Πρακτικές βελτίωσης της φυσικής ασφάλειας των τεχνολογικών υποδομών των επιχειρήσεων

Η ειδική περίπτωση των  Data Centers

 Τα τελευταία χρόνια όλο και περισσότερο, τεράστια ποσά χρημάτων επενδύονται από τους οργανισμούς και τις επιχειρήσεις ανά τον κόσμο, αλλά και στη χώρα μας, για την ψηφιακή προστασία των κρίσιμων πληροφοριακών υποδομών τους στις εγκαταστάσεις τους και κατ’ επέκταση των δεδομένων τους από απειλές και κυβερνοεπιθέσεις. Σαφώς, αυτή η πρακτική σήμερα είναι απαραίτητη όσο ποτέ άλλοτε μιας και τα πιο πολύτιμα περιουσιακά στοιχεία ενός οργανισμού μπορεί να είναι οι πληροφορίες και τα δεδομένα που διαθέτει, ενώ οι κυβερνοεπιθέσεις εντείνονται διαρκώς.
Τι γίνεται όμως με την φυσική προστασία των τεχνολογικών υποδομών πληροφορικής;

Του Νέστορα Πεχλιβανίδη

Ως φυσική ασφάλεια, όπως γνωρίζουμε, ορίζεται ευρύτερα η προστασία του προσωπικού, των εγκαταστάσεων, της υλικο-λογισμικής υποδομής, των δικτύων και όλων των φυσικών και τεχνολογικών πόρων της επιχείρησης. Σε αυτούς τους πόρους σίγουρα περιλαμβάνονται δεδομένα και πληροφορίες που πρέπει να προστατευτούν από συμβάντα που μπορούν να προκαλέσουν σοβαρές ζημιές και απώλειες σε ένα οργανισμό.

Είναι ιδιαίτερα ζωτικής σημασίας για μία επιχείρηση να προστατεύεται φυσικά και αποτελεί μία επιχειρηματική πρακτική με πολλούς στόχους, κάποιοι μεταξύ  των οποίων είναι:

• Η αποτροπή εισόδου μη εξουσιοδοτημένων προσώπων εντός κάποιας επιχείρηση για την αποφυγή βλάβης, ζημιάς ή καταστροφής.
• Η προστασία της πνευματικής ιδιοκτησίας ενός οργανισμού από την επιχειρηματική κατασκοπία.
• Η αποφυγής βίας και εγκληματικών ενεργειών στον εργασιακό χώρο.

Σήμερα λοιπόν, είναι επιτακτική ανάγκη για τις επιχειρήσεις να αναθεωρήσουν την οπτική που έχουν για τη φυσική ασφάλεια και να την προσεγγίσουν ως πρωταρχικό πυλώνα της στρατηγικής τους σε συνδυασμό με τις απαιτήσεις ασφάλειας στον κυβερνοχώρο, ίσως και προέκταση αυτού.

Οι παρακάτω συμβουλές θα ήταν καλό να ληφθούν υπόψη από κάθε υπεύθυνο ασφάλειας προκειμένου να επιτευχθεί η αναβάθμιση της φυσικής ασφάλειας μιας επιχείρησης και ειδικότερα των πληροφοριακών υποδομών που αποτελούν ζωτικό πεδίο της επιχειρησιακής λειτουργίας σήμερα.

Καθορισμός περιμέτρου φυσικής ασφάλειας

Για την προστασία των εγκαταστάσεων της πληροφορικής ενός οργανισμού ή μιας επιχείρησης, οι τοίχοι και άλλα τεχνητά φράγματα, σαφώς θα πρέπει να αξιοποιηθούν προκειμένου να καθοριστεί η περιοχή ελέγχου και οι πόρτες εισόδου να προστατεύονται απαραίτητα με σύστημα ελέγχου πρόσβασης. Θα μπορούσε επίσης στην υποδοχή ενός τέτοιου χώρου να υπάρχει προσωπικό ασφάλειας, κάτι που είναι  ιδιαίτερα σημαντικό όταν υπάρχουν ευαίσθητες πληροφορίες ή συστήματα που τις διαχειρίζονται. Επιπλέον, η είσοδος σε κέντρα δεδομένων ή άλλες περιοχές κρίσιμης σημασίας, να επιτρέπεται μόνο κατόπιν επιπρόσθετου αιτήματος φυσικού ελέγχου πριν από τη χορήγηση πρόσβασης. Τα συστήματα διαχείρισης και αποθήκευσης πληροφοριών, θα πρέπει να βρίσκονται σε δωμάτια με πόρτες και παράθυρα που κλειδώνουν όταν μένουν χωρίς επιτήρηση, ενώ πρέπει να λαμβάνονται υπόψη επιπλέον μέτρα ασφάλειας για γραφεία ή άλλες τοποθεσίες που βρίσκονται κοντά σε αυτούς τους χώρους και στο ίδιο επίπεδο.

