Anixter Melhores Praticas de Gestao de Riscos Data Center

RESUMO DE TECNOLOGIA GLOBAL
MELHORES PRÁTICAS
DE GESTÃO DE RISCOS
GESTÃO DE RISCOS
MELHORES PRÁTICAS
CONTEÚDO
4 RESUMO
5 INTRODUÇÃO
7 A RÁPIDA ASCENSÃO DOS DATA CENTERS
10 RISCO NO AMBIENTE DOS DATA CENTERS
12 O CUSTO DE SEGURANÇA VS. O RISCO
16 DECLARAR PROPRIEDADE DO ORÇAMENTO
18 PROTEÇÃO DE INFORMAÇÃO E ATIVOS FÍSICOS
20 DRIVEN BY COMPLIANCE
22 PADRÕES DE CONCEPÇÃO E MELHORES PRÁTICAS
24 UMA ESTRATÉGIA MULTIFACETADA PARA SEGURANÇA FÍSICA
25 ESTRATÉGIA DE MACROSSEGMENTAÇÃO
28 AS SEIS CAMADAS QUE FUNDAMENTAM A SEGURANÇA FÍSICA DE UM DATA CENTER
28 Camada 1: Defesa do perímetro
31 Camada 2: Zona limpa
34 Camada 3: Fachada da insTalação e área de recepção
36 Camada 4: Corredores, áreas sob escolta e área cinza
38 Camada 5: Sala de Data Center e área branca
41 Camada 6: Gabinete do Data Center
45 CONCLUSÃO
2
www.dcd-intelligence.com www.anixter.com/datacenterdcd
GESTÃO DE RISCOS
MELHORES PRÁTICAS
ÍNDICE DAS FIGURAS

Página 6 Introdução Página 21 Driven by compliance
Figura 1: Ameaças ao Data Center Figura 9: Grandes certificações industriais com normas de
segurança
Página 7 A rápida ascensão dos Data Centers Figura 10: A conversa ideal com um auditor
Figura 2: Previsão de exigência de espaço para o
Data Center (bilhões m2) – 2012-2020 Página 28 As seis camadas que fundamentam
a segurança física de um Data Center
Página 8 Figura 11: Camada 1: Defesa do perímetro
Figura 3: Impulsionadores do crescimento do Data Center
Página 31
Página 9 Figura 12: Camada 2: Zona limpa
Figura 4: Previsão de crescimento do espaço do
Data Center (m2) – na empresa, colocalidade/ Página 34
terceirizado e total – 2013-2020 Figura 13: Camada 3: Fachada da instalação e área de
recepção
Página 10 Risco no ambiente do Data Center
Figura 5: Ameaças físicas ao Data Center Página 36
Figura 14: Camada 4: Corredores, áreas sob escolta e
Página 13 O custo da segurança vs. o risco área cinza
Figura 6: Investimento vs. Risco
Página 38
Página 15 Figura 15: Camada 5: Sala de Data Center e área branca
Figura 7: Os acertos e erros do comprometimento
corporativo Página 41
Figura 16: Camada 6: Gabinete do Data Center
Página 16 declarar propriedade do orçamento
Figura 8: Orçamento para segurança física – atendendo
às diferentes especificações executivas
3
GESTÃO DE RISCOS
MELHORES PRÁTICAS
RESUMO
Este relatório identifica como a rápida ascensão dos Data Centers está levando a
um aumento do risco de roubo, sabotagem e má conduta corporativa. No entanto,
muitos operadores de Data Centers concentram-se apenas na segurança lógica,
ignorando a segurança física e suas potenciais ameaças. Este tipo de pensamento
leva a vulnerabilidades de segurança em um Data Center e aumenta a exposição a
riscos desnecessários.
Equilibrar a segurança física com a segurança lógica é a única maneira de proteger

um Data Center. Este artigo analisa o custo vs risco de segurança do Data Center, a
importância de proteger fisicamente os ativos e o valor de declarar a propriedade do
orçamento de segurança. Impulsionado por regulamentações da indústria, padrões de
design e melhores práticas, a segurança física do Data Center é um investimento tão
importante quanto as mais recentes firewalls e protocolos de segurança cibernética.
Ao longo dos capítulos, o documento estabelece os passos para criar uma

estratégia multifacetada eficaz de segurança física que se concentra na
implementação de uma abordagem de segurança física de seis camadas.
Por fim, este artigo analisa a necessidade da segurança física do Data Center e os
riscos para as organizações que não protegem adequadamente os seus dados
fundamentais. Ele também estabelece uma série de normas e as melhores práticas
para proteger os Data Centers em seis camadas diferentes.
As informações apresentadas neste artigo são apenas para fins informativos e não devem ser
consideradas assessoria técnica. Os leitores devem procurar aconselhamento profissional
independente antes de confiar ou entrar em qualquer compromisso com base no material publicado
aqui, cujo propósito é simples referência.
4
GESTÃO DE RISCOS
MELHORES PRÁTICAS
INTRODUÇÃO
Seja para negócios, educação, entretenimento ou compras, quase todas as

transações financeiras, ligações ou mensagens telefônicas, download de filmes ou
busca na Internet acontecem agora ou são registrados em um Data Center. Como
as vidas pessoais e profissionais de quase todos nós depende de um ecossistema
saudável dentro dos Data Centers, é natural que estes sejam agora alvos de
ladrões, espiões e outros que procuram de forma maliciosa danificar ou roubar as
informações contidas dentro deles.
A violação de dados é universal

Conforme os Data Centers cresceram em importância, as violações dos dados
tornaram-se praticamente universais. Um estudo realizado pela Ponemom Institute
("Estudo de 2015 sobre o custo da violação de dados: Análise global") mostrou
que a violação de dados aconteceu com cada uma das 314 empresas pesquisadas,
com números que variam entre cerca de 2.000 registros até "megaviolações" que
afetam mais de 100.000 registros.
Hoje, mais do que nunca, uma violação de um Data Center é muito prejudicial para
o futuro de uma organização. Conforme o risco aumenta, uma crescente variedade
de ameaças sofisticadas continua a emergir, projetadas para invadir as defesas do
Data Center.
FATOS DAS VIOLAÇÕES DE SEGURANÇA
›› O custo médio de uma violação de dados é de $3,5 milhões. A ausência de desenvolvimento ou

adesão a protocolos adequados tem-se revelado muito prejudicial, uma vez que 39% de todas as
violações são resultado de negligência.
›› Os ataques maliciosos estão em ascensão e ameaçam suplantar a negligência como a causa mais
comum de violações de Data Centers.
›› Apesar desses custos, os profissionais de segurança do Data Center relatam terem recebido, em
média, apenas 50% do orçamento que eles acreditam que a empresa necessitaria.
Fonte: Instituto Ponemon 2014. Estudo do custo de violação de dados: Análise Global
5
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Segurança física: O verdadeiro alicerce da segurança de dados

A segurança dos Data Centers é normalmente pensada como uma questão de
segurança lógica – com o uso de firewalls, detecção de intrusão, os protocolos de
segurança em ambiente de nuvem e outras estratégias para deter e defender-se de
hackers e outras violações de segurança. Entretanto, controlar o acesso físico ao Data
Center é o verdadeiro fundamento da segurança de dados e das proteções contra:
›› Roubo de hardware
›› Ataque malicioso em uma porta de rede através de vírus fisicamente anexado
›› Espionagem corporativa
›› Acesso não autorizado aos equipamentos de computação e telecomunicação
sensíveis
›› Funcionários e terceirizados descontentes
Segurança do Data Center

Ao ler este relatório, faça as seguintes perguntas:
›› Quem, na empresa, é o principal responsável pela segurança física do Data

