Una dintre cele mai frecvente probleme de securitate, cu care se confruntă centrele de date o reprezintă amenințările interne reprezentate de angajații sau vizitatorii care acționează cu scopuri răuvoitoare.
Este un risc dificil de controlat pentru că nu există măsuri de depistare timpurie a persoanelor autorizate, dar cu rele intenții. În scenariile extreme, acestea pot provoca însă pagube importante – de exemplu, pot accesa neautorizat un server și pot sustrage date sau șterge suporturile de stocare, pot produce defecțiuni electro-mecanice dificil de depistat sau întrerupe conexiunile de date etc.
Există însă și alte situații, în care amenințările vin din exterior. Cum ar fi cazurile în care persoane neautorizate pot trece de sistemele de securitate perimetrale folosind ecusoanele ale vizitatorilor autorizați. Sau situațiile în care foști angajați pot pătrunde nestingheriți în incinta centrelor utilizându-și drepturile de acces care nu au fost șterse din sistemul de autorizare. Sunt situații reale și perfect posibile pentru că „băieții răi“ există nu doar în lumea virtuală. Riscul este real, iar specialiștii consideră că operatorii Centrelor de Date își concentrează atenția preponderent pe asigurarea securității informatice.
Potrivit datelor Uptime Institute, cheltuielile centrelor de date cu securitatea fizică reprezintă aproximativ 5% din bugetele operaționale și doar în cazuri extreme ajung la 30%.
Securitatea fizică este cerută de standarde
Cu toate acestea, asigurarea securității fizice este o condiție clar stipulată în standardele folosite pentru certificarea centrelor de date. De exemplu, standardul de infrastructură ANSI/TIA-942 furnizează recomandări concrete privind protecția activelor din Data Centere, fie prin măsuri de securitate fizică, fie prin sisteme de prevenire a incendiilor. Și standardul ISO27001 are prevederi clare pe zona securității fizice, deși titlul oficial este „Tehnologia Informației – Tehnici de securitate – Sisteme de management al securității informației“. De exemplu, secțiunea „A.9 Controlul accesului“ include măsuri – fizice și informatice – de limitare a accesului la informații și la echipamentele pe care sunt stocate acestea. Iar secțiunea „A.11 – Securitate fizică și de mediu“ prevede măsuri de control pentru împiedicarea accesului fizic neautorizat și protejare a echipamentelor și instalațiilor împotriva riscurilor de a fi compromise de intervențiile umane sau naturale.
Arhitectură pe patru niveluri
Datele Uptime Institute arată că 20% dintre centrele de date s-au confruntat cu o formă de tentativă de acces neautorizat în ultimii cinci ani. Potrivit studiului „Data center security: Reassessing physical, human and digital risks“, rata scăzută a incidentelor de acest tip demonstrează succesul strategiilor de securitate fizică adoptate. Însă aceasta nu înseamnă reducerea vigilenței și reducerea investițiilor în măsurile de prevenire și blocare a accesului neautorizat, distrugere a echipamentelor sau întrerupere a serviciilor.
Arhitectura de securitate fizică adoptată de majoritatea centrelor de date este dezvoltată pe modelul „Box inside a box“, care prevede asigurarea protecție pe patru niveluri:
• Securitate perimetrală și a facilităților;
• Securizarea clădirii propriu-zise a centrului de date;
• Asigurarea securității camerei de control („Computer room“);
• Protejarea rack-urilor și/sau a spațiilor rezervate pentru clienți.
Soluții pentru toate nevoile
Soluțiile de securitate fizică recomandate sunt numeroase și nu există o „rețetă“ universal valabilă pentru toate centrele de date, fiecare organizație adoptând măsurile care se potrivesc cel mai bine nevoilor și cerințelor specifice. Există însă soluții care au început devină standard în industria Data Center. Cum sunt, de exemplu, sistemele CCTV și senzori folosite atât în exteriorul centrului, cât și în interiorul acestora. Sau sistemele de autentificare multifactor, prin care clasicele ecusoane de acces – care pot fi împrumutate – sunt dublate prin metode de autentificare biometrică. La acestea se adaugă bariere, sisteme de tip ecluză, porți de acces cu închidere electrică, turnicheți, scanere de bagaje etc., totul corelat cu sistemul central de control și monitorizare a accesului în timp real. La polul opus se situează „excepțiile“ de tipul placarea pereților exteriori ai centrului de date cu panouri kevlar, pentru îmbunătățirea protecției fizice, sau cu aliaje metalice pentru asigurarea protecției împotriva atacurilor EMP.
Evoluția continuă
Tehnologiile de securitate fizică evoluează continuu, de aceea experții Uptime recomandă centrelor să nu se „relaxeze“, ci să continute sa investească în noi tehnologii. Cum sunt, de exemplu, noile generații de sisteme de supraveghere video perimetrală care sunt dotate cu funcționalități avansate, precum recunoașterea automată a numerelor de înmatriculare (Automatic Number-Plate Recognition – ANPR) pentru a ține evidența vehiculelor care intră și ies. Acestea pot fi dublate, dacă nevoile o cer, cu soluții de tip radar care ajută la localizarea rapidă a persoanelor neautorizate, cu rețele de senzori audio și detecție a mișcării pentru validare duală a intruziunilor etc. La rândul lor, și noile sisteme de monitorizare video folosite în interiorul centrelor de date integrează funcționalități de recunoaștere inteligentă a comportamentelor anormale sau a cazurilor când sunt încălcate regulile prestabilite de securitate (precum accesul în zone interzise publicului, acces neautorizat etc.) Uneori, adoptia unor astfel de sisteme nu este optionale ci o necesitate directă. Cum este de exemplu cazul sistemelor de detectare a temperaturii prin intermediul camerelor cu termoviziune, impuse de evoluția pandemie și necesitatea depistării rapide a persoanele care prezintă un risc crescut de infectare.
Nevoia de specialiști
Toate aceste soluții nu își ating potențialul maxim dacă nu sunt integrate și dacă nu ajută la aplicarea unor reguli și strategii coerente de securitate. De exemplu, sistemele de monitorizare video și soluțiile de autentificare biometrică sunt inutile dacă unui fost angajat nu i-au fost retrase drepturile de acces.
Pentru implementarea și configurarea unei arhitecturi de securitate fizică e nevoie însă de experiență și competențe specifice, total diferite de cele necesare operării unui centru de date. Specialiștii Tema Energy întrunesc aceste condiții și vă pot ajuta să alegeți soluțiile capabile să vă asigure nivelul de securitate dorit. Dacă doriți să eliminați riscul investițiilor inutile sau prea costisiloare, precum și pe cel al subutilizarii soluțiilor alese, contactați specialiștii Tema Energy!