Διασφάλιση φυσικού ελέγχου στις εισόδους

Οι κατάλληλοι έλεγχοι στις εισόδους, διασφαλίζουν πως η πρόσβαση επιτρέπεται μόνο σε εξουσιοδοτημένο προσωπικό. Η φυσική πρόσβαση σε εγκαταστάσεις όπου βρίσκονται συστήματα πληροφοριών, θα πρέπει να προστατεύεται και με χρήση συστημάτων συναγερμού και φυσικά εξοπλισμού βιντεοεπιτήρησης τελευταίας τεχνολογίας για τον αξιόπιστο και έγκαιρο εντοπισμό πιθανών περιστατικών παραβίασης, ενώ τα αρχεία καταγραφής συνίσταται να επανεξετάζονται τουλάχιστον ανά τρίμηνο. Θα πρέπει ακόμα να πραγματοποιούνται αναθεωρήσεις όταν εντοπίζονται πιθανά περιστατικά παραβίασης και εφόσον συμβεί κάτι ανάλογο, οι αναφορές να περιλαμβάνουν λεπτομερώς όλες τις ενέργειες που λήφθηκαν.

Προστασίας από εξωτερικές και περιβαλλοντικές απειλές

Φυσικές καταστροφές όπως οι πλημμύρες, οι σεισμοί, οι πυρκαγιές αλλά και καταστροφές από ανθρωπογενείς παράγοντες όπως μία τρομοκρατική επίθεση, πρέπει να ληφθούν σοβαρά υπόψη για την περαιτέρω ασφάλεια των τεχνολογικών υποδομών μιας επιχείρησης. Αφού καθοριστούν οι κίνδυνοι που μπορεί να διατρέχει η συγκεκριμένη εγκατάσταση, οι ιθύνοντες θα μπορούσαν να προβούν στην τοποθέτηση ανιχνευτών πυρκαγιάς και συναγερμών, που ενεργοποιούνται από αισθητήρες καπνού ή θερμότητας, ενώ θα πρέπει  να εφαρμόζονται κατάλληλα συστήματα πυρόσβεσης σε όλες τις εγκαταστάσεις και εντός περιοχών που περιέχουν συστήματα πληροφοριών. Οι συσκευές ανίχνευσης νερού ή υγρασίας θα πρέπει να βρίσκονται σε οροφές και σε υπερυψωμένα δάπεδα για να ανιχνεύουν διαρροές νερού ή πιθανές πλημμύρες, ενώ τα συστήματα πληροφοριών πρέπει οπωσδήποτε να προστατεύονται από μια πιθανή πλημμύρα.

Ασφαλής τοποθέτηση και προστασία του εξοπλισμού

Τα συστήματα και οι διάφορες ηλεκτρονικές συσκευές πρέπει να τοποθετούνται σε ασφαλισμένες περιοχές, καθώς ο εξοπλισμός  πρέπει να προστατεύεται για την αποφυγή ζημιών από περιβαλλοντικές καταστροφές, αλλά και για τον περιορισμό της πρόσβασης, ειδικά από μη εξουσιοδοτημένα πρόσωπα. Η προσθήκη νέων συσκευών πληροφοριακής υποδομής, διακομιστών ή άλλων συστημάτων και εργαλείων μπορεί να επηρεάσει τις δυνατότητες απόδοσης των βοηθητικών προγραμμάτων υποστήριξης. Ως εκ τούτου, οι υπεύθυνοι ασφάλειας των επιχειρήσεων πρέπει να αξιολογούν σωστά πριν από μία νέα εγκατάσταση για να διασφαλίσουν ότι τα υποστηρικτικά εργαλεία και βοηθητικά προγράμματα είναι ικανά να υποστηρίξουν τη νέα υποδομή ή άλλες συσκευές υλικού.