Center?
›› Qual a estratégia de segurança física?
›› O foco e o orçamento destinados à segurança do Data Center correspondem
aos riscos?
›› De cima para baixo, a empresa está comprometida com a segurança física do
Data Center, ou ela é complacente?
›› Qual o elo mais fraco? O gabinete, a área cinza, o rastreio de visitantes ou
outra coisa?
›› Qual foi a data da última atualização e revisão da política e dos procedimentos
de segurança física da empresa?
›› A empresa testa e reforça regularmente os procedimentos de segurança física?
›› Quais medidas físicas estão em vigor para proteger o Data Center de uma
empresa?
Nós mostramos algumas das ameaças genéricas à segurança física do Data Center
na Figura 1.
Não espere por uma catástrofe

Muitas organizações não estão focadas na segurança física do Data Center e no
passado ignoraram as questões que levantamos no presente relatório. No entanto,
isso pode ser catastrófico para uma organização -, bem como para as carreiras
daqueles executivos que não desenvolveram, implementaram e executaram uma
estratégia de segurança física adequada ao Data Center.
Figura 1: Ameaças aos Data Centers
Ataque de vírus
⊲
Roubo de Espionagem
⊲ de Data Center
⊲
hardware corporativa
⊲
⊲
Funcionários
Acesso não
ou terceirizados
autorizado
descontentes
6
MELHORES PRÁTICAS DE
GESTÃO DE RISCOS
A RÁPIDA ASCENSÃO
DOS DATA CENTERS
Importância e natureza crítica

De uma forma que seria inimaginável há apenas 20 anos, quase todas as funções
principais de negócios e as comunicações das empresas, as empresas e agências
governamentais estão tendo como base agora os Data Centers, que abrigam as
informações e aplicações que uma organização utiliza como a espinha dorsal para
atender seus clientes. Ele frequentemente contém todas as comunicações da
organização, e-mails, registros, atividades financeiras e listas de clientes usados
para atender os clientes, colaboradores, parceiros e outras partes interessadas.
A visão global do mercado dos Data Centers e as previsões de 2014 a 2020 do
DCD mostram um aumento contínuo no quesito espaço (veja a Figura 2).
Figura 2: Previsão de exigência de espaço para o Data Center (bilhões m2) – 2012-2020
50
45
40
35
Espaço (bilhões m2)
30
25
20
15
10
5
0
2012 2013 2014 2015 2016 2017 2018 2019 2020
1 metro = 3,28 pés
Fonte: Visão geral e previsões de mercado de Data Center DCD entre 2015-2020.
7
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Impacto das falhas

Este aumento do uso da tecnologia permite produtividade, eficiência,
expansibilidade e velocidade incríveis. Os atributos positivos do aumento do
Data Center tem um contraponto: o espectro perturbador da falha potencial.
Uma falha de segurança pode ter um impacto devastador para uma organização
se algo derrubá-la off-line. Tal violação pode ter consequências que vão além
da organização diretamente afetada. Imagine o impacto econômico se uma
grande instituição financeira que, de repente, não conseguisse mais processar as
transações dos clientes: economias locais, até mesmo as economias nacionais e
globais, podem ser afetadas.
Missão crítica
Quase tudo o que uma organização necessita para realizar está subordinada às
operações seguras e eficientes dos Data Centers. A importância do Data Center
em conquistar missão e objetivos de negócios de uma organização não pode ser
exagerada.
Big Data, IoT, Mobility, Cloud:

As tendências de crescimento continuam
Quase todas as tendências em tecnologia estão abastecendo o crescimento do
Data Center (veja a Figura 3). A análise de grandes dados, a Internet das Coisas
(IoT - internet of things), a explosão continuada da mobilidade voltada para o
dispositivo e a computação em nuvem são apenas quatro das tendências que
impulsionam o crescimento no Data Center. Conforme as empresas e os indivíduos
confiam cada vez mais na tecnologia em quase todos os aspectos de suas vidas, é
difícil imaginar um futuro em que os Data Centers não continuem a desempenhar
um papel central e crescente.
Figura 3: Impulsionadores do crescimento do Data Center
⊲
Mobilidade
⊲ Nuvem
Seu Data Center
Análise ⊲ A internet
de grandes
dados
⊲ das coisas
(IoT)
8
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Crescimento da Figura 4: Previsão de crescimento do espaço dos Data Centers (m2) – na empresa,
colocalização/terceirizado e total – 2013-2020
terceirização dos
Data Centers 20%
Muitas empresas, especialmente 18%
as grandes empresas, ainda
16%
preferem o controle e a segurança
de possuir seus próprios Data 14%
Centers, e elas continuarão a pensar
12%
assim. A tendência contínua de
terceirização de operações não 10%
essenciais levou a um crescimento
8%
explosivo da computação em nuvem
e Data Centers com multi-inquilinos. 6%
A Figura 4 mostra a previsão do DCD
4%
para requisitos de espaço por área
entre os anos de 2012 e 2020: ela 2%
revela a maior necessidade de locais
0%
terceirizados/colocalização e não 2013 2014 2015 2016 2017 2018 2019 2020
aqueles dentro das empresas.
Chave
Centros de computação — Colocalidade/terceirizações — Espaço total — In-house
em nuvem
Fonte: Visão geral e previsões de mercado do Data Center DCD entre 2015-2020.
Os dois principais beneficiários
da tendência de terceirização
da infraestrutura de TI foram a
computação em nuvem e os
Data Centers de multi-inquilinos.
As plataformas em nuvem são
hospedadas nos Data Centers.
Os provedores de nuvem mais bem-
sucedidos, a Amazon Web Services
e as plataformas Azure e Office 365
SaaS da Microsoft, estão construindo
do espaços de Data Centers em todo
o mundo a um ritmo rápido.
Data centers com

multi-inquilinos
Muitas organizações preferem Data
Centers com multi-inquilinos, nos
quais seus recursos de cálculo
não sejam agrupados, mas os
outros aspectos da infraestrutura e
operações (infraestrutura elétrica,
geradores, ligações de fibra,
segurança etc.) sejam manuseados
pelo proprietário do Data Centers em
nome de seus inquilinos.
9
GESTÃO DE RISCOS
MELHORES PRÁTICAS
RISCO NO AMBIENTE
DO DATA CENTER
Há inúmeros tipos de riscos dentro do Data Center (veja a Figura 5): incêndio,
contaminação (por isso que não é permitido papelão), danos causados pela
água, interrupção de energia e térmica. Como fator de risco, a segurança física é
frequentemente ignorada, apesar de sua importância fundamental. Conforme os
Data Centers tornam-se cada vez mais parte integrante de uma organização, o
risco de uma violação da segurança de TI aumenta e pode causar um dano sem
precedentes.
Figura 5: Ameaças físicas ao Data Center
Incêndio
⊲
Super
⊲ Seu Data Center
⊲ Contaminação
aquecimento
⊲
⊲
Interrupção Água
de energia Danos
10
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Gestão de riscos
Uma organização deve determinar qual o risco de uma violação de dados e usar
isso para determinar o seu investimento em gestão de riscos. Um componente-
chave de um plano de gestão de riscos são as ferramentas adequadas para o
estabelecimento de uma base sólida de defesa contra potenciais ameaças, mas
igualmente importante é o apoio organizacional necessário para gerir esse risco.
VOCÊ SABIA?
Apesar da atenção voltada para violações de dados, os especialistas em segurança concordam que
apenas uma pequena fração dessas violações torna-se conhecida do público.
A maioria são tratadas em silêncio, especialmente em ambientes B2B, onde ambos os lados de um
relacionamento de negócios, compreensivelmente, optam por manter os incidentes em sigilo para evitar
constrangimento e a percepção de vulnerabilidade, incompetência e má gestão.
Segurança é responsabilidade de todos

As principais partes interessadas em toda a empresa devem entender o dano que
pode ser causado e exigir foco em adesão às melhores práticas na proteção contra
possíveis violações.
Apesar do Chief Information Officer (CIO)/ Chief Information Security Officer (CISO)
frequentemente ser aquele a enfrentar as consequências no caso de violação de
dados, os Chief Executive Officer (CEOs) também podem perder seus empregos
caso não consigam promover uma atmosfera de estrito cumprimento das melhores
práticas de proteção e segurança de dados. Um evento de segurança no Data
Center pode facilmente tornar-se um evento de 'retomada-geração' não apenas
no conselho executivo, mas entre os funcionários da linha de frente também.
Técnicos, funcionários da segurança e limpeza, profissionais de operações e outros
envolvidos no Data Center precisam fazer da segurança física um esforço de
equipe.
É dever de todos evitar as violações dos dados

