Seguridad Física de un Centro de Cómputo

Seguridad Física

La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático. Si bien algunos de los aspectos tratados a continuación se prevén, otros, como la detección de un atacante interno a la empresa que intenta a acceder físicamente a una sala de operaciones de la misma, no. Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de la sala, que intentar acceder vía lógica a la misma.
Así, la Seguridad Física consiste en la "aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial"(1). Se refiere a los controles y mecanismos de seguridad dentro y alrededor del Centro de Cómputo así como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamiento de datos.Tipos de Desastres No será la primera vez que se mencione en este trabajo, que cada sistema es único y por lo tanto la política de seguridad a implementar no será única. Este concepto vale, también, para el edificio en el que nos encontramos. Es por ello que siempre se recomendarán pautas de aplicación general y no procedimientos específicos.  

 

 Para ejemplificar esto: valdrá de poco tener en cuenta aquí, en Entre Ríos, técnicas de seguridad ante terremotos; pero sí será de máxima utilidad en Los Angeles, EE.UU. Este tipo de seguridad está enfocado a cubrir las amenazas  ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el centro. Las principales amenazas que se prevén en la seguridad física son:Desastres naturales, incendios accidentales tormentas e inundaciones.Amenazas ocasionadas por el hombre.Disturbios, sabotajes internos y externos deliberados. No hace falta recurrir a películas de espionaje para sacar ideas de cómo obtener la máxima seguridad en un sistema informático, además de que la solución sería extremadamente cara. A veces basta recurrir al sentido común para darse cuenta que cerrar una puerta con llave o cortar la electricidad en ciertas áreas siguen siendo técnicas válidas en cualquier entorno.A continuación se analizan los peligros más importantes que se corren en un centro de procesamiento; con el objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la prevención, reducción, recuperación y corrección de los diferentes tipos de riesgos.  Incendios, Inundaciones Se las define como la invasión de agua por exceso de escurrimientos superficiales o por acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial.Esta es una de las causas de mayores desastres en centros de cómputos.Además de las causas naturales de inundaciones, puede existir la posibilidad de una inundación provocada por la necesidad de apagar un incendio en un piso superior.Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techo impermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertas para contener el agua que bajase por las escaleras.Condiciones Climatológicas, Señales de Radar.La influencia de las señales o rayos de radar sobre el funcionamiento de una computadora ha sido exhaustivamente estudiada desde hace varios años. .Ello podría ocurrir sólo si la antena respectiva fuera visible desde una ventana del centro de procesamiento respectivo y, en algún momento, estuviera apuntando directamente hacia dicha ventana. Instalaciones Eléctricas,  Ergometría, Es frecuente que los operadores utilicen la computadora de la empresa para realizar trabajos privados o para otras organizaciones y, de esta manera, robar tiempo de máquina. La información importante o confidencial puede ser fácilmente copiada. Muchas empresas invierten millones de dólares en programas y archivos de información, a los que dan menor protección que la que otorgan a una máquina de escribir o una calculadora. El software, es una propiedad muy fácilmente sustraíble y las cintas y discos son fácilmente copiados sin dejar ningún rastro Fraude Cada año, millones de dólares son sustraídos de empresas y, en muchas ocasiones, las computadoras han sido utilizadas como instrumento para dichos fines.Sin embargo, debido a que ninguna de las partes implicadas (compañía, empleados, fabricantes, auditores, etc.), tienen algo que ganar, sino que más bien pierden en imágen, no se da ninguna publicidad a este tipo de situaciones. SabotajeEl peligro más temido en los centros de procesamiento de datos, es el sabotaje. Empresas que han intentado implementar programas de seguridad de alto nivel, han encontrado que la protección contra el saboteador es uno de los retos más duros. Este puede ser un empleado o un sujeto ajeno a la propia empresa.Físicamente, los imanes son las herramientas a las que se recurre, ya que con una ligera pasada la información desaparece, aunque las cintas estén almacenadas en el interior de su funda de protección. Una habitación llena de cintas puede ser destruida en pocos minutos y los centros de procesamiento de datos pueden ser destruidos sin entrar en ellos. Además, suciedad, partículas de metal o gasolina pueden ser introducidos por los conductos de aire acondicionado. Las líneas de comunicaciones y eléctricas pueden ser cortadas, etc.Control de Accesos
El control de acceso no sólo requiere la capacidad de identificación, sino también asociarla a la apertura o cerramiento de puertas, permitir o negar acceso basado en restricciones de tiempo, área o sector dentro de una empresa o institución. Utilización de Guardias Utilización de Detectores de Metales. El detector de metales es un elemento sumamente práctico para la revisión de personas, ofreciendo grandes ventajas sobre el sistema de palpación manual.La sensibilidad del detector es regulable, permitiendo de esta manera establecer un volumen metálico mínimo, a partir del cual se activará la alarma.La utilización de este tipo de detectores debe hacerse conocer a todo el personal. De este modo, actuará como elemento 

