CENTRO DE CÓMPUTO Ó CENTRO DE PROCESAMIENTO DE DATOS (CDP)

Un centro de cómputo represente una entidad dentro de la organización la cual tiene como objetivo satisfacer las necesidades de información de la empresa de manera verás y oportuna, éste es el responsable de centralizar, custodiar y procesar la mayoría de los datos con los que opera la compañía o institución. Prácticamente todas las actividades de los demás departamentos se basan en la información que les proporciona dicho centro. El principal objetivo de un centro de computo es el de concentrar el procesamiento de datos e información de una manera sistematizada y automática

La definición que se tiene de forma general para un Centro de Procesamiento de Datos (CPD), es aquella ubicación donde se concentran los recursos necesarios para el procesamiento de la información de una organización. Dichos recursos consisten esencialmente en unas dependencias debidamente acondicionadas, computadoras y redes de comunicaciones.

En general, la función de la Seguridad y Auditoría en los Centros de Procesamiento de Datos en la empresa es garantizar que los sistemas de ordenador salvaguardan los “bienes” de la organización, mantienen la integridad de los datos y alcanzan los objetivos de la empresa de un modo eficaz y efectivo.

En estos se deben de tener en cuenta algunas consideraciones especiales, dado que en ellos se concentran datos y aplicaciones informáticas en espacios muy reducidos, lo que los hace excepcionalmente propensos a problemas potenciales, tanto lógicos como físicos, que pueden afectar a su seguridad y funcionamiento.

Entre los factores más importantes que motivan la creación de un CPD se puede destacar el garantizar la continuidad del servicio a clientes, empleados, ciudadanos, proveedores y empresas colaboradoras, pues en estos ámbitos es muy importante la protección física de los equipos informáticos o de comunicaciones implicadas, así como servidores de bases de datos que puedan contener información crítica.

El diseño de un centro de procesamiento de datos comienza por la elección de su ubicación geográfica, y requiere un equilibrio entre diversos factores, solo por mencionar algunos podemos hablar de Coste económico, Infraestructuras disponibles, riesgo, acometida eléctrica, Medidas de seguridad en caso de incendio o inundación, Aire acondicionado, Cableado de red y teléfono, Instalación de alarmas, control de temperatura y humedad, Cerraduras electromagnéticas, Cámaras de seguridad, Tarjetas de identificación y un largo etc.

PLANEACIÓN DE UN CENTRO DE CÓMPUTOImplementar un Centro de Cómputo es una tarea por la cual se obtiene una visión de futuro, en donde es posible determinar y lograr los objetivos, mediante la elección de un curso de acción (planeación) Proceso por el cual se obtiene una visión del futuro, en donde es posible determinar y lograr los objetivosmediante la elección de un curso de acción.

Hay 6 niveles de planeación que se presentan a continuación: a) Planeación estratégica b) Planeación de recursos c) Planeación operativa d) Planeación de personal e) Planeación de instalación física f) Ubicación física

a) Planeación estratégica: En todo centro de computo existen variables para su planeación estratégica y es que en todo centro de computo debe haber áreas de trabajo para cada una de las funciones que se realizan de entre las cuales podemos mencionar:

- Supervisor de Red: Puesto más nuevo dentro del área que se trata de administrar, ejecutar y desarrollar las funciones que tiene que ver con las instalaciones de la red. - Área de Análisis: Aquí se analizan los problemas de la empresa para dale una solución sistematizada. - Área de Programación: Recibe información del área de análisis para codificar los programas que se van a suministrar al sistema de cómputo. -Área de Captura: Recibe información del área de análisis para codificar los programas que se van a suministrar al sistema de cómputo. -Operadores de Cómputo: es donde se encuentra el responsable de administrar la consola de sistemas.

b) Planeación de Recursos: En esta etapa de la planeación el jefe, encargado ó administrador del centro de cómputo, organiza los recursos económicos con que se cuenta, es decir, destina la cantidad de recursos necesarios para la subsistencia de cada departamento. c) Planeación Operativa: En esta etapa de la planeación el jefe, encargado ó administrador del centro de cómputo, organiza los recursos económicos con que se cuenta, es decir, destina la cantidad de recursos necesarios para la subsistencia de cada departamento. - Ingeniero en Sistemas de Computo: Persona con los conocimientos más profundos en el campo de la informática, por lo general es el encargado de administrar los centros de cómputo. - Lcdo. En Sistemas de Cómputo: Persona con conocimientos informáticos enfocados al área de la administración.- Supervisor de Red: Persona capaz de administrar, supervisar y desarrollar las aplicaciones y el mantenimiento de la red.- Analista de Sistema: Persona capacitada para analizar y solucionar los problemas o percances que surjan dentro de la empresa, elaborando para su desempeño (algoritmos, diagramas de flujo) y otros recursos del analista.