É importante que todos em uma organização entendam que as violações de
dados não se restringem a incursões de hackers em um sistema. Basta um único
indivíduo abaixar sua guarda em um Data Center e permitir o acesso de pessoas
não autorizadas à infraestrutura de TI. Isso é o que um indivíduo mal-intencionado
precisa para obter acesso a um servidor e fazer o upload de um vírus, cortar alguns
fios, arrancar um servidor e sair. O erro humano, os erros técnicos e a falha em
seguir protocolos (presumindo que as melhores práticas estejam funcionando)
podem levar a um tremendo estrago.
11
GESTÃO DE RISCOS
MELHORES PRÁTICAS
O CUSTO DE
SEGURANÇA VS.
O RISCO
Os custos de uma violação de dados são significativos: um estudo de 2014, pelo

Ponemon Institute, descobriu que o custo médio de uma violação de dados foi
de US $ 3,5 milhões. Este dano pode ocorrer se a incursão se der através de
um hacker ou de um servidor roubado. Na verdade, os dispositivos perdidos ou
roubados são o fator número um no aumento do custo per capita de uma violação
de dados. A segurança lógica e física devem ser levadas a sério e trabalhar em
conjunto.
O QUE OUVIMOS
Os desafios que vários dos envolvidos com Data Center se deparam são:
›› Proteger a imagem da empresa
›› Manter conformidade com as normas de controle (HIPAA, PCI-DSS, SOX, GLB)
›› Equilibrar o investimento na segurança física e na segurança lógica
›› Manter a tecnologia um passo à frente da dos concorrentes
›› Empregar políticas e procedimentos específicos ao Data Center
12
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Investimento vs. Risco: Figura 6: Investimento vs. Risco

Encontrando um
equilíbrio
As implantações de segurança física
$ Investimento em
são investimentos significativos com a segurança física
maioria dos custos incorridos na linha
de frente. Assim que instalados, esses
sistemas de segurança são muitas RISCO
vezes considerados adequados, DE CUSTO Risco gerenciado
recebendo pouca ou nenhuma Investimento
manutenção após a instalação. No gerenciado
entanto, como discutimos, o risco está $ CAPEX ou grande
em constante evolução, e conforme atualização 0
os equipamentos se aproximam do $ Manutenção
fim de sua vida útil, os processos se e gerenciamento
tornam desatualizados e aqueles com Hora
intenções maliciosas ficam cada vez
mais sofisticados. Chave
Por meio da construção de uma —

 Custo —
 Risco
solução de segurança interoperável
modular, as atualizações e upgrades
proativos são mais simples, mais
rápidos e mais rentáveis do que
as revisões completas do sistema,
ajudando a equilibrar de maneira
eficaz os custos de manutenção
de um sistema de segurança física
robusto, com redução do risco de
ataque e violação (veja a Figura 6).
NÃO FAÇA PARTE DA ESTATÍSTICA
O custo médio incorrido pelos Data

Centers com as violações foi de
$ 3,5 milhões. O principal fator que
influenciou esse custo foram os
dispositivos perdidos ou roubados.
Fonte: Instituto Ponemon 2014. Estudo do custo

de violação de dados: Análise Global
13
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Defesa contra a variedade de ameaças à segurança

física e lógica que estão em constante evolução
Qualquer operador de Data Center, bem como qualquer inquilino em um ambiente
de colocalização, precisa estar atualizado em relação às ameaças em constante e
rápida evolução.
Adversários sérios, astutos e habilidosos

São diversos os ladrões mal-intencionados, espiões corporativos e aqueles
vândalos com espírito de vingança que executam ataques de todos os tipos, agindo
de modo implacável e cruel. Os autores podem estar envolvidos em espionagem
corporativa, ou tentando prejudicar financeiramente uma organização ou ainda,
simplesmente, estar maliciosamente tentando danificar uma organização por
qualquer motivo (como emoção pelo fato). Eles também podem estar recebendo
apoio de governos estrangeiros, ser concorrentes ou apenas ladrões comuns
com habilidades incomuns.
Não importa quem sejam, eles podem causar danos permanentes para os clientes,
para uma organização e até para carreiras inteiras. Uma organização precisa investir
na segurança para detê-los.
Estabelecer uma cultura de segurança

preventiva e ativa
Os profissionais de segurança ficam sabendo de novas táticas quase que
semanalmente e, sinceramente, não há razão para ficar impressionado pela
criatividade e desenvoltura no outro lado do campo de batalha. A competição é
dura. Um organização deve levar a sério as ameaças e comprometer-se com a luta.
14
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Passos necessários Figura 7: Os certos e errados do comprometimento corporativo

Criação de um plano de batalha
Quais são os planos e procedimentos

para se defender contra ameaças que
estão crescendo em sofisticação e O que podemos fazer para
complexidade? diminuir o risco e proteger
as nossas funções e dados
Invista o tempo e fique por dentro Qual é o mínimo
essenciais aos negócios?
que podemos fazer
Estar devidamente conectado com o para cuidar disso?
O
P
mundo da segurança do Data Center
deve ser uma prioridade para uma
organização. Junte-se a algumas das
comunidades mais ativas e vibrantes
dos profissionais de segurança que
compartilham as recentes ameaças
e as formas de superá-las. Assista às
conferências das indústrias (BICSI,
ASIS e DatacenterDynamics) e junte-
se, participe, ouça, aprenda
e compartilhe.
Compromisso organizacional
completo: Incluindo o orçamento
Desde a diretoria até a linha de frente,

uma organização deve ter o apoio
completo e o compromisso no nível
de segurança necessário (consulte
Figura 7).
Para ficar à frente dos fatores de risco,

a estratégia deve ser exceder os
requisitos, e não simplesmente fazer
o mínimo necessário.
15
GESTÃO DE RISCOS
MELHORES PRÁTICAS
DECLARAR
A PROPRIEDADE
DO ORÇAMENTO
Ter um orçamento substancial não é o único problema. A propriedade daquele

orçamento e a responsabilidade para que seja usado com sabedoria são fatores de
extrema importância. Na maioria das organizações, a segurança lógica faz parte do
orçamento de TI. A segurança física não é tão definida assim.
Figura 8: Orçamento para segurança física – atendendo às diferentes especificações executivas
CFO
O orçamento de
segurança do Data
Center está sendo
bem usado?
CIO CSO
Posso conseguir Como a atividade
orçamento do Data Center
Segurança física encaixa-se com a
suficiente para
segurar o política geral de
Data Center? segurança?
CEO
Nossa política de
segurança melhora
a posição da
organização?
16
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Análise de custo para determinar o orçamento

Infelizmente, a adoção de uma postura de defesa adequada não é uma proposição
barata. Pesquisas com profissionais de segurança de dados mostram que eles
acreditam que seu orçamento deve ser de 50 a 100% maior. Ao considerar a
alternativa, atribua os recursos adequados para proteger o Data Center. Os custos
de não fazer isso são muito altos para arriscar.
LISTA DE VERIFICAÇÃO DO ORÇAMENTO PARA SEGURANÇA FÍSICA
›› Onde fica a responsabilidade orçamentária pela segurança física do Data Center?