Διαχείριση βοηθητικών λειτουργιών

Όλες οι υποστηρικτικές λειτουργίες κοινής ωφέλειας σε ένα οργανισμό, όπως ο ηλεκτρισμός, το φυσικό αέριο, η παροχή νερού, η θέρμανση, ο εξαερισμός και ο κλιματισμός (HVAC), πρέπει να είναι επαρκείς για τα συστήματα και το προσωπικό που υποστηρίζουν. Τα εν λόγω συστήματα απαιτούν κατάλληλη ηλεκτρική παροχή που να πληροί τις απαιτήσεις ισχύος που ορίζονται από τους κατασκευαστές εξοπλισμού, ενώ η λειτουργία του εξοπλισμού κρίσιμων επιχειρηματικών λειτουργιών θα πρέπει να υποστηρίζεται κι από τροφοδοτικό τύπου UPS. Ο φωτισμός έκτακτης ανάγκης πρέπει να ελέγχεται τακτικά για να διασφαλίζεται ότι λειτουργεί σωστά σε περίπτωση διακοπής ρεύματος, ενώ οι διακόπτες απενεργοποίησης έκτακτης ανάγκης πρέπει να βρίσκονται κοντά σε εξόδους κινδύνου, σε κέντρα δεδομένων και χώρους εξοπλισμού για να διευκολύνεται η ταχεία απενεργοποίηση σε περίπτωση έκτακτης ανάγκης.

Ασφάλεια καλωδίων ρεύματος και τηλεπικοινωνιών

Σημαντικό επίσης είναι, τα καλώδια τροφοδοσίας και τηλεπικοινωνιών που έχουν τοποθετηθεί για την υποστήριξη συστημάτων πληροφοριών ή τη μεταφορά δεδομένων να προστατεύονται από υποκλοπές, παρεμβολές ή ζημιές. Οι ομάδες ασφάλειας των επιχειρήσεων  πρέπει να χρησιμοποιούν σαφώς αναγνωρίσιμες σημάνσεις καλωδίων για να ελαχιστοποιήσουν πιθανά σφάλματα χειρισμού, όπως η τυχαία αποσύνδεση ή η μετακίνηση καλωδίων. Η φυσική πρόσβαση στις γραμμές διανομής και μετάδοσης συστημάτων πληροφοριών συνίσταται να ελέγχεται εντός των εγκαταστάσεων. Ίσως θα σωστό να αφιερωθεί ο απαραίτητος χρόνος ώστε να διασφαλιστεί πως τα καλώδια έχουν ετικέτες και είναι σωστά οργανωμένα για να αποτρέψετε ακούσια σφάλματα. Ένα βραχυπρόθεσμο σχέδιο για την αντιμετώπιση της καλωδίωσης σήμερα σίγουρα θα συμβάλει στην αποφυγή αμέτρητων προβλημάτων αύριο.

Ασφάλεια ψηφιακών δεδομένων

Οι ηλεκτρονικοί υπολογιστές, τα επιμέρους περιφερειακά συστήματα, τα διάφορα έγγραφα και οι αναφορές, το λογισμικό και άλλα περιουσιακά στοιχεία πληροφοριών που ανήκουν σε έναν οργανισμό ή επιχείρηση, δεν θα πρέπει να απομακρύνονται χωρίς προηγούμενη εξουσιοδότηση. Οι υπεύθυνοι ασφάλειας πρέπει να αναπτύξουν τεχνικές πλήρους κρυπτογράφησης δίσκου σε όλους τους φορητούς υπολογιστές. Τα στοιχεία ενεργητικού παραμένουν ιδιοκτησία ενός οργανισμού, ακόμη και όταν βρίσκονται εκτός έδρας. Το προσωπικό πρέπει να αντιληφθεί πως αυτά τα περιουσιακά στοιχεία δεν πρέπει να χρησιμοποιούνται από μέλη της οικογένειας ή φίλους. Αυτή η μη εξουσιοδοτημένη χρήση μπορεί να εισάγει όχι μόνο τεχνικούς κινδύνους, αλλά και να προσβάλει την εμπιστευτικότητα των δεδομένων που περιέχονται στις συσκευές λόγω ακατάλληλης προβολής πληροφοριών και δεδομένων από μη εξουσιοδοτημένα άτομα.