 

  persuasivo.Utilización de Sistemas Biométricos Verificación Automática de Firmas (VAF)En este caso lo que se considera es lo que el usuario es capaz de hacer, aunque también podría encuadrarse dentro de las verificaciones biométricas.Mientras es posible para un falsificador producir una buena copia visual o facsímil, es extremadamente difícil reproducir las dinámicas de una persona: por ejemplo la firma genuina con exactitud.La VAF, usando emisiones acústicas toma datos del proceso dinámico de firmar o de escribir. La secuencia sonora de emisión acústica generada por el proceso de escribir constituye un patrón que es único en cada individuo. El patrón contiene información extensa sobre la manera en que la escritura es ejecutada.  El equipamiento de colección de firmas es inherentemente de bajo costo y robusto. Esencialmente, consta de un bloque de metal (o algún otro material con propiedades acústicas similares) y una computadora  barata.Seguridad con AnimalesSirven para grandes extensiones de terreno, y además tienen órganos sensitivos mucho más sensibles que los de cualquier dispositivo y, generalmente, el costo de cuidado y mantenimiento se disminuye considerablemente utilizando este tipo de sistema.Así mismo, este sistema posee la desventaja de que los animales pueden ser engañados para lograr el acceso deseado. Protección  Electrónica.
 Conclusiones: Evaluar y controlar permanentemente la seguridad física del edificio es la base para o comenzar a integrar la seguridad como una función primordial dentro de cualquier organismo.
Tener controlado el ambiente y acceso físico permite:disminuir siniestrostrabajar mejor manteniendo la sensación de seguridaddescartar falsas hipótesis si se produjeran incidentestener los medios para luchar contra accidentes Las distintas alternativas estudiadas son suficientes para conocer en todo momento el estado del medio en el que nos desempeñamos; y así tomar decisiones sobre la base de la información brindada por los medios de control adecuados. Estas decisiones pueden variar desde el conocimiento de la áreas que recorren ciertas personas hasta la extremo de evacuar el edificio en caso de accidentes. Protección del hardware
El hardware es frecuentemente el elemento más caro de todo sistema informático y por tanto las medidas encaminadas a asegurar su integridad son una parte importante de la seguridad física de cualquier organización.
Problemas a los que nos enfrentamos:Acceso físico, Desastres naturales,Alteraciones del entorno Acceso físico Si alguien que desee atacar un sistema tiene acceso físico al mismo todo el resto de medidas de seguridad implantadas se convierten en inútiles.De hecho, muchos ataques son entonces triviales, como por ejemplo los de denegación de servicio; si apagamos una máquina que proporciona un servicio es evidente que nadie podrá utilizarlo.Otros ataques se simplifican enormemente, p. ej. si deseamos obtener datos podemos copiar los ficheros o robar directamente los discos que los contienen.Incluso dependiendo el grado de vulnerabilidad del sistema es posible tomar el control total del mismo, por ejemplo reiniciándolo con un disco de recuperación que nos permita cambiar las claves de los usuarios.Este último tipo de ataque es un ejemplo claro de que la seguridad de todos los equipos es importante, generalmente si se controla el PC de un usuario autorizado de la red es mucho más sencillo atacar otros equipos de la misma.Para evitar todo este tipo de problemas deberemos implantar mecanismos de prevención (control de acceso a los recursos) y de detección (si un mecanismo de prevención falla o no existe debemos al menos detectar los accesos no 

