Antes de comenzar con esta exposición, es conveniente indicar que no pretende esta nota abordar las soluciones para el tratamiento de los riesgos de los data centers, sino compartir una visión sobre el tema del “riesgo” en sí mismo. Dicho esto, a continuación se esbozan algunos condicionantes previos al desglose de los principales peligros a los que se enfrentan los CPDs en América Latina.

Cabe señalar que, en el ámbito de la seguridad tecnológica, nada hay más riesgoso que la sensación de seguridad aparente; cuando existe el convencimiento de que las medidas de control implementadas son suficientes y fiables, cuando en realidad no lo son.

Otra importante consideración consiste en cómo el propio concepto de “riesgo¨ está evolucionando, tanto en las nuevas normas publicadas como en aquellas que están en proceso de elaboración, hacia una visión más holística e integrada, pudiendo sintetizarse dicha idea en “todo aquello que ponga en duda la capacidad de poder cumplir con los objetivos del negocio¨. Podemos decir que lo que no es confiable y gobernable, constituye un riesgo.

Por último, es importante establecer que el data center se define como un espacio físico donde convergen las TIC y que, por lo tanto, es el entorno donde existe mayor concentración de valor a proteger (Según el Sistema de Gestión de la Seguridad de la Información SGSI-ISO/ IEC 27001).

Fallas, incidentes y desastres en el centro de proceso de datos, con o sin pérdida de activos sensibles de TICs, impactan de forma concurrente sobre el HW, el SW, la infraestructura y las comunicaciones, generando un colapso sistémico para la continuidad operativa de los Sistemas de la Información.

Conforme a nuestras investigaciones, en América Latina no es costeable replicar en espejo o duplicar de manera sincronizada el 100% de un centro de proceso primario y, si excepcionalmente lo fuera, difícilmente sería una estrategia sostenible a largo plazo ante las fluctuaciones económico-políticas a que nuestros países nos tienen acostumbrados, sin mencionar las crisis mundiales que han globalizado la imprevisibilidad económica.

Entonces, y resumiendo el escenario descrito, podemos afirmar que el CPD primario es un activo estratégico a preservar de los riesgos presentes y futuros, dado que el impacto de su parálisis o pérdida condicionaría la continuidad del negocio y dañaría la imagen de la organización.

Marketing global

Por su parte, los responsables de la operación de los data centers corporativos reciben información de los proveedores de utilities para infraestructura de CPDs que son diseñados para un márketing global debido a la mega concentración que se ha dado en los últimos años en la industria, y pocas veces esta oferta de bienes y sus argumentos de ventas permiten al cliente hacer un análisis comprensivo, neutral y objetivo, orientado a su ¨traje a medida¨.

En esta interacción el cliente no siempre alcanza sus objetivos sin generar nuevos riesgos, evidentes sólo luego de la implantación. En materia de análisis de riesgos, para diagnosticar de manera calificada fallas en el diseño de la infraestructura así como en la protección, se requeriría de un stock de proyectos que pocos mercados latinoamericanos garantizan, con excepción de Brasil y México.

Tampoco hay suficientes tecnólogos en seguridad físico-ambiental orientados a centros de datos que puedan diagnosticar, desde una visión holística el mapa de riesgos, integrando la vulnerabilidad de la seguridad técnica con la físico-ambiental.

La ISO/IEC 27.002 tiene un capítulo dedicado al ambiente físico, y recomienda proteger los activos sensibles de TICs, sin los cuales la vuelta a la normalidad efectiva en tiempo y costo no sería posible.
Los planes de contingencia son diseñados para estabilizar la situación durante un período limitado, pero el desafío para lograr la continuidad operativa pasa fundamentalmente por cómo el centro de cómputo ha sido diseñado y equipado para una vuelta a la normalidad rápida, así como para preservar los datos y equipos más críticos y sensibles.

De momento, el data center aún no está valorado lo suficiente en las organizaciones porque simplemente no se mide el interés que representa para el negocio. Así, a menudo les pasa a nuestros clientes que, cuando determinamos el ¨down time cost¨ de sus CPDs, se asombran al ver que con algunas horas o un par de días de caída de los sistemas se puede perder más que el equivalente al coste de un CPD Tier III con una sala NBR/ABNT 15.247 para el sector más crítico.

Asimismo, las empresas no cuentan con un sistema de toma de decisiones orientado específicamente a sus data centers.

El uso de procedimientos de contratación preexistentes, utilizados para contratar el diseño, construcción o mantenimiento de los centros de datos, implica extrapolar procedimientos y normas que desagregan valor y aumentan el riesgo a corto o medio plazo, con desviaciones en los presupuestos y tiempos asignados.

Sin embargo, nuestra industria empieza a dar síntomas de madurez, superando algunas simplificaciones y modas, para lograr un equilibrio sostenible en el cual basar una estrategia de centro de datos. Por ejemplo, la tercerización del data center o su internalización no puede ser objeto de un análisis profesional si se plantea esta decisión como un ¨todo o nada¨ (perfil bipolar). Una estrategia saludable consigue distinguir qué debe estar bajo el gobierno corporativo, y qué puede ser gestionado por terceros.