Προστασία υλικού κατά την μεταφορά

Τα διάφορα συστήματα που έχουν αποθηκευμένες πληροφορίες και δεδομένα, θα πρέπει να προστατεύονται από τη μη εξουσιοδοτημένη πρόσβαση και κακή χρήση, ακόμα και κατά τη μεταφορά πέρα ​​από τα φυσικά όρια του της επιχείρησης. Τα δεδομένα  πρέπει να είναι κρυπτογραφημένα πριν μετακινηθούν, καθώς επίσης συνίσταται να τηρείται πλήρης απογραφή όλων των φυσικών μέσων που μεταφέρονται εκτός του οργανισμού. Εάν ένας οργανισμός χρησιμοποιεί έναν πάροχο αρχειοθέτησης ή μακροπρόθεσμης αποθήκευσης, έξω από τις εγκαταστάσεις του, η επιχείρηση θα πρέπει να απαιτήσει από τον πάροχο να πραγματοποιεί απογραφή των μέσων αποθήκευσης και να την υποβάλει σε περιοδική βάση. Επιπλέον, οι έλεγχοι ασφαλείας που υπάρχουν στις εγκαταστάσεις του παρόχου να δοκιμάζονται τουλάχιστον ετησίως.

Ολιστική Προσέγγιση

Θα λέγαμε ότι υπεύθυνοι λήψης αποφάσεων και καθορισμού πολιτικών ασφάλειας μέσα στις επιχειρήσεις θα πρέπει να σχεδιάζουν ένα ολιστικό πρόγραμμα φυσικής ασφάλειας και διασφαλίζουν, πως ένα ολοκληρωμένο πρόγραμμα φυσικής ασφάλειας, πρέπει να αναπτύσσεται και να εφαρμόζεται με συνέπεια σε ολόκληρο τον οργανισμό και από όλους. Από την κορυφή της διοίκησης μέχρι το προσωπικό βάσης.

Οι οργανισμοί που παραβλέψουν μια βασική πτυχή σε ένα ολοκληρωμένο πρόγραμμα φυσικής ασφάλειας όπως αυτή της προστασίας των υποδομών πληροφορικής αλλά και ευρύτερα του ηλεκτρομηχανολογικού εξοπλισμού, αφήνοντας κάποιο κενό ή ευάλωτο σημείο είναι πολύ πιθανόν να το πληρώσουν και οι συνέπειες να είναι πολύ αρνητικές.

Με την ανάπτυξη ενός ολοκληρωμένου προγράμματος φυσικής ασφάλειας, που υποστηρίζεται από όλα τα ενδιαφερόμενα μέρη του οργανισμού, οι επιχειρήσεις μπορούν να αποφύγουν βασικές απειλές ώστε να επιτύχουν πιο αποτελεσματική συνολική ασφάλεια.

Η ειδική περίπτωση των Data Centers

Εκτός από τα πολλά επίπεδα ψηφιακής ασφάλειας στον κυβερνοχώρο, η ανάγκη προστασίας των κέντρων δεδομένων – Data Centers – με πολλαπλά επίπεδα συστημάτων φυσικής ασφάλειας, είναι υψηλής σημασίας για κάθε μικρό ή μεγάλο οργανισμό.

Τα κέντρα δεδομένων στεγάζουν τον κρίσιμο εξοπλισμό τεχνολογίας πληροφοριών (IT), την υποδομή δικτύου και τα ίδια τα δεδομένα. Η υποδομή δικτύου περιλαμβάνει πύλες (gateways), δρομολογητές (routers), μεταγωγείς (switches), διακομιστές (servers), τείχη προστασίας (firewalls) , συστήματα αποθήκευσης και ελεγκτές παράδοσης εφαρμογών για τη διαχείριση και την αποθήκευση δεδομένων και εφαρμογών. Στα data centers βρίσκεται αποθηκευμένος τεράστιος όγκος δεδομένων, για επεξεργασία, ανάλυση και διανομή και ως εκ τούτου συνδέουν τους οργανισμούς με τους παρόχους υπηρεσιών. Πολλοί οργανισμοί νοικιάζουν κάποιο χώρο και εξοπλισμό δικτύωσης σε κέντρο δεδομένων εκτός της τοποθεσίας τους, αντί να έχουν ένα data center στην εγκατάσταση τους. Ένα κέντρο δεδομένων που εξυπηρετεί πολλούς οργανισμούς είναι γνωστό ως κέντρο δεδομένων πολλαπλών ενοικιαστών ή κέντρο δεδομένων συντοπισμού και λειτουργεί από τρίτο μέρος.