- Programador: Persona con amplios criterios y conocimientos en programación, con los cuales desarrolla y programa las computadoras del centro de cómputo.- Capturador de Datos: responsable de alimentar la información al sistema de cómputo, sus capacidades deben ser (velocidad en el uso del teclado, uso de procesador de texto, hojas de cálculo, bases de datos y paquetería en general. - Operador de Computadora: Persona con amplios criterios que usa el sistema operativo y opera todos sus sistemas.

d) Planeación del Personal: En esta etapa de la planeación, el administrador de centros de cómputo debe seleccionar al personal que se requiere para la operación del centro de sistemas de acuerdo con su perfil profesional, su preparación y su experiencia en el ámbito laboral. e) Planeación de Instalaciones Físicas: Esta etapa de la planeación se refiere a todo lo que tiene que ver con el equipo que se debe de utilizar y debe de estar contenido en el centro de cómputo. Los principales requisitos de un centro de sistemas son:

-Conexión a tierra física -No break (UPS baterías ó pilas) -Reguladores -Aire acondicionado -Extinguidores (por lo menos 1 por cada 6 computadoras) -Y otros

f) Ubicación Física: El lugar donde debe estar ubicado el centro de cómputo debe de cumplir una serie de requisitos de entre los cuales podemos mencionar a los siguientes:

-Estar situado en un lugar donde no pueda acceder personal no autorizado. -Que no entre mucha luz natural. -Debe haber aire acondicionado. -No debe haber entradas de aire natural. -Extinguidores. -Ruta de evacuación -Otros.

SEGURIDAD FÍSICA

Entran dentro de esta categoría todas las medidas para asegurar la integridad física de los equipos almacenados. Desde la verja exterior hasta los mecanismos de extinción de incendios. Son muchos los factores que intervienen. Los centros de procesamiento de datos suelen tener buenas características de seguridad física, ya que si son suficientemente serios, se diseñan con la seguridad en mente. No obstante suele ser común encontrarse sorpresas en las siguientes áreas:

Control de acceso. Especialmente en las zonas “cero”, es decir, aquellos compartimentos del centro de procesamiento de datos que albergan la infraestructura más valiosa. En una infraestructura de este tipo es deseable siempre tener control en tiempo real de quién entra a dónde, y para qué. No encontrarse con un sistema de control de acceso que genere los registros adecuados y los conserve convenientemente es motivo de incidencia. Se van implantando poco a poco sistemas biométricos y siguen siendo válidos los mecanismos de acceso con tarjetas inteligentes. No hay que limitarse a la hora de pedir logs de los sistemas de control, y no es de extrañar que surjan problemas. Por increíble que parezca, este es un tema donde siempre aparecen incidencias.

Pruebas de mecanismos de detección y alarma. Todos los responsables de seguridad física te enseñarán extintores, la sala de contraincendios, los sensores de humedad, de temperatura, de detección de humo y de movimiento. Pero no todos pueden enseñarte pruebas fehacientes de que estos sistemas están siendo probados regularmente y que funcionan como es debido. En muchos países, y por motivos de legislación, es obligatorio realizar pruebas periódicas de los sistemas, pero no hay que asumir que esto pasa en todos los sitios y que las pruebas son exhaustivas. Es recomendable dedicar tiempo a esto.

Acceso de mercancías y personal de proveedores. No sería la primera vez que llegar a las zonas cero del centro de procesamiento de datos es imposible si se pretende la intrusión a través de las vías de acceso convencionales, pero sencillo o relativamente sencillo si se utilizan los accesos especiales para equipamiento y proveedores. A modo de ejemplo, si se adquieren grandes servidores, no vas a meterlo por el torno de acceso de los empleados y a maniobrarlo por los pasillos. Para esto existen accesos especiales, generalmente un muelle de carga y descarga donde las mercancías son gestionadas. Estos puntos de acceso deben ser mirados con lupa, aquí se pueden encontrar desde “fulanos” con destornillador en mano caminando solos por la zona cero a puertas del muelle abiertas de par en par y con gente metiendo y sacando cajas, por citar algunos ejemplos.

