centro de Proceso de Datos (CPD)
El CPD o Centro de Proceso de Datos es una sala donde se agrupan los servidores. Esta sala también se conoce como DATACENTER, Centro de Cálculo, On Premise, el objetivo de estas salas es por un lado la seguridad, ya que al estar todas los servidores y equipos de comunicaciones juntos, podemos protegerlos con más facilidad que si están repartidos por todo un edificio.
¿Está bien ubicado el CPD en el sótano?
Es increíble la cantidad de CPDs que se ubican en el sótano, pero esa es una decisión incorrecta, ya que si hay una inundación, hay más probabilidades de que afecte a nuestros servidores.
Debemos elegir una sala en las primeras plantas de un edificio, ya que los sótanos son los más afectados por una inundación, y las plantas bajas tienen más riesgo de intrusión. Las plantas más altas, si hay un incendio, se propagará hacia arriba y nos afectará.
La sala de estar aislada, ya que hay equipos electrónicos sensibles a la temperatura, humedad e interferencias, además debe tener aislamiento acústico ya que los servidores, tienen ventiladores, alarmas, que pueden molestar a los trabajadores de salas contiguas.
La ventilación es otro punto fundamental, no nos interesa que el calor que produzca una máquina sea absorbido por otra pudiendo provocar el fallo de esta. Hay dos configuraciones:
a) Pasillo caliente.
En este caso los equipos se organizan formando un pasillo y los ventiladores expulsan el aire caliente hacia el pasillo. El sistema de aire acondicionado suministra aire frío por las paredes y lo recoge caliente por el centro del pasillo.
b) Pasillo caliente, en este caso el aire frío se suministra al centro del pasillo a través de un falso suelo y se retira el caliente por las paredes.
El suministro eléctrico es otro aspecto fundamental, debe de haber un circuito especializado para el suministro en los equipos del CPD, de forma que si hay un fallo con una nevera en el office de en la planta 4 no afecte a los servidores.
Hay edificios que tienen generadores eléctricos, para que en caso de fallo del suministro eléctrico producir electricidad consumiendo combustible. En el caso de que la actividad de nuestra organización no pueda detenerse por un fallo eléctrico, por ejemplo un hospital, debemos de contar con generadores.
Comunicaciones, nuestra sala tiene servidores que necesitan comunicarse con el exterior, debemos de contar con al menos dos operadores distintos para que en el caso de que falle un operador, poder seguir manteniendo las comunicaciones usando el segundo.
En cuanto al control de acceso al CPD. El CPD es una sala a la que deben de acceder un grupo muy reducido de técnicos, por lo que el acceso a la misma ha de estar muy controlado.
Debemos de controlar, que personas hemos autorizado a entrar en el CPD, llevar un registro de entradas y salidas de este personal en el CPD, y llevar un registro de entradas y salidas de equipos, cintas, etc. en el CPD. Para ello podemos contar con vigilantes de seguridad, cámaras de acceso y alarmas de presencia.
El Centro de Respaldo
A pesar de las medidas de protección de nuestro CPD, puede que ocurra un auténtico desastre, un terremoto, una avería importante, un sabotaje.
Debemos de contar con otro CPD para estos casos y que este segundo CPD (Centro de Respaldo) permita a nuestra organización seguir funcionando.
El Centro de Respaldo o de Backup, tiene una copia de la información esencial de nuestra organización y una copia de las aplicaciones que usamos, de manera que cuando se produce el fallo en el Centro Principal se conmuta al de respaldo.
El Centro de Respaldo no tiene porqué ser igual el capacidad al de Proceso, tiene que tener la capacidad suficiente que nos permita subsistir mientras vuelve a operación el Centro Principal.
Dos configuraciones principales:
a) Activo-Activo.
En este caso tanto el Centro de Principal (CP) como el CR están funcionando y dando servicio, si se cae uno el otro asume la funcionalidad automáticamente.
b) Activo-Pasivo.
El CR en este caso no presta servicios, está a la espera, cuando deja de funcionar el CP se conmuta al CR.
La organización debe de contar con un Plan de Recuperación ante desastres aprobado por la dirección que debe de contener:
1.- El equipo responsable de llevar a cabo el plan
2.- Las condiciones para conmutar al Centro de Respaldo
3.- Las pruebas del Plan de Recuperación
4.- El procedimiento de vuelta a la normalidad.
Sistemas de Alimentación Ininterrumpida. SAI o UPS
Un sistema de alimentación ininterrumpida o SAI, es un dispositivo que realiza varias fucniones:
1.- Tiene unas baterías que permiten seguir realizando el suministro eléctrico a nuestros equipos.
2.- Estabiliza la corriente, si hay «picos de tensión» o de frecuencia, el SAI los corrigue para que no dañen las fuentes de alimentación de nuestros equipos.
3.- Monitoriza el suministro. Alertando de cortes en el suministro, o de sobretensiones y puede forzar el apagado de nuestros servidores si transcurrido un tiempo de funcionamiento con baterías no se restituye la corriente.
Seguridad Física Informática. Auditoría
¿Cómo de eficaces son las medidas que hemos tomado para proteger nuestro CPD?
Hemos invertido bastante dinero y esfuerzo en proteger el CPD, pero ¿Son esas medidas eficaces? ¿Falta alguna medida?
Mediante la auditoría informática podemos comprobar si las medidas de seguridad física que hemos tomado son correctas y suficientes para garantizar la seguridad de nuestros sistemas.
Si las evaluamos nosotros mimos podemos caer en la autocomplacencia y pensar que las medidas que hemos tomado son las mejores y más correctas, un exámen de estas por parte de una persona ajena pero con experiencia en seguridad (el auditor) nos dará una perspectiva más realista.
Conclusión
De nada sirve tener unas aplicaciones superseguras y unos usuarios muy formados y que no cometen errores de seguridad si un intruso puede acceder fácilmente a nuestras instalaciones y manipular los servidores.
La seguridad física fundamenta y es previa a la seguridad lógica.
Las auditorías sirven garantizarnos que las medidas que tomamos de seguridad son las correctas y que no caemos en la autocomplacencia a la hora de evaluar nuestros propios sistemas informáticos.