Normas y Medidas de Seguridad
Para poder diseñar y ejecutar un Data Center seguro se deben seguir los estándares establecidos para este tipo de instalaciones, principalmente los que nos marca la norma EN 50600 en la que se establecen por primera vez unos estándares de diseño para la «disponibilidad, seguridad y eficiencia energética para toda la vida útil de los centros de datos», incluidos los potenciales de ahorro de energía. Este estándar define construcciones de edificios de centros de datos, así como aspectos de seguridad y administración
El análisis de riesgos y negocios confiere la base de este estándar y sobre la base de los requisitos estandarizados se especifican los niveles de disponibilidad y protección para el funcionamiento de los Centros de Datos.
Uno de los puntos claves de la seguridad física de un Data Center es su envolvente, ya que garantiza una seguridad estructural contra cualquier amenaza del exterior como intrusiones inapropiadas, vandalismos, inundaciones, polvo, incendios, etc. Por ello, este cerramiento debe realizarse cumpliendo una serie de requisitos mínimos que certifiquen ser efectivos contra todas las amenazas evitando la penetración de sustancias contaminantes (partículas, líquido o gaseoso). Para ello las puertas, techos e introducciones de cables deben garantizar que al menos cumplen con un IP55. Con respecto a la resistencia al fuego y la protección contra incendios, la construcción de los Centro de Proceso de Datos es importante que cuente con al menos una resistencia EI 90 en todo su conjunto de suelos, paredes y techos.
Otra de las consideraciones a la hora de diseñar y ejecutar la envolvente de un Centro de Datos, es que los requisitos recogidos en la norma EN1363 para la protección estructural contra incendios utilizados en un edifico estándar no son suficientes para proteger el CPD, cuyo diseño debe seguir la norma EN1047-2. Así, por ejemplo, en caso de incendio algunos elementos constructivos considerados en la norma EN1363 como pladur, hormigón, piedra caliza, etc. desprenden gran cantidad de humedad al ambiente provocando averías en los servidores del CPD. En una sala de dimensiones 5 x 6 x 2,5 m se estima una acumulación de hasta 870 litros de humedad en el interior de la sala.
En cuanto a la seguridad antirrobo o acceso, las puertas deberían ser de una resistencia mínima de clase RC 3 (antigua WK 3) según la norma EN1627.
Independientemente a la seguridad de las puertas de acceso, para poder controlar que las personas que acceden al Data Center sean exclusivamente aquellas que hayan sido previamente autorizadas, se requiere en la instalación de un sistema de control de acceso y un sistema de video vigilancia en el interior y en sus inmediaciones.
Deberá contar con sistema de apertura segura, sensores en las puertas y dispositivos de autorización y grabación de imágenes tanto del interior como del exterior de las instalaciones.
También se hace necesario implantar seguridad en el acceso a los racks de los servidores, ya sea mediante simples cerraduras con llave o lectores de control de acceso en las puertas, que permita un registro de las personas que han accedido a ellos. Esto se debe a que todas las personas con acceso autorizado al CPD no tienen por qué tener acceso a los racks.
Otra de las medidas de seguridad necesarias para un Centro de Proceso de Datos es protegerlo contra uno de los actores más dañinos para los equipos electrónicos: el humo y el fuego. Por ello resulta imperativo dotarlo de un buen sistema de detección y extinción de incendios.
Para poder garantizar una rápida respuesta y evitar cualquier conato de incendio con la antelación suficiente para que no se vea afectado el funcionamiento del Data Center, es conveniente implantar un sistema de tecnología de detección de humo por aspiración o ASD (Aspirating Smoke Detection), ya que estos son capaces de detectar un incendio con tanta antelación que se anticipa a la aparición de la llama. Además, bajo las condiciones ambientales tan exigentes de un CPD, en la que se mueven grandes cantidades de aire a velocidades elevadas, los sistemas de detección ASD son capaces de garantizar una detección de incendios rápida y precisa, analizando de forma continuada muestras de aire de la sala.