Ausencia de seguridad perimetral o seguridad perimetral insuficiente. Aunque suene a broma, es algo que puede suceder. No es la primera vez que un centro de procesamiento de datos tiene medidas internas de seguridad físicas excepcionales y que luego, al darse uno una vuelta por allí, descubre que todo está protegido por una verja que un niño de 7 años puede saltarse, o que hay una ventana abierta por la que entrar y quitarse de encima la mayoría de controles de acceso. Si has quedado a las 9 para auditar, procura estar allí a las 8 u 8.30 y date una vuelta por fuera. Las sorpresas están al acecho.

Gestión de energía y continuidad. Es un tema amplio de tratar, y en definitiva engloba todo lo que tiene que ver con el aprovisionamiento energético del

centro de procesamiento de datos; en estos centros se consume muchisima energía, y por tanto, requiere de medidas especiales para asegurar que el flujo energético esté garantizado ante cualquier tipo de incidente, y que en el peor de los casos, el suministro pueda ser establecido por medios alternativos. Por norma general el centro de procesamiento de datos suele tener dos o más acometidas de proveedores de energía eléctrica independientes, para no depender exclusivamente de un único proveedor, y es frecuente que internamente se hagan abastecimientos a zonas teniendo en cuenta si requieren máxima resiliencia eléctrica o no. Cuando todo va mal y se pierde completamente el fluido eléctrico, es normal contar con una batería de generadores diesel para garantizar el suministro en caso de contingencia eléctrica grave. Se sugiere que se hagan pruebas continuas de estos generadores. Un esquema unifilar que muestre la redundancia eléctrica suele ayudar igualmente. Como no vamos a andar apagando servidores para ver si aquello funciona, lo ideal sería solicitar acceso a un rack con tomas independientes eléctricas y hacer una visita a la sala de cuadros eléctricos para determinar si eso verdaderamente opera con acometidas independientes o no.

Ausencia de compartimentación. Especialmente relevante en el caso de data centers públicos o destinados al uso de múltiples clientes. En estos casos es de esperar que cada cliente tenga su infraestructura en una jaula y que la cerradura esté, lógicamente, cerrada. Mal asunto si al visitar nuestra infraestructura fuera posible tirar de un cable de la competencia.

También suelen encontrase otros numeroso tipo de problemas en los centros de procesamiento de datos, como jardines (:P); uno muy común es encontrar equipamiento/cuarto de herramientas para el departamento de informática, donde guardan cualquier cosa como monitores, viejas impresoras, etc.; otro error común es encontrar que el cableado pasa por todos lados menos por donde debe, puertas del rack abierta o sin puertas, servidores sin orden, cableado sin etiquetar, aire acondicionado sin suficiente potencia, un largo etc.

SEGURIDAD LÓGICA

Definir la seguridad lógica como aquella que compete a lo que no es estrictamente físico, y que como su propio nombre indica, deriva de las condiciones lógicas de los distintos sistemas que componen el proceso de negocio en estudio. El caso típico es la seguridad de los sistemas operativos, la reglas de un cortafuegos o la configuración de seguridad de un dispositivo de red, aunque hay muchos aspectos que no estando puramente vinculados a la seguridad lógica tienen impacto en ella.

Es común observar deficiencias en los siguientes aspectos:

Actualización de los sistemas. Englobamos aquí todos los problemas relacionados con la falta de actualización de los elementos del centro de procesamiento de datos: sistemas operativos, aplicaciones, firmware… Conviene siempre obtener evidencias de que los sistemas se están actualizando, y es deseable poder verificar con alguna herramienta de análisis de vulnerabilidades la fiabilidad de lo que nos cuentan con los papeles por delante. Atentos a este punto, no existe centro de procesamiento de datos en todo el universo que tenga todos y cada uno de los elementos actualizados.

Configuración de seguridad. Otro clásico. En este apartado incluimos la ausencia de seguridad que deriva de la falta de militarización de los componentes puestos en producción. Ejemplos típicos son la ausencia de fortificación de los sistemas operativos, o dejarse por ahí usuarios por defecto. Es un campo denso, y por tanto, conviene obtener justificación de cómo se fortifican los servicios. Generalmente es aceptable obtener una lista de procedimientos de fortificación por sistema, y verificar aleatoriamente alguno de los elementos para ver que se están aplicando. Como dato, mirar los accesos web de los routers y switches, los servicios en escucha en los sistemas operativos y las políticas de contraseñas de los elementos.