Η φυσική ασφάλεια ενός κέντρου δεδομένων περιλαμβάνει διάφορες πρακτικές και λύσεις προστασίας των συγκεκριμένων εγκαταστάσεων που βρίσκονται αυτές οι υποδομές και του εξοπλισμού που αποθηκεύει κρίσιμα δεδομένα και λειτουργίες εφαρμογών. Για την ασφάλεια και την προστασία αυτών των χώρων, θα πρέπει να λαμβάνοντα υπόψιν παράγοντες που κυμαίνονται από την επιλογή τοποθεσίας, έως την ελεγχόμενη πρόσβαση του προσωπικού στο κέντρο δεδομένων όπου πρέπει να παρακολουθούνται και να ελέγχονται σταθερά και αυστηρά. Για να αποφευχθούν τυχόν παραβιάσεις ασφάλειας σε αυτούς τους χώρους, πρέπει να ληφθούν υπόψη πολλές παράμετροι και η στρατηγική να βασιστεί σε μια σειρά από λύσεις όπως οι ακόλουθες:

• Παρακολούθηση 24/7 με σύστημα βίντεο-επιτήρησης με διατήρηση των αρχείων βίντεο σύμφωνα με την πολιτική του οργανισμού και τις προβλεπόμενες διατάξεις των νόμων.
• Επιτήρηση μέσω φυλάκων ασφαλείας 24×7 και επανδρωμένων επιχειρήσεων της inhouse ή εξωτερικής ομάδας ασφάλειας
• Τακτική συντήρηση κάθε υλικού ασφάλειας
• Έλεγχος και παρακολούθηση των δικαιωμάτων ελέγχου πρόσβασης τακτικά και αύξηση των διαβαθμίσεων εάν είναι απαραίτητο
• Έλεγχος και παρακολούθηση της θερμοκρασίας και της υγρασίας μέσω του κατάλληλου ελέγχου του κλιματισμού
• Αδιάλειπτη παροχή ρεύματος (UPS)
• Παροχή συστήματος συναγερμού πυρκαγιάς όσο και συστήματος ανίχνευσης καπνού αναρρόφησης σε κέντρο δεδομένων. Ένα σύστημα αναρρόφησης, ανιχνεύει και ειδοποιεί το προσωπικό πριν ξεσπάσει πυρκαγιά και θα πρέπει να λαμβάνεται υπόψη για ευαίσθητες περιοχές.
• Πίνακας ανίχνευσης διαρροής νερού για παρακολούθηση τυχόν διαρροής νερού στο δωμάτιο διακομιστή
• Σύστημα απωθητικού τρωκτικών στο κέντρο δεδομένων. Λειτουργεί ως ηλεκτρονικός έλεγχος παρασίτων για να αποτρέψει τους αρουραίους να καταστρέψουν διακομιστές και καλώδια.
• Συστήματα πυροπροστασίας και πυρόσβεσης που είναι ειδικά πιστοποιημένα και τεχνικά σχεδιασμένα για αυτούς τους ευαίσθητους χώρους.

Τα αυτόνομα Data Centers

Στην περίπτωση των αυτόνομων Data Centers, που βρίσκονται δηλαδή εκτός του πεδίου των εγκαταστάσεων μιας επιχείρησης, όπου μπορούν να φιλοξενούν τις πληροφοριακές υποδομές τρίτων εξετάζουμε και κάποιες επιπλέον παραμέτρους.