 

 autorizados cuanto antes).Para la prevención hay soluciones para todos los gustos y de todos los  precios:analizadores de retina, tarjetas inteligentes, videocámaras, vigilantes jurados, En muchos casos es suficiente con controlar el acceso a las salas y cerrar siempre con llave los despachos o salas donde hay equipos informáticos y no tener cableadas las tomas de red que estén accesibles.Para la detección de accesos se emplean medios técnicos, como cámaras de vigilancia de circuito cerrado o alarmas, aunque en muchos entornos es suficiente con qué las personas que utilizan los sistemas se conozcan entre si y sepan quien tiene y no tiene acceso a las distintas salas y equipos, de modo que les resulte sencillo detectar a personas desconocidas o a personas conocidas que se encuentran en sitios no adecuados. Desastres naturale.  Además de los posibles problemas causados por ataques realizados por personas, es importante tener en cuenta que también los desastres naturales pueden tener muy graves consecuencias, sobre todo si no los contemplamos en nuestra política de seguridad y su implantación. Algunos desastres naturales a tener en cuenta:  Terremotos y vibraciones,  Tormentas eléctricas,  Inundaciones y humedad, Incendios y humos

Los terremotos son el desastre natural menos probable en la mayoría de organismos ubicados en España, por lo que no se harán grandes inversiones en prevenirlos, aunque hay varias cosas que se pueden hacer sin un desembolso elevado y que son útiles para prevenir problemas causados por pequeñas vibraciones:No situar equipos en sitios altos para evitar caídas,  No colocar elementos móviles sobre los equipos para evitar que caigan sobre ellos,Separar los equipos de las ventanas para evitar que caigan por ellas o qué objetos lanzados desde el exterior los dañen,  Utilizar fijaciones para elementos críticos,  Colocar los equipos sobre plataformas de goma para que esta absorba las vibraciones Otro desastre natural importante son las tormentas con aparato eléctrico, especialmente frecuentes en verano, que generan subidas súbitas de tensión muy superiores a las que pueda generar un problema en la red eléctrica. A parte de la protección mediante el uso de pararrayos, la única solución a este tipo de problemas es desconectar los equipos antes de una tormenta (qué por fortuna suelen ser fácilmente predecibles). En entornos normales es recomendable que haya un cierto grado de humedad, ya que en si el ambiente es extremadamente seco hay mucha electricidad estática. No obstante, tampoco interesa tener un nivel de humedad demasiadoa elevado, ya que puede producirse condensación en los circuitos integrados que den origen a un cortocircuito. En general no es necesario emplear ningún tipo de aparato para controlar la humedad, pero no está de más disponer de alarmas que nos avisen cuando haya niveles anómalos. Otro tema distinto son las inundaciones, ya que casi cualquier medio (máquinas, cintas, routers ...) que entre en contacto con el agua queda automáticamente inutilizado, bien por el propio líquido o bien por los cortocircuitos que genera en los sistemas electrónicos. Contra ellas podemos instalar sistemas de detección que apaguen los sistemas si se detecta agua y corten la corriente en cuanto estén apagados. Hay que indicar que los equipos deben estar por encima del sistema de detección de agua, sino cuando se intente parar ya estará mojado. Por último mencionaremos el fuego y los humos, que en general provendrán del incendio de equipos por sobrecarga eléctrica. Contra ellos  Amplearemos sistemas de extinción, que aunque pueden dañar los equipos que apaguemos (aunque actualmente son más o menos inocuos), nos evitarán males mayores. Además del fuego, también el humo es perjudicial para los equipos (incluso el del tabaco), al ser un abrasivo que ataca a todos los componentes, por lo que es recomendable mantenerlo lo más alejado posible de los equipos.Alteraciones del entorno