›› Qual é o orçamento anual para a segurança física do Data Center?
›› Qual é o processo de tomada de decisão desse orçamento? Quem está envolvido?
›› O orçamento é focado apenas na área branca do Data Center ou em todas as seis camadas,
definidas na página 28?
›› O orçamento é proativo ou é mais um remendo de pontos fracos?
›› Quanta inserção de dados é solicitada e recebida em toda a organização?
›› Qual é a estratégia para se certificar de que o dinheiro seja bem utilizado?
›› A segurança do Data Center físico pode ser dimensionada conforme necessário?
›› Existe a interoperabilidade adequada para continuar adicionando peças ou os sistemas que não
se comunicam revelam a sua necessidade de remoção e substituição?
Coletamos alguns dos diferentes pontos de vista dos executivos típicos na Figura 8.
17
GESTÃO DE RISCOS
MELHORES PRÁTICAS
PROTEÇÃO DE
INFORMAÇÃO E
ATIVOS FÍSICOS
O ambiente determina a proteção

A estratégia e metodologia para proteger a infraestrutura de TI dependem do
negócio da organização.
›› Um prestador de serviços que hospeda sua plataforma de negócio inteira no

Data Center em uma cidade movimentada deve legitimamente ter um alto nível
de segurança.
›› O Data Center de uma empresa com apenas alguns funcionários em uma área
rural onde é fácil monitorar quem entra e sai, talvez não precise de um grande
orçamento para manter a segurança.
›› Um prestador de serviço federal que executa trabalho para uma agência de
alta segurança precisa dos mais altos níveis de segurança.
›› Um Data Center multi-inquilinos com 80 clientes e funcionários e prestadores,
entrando e saindo o tempo todo, possui necessidades de segurança muito
específicas, em particular, para monitorar os visitantes que entram no Data
Center e garantir que eles não consigam acessar a infraestrutura dos outros
inquilinos.
›› Uma grande empresa que tem um Data Center de recuperação de desastres
e que faz o backup de e-mails e outros registros provavelmente não precisaria
de um investimento tão alto.
18
GESTÃO DE RISCOS
MELHORES PRÁTICAS
O que é Tier?
O Instituto Uptime Institute e a Associação de Indústrias de Telecomunicações
(Telecommunications Industry Association (TIA)) classificam os Data Centers de
acordo com o nível tier, do tier 1 ao tier 4. Há apenas cinco ou seis Data Centers tier
4 na América do Norte. Quanto mais crítica a missão de um Data Center (e quanto
maior a importância em alcançar e manter um nível tier elevado), mais elevados os
requisitos de proteção. O objetivo dos níveis tier é considerar o tempo de atividade
e garantir a infraestrutura primária e de backup que maximizam o tempo de
atividade, parte fundamental na conquista de um nível tier desejado.
Apesar do Sistema de Classificação de Tier (Tier Classification System) não impor

as disposições sobre segurança, os fatores de risco de segurança física devem ser
abordados nas especificações da sustentabilidade operacional do proprietário. O
nível de segurança é amplamente determinado pela indústria, pela criticidade da
função de TI executada no local e pelas políticas do proprietário. Por exemplo, uma
instituição financeira normalmente vai investir em um nível de segurança superior
ao de uma instituição acadêmica.
Dentro da infraestrutura de TI existem inúmeras medidas de segurança das "melhores

práticas" a serem tomadas, independentemente do tier. Estas incluem leitores
biométricos, cabeços de amarração, guaritas, ocultação à vista, armadilhas, cercas de
perímetro reforçado, vigilância por vídeo etc. As melhores práticas são fundamentais
para reduzir o risco de exposição à curiosidade, malícia, crimes e acidentes. Entretanto,
as melhores práticas não devem ser confundidas com as especificações tier.
Plano de segurança física

Um plano de segurança física bem pensado e estritamente definido é necessário
ao desenvolver e manter uma forte postura de segurança. Tal plano deve abranger
todos os aspectos da segurança do Data Center, desde a concepção de um sistema
até a adoção de políticas diárias nas operações, na gestão dos visitantes, além de
políticas de emergência e de resposta a desastres.
A segurança não acontece; ela é o resultado de um processo. Um plano de segurança física bem
concebido é uma parte fundamental na conquista dos resultados desejados.
Manutenção de procedimentos e políticas sólidas

Não importa o foco de um Data Center, é fundamental manter e seguir as políticas
e procedimentos sólidos. Isso é parte de um plano de segurança global que
equilibra as melhores práticas com uma vontade de evoluir para defender-se
adequadamente contra novas ameaças.
›› As políticas sólidas e melhores práticas oferecem suporte à segurança em um

Data Center.
›› O documento de uma política é uma coisa viva, em constante mutação. As
políticas não são estáticas. As políticas devem ser frequentemente revistas e
atualizadas.
›› A estratégia de segurança lógica deve ter um componente físico nela.
›› Os protocolos de segurança devem ser compreendidos por todos e seguidos
rigorosamente.
›› Deve-se evitar a complacência dentro da organização.
›› As políticas de segurança física e segurança lógica estão inter-relacionadas e
oferecem suporte uma a outra.
19
GESTÃO DE RISCOS
MELHORES PRÁTICAS
MOVIDA BY
COMPLIANCE
A segurança é um dos dois principais componentes da conformidade, assim como

o tempo de atividade, demonstrado pelo uso de sistemas redundantes e melhores
práticas, objetivando o máximo desempenho. Muitas organizações vêm trabalhando
duro para atender às normas, somente para perder as suadas certificações
necessárias à operação dentro de sua indústria.
Um enfraquecimento no cumprimento das orientações de uma organização pode

ser devastador para suas perspectivas futuras.
Abordar a segurança física é cumprir com os regulamentos e normas. Aqueles que

definem o cumprimento de normas em diversas indústrias têm maior compreensão
sobre como a maneira de controlar o acesso às instalações ajuda nas ameaças
que interferem nos sistemas de telecomunicações e de energia, essenciais para o
funcionamento de um Data Center, juntamente com os dados em si.
As normas de conformidade são exclusivas para indústrias individuais, mas

compartilham muitas semelhanças. Por exemplo, a certificação Payment Card
Industry Data Security Standard (PCI DSS), que abrange a indústria de cartões de
pagamento, exige uma organização que cumpra com:
›› Proteger os dados armazenados do titular do cartão

›› Restringir o acesso aos dados do titular do cartão às empresas que precisam
›› Identificar e autenticar o acesso aos componentes do sistema
›› Restringir o acesso físico aos dados do titular do cartão
›› Rastrear e monitorar todo o acesso aos recursos de rede e aos dados do titular
do cartão
›› Testar regularmente os sistemas e processos de segurança
Esses requisitos de segurança podem ser cumpridos por meio de protocolos

de segurança física e oferecer suporte à necessidade de múltiplas camadas de
segurança, tal como definido no presente relatório.
Uma abordagem em camadas, que atenderia às necessidades específicas que a

indústria de cartões de pagamento de acordo tem com a certificação PCI DSS, incluiria
etapas definidas por um auditor que avaliaria a postura de segurança das organizações
que buscam essa conformidade com as normas em outras indústrias de segurança.
Com o mesmo objetivo de proteger dados, não surpreende que diferentes indústrias
tenham semelhanças nas exigências para que essas normas sejam cumpridas.
20
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Há muitas outras certificações Figura 9: Grandes certificações industriais com normas de segurança
relacionadas à variedade de indústrias
(consulte a Figura 9 para saber como
algumas aplicam-se a diferentes
setores da indústria). Apesar de haver
uma grande sobreposição de normas,
cada certificação individual é única. Inteligência/
Não militar Federal Cloud
Ha vários exemplos de organizações Militar
Federal Computing
que perderam suas certificações Federal
fundamentais e paralisaram sua
capacidade de operar na indústria
ou de servir clientes em determinada FISMA FIPS FedRAMP
indústria. A postura de segurança de
uma organização é parte integrante
da manutenção da conformidade,
fornecendo foco e orçamento
suficientes para proporcionar a Data centers
Setor Cuidados
verdadeira segurança física do de prestadores Varejo
Financeiro com saúde
Data Center. de serviço
GLB HIPAA & HITECH SSAE 16 PCI DSS
A importância Figura 10: A conversa ideal com um auditor

dos auditores
Os auditores independentes
determinam se um Data Center
atende às normas adequadas, e tal “Aqui está o nosso plano de
relatório de auditoria geralmente segurança física. Classificamos
será universalmente aceito (veja nosso Data Center como uma instalação
a Figura 10 para a conversa ideal crítica. Temos esses diferentes anéis de
que um CIO pode ter). Os auditores segurança aos quais precisamos
enxergam os fatos de modo proporcionar ampla defesa. Aqui estão
diferente e a interpretação pode nossos protocolos e procedimentos.
ser um desafio. Ter clareza sobre os Aqui está o que fazemos.
planos, procedimentos e protocolos Estamos comprometidos
minimiza o risco de deixar uma em fazer as coisas do jeito certo.”
organização aberta a um problema de
interpretação.
21
GESTÃO DE RISCOS
MELHORES PRÁTICAS
PADRÕES DE
CONCEPÇÃO E
MELHORES PRÁTICAS
Sempre que possível, implemente normas de concepção de Data Center.

A abordagem fundamental de infraestrutura para a segurança física dos
Data Centers deve proteger desde o perímetro das instalações até o gabinete de
Data Center, aproveitando as normas e melhores práticas da indústria.
O projeto e layout adequados de um Data Center permitem a eficácia destes e de

muitos outros sistemas que fornecem os atributos e serviços necessários para um
moderno Data Center. As normas são diretrizes que tendem a ser gerais, amplas
e que servem como referência, criando outro caso em que uma abordagem
abrangente e estratégica tem mais probabilidade de receber as certificações
desejadas.
22
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Concepção do Data Center e normas de segurança

›› ANSI BICSI 002-1014: Melhores práticas para concepção do Data Center
›› TIA-942: Estabelece especificações para infraestrutura de telecomunicações
dentro dos Data Centers
›› Uptime Institute: Concentrada em melhorar o desempenho, eficiência e
confiabilidade da infraestrutura crítica do negócio
›› ASIS: Busca avançar as normas de segurança em todo o mundo
›› SANS: Normas e melhores práticas para segurança da informação
›› ONVIF: Focada na interoperabilidade de produtos de segurança física com
base em rede
A abordagem em camadas maximiza a obtenção de todas as certificações
necessárias. Ela aproveita o insight de todas as principais normas e constrói uma
abordagem holística.
A conscientização e o entendimento dessas normas são fundamentais para

qualquer um que queira construir um Data Center, desde a construção inicial, a
transformação de uma instalação até a atualização de um Data Center existente.
Parte integrante das normas globais de projeto de um Data Center é compreender

que cada componente do sistema de segurança física precisa atender às normas
estabelecidas por especialistas no assunto, de acordo com cada área de design do
Data Center. São as normas tecnológicas para infraestrutura de rede, infraestrutura
física e segurança física.
23
GESTÃO DE RISCOS
MELHORES PRÁTICAS
UMA ESTRATÉGIA
MULTIFACETADA PARA
SEGURANÇA FÍSICA
Dada a crescente confiança nos Data Centers, um dano causado por uma falha
de segurança pode prejudicar seriamente uma empresa e colocar em risco suas
certificações sobre as normas de conformidade necessárias. Como resultado,
o DatacenterDynamics e a Anixter firmaram uma parceria em um projeto para definir
e expandir as melhores práticas necessárias para que o Data Center opere de
forma segura e compatível com o ambiente atual.
Este relatório sobre tecnologia define as seis camadas principais de uma estratégia
holística da segurança física defesa abrangente de um Data Center.
1. Gabinete do Data Center
2. Sala de Data Center e área branca
3. Corredores, áreas sob escolta e área cinza
4. Fachada da instalação e área de recepção
5. Zona limpa
6. Defesa do perímetro
Alguns Data Centers não são projetados para suportar todas as seis camadas
e algumas delas podem ser combinadas. Por exemplo, um Data Center menor
pode não ter uma zona livre significativa, com a defesa do perímetro levando
imediatamente para a fachada das instalações e para a área de recepção. Além
disso, um Data Center de multi-inquilinos com tráfego significativo de pedestres
pode ter outras necessidades de segurança do que um Data Center de empresa,
contudo, os protocolos de segurança física adequados e as melhores práticas
devem ser implementadas, sempre que possível.
24
GESTÃO DE RISCOS
MELHORES PRÁTICAS
ESTRATÉGIA
DE MACROS
SEGMENTAÇÃO
A segurança lógica frequentemente depende do conceito de microssegmentação,

que cria barreiras dentro de um ambiente virtual para conter alguém que tenha
invadido o sistema. Existem barreiras colocadas em todo o sistema para impedí-los
de se mover de uma máquina virtual para outra. Quando devidamente projetado
e implementado, ele detém um hacker, ao mesmo tempo em que cria alertas
para informar aqueles que estão monitorando o sistema sobre qualquer incursão
potencial.
As seis camadas de segurança física definidas aqui apoiam uma estratégia de

macrossegmentação para defender fisicamente um Data Center. Assim como uma
estratégia de microssegmentação virtual, uma estratégia de macrossegmentação
física deve se esforçar para não limitar o desempenho do Data Center, neste
caso, tornando excessivamente difícil ou demorada a visita ou navegação de um
Data Center.
Seis camadas oferecendo suporte a 5 Ds: Uma estratégia de macrossegmentação

física busca limitar os danos de uma ameaça por meio do suporte oferecido aos
5 Ds da segurança de uma área.
1. Dissuadir
2. Detectar
3. Demorar
4. Defender
5. Desmentir
Uma abordagem de segurança física em camadas fornece uma série de obstáculos

estratégicos para proteção contra uma potencial incursão física em um Data Center,
tornando o acesso aos dados fundamentais cada vez mais difícil.
25
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Os blocos de construção
A base dos protocolos principais da indústria tem como normas de referência
para as seis camadas o BICSI, TIA, ASIS e ONVIF. Estas e outras normas foram
fundamentais para o desenvolvimento de uma abordagem holística de segurança
física concebida para proteger o Data Center.
A necessidade de interoperabilidade
Todo o ecossistema que atende o mercado de segurança física do Data Center
deve fazer um trabalho cada vez melhor no fornecimento de soluções
interoperáveis que apoiam arquiteturas abertas baseadas em normas. Uma
abordagem multifacetada, em camadas, terá diferentes componentes fornecidos
pelos melhores fabricantes do mundo. Sistemas que não se integram entre si são
um entrave à missão de manter os Data Centers em segurança.
As soluções baseadas em rede são claramente o futuro da segurança do

Data Center e os sistemas díspares que não se falam entre si ficarão obsoletos.
Os tomadores de decisão não devem tolerar ineficiências na gestão de sistemas.
A fabricação patenteada pode levar a um beco sem saída para o usuário final que
busca uma solução abrangente proveniente de vários fornecedores. As soluções
de arquitetura aberta permitem uma solução de segurança modular, flexível, de
longo prazo e colocam o usuário final no controle.
Os sistemas de segurança física atingiram um ponto significativo na evolução.