Mediante una buena monitorización del Centro de Datos es posible detectar cualquier incidencia y actuar en consecuencia con rapidez. Los sistemas de monitorización recogen las diferentes señales a controlar y son capaces de generar pre-alarmas y alarmas, avisando a través de SMS, emails u otros medios. Entre los principales parámetros a monitorizar se encuentran las condiciones ambientales (temperatura y humedad) de forma distribuida en el CPD, así como la detección de fugas de líquidos. También resulta interesante la recepción de alarmas de otros sistemas mediante su integración, tales como UPS, unidades de climatización, sistema de conmutación, cámaras auxiliares de protecciones en cuadros, central de incendios, etc. Este tipo de integraciones se suele realizar a través de contactos secos o protocolos de comunicaciones tipo SNMP.
Seguridad Lógica:
La seguridad lógica está estandarizada de acuerdo a unos niveles de seguridad. El estándar más utilizado internacionalmente es el TCSEC (Trusted Computer System Evaluation) Orange Book desarrollado en 1982 de acuerdo a las normas de seguridad de ordenadores del Departamento de Defensa de la Estados Unidos. Los niveles describen diferentes tipos de seguridad del SO y se enumeran desde el mínimo grado de seguridad al máximo. Estos niveles han sido la base de desarrollo de estándares europeos (ITSEC/ITSEM, Information Technology Security Evaluation Criteria / Methodology) y luego internacionales (ISO/IEC). Cada nivel requiere todos los niveles definidos anteriormente: así el subnivel B2 abarca los subniveles B1, C2, C1 y D
Nivel D
Reservado para sistemas que no cumplen con ninguna especificación de seguridad. Sin sistemas fiables, no hay protección para el hardware, el SO es inestable y no hay autenticación con respecto a usuarios y sus derechos de acceso a la información. Un SO en este niveles por ejemplo MS-DOS.
Nivel C1: Protección Discrecional
El acceso a distinta información se realiza mediante identificación de usuarios. Cada usuario maneja su información privada y distingue entre usuarios y el administrador del sistema, quien tiene control total de acceso.
Muchas de las tareas cotidianas de la administración sólo pueden ser realizadas por este «super usuario» quien tiene gran responsabilidad en la seguridad. Con la actual descentralización de los sistemas, no es raro que en una organización encontremos dos o tres personas cumpliendo este papel.
Los requerimientos mínimos que debe cumplir la clase C1 son:
Acceso de control discrecional: distinción entre usuario y recursos. Se podrán definir grupos de usuarios y grupos de objetos sobre los cuales podrán actuar usuarios o grupos de ellos.
Identificación y Autenticación: un usuario debe identificarse antes de comenzar a ejecutar acciones sobre el sistema. El dato de un usuario no podrá ser accedido por un usuario sin autorización o identificación.
Nivel C2: Protección de Acceso controlado
Cuenta con características adicionales al C1 que crean un ambiente de acceso controlado. Se debe llevar una auditoria de accesos e intentos fallidos de acceso a objetos. Tiene la capacidad de restringir aún más el que los usuarios ejecuten ciertos comandos o tengan accesos a ciertos archivos, permite o deniega datos a usuarios concretos en base no sólo a los permisos sino también a los niveles de autorización.
Requiere que se audite el sistema. Esta auditoria es utilizada para llevar registros de todas las acciones relacionadas con la seguridad, como las actividades efectuadas por el administrador y sus usuarios. La auditoria requiere de autenticación adicional para estar seguro de que la persona que ejecuta el comando es quien dice ser. Su mayor desventaja reside en los recursos adicionales requeridos.
Los usuarios de un sistema C2 tienen la autorización para realizar algunas tareas de administración del sistema sin necesidad de ser administradores. Permite llevar mejor cuenta de las tareas relacionadas con la administración del sistema, ya que es cada usuario quién ejecuta y no el administrador.