En nuestro entorno de trabajo hay factores que pueden sufrir variaciones que afecten a nuestros sistemas que tendremos que conocer e intentar controlar.  Deberemos contemplar problemas que pueden afectar el régimen de funcionamiento habitual de las máquinas como la alimentación eléctrica, el ruido eléctrico producido por los equipos o los cambios bruscos de temperatura. Electricidad Quizás los problemas derivados del entorno de trabajo más frecuentes son los relacionados con el sistema eléctrico que alimenta nuestros equipos; cortocircuitos, picos de tensión, cortes de flujo ... Para corregir los problemas con las subidas de tensión podremos instalar tomas de tierra o filtros reguladores de tensión. Para los cortes podemos emplear Sistemas de Alimentación Ininterrumpida (SAI), que además de proteger ante cortes mantienen el flujo de corriente constante, evitando las subidas y bajadas de tensión. Estos equipos disponen de baterias que permiten mantener varios minutos los aparatos conectados a ellos, permitiendo que los sistemas se apaguen de forma ordenada (generalmente disponen de algún mecanísmo para comunicarse con los servidores y avisarlos de que ha caido la línea o de que se ha restaurado después de una caida).

Por último indicar que además de los problemas del sistema eléctrico también debemos preocuparnos de la corriente estática, que puede dañar los equipos. Para evitar problemas se pueden emplear esprais antiestáticos o ionizadores y tener cuidado de no tocar componentes metálicos, evitar que el ambiente esté excesivamente seco, etc. Ruido eléctrico El ruido eléctrico suele ser generado por motores o por maquinaria pesada, pero también puede serlo por otros ordenadores o por multitud de aparatos, y se transmite a través 

del espacio o de líneas eléctricas cercanas a nuestra instalación. Para prevenir los problemas que puede causar el ruido eléctrico lo más barato es intentar no situar el hardware cerca de los elementos que pueden causar el ruido. En caso de que fuese necesario hacerlo siempre podemos instalar filtos o apantallar las cajas de los equipos. Temperaturas extrema:  No hace falta ser un genio para comprender que las temperaturas extremas, ya sea un calor excesivo o un frio intenso, perjudican gravemente a todos los equipos. En general es recomendable que los equipos operen entre 10 y 32 grados Celsius. Para controlar la temperatura emplearemos aparatos de aire acondicionado.Protección de los dato:  Además proteger el hardware nuestra política de seguridad debe incluir medidas de protección de los datos, ya que en realidad la mayoría de ataques tienen como objetivo la obtención de información, no la destrucción del medio físico que la contiene.En los puntos siguientes mencionaremos los problemas de seguridad que afectan a la transmisión y almacenamiento de datos, proponiendo medidas para reducir el riesgo. Eavesdroppin:  La interceptación o eavesdropping, también conocida por ''passive wiretapping'' es un proceso mediante el cual un agente capta información que va dirigida a él; esta captación puede realizarse por muchísimos medios: sniffing en redes ethernet o inalámbricas (un dispositivo se pone en modo promiscuo y analiza todo el tráfico que pasa por la red), capturando radiaciones electromagnéticas (muy caro, pero permite detectar teclas pulsadas,  ontenidos de pantallas, ...), etc. El problema de este tipo de ataque es que en principio es completamente pasivo y en general difícil de detectar mientras se produce, de forma que un atacante puede capturar información privilegiada y claves que puede emplear para atacar de modo activo.Para evitar que funcionen los sniffer existen diversas soluciones, aunque al final la única realmente útil es cifrar toda la información que viaja por la red (sea a través de cables o por el aire). En principio para conseguir esto se deberían emplear versiones seguras de los protocolos de uso común, siempre y cuando queramos proteger la información. Hoy en día casi todos los protocolos basados en TCP permiten usar una versión cifrada mendiante el uso del TLS. Copias de segurida:  Es evidente que es necesario establecer una política adecuada de copias de seguridad en cualquier organización; al igual que sucede con el resto de equipos y sistemas, los medios donde residen estas copias tendrán que estar protegidos físicamente; de hecho quizás deberíamos de emplear medidas más fuertes, ya que en realidad es fácil que en una sola cinta haya copias de la información contenida en varios servidores.Lo primero que debemos pensar es dónde se almacenan los dispositivos donde se realizan las copias. Un error muy habitual es almacenarlos en lugares muy cercanos a la sala de operaciones, cuando no en la misma sala; esto, que en principio puede parecer correcto (y cómodo si necesitamos restaurar unos archivos) puede convertirse en un problema serio si se produce cualquier tipo de desastre (como p. ej. un incendio). Hay que pensar que en general el hardware se puede volver a comprar, pero una pérdida de información puede ser ireemplazable.