Antigamente, os fabricantes construíram sistemas patenteados sem levar em conta
a integração com outros sistemas. A interoperabilidade limitada, em seguida, surgiu
conforme os fabricantes começaram a construir o seu próprio ecossistema de
parceiros; no entanto, com a volatilidade no mercado de segurança física, essas
soluções podem colocar em risco as plataformas de segurança dos usuários finais.
A indústria cresceu ao ponto de surgir uma verdadeira arquitetura aberta para
apoiar a comunicação padronizada entre produtos de segurança física baseados
em rede, independentemente do fabricante.
26
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Expansibilidade verdadeira
Os sistemas abertos baseados em normas, assim como as arquiteturas abertas,
permitem que os usuários finais e os seus parceiros de integração estejam
no controle do sistema. Eles podem dimensionar e construir com segurança a
compatibilidade futura à medida que crescem em suas necessidades futuras. Com
a adição das normas de segurança física, os usuários finais podem agora construir
soluções completas de segurança física com base em normas para proteger e
dimensionar o ambiente crítico do Data Center.
O gráfico representado abaixo mostra algumas das normas da indústria que

oferecem suporte a uma verdadeira arquitetura aberta.
Normas de arquitetura em rede
Normas de infraestrutura
Normas de segurança física
Um desafio dos sistemas abertos: Os fabricantes devem estar verdadeiramente

envolvidos no desenvolvimento de normas abertas, e não apenas dar a aparência
de cumprimento com os regulamentos a fim de otimizar as vendas. Como usuário
final, a flexibilidade, eficiência e expansibilidade de um sistema de segurança
dependem de um verdadeiro compromisso com a arquitetura aberta dos parceiros
de tecnologia. Os parceiros de tecnologia devem ser questionados sobre como
estão investindo tempo, energia e recursos para continuar o desenvolvimento de
normas industriais de segurança física abertas. Este é um bom indicador do tipo de
parceiro tecnológico que está sendo selecionado como parte de uma estratégia de
segurança física do Data Center.
Uma abordagem eficaz em camadas exige que todos os sistemas trabalhem de

forma coesa. A interoperabilidade tornou-se uma exigência absoluta na concepção
e operação de uma estratégia de segurança nos Data Centers e os fabricantes,
integradores e outros fornecedores que não se concentrarem na necessidade de
interoperabilidade ficarão obsoletos.
27
GESTÃO DE RISCOS
MELHORES PRÁTICAS
AS SEIS CAMADAS
QUE FUNDAMENTAM
A SEGURANÇA FÍSICA
DE UM DATA CENTER
CAMADA 1: DEFESA DO PERÍMETRO
As seis camadas de segurança física do centro de dados devem basear-se nos 5
Ds: dissuadir, detectar, demorar, defender e desmentir. A primeira camada - defesa
do perímetro - controla o acesso autorizado e não autorizado à propriedade do Data
Center. Quando adequadamente implementada, a camada de defesa do perímetro
pode reduzir o custo total de um sistema de segurança das instalações do Data
Center e melhorar a eficácia do plano de segurança.
Figura 11: Camada 1: Defesa do perímetro
A Infiltrar
B Cercar
C Sensores
D Iluminação
do perímetro
E Câmeras
térmicas
F Segurança
do veículo
G Reconhecimento
da placa do carro
H Proteção
contra incursão
28
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Prevenção contra o crime através da concepção

ambiental
O conceito de prevenção contra o crime através da concepção ambiental (concept
of crime prevention through environmental design) (CPTED) é uma filosofia que
incentiva o uso de projeto arquitetônico como suporte à segurança.
O CPTED é uma filosofia de controle territorial que usa os conceitos de vigilância e

controle natural de acesso.Por exemplo, bermas, grandes pedras, visões claras do
ambiente, sem árvores ou arbustos no caminho, proporcionam a vigilância natural
e outros métodos naturais de controle de acesso. No caso da empresa, além de
um melhor monitoramento, isso proporciona também um impedimento, oferecendo
suporte à defesa do perímetro e, frequentemente, a um custo baixo.
Infiltrar
A maioria dos Data Centers não divulga sinais que indicam a natureza do seu
negócio. As empresas não têm motivo algum para atrair a atenção para o Data
Center e os seus clientes multi-inquilinos frequentemente pensam da mesma
maneira.
Cercar: A primeira linha de proteção da instalação

Para muitos Data Centers, uma cerca relativamente simples, que separa a instalação
do ambiente pode ser o suficiente. No entanto, para os Data Centers de alta
segurança, é necessário levar em consideração as inúmeras opções de cerca.
Sensores para segurança

Sensores para sistemas de intrusão de perímetro utilizam meios especiais de
cabos (cobre e fibra óptica) e componentes eletrônicos para detectar vibrações e
perturbações, visando identificar se há um intruso tentando comprometer a defesa
do perímetro. Estas soluções podem ser implantadas como zonas em cercas,
paredes e aplicações subterrâneas. Eles também podem se integrar perfeitamente
com vários subsistemas de segurança física para proporcionar a percepção
completa da situação.
Iluminação do perímetro
A iluminação é uma parte importante do sistema de detecção de intrusão à
segurança do perímetro de um Data Center. Além de fornecer uma melhor
cobertura visual para o pessoal de segurança e para as câmeras de vigilância de
vídeo, também melhora a eficácia do sistema global de segurança. A maioria das
aplicações de iluminação de perímetro se voltaram para soluções de iluminação de
LED infravermelho (IR) e LED de luz branca no lugar da tradicional iluminação ao ar
livre, tais como sódio de baixa pressão, de halogênio e iodetos metálicos.
As soluções de iluminação de LED de IR podem ser usadas em aplicações de

perímetro secreto que cobrem longas distâncias. O LED de luz branca tem várias
funções, tais como o fornecimento de luz para câmeras de vigilância de vídeo
com o intuito de identificar intrusos, como parte de uma estratégia CPTED, como a
iluminação de dissuasão ou ainda para a iluminação geral da área para a segurança
do pessoal do local.
29
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Câmeras térmicas
O perímetro da instalação também pode ser monitorado com câmeras térmicas.
Em muitos casos, apenas o principal ponto de entrada ficará bem iluminado.
A câmera térmica permite a confirmação de que há alguém fora da instalação,
mesmo na escuridão completa, detectando assinaturas de calor emitidas por
objetos. As câmeras térmicas também pode ser usadas com análise de vídeo
(perímetro tripwire) e outros sensores de detecção de intrusão para criar uma
forte defesa do perímetro.
Estação de segurança do veículo

O ponto principal de entrada para muitos Data Centers é uma cabine de segurança
em um ponto de entrada de veículos e/ou um sistema de áudio e vídeo que permita
que uma mesa de segurança interna comunique-se com os motoristas/passageiros
dos veículos conforme passam por um posto de controle. Somente os visitantes
autorizados podem entrar e recursos, tais como espelhos e cães farejadores, são
frequentemente usados em instalações de alta segurança. Um portão de operação
motorizado é uma opção adicional tanto para dissuasão quanto para proteção.
Conforme um veículo se aproxima da estação de guarda de um Data Center, os

leitores de cartões de longo alcance podem determinar a identidade e o nível de
permissão de alguém que esteja dirigindo para o portão e ajudar o pessoal de
segurança na identificação daqueles que ocupam o veículo.
Reconhecimento da placa do carro

As câmeras LPR especiais e sensíveis ao infravermelho são capazes de captar
as placas dos carros, mesmo que estejam deslocando-se rapidamente, em níveis
de luz ambiente que vão desde luz solar brilhante até a completa escuridão. Os
números das placas dos carros são então convertidos em um formato legível pelo
computador e comparados com um banco de dados dos números de registro dos
veículos. Isso permite garantir que um usuário autorizado esteja dentro de um
carro autorizado, permitindo que um vigilante valide rapidamente essa pessoa ou
descubra porque uma pessoa não autorizada está se aproximando da instalação.
Proteção contra a incursão

Barreiras em cunha que se levantam do chão para criar um obstáculo aos
potenciais invasores e cercas à prova de impacto podem ser usadas para proteger
a empresa contra veículos que tentem uma incursão. O perímetro externo é outra
área onde a política, o vídeo, a dissuasão, proteção e monitoramento ativo criam um
ambiente seguro.
30
GESTÃO DE RISCOS
MELHORES PRÁTICAS
CAMADA 2: ZONA LIVRE

A zona livre é extremamente importante. Depois de passar pelo perímetro, a
ameaça pode ter acesso a áreas fundamentais de elétrica e mecânica, como os fios
das usinas elétricas e de alimentação que percorrem a instalação ou outras áreas
de backup, tais como geradores e tanques de combustível. A zona livre também
contém docas de carregamento de equipamentos e pontos secundários de entrada
na instalação.
Vigilância por vídeo