Nivel B1: Seguridad Etiquetada
A cada objeto del sistema (usuario, dato, etc) se le asigna una etiqueta con nivel de seguridad jerárquico (alto secreto, secreto, reservado, etc) y con unas categorías (contabilidad, nóminas, ventas, etc). Cada usuario que accede a un objeto debe poseer un permiso expreso para hacerlo y viceversa. Es decir que cada usuario tiene sus objetos asociados. También se establecen controles para limitar la propagación de derecho de accesos a los distintos objetos.
Nivel B2: Protección Estructurada
Requiere que se etiquete cada objeto de nivel superior por ser padre de un objeto inferior. La protección estructurada es la primera que empieza a referirse al problema de un objeto a un nivel más elevado de seguridad y comunicación con otro objeto a un nivel inferior. Así un disco duro será etiquetado por almacenar archivos que son accedidos por distintos usuarios. El sistema es capaz de alertar a los usuarios si sus condiciones de accesibilidad y seguridad son modificadas; y el administrador es el encargado de fijar los canales de almacenamiento y ancho de banda a utilizar por los demás usuarios.
Nivel B3: Dominios de Seguridad
Refuerza a los dominios con las instalación de hardware: por ejemplo, el hardware de administración de memoria se usa para proteger el dominio de seguridad de acceso no autorizado a la modificación de objetos de diferentes dominios de seguridad. Existe un monitor de referencia que recibe las peticiones de acceso de cada usuario y las permite o las deniega según las políticas de acceso que se hayan definido.
Todas las estructuras de seguridad deben ser lo suficientemente pequeñas como para permitir análisis y comprobaciones ante posibles violaciones. Este nivel requiere que el terminal del usuario se conecte al sistema por medio de una conexión segura. Cada usuario tiene asignado los lugares y objetos a los que puede acceder.
Nivel A: Protección Verificada
Es el nivel más elevado, incluye un proceso de diseño, control y verificación, mediante métodos formales (matemáticos) para asegurar todos los procesos que realiza un usuario sobre el sistema.
Para llegar a este nivel todos los componentes de niveles inferiores deben incluirse. El diseño requiere ser verificado de forma matemática y se deben realizar análisis de canales encubiertos y de distribución fiable. El software y el hardware son protegidos para evitar infiltraciones ante traslados o movimientos de equipamiento.
ISO 27001 Seguridad de la Información:
Es un estándar para la seguridad de la información aprobado y publicado como estándar internacional en octubre de 2005 por la International Organization for Standardization y por la International Electrotechnical Commission
Los requisitos de la Norma ISO 27001 norma nos aportan un Sistema de Gestión de la Seguridad de la Información (SGSI), consistente en medidas orientadas a proteger la información, indistintamente del formato de la misma, contra cualquier amenaza, de forma que garanticemos en todo momento la continuidad de las actividades de la empresa. Los Objetivos del SGSI son preservar la:
Confidencialidad
Integridad
y Disponibilidad de la Información
Elementos / Fases para la Implementación de un SGSI:
El Sistema de Gestión de La Seguridad de la Información que propone la Norma ISO 27001 se puede resumir en las siguientes fases que se detallan en el siguiente esquema.
Implementación de la norma ISO 27001:
A la hora de implantar un Sistema de Gestión de la Seguridad de la Información (SGSI) según la norma ISO 27001, debemos considerar como eje central de este sistema la Evaluación de Riesgos. Este capítulo de la Norma, permitirá a la dirección de la empresa tener la visión necesaria para definir el alcance y ámbito de aplicación de la norma, así como las políticas y medidas a implantar, integrando este sistema en la metodología de mejora continua, común para todas las normas ISO.
Lo primero, es elegir una metodología de evaluación del riesgo apropiada para los requerimientos del negocio. Existen numerosas metodologías estandarizadas de evaluación de riesgos. Aquí explicaremos la metodología sugerida en la Norma.
Elementos / Fases de la implementación:
