Seguridad Física, ese aspecto que todos descuidan

Al momento de hablar de seguridad se piensa principalmente en que afuera hay personas que quieren entrar, por lo que se enfatiza en las medidas perimetrales de seguridad. El problema es que existe una alta probabilidad de que un ataque provenga desde dentro de la organización ya sea intencionado o accidental y en formas que ni siquiera se han contemplado.

En una nota anterior habíamos hecho referencia a las laborares del CISO (Chief- Information- Security-Officer). Entre una de ellas esta tener en cuenta la seguridad física de centros de cómputos.

Este aspecto muchas veces olvidado, bien por desconocimiento o por simple simple exceso de confianza, tendría que atenderse no solo si se tiene una gran cantidad de servidores, también tendría que ser tomado en cuenta para cualquier tipo de sistema que requiera brindar las premisas básicas de la seguridad:

• Integridad: La información sólo puede ser modificada por quien está autorizado y de manera controlada.
• Confidencialidad: La información sólo debe ser legible para los autorizados.
• Disponibilidad: Debe estar disponible cuando se necesita.
• Irrefutabilidad (No repudio): El uso y/o modificación de la información por parte de un usuario debe ser irrefutable, es decir, que el usuario no puede negar dicha acción.

Uno de los puntos más afectados en cuanto a la seguridad física es el de la Disponibilidad. Un simple error de cálculos y el servidor de producción que está encima del escritorio de la secretaria puede terminar en el suelo. O bien, una persona mal intencionada puede realizar una Denegación de Servicio (ataque DoS) simplemente con un martillo o llevándose el servidor. De igual forma puede hacerse un DoS simplemente desconectando el cable de red o electricidad los cuales están al alcance.

De acuerdo a las a las posibilidades y teniendo en mente la importancia de la información que se maneja, se debería contar con control de ciertos aspectos de seguridad física.

Existen diversos peligros físicos que pueden comprometer la seguridad de la información. Entre ellos se encuentran los peligros del entorno: Fuego, humo, polvo, terremotos, humedad, agua, etc. También se podrán encontrar los peligros por vandalismo o robo al contar del acceso físico al lugar donde están los servidores que contienen los datos.

A modo de ejemplo mostramos algunos de esos puntos:

Acceso físico a la empresa: Primariamente se tendría que saber quién ingresa a la organización.
Acceso al centro de cómputos: Un ejemplo simple es el de usar un área aislada con llave para impedir el ingreso a cualquier persona que no esté autorizada.
Seguridad contra incendios: Para esto se requiere controlar varios aspectos como la instalación eléctrica y evitar el material inflamable dentro del centro de cómputos. Así también se tiene que contar con detector de humo y un extintor de incendios no corrosivo como los que usan CO₂ para asfixiar el fuego, (anteriormente se se usaba el gas Halon, pero afecta la capa de Ozono y es un gas que produce efecto invernadero, por lo que se está dejando de usar). Tener en cuenta que el extintor de incendios de polvo común es altamente corrosivo para los materiales electrónicos. Se provocara más daño que con el incendio.
Protección de Respaldos: Hacer backup es una necesidad para cualquier sistema, eso es indiscutible, pero es importante que estos respaldos estén protegidos. Una de esas medidas es retirar los respaldos de la organización para evitar que sean afectados por un siniestro u otra contingencia.
Servidores de backup: Ya sea contar con un servidor de producción completo o con partes susceptibles a roturas (discos, fuente, etc). También se puede contar con un sistema que no requiera la atención humana para entrar en funcionamiento antes una caída. Estos sistemas se denominan de alta disponibilidad.
Sistema de UPS: No solo para poder seguir funcionando. El Hardware de los servidores responde muy mal a las caídas de tensión aumentando el riesgo de roturas en los equipos.

Existen muchos otros puntos a tener en cuenta y sería importante que cuente con el asesoramiento de un profesional para poder realizar un control sobre las medidas de seguridad física con las que su organización cuenta.

Nuestra empresa realiza este tipo de auditorías y podemos realizar un plan de adecuación de seguridad física de acuerdo a las posibilidades con las que la organización cuente.
Lo importante es comenzar a realizar este tipo de tareas preventivas para evitar tener perdidas mayores ante una contingencia física.

Fuente: AltoSec

Suscríbete a nuestro Boletín