Así pues, lo más recomendable es guardar las copias en una zona alejada de la sala de operaciones; lo que se suele recomendar es disponer de varios niveles de copia, una que se almacena en una caja de seguridad en un lugar alejado y que se renueva con una periodicidad alta y otras de uso frecuente que se almacenan en lugares más próximos (aunque a poder ser lejos de la sala donde se encuentran los equipos copiados).
Para proteger más aun la información copiada se pueden emplear mecanísmos de cifrado, de modo que la copia que guardamos no sirva de nada si no disponemos de la clave para recuperar los datos  almacenados.Soportes no electrónicos. Otro elemento importante en la protección de la información son los elementos no electrónicos que se emplean para transmitirla, fundamentalmente el papel. Es importante que en las organizaciones que se maneje información confidencial se controlen los sistemas que permiten   Exportarla tanto en formato electrónico como en no electrónico (impresoras, plotters, faxes, teletipos, ...).

Cualquier dispositivo por el que pueda salir información de nuestro sistema ha de estar situado en un lugar de acceso restringido; también es conveniente que sea de acceso restringido el lugar donde los usuarios recogen los documentos que lanzan a estos dispositivos. Además de esto es recomendable disponer de trituradoras de papel para destruir todos los papeles o documentos que se quieran destruir, ya que evitaremos que un posible atacante pueda obtener información rebuscando en nuestra basura. 

Seguridad Física : El objetivo de las soluciones de Seguridad Física es resguardar la seguridad patrimonial de las personas, comunidades y organizaciones con tecnologías innovadoras de Video Vigilancia y Control de Acceso, aprovechando la infraestructura existente de redes TCP/IP y de TI de nuestros clientes.  Para ello hemos desarrollado alianzas estratégicas con compañías como DVTEL, a quien representamos de forma exclusiva en México; así como empresas líderes en sus mercados como son  Pelco, Axis, HID y Optex, entre otros; permitiendo que GBS provea de soluciones integrales con las tecnologías más inteligentes y relevantes del mercado. Dentro las propuestas de valor más importantes para nuestros socios comerciales y clientes está la de tomar ventaja de la apertura y flexibilidad de nuestra plataforma de software, la cual garantiza y protege las inversiones realizadas en infraestructura, permitiendo integrar prácticamente cualquier cámara, lectora, equipo de cómputo y de telecomunicaciones que ya exista.

Otro aspecto sin duda relevante de la tecnología es el hecho de poder crear 1 solo sistema de video vigilancia, control de acceso y seguridad perimetral dentro de la misma consola de administración; además sin importar la dispersión geográfica en donde se encuentren instalados físicamente los dispositivos ni el número de ellos, gracias a la utilización de estándares de redes, sistemas operativos y equipos de cómputo.  Finalmente y no por ello menos importante es el hecho de que nuestra plataforma le brinda a nuestros clientes la libertad de seleccionar al fabricante de cámaras de CCTV, lectoras de control de acceso, de equipo de cómputo y redes que mejor resuelva sus necesidades desde el punto de vista tecnológico y   