Operaciones de seguridad. El gran ausente en muchas ocasiones. En un centro de procesamiento de datos tiene que haber operaciones de seguridad, sí o sí. Un centro de procesamiento de datos que no disponga de operaciones de seguridad es simplemente inconcebible. Este saco es tremendamente amplio, pero aquí entran todos los mecanismos usuales de prevención y reacción ante incidentes de seguridad: IDS/IPS, firewalls,honeypots, gestión antifraude, SIEM, DLPs, etc. Hay que dedicar tiempo a entender bien lo que hay en funcionamiento, qué se esta monitorizando, por quién y cómo se garantiza que la propia infraestructura de seguridad sirva para su propósito y no esté expuesta a intromisiones o ataques. Alerta roja si nadie es capaz de contarte en unos minutos al menos qué hay en funcionamiento para prevenir incidentes de seguridad. Una vez más, registro de incidentes de seguridad, ver los últimos incidentes de severidad máxima, y comprueba qué se hizo, cómo y por quién.

Segregación de entornos. Por motivos diversos, que van desde la ignorancia o los errores hasta los intentos de reducción de costes mal enfocados, es relativamente frecuente toparse con entornos que no están debidamente segregados desde el punto de vista lógico. Tener entornos de producción, aceptación, soporte, desarrollo y pruebas compartiendo los mismos discos en distintas particiones es normal, pero también es posible cometer errores de configuración que permitan el salto entre particiones. Generalmente el peligro deriva de la posibilidad de tener desarrolladores accediendo a producción, ya que podrían obtener información que no deben conocer, o incluso modificar componentes. También es posible que se produzcan accesos no autorizados y manipulación de los datos desde otros entornos, como los de soporte, lo cual es

especialmente problemático si el soporte lo hace alguna contrata externa. No hay reglas de oro en este capítulo, pero hay que ser férreo cuando se analice este aspecto. Yo suelo sentarme con la gente de desarrollo, y les pido que intenten conectar a bases de datos de producción, o simplemente, que tiren unos pings en la consola para ver si pueden acceder a las máquinas, caso que la segregación esté hecha de esta manera.

Datos reales en entornos no controlados. Conviene cerciorarse de que los entornos no controlados, generalmente desarrollo y pruebas, no contienen datos reales, o que contemplan medidas de enmascaramiento para impedir que los datos reales de la producción acaben en las memorias USB de los desarrolladores. El principal problema aquí es precisamente ese, que los juegos de datos que se empleen en desarrollo y procedan de los entornos de producción y que no hayan sido convenientemente enmascarados para impedir fugas de información. También es posible encontrarse ficheros y clones de bases de datos en entornos no controlados. Hay que dedicar tiempo a entender cómo se obtienen los juegos de datos de desarrollo y pruebas, y que en caso de ser datos reales, están enmascarados.

Cifrado. Amplísimo campo, imposible de tratar en profundidad. Hay que comprobar que en general los datos en tránsito y en reposo están cifrados allí donde es susceptible interceptarlos, por ejemplo, en las copias de seguridad, o la posibilidad de interceptar el tráfico de explotación, que podría contener datos confidenciales como usuarios y contraseñas.

Compartimentalización de la red. Fundamental. Las redes tienen que tener suficiente segmentación no sólo para poder soportar adecuadamente la segregación de entornos, sino la creación de zonas con distintos requisitos de seguridad. La ausencia de zonas y compartimentalización es un problema de la mayor relevancia, y suele tener su expresión típica en aquellos casos en los que se compromete una máquina determinada, y que por ausencia de segregación, este compromiso faculte el salto a otros segmentos y servicios ajenos al originalmente comprometido que pueden provocar compromisos en cadena. También es frecuente sufrir pérdida operativa en eventos de mantenimiento a consecuencia de una mala compartimentalización, que puede obligar a detener servicios que no son objeto de mantenimiento por el mero hecho de residir en los mismos segmentos de la red en mantenimiento. Aunque no es una regla matemática que se cumpla al 100%, en la gran mayoría de ocasiones la gestión de redes o bien es un desastre soberano o bien es excelente, siendo raro el término intermedio. Cosas que deben hacer sospechar son la ausencia de herramientas centralizadas para la gestión de red y la ausencia de diagramas de red.

Gestión de cambios. Se puede pensar que de entrada es un tema más procedimental que de seguridad lógica, pero las consecuencias sobre la misma son evidentes. Además del citado problema de la falta de actualización otros

muchos ejemplos son posibles, algunos frecuentemente olvidados al revisar la seguridad de un centro de procesamiento de datos. La colocación de código malicioso en la producción por la falta de herramientas de inspección automática del código, o la colocación de programas en producción sin ningún tipo de supervisión por la propia ausencia de una gestión de cambios es una posibilidad que ocurre con cierta habitualidad. Aunque la regulación no implica seguridad, este asunto es siempre tratado en gobierno de TI y cumplimiento, así que echar un ojo a informes al respecto nunca está de más. Solicitar evidencias de la aprobación de un cambio determinado, por ejemplo, un diferencial de código en un programa COBOL del core, y comprobar que está autorizado convenientemente, y que lo que hay en producción es un calco de la versión del programa en desarrollo correspondiente.

