Como blindar un centro de datos: los consejos de DATA4

El modelo SPICA reúne los cinco principios clave para asegurar los centros de datos y lograr la convergencia entre los requisitos internos y las exigencias de los clientes en términos de disponibilidad, integridad, confidencialidad y trazabilidad.

Stéphane Lemée, director de seguridad de los servicios informáticos (CISSO) del grupo DATA4, resumen cuáles son las bases del modelo.

Segregación: la segregación de los entornos informáticos y de las infraestructuras específicas de los centros de datos deben formar parte del ADN de los mismos. Este modelo permite garantizar la inaccesibilidad a los distintos sistemas de información de los que el centro de datos es responsable en materia de alojamiento físico.

Esta compartimentación también se refleja en las funciones y autorizaciones lógicas y físicas resultantes. "Trabajamos para detectar los comportamientos denominados anormales, como el de una persona cuyo papel como informático o técnico de mantenimiento no justificaría los accesos o rutas operados en nuestros centros de datos, salas de alojamiento o salas técnicas", comenta.

Seguridad física: la seguridad física es la primera línea de defensa en la protección de los centros de datos. Los diferentes sistemas de videovigilancia y control de acceso están bajo la autoridad de un director de seguridad. Las medidas pueden llegar a prohibir la introducción de objetos metálicos en el recinto de una sala de control. También es posible implementar, a petición del cliente, seguridad física mediante dispositivo biométricos.

Según Lamée, la compañía cuenta con “socios de reconocido prestigio para velar por la seguridad física que nos ayuda a reforzar la impermeabilización de nuestros perímetros físicos y nuestras capacidades organizativas y técnicas para detectar intentos de intrusión”.

Independencia: la organización interna del grupo también tiene como objetivo garantizar la independencia de los organismos encargados de promulgar las normas, aplicarlas y controlarlas. El modelo adoptado es el del grupo CISO adscrito a la Secretaría General, que garantiza el cumplimiento de las orientaciones estratégicas adoptadas por la dirección y los accionistas, pero también de las distintas normas reguladoras, a través de la obtención y mantenimiento de diversas certificaciones a cumplir.

Al separar la infraestructura de los servicios se obtiene una mayor protección. Cuando todo es gestionado por un único proveedor, es decir, en el caso de una fuerte integración vertical, un incidente de seguridad en uno de los eslabones puede tener un impacto en toda la cadena y comprometer datos sensibles o un sistema de información crítico.

Ciberseguridad: si esta segregación excluye cualquier posibilidad de análisis del tráfico de la red y de los intercambios de aplicaciones, el centro de datos puede ayudar en esta función a través de la lectura, de este modo es capaz de detectar señales como un aumento injustificado del consumo de energía o de la disipación de calor, lo que puede sugerir el despliegue de aplicaciones de cryptojacking de alto consumo energético en las infraestructuras de los clientes.

Alineación: la orientación estratégica de la seguridad debe pasar por alinear los requisitos internos en materia de seguridad lógica y física con las necesidades de los clientes, impulsada siempre desde la dirección. De este modo se pueden alinear las medidas de seguridad interna con las que se aplicarían a los clientes como parte de las obligaciones impuestas por parte de los proveedores de servicios digitales (DSP) según la definición de la Directiva europea NIS.