La seguridad de los datos y de las infraestructuras es una de las principales preocupaciones de todos los clientes. Desde DATA4 se trabaja diariamente para mejorar los procedimientos internos y las medidas organizativas y técnicas implementadas. Una de las prioridades estratégicas de seguridad es buscar la convergencia entre los requisitos internos y las exigencias de los clientes en términos de disponibilidad, integridad, confidencialidad y trazabilidad.
Por ello, DATA4 recomienda seguir una estrategia de seguridad basada en el modelo “SPICA”, de sus siglas en inglés, segregation, physical security, independence, cybersecurity, alignment, en el que se promueven y aplican dichos principios.
Segregación
La segregación de los entornos informáticos y de las infraestructuras específicas de los centros de datos deben formar parte del ADN de los mismos. Este modelo permite garantizar la inaccesibilidad a los distintos sistemas de información de los que el centro de datos es responsable en materia de alojamiento físico.
Esta compartimentación también se refleja en las funciones y autorizaciones lógicas y físicas resultantes. “Trabajamos para detectar los comportamientos denominados anormales, como el de una persona cuyo papel como informático o técnico de mantenimiento no justificaría los accesos o rutas operados en nuestros centros de datos, salas de alojamiento o salas técnicas”, comenta Stéphane Lemée, director de seguridad de los servicios informáticos (CISSO) del Grupo DATA4.
Seguridad física
La seguridad física es la primera línea de defensa en la protección de los centros de datos. Los diferentes sistemas de videovigilancia y control de acceso están bajo la autoridad de un Director de Seguridad. Las medidas pueden llegar a prohibir la introducción de objetos metálicos en el recinto de una sala de control. También es posible implementar, a petición del cliente, seguridad física mediante dispositivo biométricos.
“En DATA4 también utilizamos socios de reconocido prestigio para velar por la seguridad física que nos ayuda a reforzar la impermeabilización de nuestros perímetros físicos y nuestras capacidades organizativas y técnicas para detectar intentos de intrusión”, añade Stéphane Lemée.
Independencia
La organización interna del grupo también tiene como objetivo garantizar la independencia de los organismos encargados de promulgar las normas, aplicarlas y controlarlas. El modelo adoptado es el del grupo CISO adscrito a la Secretaría General, que garantiza el cumplimiento de las orientaciones estratégicas adoptadas por la dirección y los accionistas, pero también de las distintas normas reguladoras, a través de la obtención y mantenimiento de diversas certificaciones a cumplir.
Al separar la infraestructura de los servicios se obtiene una mayor protección. Cuando todo es gestionado por un único proveedor, es decir, en el caso de una fuerte integración vertical, un incidente de seguridad en uno de los eslabones puede tener un impacto en toda la cadena y comprometer datos sensibles o un sistema de información crítico.
Ciberseguridad
Si esta segregación excluye cualquier posibilidad de análisis del tráfico de la red y de los intercambios de aplicaciones, el centro de datos puede ayudar en esta función a través de la lectura, de este modo es capaz de detectar señales como un aumento injustificado del consumo de energía o de la disipación de calor, lo que puede sugerir el despliegue de aplicaciones de “cryptojacking” de alto consumo energético en las infraestructuras de los clientes.
Alineación
La orientación estratégica de la seguridad debe pasar por alinear los requisitos internos en materia de seguridad lógica y física con las necesidades de los clientes, impulsada siempre desde la dirección. De este modo se pueden alinear las medidas de seguridad interna con las que se aplicarían a los clientes como parte de las obligaciones impuestas por parte de los proveedores de servicios digitales (DSP) según la definición de la Directiva europea NIS.