Accesos privilegiados. En un centro de procesamiento de datos es necesario tener accesos privilegiados para poder operar los servicios. Es una consecuencia natural del empleo de servicios que contemplan gestión de usuarios, como por ejemplo, los sistemas operativos, aunque el acceso privilegiado puede venir definido por otros aspectos, como por ejemplo, segmentos de red determinados en la explotación que son capaces de acceder a servicios críticos. Sea como fuere estos accesos son necesarios, con lo que es de vital importancia comprobar que están bien gestionados. No es sólo una cuestión de verificar que las contraseñas se rotan periódicamente y que la gente no las tiene pegadas en post it en los monitores, es de capital importancia determinar cómo se puede acceder con cuentas privilegiadas a los servicios. Especialmente preocupante si se habilitan accesos remotos para facultar la intervención fuera de horas de oficina o teletrabajo. Cualquier respuesta no inmediata o no concluyente a las preguntas de quién accede, cómo y dónde se guardan los logs de estos accesos que quiero verlos es sinónimo de emergencia. Pedir una lista de los usuarios con privilegios altos en un servicio y una explicación de quién es quién suele ser revelador.

Accesos remotos de terceras partes. Tratar de comprender cómo acceden las terceras partes a la infraestructura es importante, y cuáles son las limitaciones de su acceso. En aquellos casos donde el desarrollo lo hacen empresas externas, donde también es posible que se ocupen del mantenimiento, es crucial entender cómo acceden y cuál es su nivel de privilegio. Aunque es normal que estos accesos se hagan con cabeza, mediante conexiones VPN o circuitos MPLS dedicados, hay que cerciorarse de tener absolutamente claro quién accede y cómo. Hay que revisar si los accesos se monitorizan, especialmente en funciones de soporte. Pedir una lista de terceras partes y detalles de conectividad, y no obtener respuesta inmediata, es síntoma de alerta.

Entornos multicliente (multitenancy). En casos de centros de procesamiento de datos públicos o semipúblicos es posible que los servicios sean utilizados por

varios clientes. Es un tema de compartimentalización tanto de red como de los propios servicios y sus entornos, así como el de los accesos privilegiados que se concedan al cliente, aunque hay que destacar de modo independiente por la creciente adopción de estos modelos. No queremos que el root de la competencia pueda ver nuestros datos, ni viceversa. Ni queremos que nuestra base de datos pueda ser accedida desde la partición y las aplicaciones de otro cliente. Tema complejo de resolver, ya que los entornos multicliente son reacios a facilitar información, y no suelen ser permisivos con la ejecución de pruebas alegando que allí hay datos de más gente, así que aquí hay que ser cuidadosos y selectivos con las pruebas a realizar. En el momento que parte de la infraestructura es propiedad de una tercera parte, hay que asumir que se pierde parte del control, con lo que es imposible estar seguros al 100% de las cosas. Se debe pedir un test de intrusión reciente, revisiones de seguridad o análisis de aplicaciones puede servir para darnos claridad. Una vez más, aunque ya sabemos que compliance is not security, nunca está de más ojear informes regulatorios que puedan existir -y que de hecho suelen existir-, ni tampoco huelga preguntar por los sistemas de gestión de la seguridad y su alcance.

Continuidad y recuperación. Aspectos esenciales de un centro de procesamiento de datos. Las máquinas se rompen, la electricidad se pierde. Las tuberías se estropean. Y los servicios pueden quedar interrumpidos. Algunas cosas que deben ser obligatoriamente inspeccionadas son la presencia de mecanismos creíbles para que los servicios tengan la disponibilidad local adecuada, como por ejemplo, alta disponibilidad, así como los procedimientos existentes para garantizar la “resurrección” de los servicios en el centro de procesamiento de datos alternativo. Pedir los resultados de las pruebas de recuperación más recientes es siempre una buena idea, y la falta de las mismas equivale a alerta roja. Conviene también echar un ojo a cómo se gestiona la continuidad de la actividad, es decir, todo lo relacionado con disponibilidad del personal, de equipos y salas para gestionar emergencias, etc.