O monitoramento por vídeo é uma parte fundamental do controle de acesso ao Data
Center. Ele pode servir como um impedimento, uma ferramenta de monitoramento
e uma forma de avaliar um incidente. Um sistema de monitoramento por vídeo ativo
pode proteger contra "tailgating" e ajudar a reforçar a política de segurança.
Os vídeos são úteis em cada camada da defesa de um Data Center, e a defesa

da zona livre não é diferente. Na zona livre, o principal objetivo é identificar os
indivíduos e monitorar as áreas restritas. A vigilância por vídeo é fundamental para
manter a zona livre segura.
VOCÊ SABIA?
Para melhorar o desempenho do sistema de vigilância por vídeo, a melhor prática é usar a iluminação
de LED na zona livre em vez de sódio de baixa pressão ou luz de vapor de mercúrio. A iluminação de
LED oferece inúmeros benefícios de economia de energia para manutenção reduzida. A iluminação
de LED também fornece condições ótimas de iluminação, permitindo que as câmeras gerem imagens
noturnas de alta qualidade. Aqui estão alguns dos principais benefícios do uso da iluminação de LED
com vigilância por vídeo:
›› Aumenta o desempenho da câmera de alta resolução em ambiente de pouca luz
›› Reduz o ruído do vídeo que consome a largura de banda durante as cenas de pouca luz
›› Proporciona melhor reprodução de cores em comparação à iluminação tradicional (por exemplo,
as luzes de baixa pressão produzem uma luz monocromática que tem impacto sobre a
reprodução de cores)
›› A iluminação de LED é oferecida nas opções infravermelho (IR) e luz branca
Figura 12: Camada 2: Zona limpa
A Projeto
ambiental
B Vigilância
por vídeo
C Sensores de
adulteração
de cabos
D Guardas de
segurança
E Portas do
STOP
perímetro
STOP lateral
31
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Estratégia por vídeos que oferecem suporte aos

protocolos de segurança
Há diversas estratégias que oferecem suporte aos protocolos de segurança com
vídeo, incluindo o seguinte:
›› Foco nas fontes de energia. Quem está nas proximidades da infraestrutura de

alimentação, tanques de combustível, áreas de carga e geradores dentro da
zona livre?
›› Use câmeras de 180o graus de alta resolução. Câmeras de zoom, inclinação e
movimento horizontal não fornecem cobertura constante.
›› Detecção e identificação de pessoas dentro da zona livre. São necessárias 20
a 80 câmeras de pixels por pé para ver quem se aproxima da instalação.
›› Obtenha uma cobertura completa da zona livre. Pode ser necessário instalar
câmeras a partir do edifício que olhem para fora e do perímetro que olhem
para dentro, a fim de garantir uma cobertura completa e sem zonas mortas.
Determinação da resolução ideal da câmera

Prestar atenção à resolução ideal da câmera garante os detalhes da imagem
(densidade de pixels) nos cenários cotidianos e naqueles piores cenários. Muitas
vezes, parece fácil pegar uma câmera de alta resolução e ficar tranquilo que ela
vai fazer o trabalho. Mas, esse não é necessariamente o caso. Uma resolução
muito alta de câmera pode ser um exagero para a aplicação e gerar desgaste
desnecessário na rede, criando exigências e custos excessivos e exigências de
largura de banda e armazenamento. Por outro lado, uma câmera de resolução
baixa demais pode ser a diferença entre ser capaz de identificar corretamente uma
ameaça potencial ou atividade suspeita. Então, qual a melhor forma de otimizar
a resolução da câmera? Aqui estão algumas etapas que ajudam a otimizar as
resoluções da câmera para aplicações de vídeo no Data Center:
›› Determinar a especificação da operação. Qual o cenário de uso ‘cotidiano’?

Qual o 'pior' cenário de uso?
›› Trabalhe com parceiros de tecnologia para ajudar a determinar a exigência de
densidade de pixels para atender aos requisitos operacionais.
›› Esteja ciente de que as questões complexas, tais como iluminação, óptica,
compressão e outros podem afetar a qualidade da imagem.
›› Aproveite as ferramentas para contagem de pixels disponíveis na maioria das
câmeras de rede para validar a densidade de pixels assim que a câmera for
instalada.
Ao desenvolver uma estratégia de vídeo, é importante lembrar que o aparelho precisa
ser monitorado pelas pessoas que o estão assistindo. Qual estado de vigilância essas
pessoas terão depois de trabalharem por algum tempo? Qual o estado de alerta e foco
do pessoal de segurança do turno da noite às 4h da madrugada? Essas realidades
estão fomentando o crescimento de análises sobre o uso do vídeo.
A análise de vídeo pode ser utilizada em diferentes camadas. Os objetivos da UMA VERIFICAÇÃO DE REALIDADE DA
análise de vídeo na área livre incluem: PROTEÇÃO DE SEGURANÇA
›› Alertas no caso de indivíduos que estejam rondando as áreas monitoradas Os agentes de segurança podem ter diferentes
com base no movimento suspeito. graus de experiência e treinamento. O nível de
›› A classificação de objetos fornece alertas com base no tipo de objeto controle de segurança é dificultado quando o
pessoal de segurança é terceirizado.Dada a
detectado (pessoa, veículo, animal etc.).
qualidade variada dos agentes de segurança,
›› O fluxo de direção fornece alertas com base na direção de um objeto em são fundamentais as políticas e procedimentos
movimento. da empresa, bem como o apoio de todos na
›› Objeto adicionado/removido fornece alerta quando um objeto é acrescentado empresa para oferecer suporte aos protocolos de
segurança do Data Center.
ou removido de uma área predefinida.
›› O monitoramento do movimento segue um objeto em movimento em toda a
visão da câmera.
32
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Sensores de adulteração de cabos

Em aplicações em Data Centers de alta segurança, é importante implantar sensores
de detecção de intrusões físicas, protegendo as principais infraestruturas de
telecomunicações e de cabeamento de transmissão de energia ao longo das várias
camadas da estratégia de segurança física do Data Center. Os sensores devem ser
aplicados em paralelo, dentro de um conduíte da rede, incorporados em um veículo
ou utilizados para proteger fisicamente as redes ópticas contra um indivíduo que
esteja tentando comprometer a infraestrutura. Isto é feito por meio de um alarme
de segurança que detecta uma intrusão física ou a derivação de informação. Estes
sistemas também podem ajudar a identificar se uma intrusão na rede é um ataque
físico ou lógico.
Portas do perímetro lateral

Outro elemento de segurança da zona livre é proteger as portas que não são as
principais. Como uma barreira física, uma porta com um único ponto de trava é
algo fácil de violar. Estão disponíveis sistemas de bloqueio multipontos e de maior
segurança. Eles acrescentam pontos de trava nas laterais das dobradiças superior,
inferior e do meio, tornando a porta invulnerável a ataques físicos provenientes do
lado de fora.
Uso de sistemas de chaves controlados

Em um sistema de chave restrito e de alta segurança, as chaves estão sob controle
do fabricante. Sob nenhuma circunstância elas podem ser copiadas em outro lugar
e a distribuição e a gestão são estritamente controladas.
33
GESTÃO DE RISCOS
MELHORES PRÁTICAS
CAMADA 3: FACHADA DA INSTALAÇÃO E ÁREA DE RECEPÇÃO
Comprometer-se com a gestão de visitantes

O controle de visitantes começa na área da recepção e define o ritmo do
Data Center. O controle de visitantes está se tornando uma parte importante
no cumprimento com a conformidade. O PCI DSS, uma certificação de grande
importância da indústria financeira, está entre as normas que exigem controles
rigorosos de visitantes. Em uma instalação que cumpre com o PCI DSS, um visitante
precisa estar claramente identificado com um crachá de visitantes.
Um crachá de visitantes não é meramente um crachá genérico; ele deve ser criado
para os visitantes por meio de um sistema de fotos no local. O crachá de visitantes
também deverá ter data e hora de expiração. Este crachá deve indicar quem é a
pessoa e quanto tempo ela está autorizada a permanecer na unidade. Uma boa
prática é integrar plenamente o software de gestão de visitantes com o sistema de
controle de acesso, o que proporciona ao pessoal de segurança um lugar para
gerenciar tanto os visitantes quanto os funcionários.
Complacência é a inimiga da segurança