Η ασφάλεια ενός κέντρου δεδομένων αυτής της κατηγορίας ξεκινά από τη θέση του. Πρέπει να ληφθούν υπόψη οι ακόλουθοι παράγοντες: γεωλογική δραστηριότητα, όπως σεισμοί, βιομηχανίες υψηλού κινδύνου στην περιοχή, κίνδυνος πλημμύρας και άλλοι πιθανοί κίνδυνοι.  Ορισμένοι από αυτούς τους κινδύνους θα μπορούσαν να μετριαστούν από τεχνητές περιφράξεις και άλλες επεμβάσεις στο φυσικό σχεδιασμό.

Ωστόσο, εάν κάποιος παράγοντας μπορεί να επιφέρει σοβαρή επιβλαβή επίδραση στο κέντρο δεδομένων, καλό είναι να μην επιλεγεί εντελώς η συγκεκριμένη τοποθεσία.

Ο βέλτιστος και στρατηγικός τρόπος για να διασφαλιστεί ένα κέντρο δεδομένων είναι η διαχείρισή του σε επίπεδα. Τα επίπεδα παρέχουν ένα δομημένο μοτίβο φυσικής προστασίας, καθιστώντας έτσι εύκολη την ανάλυση και αντιμετώπιση μιας αστοχίας έγκαιρα και αποτελεσματικά. Τα εξωτερικά στρώματα είναι καθαρά φυσικά, ενώ τα εσωτερικά στρώματα βοηθούν επίσης στην αποτροπή τυχόν σκόπιμων ή τυχαίων παραβιάσεων δεδομένων.

Τα τέσσερα επίπεδα φυσικής ασφάλειας του κέντρου δεδομένων.

Τα μέτρα ασφαλείας μπορούν να κατηγοριοποιηθούν σε τέσσερα επίπεδα: ασφάλεια περιμέτρου, έλεγχοι εγκαταστάσεων, έλεγχοι control room και έλεγχοι καμπινών των racks. Το Layering αυτό αποτρέπει τη μη εξουσιοδοτημένη είσοδο από το εξωτερικό στο κέντρο δεδομένων. Τα εσωτερικά στρώματα βοηθούν επίσης στον μετριασμό των εσωτερικών απειλών.

Πρώτο επίπεδο προστασίας: περιμετρική ασφάλεια.  Το πρώτο επίπεδο ασφάλειας του κέντρου δεδομένων στοχεύει στην ανίχνευση και την αποτροπή ή τουλάχιστον την πολύ μεγάλη καθυστέρηση, οποιασδήποτε μη εξουσιοδοτημένης εισόδου στην περίμετρο. Αυτό μπορεί να επιτευχθεί μέσω ενός συστήματος παρακολούθησης βίντεο υψηλής ανάλυσης, φωτισμού ασφαλείας που ενεργοποιείται με κίνηση, καλωδίου οπτικών ινών ανίχνευσης κίνησης κ.λπ. Η ανάλυση περιεχομένου βίντεο (VCA) μπορεί να εντοπίσει άτομα και αντικείμενα και να ελέγξει για τυχόν ύποπτη συμπεριφορά εξωτερικά της περιμέτρου. Στόχος είναι να εντοπίζονται άμεσα οι ύποπτες κινήσεις και να περιορίζονται οι ψευδείς συναγερμοί

Δεύτερο επίπεδο προστασίας: έλεγχοι εγκαταστάσεων.  Σε περίπτωση παραβίασης της περιμετρικής προστασίας, το δεύτερο επίπεδο άμυνας θα πρέπει να περιορίζει την πρόσβαση στο αμιγώς λειτουργικό κέντρο δεδομένων με ένα σύστημα ελέγχου πρόσβασης, που χρησιμοποιεί σάρωση καρτών ή βιομετρικά στοιχεία. Οι σύγχρονες λύσεις βιντεο-επιτήρησης με τεχνολογίες video analytics, μπορούν να δώσουν πολύ καλά αποτελέσματα αναγνώρισης παράνομων εισβολέων, επιτρέποντας την ανάγνωση πινακίδων οχημάτων, αναγνώρισης προσώπων και άλλων απειλών άλλων παραγόντων όπως για παράδειγμα καπνού και πυρκαγιάς.

