Seguridad en centros de datos: zonificación, redundancia, barreras sísmicas y balística

Los centros de datos son el núcleo silencioso de la sociedad digital. Puede que no lo sepan todos los ciudadanos, pero cada transacción bancaria, cada consulta médica y cada fotografía que guardan en la nube acaba en uno de estos depósitos de información. Que sigan funcionando pese a los terremotos, los atentados terroristas y los cortes eléctricos es una prioridad del sector de la seguridad.

La protección de una de estas infraestructuras de datos se basa en una estrategia de defensa en profundidad, combinando la protección física con la protección estructural y lógica para garantizar la disponibilidad del servicio y la integridad de los datos. En este artículo detallamos cómo funcionan la zonificación, la redundancia, las barreras sísmicas y la balística para convertir un centro de datos en una fortaleza de la información.

Zonificación de seguridad o defensa por capas

El primer principio es impedir el acceso directo al nodo central. La arquitectura moderna organiza el recinto entero en anillos concéntricos de protección, desde la valla perimetral hasta las salas de servidores. Cada paso de una zona a la siguiente exige un mayor nivel de autenticación y cada empleado solo pisa las secciones que su trabajo requiere.

Los puestos de reconocimiento biométrico, los torniquetes antipaso y las esclusas con doble puerta convierten la intrusión en una cadena de obstáculos casi imposible de resolver sin ser descubierto. La zonificación consiste en dividir el centro de datos en áreas concéntricas con controles de acceso cada vez más estrictos a medida que se avanza hacia el núcleo.

• Zona 1. Perímetro Exterior. Línea de propiedad. Incluye vallas perimetrales, puertas de seguridad, cámaras de vigilancia externa y barreras vehiculares. El acceso está restringido al público general.
• Zona 2. Área Común/Recepción. Entrada al edificio. Incluye la recepción de seguridad, muelles de carga, salas de reuniones y zonas donde los visitantes deben registrarse y ser escoltados.
• Zona 3. Área de Soporte Técnico. Pasillos interiores, salas de monitorización (NOC/SOC) y salas mecánicas/eléctricas (UPS, generadores). Solo accesibles para personal autorizado.
• Zona 4. Sala de Servidores o «Data Hall». El núcleo del centro de datos. Requiere autenticación multifactor (tarjetas inteligentes, biometría como escáner de iris o huella dactilar) y trampas de seguridad (mantrap) para evitar el tailgating (que alguien pase detrás de otra persona sin identificarse).

Redundancia o disponibilidad continua

En un centro de datos bien construido no existe un componente cuyo fallo detenga el servicio. Hay alimentación eléctrica mediante dos redes independientes, grupos electrógenos con autonomía de varios días y baterías que cubren el tránsito entre una fuente y otra. Los sistemas de refrigeración y las conexiones de fibra siguen el mismo criterio y los datos se replican de una sala a otra e incluso de un edificio a otro. La redundancia geográfica es la última línea de defensa: si un incendio o una inundación inutilizan el sitio principal, otro centro asume el servicio sin que el usuario lo note. De hecho, a menudo se explica la redundancia como la norma del todo por duplicado.

La redundancia asegura que el centro de datos siga funcionando si un componente falla. Se clasifica según el estándar del Uptime Institute mediante niveles y configuraciones:

• Nivel N+1. Significa que hay los componentes necesarios para operar más un módulo de respaldo (+1). Si un generador o sistema de enfriamiento falla, el de reserva se activa inmediatamente.
• Nivel 2N o 2N+1. Sistemas completamente duplicados con caminos de distribución independientes. Si falla toda una línea eléctrica de la ciudad, la infraestructura conmuta a una fuente de energía secundaria sin interrupción.
• Sistemas críticos redundantes:

 1) Energía. Alimentación desde subestaciones eléctricas distintas, sistemas de alimentación ininterrumpida por baterías y generadores diésel con autonomía de varios días.

 2) Climatización. Circuitos redundantes de agua enfriada o aire para evitar el sobrecalentamiento de los servidores.

3) Conectividad. Múltiples proveedores de fibra óptica que entran al edificio por puntos geográficos diferentes.

Barreras sísmicas: la protección estructural

En las zonas sísmicas, los muebles sismorresistentes flotan sobre unos aisladores de base que absorben la energía del terremoto, tal como lo hacen los edificios más avanzados. Las estanterías con repisas se anclan al suelo, los armarios pesados se anexionan a la estructura y los cables disponen de holguras para impedir que se rompan. El edificio, además, se apoya sobre materiales que absorben la energía sísmica y las juntas de dilatación impiden que la sacudida se transmita a las máquinas. El objetivo no es que nada se mueva, sino que todo lo esencial siga encendido y conectado.

Los centros de datos ubicados en zonas de riesgo sísmico utilizan ingeniería avanzada para proteger el hardware sensible de las vibraciones y movimientos de la tierra:

• Aislamiento de base. Es la tecnología más eficaz. Consiste en colocar el edificio sobre amortiguadores elastoméricos (goma y acero) o rodamientos de fricción. Durante un terremoto, el suelo se mueve pero el edificio permanece relativamente estático.
• Suelos técnicos reforzados. Los racks de servidores no se apoyan directamente sobre el suelo. Se utilizan estructuras de suelo elevado con arriostramiento diagonal de alta resistencia para absorber vibraciones locales.
• Sujeción de muebles. Los muebles se anclan directamente a la losa de hormigón estructural mediante pernos de expansión de grado sísmico para evitar que vuelquen.

Protección balística o blindaje

Para blindar sus centros de control, numerosos operadores han decidido incorporar sistemas de protección balística, es decir, paneles resistentes al impacto de un arma de fuego en fachadas, puertas acorazadas y cristales antifragmentación. No es el estándar de toda la industria, pero crece en instalaciones gubernamentales, financieras y críticas. Combinado con la zonificación, la redundancia y la resistencia sísmica, forma un conjunto capaz de soportar casi cualquier escenario. Porque en la era digital, la seguridad ya no se decide solo en el software: empieza en los cimientos.

Diseñada para proteger al personal y a los equipos de ataques armados externos o sabotajes terroristas, la protección balística incluye estas modalidades:

• Materiales con certificación UL 752 o EN 1522. Las paredes exteriores, ventanas y puertas de las zonas críticas se construyen con niveles de resistencia balística capaces de soportar impactos de armas cortas y rifles de asalto (por ejemplo, blindaje nivel BR4 a BR7).
• Kevlar y acero balístico. Los paneles de las paredes interiores que protegen la sala de servidores o los centros de control suelen estar reforzados con láminas de fibra de vidrio balística o paneles de Kevlar integrados en el panel de yeso.
• Vidrio blindado. Las ventanas de la recepción y del centro de operaciones (SOC) utilizan vidrios multilaminados resistentes a impactos de bala y fragmentación.