 

financiero.  Soluciones:  Video Vigilancia:  Desarrollamos soluciones de video vigilancia que más allá de una instalación de CCTV tradicional, con Latitude de DVTEL, se convierten en Centros Inteligentes de Operaciones de Seguridad. Los datos se transportan por redes IP, lo cual toma ventajas de la convergencia de datos.  Conozca más de Latitude, la herramienta, más abierta, flexible y efectiva en costos del mercado.  Control de Acceso:  Proveemos de tecnología de control de acceso con diversas opciones de identificación como es Proximidad, mecanismos Biométricos, Tarjetas Inteligentes que, controladas por Longitude de DVTEL, sistema pionero de Control de Acceso basado en IP, permiten tener una solución sencilla y poderosa a la vez que soporta de una a miles de puestas en configuraciones centralizadas o distribuidas.  Conozca como la Longitude en combinación con la tecnología Vertx de HID da como resultado la solución de Control de Acceso más vanguardista en la industria.   Seguridad Perimetral:  La seguridad comienza en el perímetro de los recintos a proteger. Si podemos identificar intrusos antes de que accedan a los activos o personas a proteger, reduciremos sensiblemente el impacto del intento de vulnerar la seguridad patrimonial o personal. Con esta idea en  mente, GBS ofrece soluciones de sensores perimetrales, tanto activos como pasivos, que, integradas con el poderoso módulo de gestión de alarmas de Latitude de DVTEL permiten reaccionar inmediatamente ante cualquier amenza de intrusión.  

Casos de Éxito:  Monitoreo Urbano Metropolitano:   Actualmente tenemos operando de manera sumamente estable redes de cámaras tipo PTZ en más de 15 municipios en México, en donde se combinan soluciones basadas en tecnologías inalámbricas, así como coaxiales, UTP y Fibra Óptica, aprovechando la infraestructura existente en las distintas ciudades. De igual manera tenemos instalaciones con cámaras  analógicas e IP.  Sector Educativo:   Hemos sido homologados como 1 de las dos  soluciones de video vigilancia y control de acceso para brindar estos servicios en el Sistema ITESM y hasta el momento hemos instalado nuestras soluciones en los campus Cd. de México, Puebla y la nueva Escuela de Medicina en Monterrey. Es de resaltar en esta última el aprovechamiento de la tecnología para integrar en la red de video las señales emitidas por cámaras que apoyan las labores de microcirugía y laparoscopía; de igual manera, una vez integrado el video, este es desplegado hacia ligas de Internet en donde diferentes académicos en el mundo pueden interactuar en tiempo real con estudiantes de la escuela para ayudarles a mejorar sus técnicas quirúrgicas, permitiendo además que intercambien opiniones a través de la voz sobre IP.  Seguridad Perimetral:   Sin duda Viakable es una de las empresas fabricantes de cables más influyentes de Latinoamérica y seleccionó a GBS para implantar una red de video vigilancia en su corporativo, en donde integramos 15 cámaras de CCTV con una red perimetral de 13 mástiles de haces infrarrojos que protegen todo el perímetro y que mediante el módulo de alarmas del sistema permiten que la cámara móvil más cercana al punto donde se registró la violación a sus instalaciones gire, comience a grabar, accione sirenas y luces de emergencia, para finalmente registra el evento y notificar a los responsables de la seguridad en la empresa en tiempo real.   Control de Acceso y Asistencia:

Para Transportes Águila de Oro era imprescindible lograr la certificación de BASC y Citipad, con las que obtendría los beneficios propuestos por el Gobierno de los Estados Unidos para agilizar los cruces de mercancías transfronterizos. Entre varios capítulos debería implantar una solución de video vigilancia y control de acceso a sus diferentes instalaciones que garanticen la seguridad y brinden al mismo tiempo las herramientas para poder investigar cualquier incidente que pudiera  resentarse. TAO seleccionó a GBS para implantar una solución en sus instalaciones de  onterrey, Nuevo Laredo y Santa Rosa, en donde se integra una red de cámaras y lectoras tanto de proximidad como huella basadas en tecnologías IP que le permitieron no solamente cumplir con este propósito, sino que además les  garantiza  cumplimiento de horarios y verificación del personal contratado, al utilizar el módulo de “llegada y asistencia” de DVTel.