Τρίτο επίπεδο προστασίας: έλεγχοι των control rooms. Το τρίτο επίπεδο φυσικής ασφάλειας περιορίζει περαιτέρω την πρόσβαση στα control rooms, μέσω διαφορετικών μεθόδων, όπως: παρακολούθηση όλων των επιτηρούμενων περιοχών, ανάπτυξη περιορισμών εισόδου με περιστροφική πύλη, παροχή VCA, παροχή βιομετρικών συσκευών ελέγχου πρόσβασης για επαλήθευση σε συνδυασμό και με άλλα μέσα ταυτοποίησης (κωδικοί, κάρτες κλπ). Η χρήση πολλαπλών συστημάτων συμβάλλει στον περιορισμό της μη εξουσιοδοτημένης πρόσβασης απαιτώντας πολλαπλές επαληθεύσεις.

Τέταρτο επίπεδο προστασίας: έλεγχοι καμπινών. Τα τρία πρώτα επίπεδα στόχο έχουν να διασφαλίζουν την είσοδο μόνο εξουσιοδοτημένου προσωπικού. Ωστόσο, η περαιτέρω ασφάλεια για τον περιορισμό της πρόσβασης περιλαμβάνει μηχανισμούς κλειδώματος κάθε καμπίνας με rack ή άλλον εξοπλισμό. Αυτό το επίπεδο, αντιμετωπίζει τον φόβο μιας «εσωτερικής απειλής», όπως ένας κακόβουλος υπάλληλος που θέλει να υποκλέψει δεδομένα ή να προβεί σε μια δολιοφθορά. Μετά την καλή εφαρμογή των τριών πρώτων στρωμάτων, οι καμπίνες που στεγάζουν τα ράφια μέσα στην αίθουσα υπολογιστών, πρέπει επίσης να προστατεύονται για να αποφευχθεί οποιαδήποτε δαπανηρή παραβίαση δεδομένων. Υπάρχουν πολλά σημαντικά ζητήματα για το κρίσιμο τέταρτο επίπεδο, όπως η παροχή καμπινών διακομιστών με ηλεκτρονικά συστήματα κλειδώματος. Για να διασφαλιστεί η πρόσβαση, η ίδια έξυπνη κάρτα μπορεί να χρησιμοποιηθεί για πρόσβαση στις καμπίνες. Τα παραπάνω συστήματα μπορούν να συνδεθούν με τις βιντεοκάμερες για τη λήψη της εικόνας του ατόμου και των δραστηριοτήτων του και την αυτόματη καταγραφή των δεδομένων για περαιτέρω ανάλυση και έλεγχο. Οι κάμερες PTZ μπορούν να προκαθοριστούν σε θέσεις με βάση τα ανοίγματα της πόρτας κάθε καμπίνας.

Ένα ολοκληρωμένο δίκτυο των τεσσάρων επιπέδων ασφάλειας, μπορεί να δημιουργήσει ένα αποτελεσματικό, αποδοτικό και ολοκληρωμένο σύστημα για κάθε εφαρμογή. Η περαιτέρω ενοποίηση επιτρέπει την κεντρική αναζήτηση, αποθήκευση, εγγραφή, αποστολή, κοινή χρήση και δυνατότητες ανάκτησης. 

Βέλτιστες πρακτικές συνθηκών ασφάλειας

Ο έλεγχος κέντρου δεδομένων πρέπει να περιλαμβάνει μια τακτική απογραφή περιουσιακών στοιχείων και να δημιουργεί μια βιβλιοθήκη ακριβών, ενημερωμένων πληροφοριών σχετικά με όλο τον εξοπλισμό του κέντρου δεδομένων—από διακομιστές και καμπίνες έως συσκευές αποθήκευσης. Ακολουθούν μερικές από τις βέλτιστες πρακτικές για τη δημιουργία συνθηκών ασφάλειας σε μια εγκατάσταση κέντρου δεδομένων.