Otro ejemplo surge al verificar cómo en el campo concreto del diseño y la construcción de data centers, muchas de las soluciones de infraestructura lanzadas globalmente evidencian la necesidad de una adaptación al medio. Sin estas adaptaciones, las nuevas tecnologías pueden no funcionar conforme a los beneficios esperados, y pueden degradar incluso otras áreas relacionadas, o, incluso, abrir nuevas vulnerabilidades en materia de protección. Esto podría ocurrir, por ejemplo, a consecuencia de la urgencia en resolver un ¨hot-spot¨.

Un factor de origen cultural

Es preciso que los usuarios de data centers aprehendan una visión bidimensional para estructurar un sistema de toma de decisiones. En el eje horizontal podemos ir expandiendo la fiabilidad de la infraestructura en base a redundancias crecientes, diseñadas desde el comienzo para la escalabilidad modular. Transitar del Tier II al Tier IV es posible,pero no siempre es prioritario.

Porque la redundancia en la infraestructura es más o menos conducente a lograr el ¨índice de disponibilidad¨ dependiendo de las ingenierías de aplicación, la calidad de los componentes y el programa de mantenimiento en curso. Tener dos o tres respaldos, lo único que garantiza es más costo, pero no necesariamente mejor gobierno de la disponibilidad.

La otra dimensión, el eje vertical, es el que nos muestra el nivel de gerenciamiento y control de amenazas, plasmado en el nivel de protección del ambiente contra los agentes de riesgo (ISO/IEC 27.002: Incendio, calor, humo, agua, gases corrosivos, humedad, intrusión, sabotaje, etc).

Por otra parte, simplificar lo que es complejo es muy riesgoso. Un data center debería tener no menos de dos niveles de protección físico-ambiental. Un nivel básico, y un nivel normalizado para garantizar la integridad de su contenido (datos y equipos) basado en normas específicas de Certificación de Ambientes de Máxima Seguridad como la directiva regional NBR/ABNT 15.247, basada en una norma original europea, la EN 1047 parte II.

Norteamérica no ha desarrollado ensayos ni normas para la protección de los activos de TI comparables a los europeos y latinoamericanos, simplemente porque el mapa de riesgos es asimétrico. En los Estados Unidos, la preocupación por catástrofes naturales ha enfocado las soluciones hacia la recuperación frente a catástrofes naturales, fundamentalmente.

Pero en nuestro territorio, con excepción de Chile, México y Perú, con algunas áreas de riesgo de terremotos, el foco está orientado a los riesgos físico-ambientales que atañen al data center y a las acciones intencionales e impericia de los recursos humanos. Nuestro escenario, en este sentido, es comparable al de Europa.

Diseñar un centro de datos con apenas unos muros cortafuego, que funcionarán como  hornos irradiando calor y humedad sobre los equipos -que pierden su integridad pasados los 75ºC y 85% de humedad relativa-, es aún una práctica por desconocimiento, entre otros criterios de arquitectura que no deberían adoptarse para un data center.

Por otro lado, si no fuera por el calor irradiado por las paredes, los gases corrosivos de un incendio cercano encontrarían en el ambiente más frío del CPD un microclima perfecto para convertir el humo de PVC en ácido clorhídrico, destructor formidable e invisible.

Podríamos relatar muchas experiencias que muestran que el nivel de vulnerabilidad percibido por el usuario versus el real, experimenta una brecha muy importante, por lo que se trata de un tema prioritario en la región.

Sin un diagnóstico profesional, no es objetivo fundamentar un nuevo proyecto, ni es posible confiar en que el “Plan de vuelta a la normalidad” sea efectivo y eficaz. Y son los gestores de la infraestructura de data centers quienes deben asumir la iniciativa de informar a quienes pueden decidir y asignar el presupuesto para mitigar los riesgos.

Lo urgente y frecuente, como son los microincidentes en el HW o en la infraestructura quitan tiempo y energías para reconocer que un incidente físico-ambiental medio o severo, aunque muy poco frecuente, tiene un impacto letal en caso de producirse. Las estadísticas en materia de siniestralidad son una extrapolación peligrosa para el mundo del centro de datos. Las tasas de siniestralidad en los CPDs son muy bajas, pero estos cánones son como los trajes de baño que usamos en las playas…, muestran lo necesario pero esconden lo fundamental.

Así, las estadísticas de las reaseguradoras en desastres de equipamiento electrónico indican que sólo una de cada cuatro empresas siniestradas consiguieron seguir en el mercado; las otras tres, o colapsaron de inmediato, o lo hicieron durante los tres años que siguieron al siniestro, o bien han sido devoradas por un competidor.

No hay dos casos iguales

Cada territorio tiene su propio mapa de riesgos naturales, y cada localización sus propios riesgos físico-ambientales. Nueve de cada diez centros de datos en América Latina están emplazados en edificios corporativos preexistentes, y son excepcionales las compañías que construyen un edificio sólo para sus TICs. Por este motivo, es necesario adaptar las mejores prácticas -como las del Up Time Institute y la TIA 942-, a nuestra realidad.

De hecho, tendremos por primera vez la visita del VP del UP Time Institute en Sao Paulo y en Buenos Aires a principios de junio de este año para tomar contacto con las necesidades locales, así como para realizar la entrega de la primera certificación Tier III para el data center de Ativas (Brasil).