• Διεξάγετε τακτικούς ελέγχους. Οι εσωτερικοί έλεγχοι είναι απαραίτητοι για τα εφαρμοζόμενα συστήματα και διαδικασίες. Οι έλεγχοι θα πρέπει να αξιολογούν και να εντοπίζουν τυχόν τρωτά σημεία στις εγκαταστάσεις του κέντρου δεδομένων που μπορεί να απειλήσουν την ασφάλεια. Ελέγξτε εάν λειτουργούν και συντηρούνται τα συστήματα ελέγχου πρόσβασης, οι κάμερες και οι ηλεκτρονικές κλειδαριές. Ελέγξτε εάν τυχόν αλλαγές θέσεων εργασίας στους υπαλλήλους απαιτούν ενημέρωση των διαδικασιών και των συστημάτων.
• Ενίσχυση των συστημάτων ελέγχου πρόσβασης.  Ως αποτέλεσμα των ελέγχων αυτών, κάθε εγκατάσταση που απαιτεί επιπρόσθετη προστασία θα πρέπει να λάβει επιπρόσθετα μέτρα ασφάλειας. Για παράδειγμα, μπορεί να συνιστώνται πολλαπλές μέθοδοι επαλήθευσης για την είσοδο του προσωπικού σε μια συγκεκριμένη περιοχή, όπως μια κάρτα πρόσβασης και η αναγνώριση δακτυλικών αποτυπωμάτων ή άλλες μεθόδους ταυτοποίησης. Πάντα είναι χρήσιμος ένας έλεγχος ολόκληρης της εγκατάστασης και των ατόμων που βρίσκονται σε αυτόν για να αξιολογήσετε εάν το σύστημα πρόσβασης πρέπει να επικαιροποιηθεί.
• Βελτιώστε την επιτήρηση μέσω βίντεο.  Οι κάμερες ασφαλείας θα πρέπει να διαθέτουν όλες τις σύγχρονες τεχνολογίες υψηλής απόδοσης και να καλύπτουν τόσο τους εσωτερικούς όσο και τους εξωτερικούς χώρους της εγκατάστασης. Η διασύνδεση των συστημάτων βίντεο-επιτήρησης με άλλες υποδομές όπως ο έλεγχος πρόσβασης ή το σύστημα πυρανίχνευσης είναι πάντα αποτελεσματική. Παρόμοια με τα συστήματα ελέγχου πρόσβασης, η σύζευξη αυτών με την 24ωρη επιτήρηση από το προσωπικό ασφαλείας μπορεί να βελτιώσει σημαντικά την ασφάλεια της εγκατάστασης.
• Συμμόρφωση και ευαισθητοποίηση με τις πολιτικές ασφαλείας.  Αυτό απαιτεί εκπαίδευση του προσωπικού σχετικά με τα μέτρα ασφαλείας που πρέπει να ακολουθούνται και τη δημιουργία κουλτούρας ασφάλειας.

Η φυσική ασφάλεια λοιπόν των Data Centers πρέπει να βασίζεται στην προστασία τεσσάρων επιπέδων και να παρέχει μια προσέγγιση άμυνας σε βάθος σε περίπτωση παράκαμψης του ελέγχου. Οι έλεγχοι περιλαμβάνουν διοικητικές αποφάσεις για τήρηση διαδικασιών όπως ο

ο σχεδιασμός της εγκατάστασης και ο έλεγχος/εκχώρηση του επιπέδου πρόσβασης από υπαλλήλους.  Οι φυσικοί έλεγχοι περιλαμβάνουν περιμετρική παρακολούθηση, ανίχνευση κίνησης και συναγερμούς εισβολής. Οι τεχνικοί έλεγχοι περιλαμβάνουν έξυπνες κάρτες που χρησιμοποιούνται για έλεγχο πρόσβασης, συστήματα βίντεο-επιτήρησης και συστήματα ανίχνευσης εισβολών.

Οι περισσότεροι οργανισμοί επικεντρώνονται στην ασφάλεια λογισμικού και στα τείχη προστασίας για την προστασία των πληροφοριών τους. Ωστόσο, μια παραβίαση της φυσικής ασφάλειας θα μπορούσε να προκαλέσει την κλοπή δεδομένων και συσκευών που θα καταστήσουν άχρηστη την ασφάλεια λογισμικού. Είναι σημαντικό λοιπόν να διεξαχθεί μια μελέτη αξιολόγησης κινδύνου σύμφωνα με το ISO 27001 και να εφαρμοστούν οι κατάλληλοι έλεγχοι ασφαλείας για να διασφαλιστεί ένα ασφαλές κέντρο δεδομένων.