O pessoal de segurança na área da recepção deve entender que só porque um
terceirizado ou um visitante passou pelo processo antes, isso não significa que o
processo pode ser flexibilizado de maneira alguma. A complacência nunca deve
prevalecer, pois é um terreno fértil para uma violação de segurança, permitindo
que até mesmo o aparato de segurança mais sofisticado seja derrotado.
COMPREENSÃO DO AMBIENTE
Frequentemente, a luz do sol passa pela área de visitantes quando tem vidros. Como resultado, pode
haver uma necessidade de câmeras amplas de alcance dinâmico (WDR). Uma câmera padrão sem WDR
não consegue compensar o interior escuro de um edifício com a luz solar brilhante que entra na área de
recepção; as câmeras WDR ajustam e compensam tanto a luz brilhante quanto as áreas escuras.
Figura 13: Camada 3: Fachada da instalação e área de recepção
A Entrada em
multietapas
B Gestão de
visitantes
C Vigilância
por vídeo
D Fachada
reforçada
E Pontos de
entrada limitados
34
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Verificação de hóspedes com chaves de

interoperabilidade
Um sistema de controle de acesso pode integrar e sincronizar-se com os sistemas
de gestão de RH, como Oracle PeopleSoft, a fim de verificar o status do emprego
ou da contratação do visitante. Isso evita as possíveis ações de colaboradores
descontentes imediatamente após a rescisão.
Entrada multietapas
De forma ideal, um visitante seria identificado pelo crachá antes da área de
recepção. Uma câmera de vídeo perto de um leitor de cartão pode ver quem é
essa pessoa e onde ele ou ela está entrando na unidade. Um sistema de interfone
é usado para facilitar a comunicação e verificar se alguém tem negócios com a
unidade. O sistema de intercomunicação pode utilizar a tecnologia VoIP e tornar-se
uma parte da infraestrutura de comunicações.
Vigilância por vídeo

Assim como as áreas anteriores ao Data Center, o vídeo é fundamental para
acompanhar o movimento dos visitantes que aproximam-se e entram no prédio.As
câmeras de alta resolução são recomendadas para fornecer a clara identificação
clara da pessoa que está entrando na unidade. Além disso, se os sistemas de vídeo
e controle de acesso forem integrados, é fornecida uma identificação positiva e um
registro verificável de entrada para cada caso.
Responsabilidade de todos
A adoção de políticas e procedimentos é extremamente importante porque permite
a entrada de indivíduos no Data Center. A responsabilidade começa com o pessoal
de segurança e recepcionista, mas o cumprimento das melhores práticas, conforme
estabelecido pela política de segurança organizacional, deve alcançar a todos os
funcionários do Data Centerr, pois é uma fase crítica do processo de segurança.
35
MELHORES PRÁTICAS DE
GESTÃO DE RISCOS
CAMADA 4: CORREDORES, ÁREAS SOB ESCOLTA E

ÁREA CINZA
A maioria dos Data Centers dão importância significativa à área branca da sala de
Data Center, mas a área cinza, os corredores e áreas sob escolta que levam até o
chão do Data Center são muitas vezes uma área onde as medidas de segurança
são negligenciadas.
É útil pensar a área cinza como o perímetro para o Data Center e protegê-la de
forma adequada.
Quem está na área cinza?

O controle de visitantes é fundamental. Sem rastreamento adequado do visitante,
no caso de um grupo fazendo uma turnê pela unidade, não é difícil alguém
conseguir sair para usar o banheiro e passar desapercebido se não voltar. Agora,
há um visitante sem escolta e desaparecido a uma porta de distância da área
branca do Data Center.
Eclusa na entrada e/ou na saída

Deixar apenas uma única pessoa entrar é, obviamente, mais seguro que permitir
que um grupo inteiro adentre as instalações. Os usuários de uma eclusa, e de
todas as áreas seguras de um Data Center, devem estar cientes dos potenciais
"tailgaters" que seguem de perto um indivíduo autorizado para driblar os processos
de segurança adequados. Mesmo se o indivíduo estiver autorizado, o tailgating é
uma afronta à capacidade de rastrear aqueles que estão presentes no Data Center
e não deve ser permitido. É necessária uma rigorosa política que não permita o
acesso não autorizado.
Frequentemente usada, a eclusa pode estar presente tanto na área cinza da

recepção como fora da área cinza para dentro das salas do Data Center. Ela não é
obrigatória, mas é útil para unidades que exigem maior segurança.
Figura 14: Camada 4: Corredores, áreas sob escolta e área cinza
A Eclusa
B Proteger entrada
para a unidade
STOP
C Vigilância
STOP
por vídeo
36
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Controle de acesso à infraestrutura do prédio

Ao entrar na área cinza, é muito mais fácil que alguém penetre nos sistemas de
energia e de telecomunicações que fornecem a espinha dorsal de um Data Center,
juntamente com os seus sistemas de backup. A segurança da infraestrutura de um
prédio é uma preocupação primordial para qualquer Data Center e são necessários
vários métodos de segurança para protegê-lo. Um indivíduo mal-intencionado e
com determinadas habilidades consegue facilmente destruir um cilindro de chave
mecânica. Pode ocorrer um incidente catastrófico se uma pessoa não autorizada
acessar a infraestrutura de um prédio importante partindo da área cinza.
Todas as portas que não têm controle de acesso ativo são um possível ponto de
problema. Muitas destas portas podem ser acessadas pela área cinza por alguém
que passar pela entrada principal de segurança de um Data Center.
e a área não estiver devidamente monitorada.
Proteger portas e fechaduras

As portas que conduzem da área cinza para dentro da infraestrutura ou de outras
áreas devem possuir portas de alta segurança e conjuntos de travas. Travas que
não se acoplem apenas à maçaneta da porta, mas também à dobradiça superior
e lateral, fornecendo um maior nível de proteção no caso de uma abertura da
fechadura de cilindro.
Vídeo
O vídeo é uma ferramenta importante para garantir o espaço cinza, e pode oferecer
uma cobertura clara dos corredores. Uma estratégia de vídeo pode incluir:
›› Câmeras de alta resolução que variam de HD 720p e 1080p até

multimegapixel.
›› Câmeras de 360o graus ou 180o graus que podem cobrir uma área significativa.
›› Câmeras com alto-falantes e microfones para aumentar a capacidade do
pessoal de segurança em julgar as situações possíveis e dialogar com sujeitos.
›› Detecção que pode alertar para o movimento dentro de áreas sensíveis ou
câmeras de rede que vêm com detecção de movimento inteligente, permitindo
que vários pontos específicos de interesse sejam desmascarados para
detectar movimento em relação a todo o campo de visão.
›› Identificação de quem entrou na planta de resfriadores ou na sala de bateria e
confirmar o seu acesso.
Planos de emergência adequado

Uma área adicional de preocupação são as saídas de emergência que partem de
todos os pontos da instalação. O que acontece se alguém aciona um alarme de
incêndio? Um visitante teria acesso repentino às áreas que estão fora dos limites
sem a emergência? Será que os funcionários do Data Center sabem o que fazer?
37
GESTÃO DE RISCOS
MELHORES PRÁTICAS
CAMADA 5: SALA DE DATA CENTER E ÁREA BRANCA

À medida que a importância de cada camada de proteção é explorada, fica óbvio
que cada camada individual de proteção é extremamente importante. Uma ameaça
pode causar grandes danos dentro de um gabinete de Data Center, e falamos
sobre a importância de controlar o acesso à sala de Data Center e à área branca.
Alguém interessado em roubo de servidor ou em fazer um upload de vírus não vai
conseguir se o acesso ao piso não for concedido.
Se houver uma força total na segurança do Data Center, é provável que o foco
seja colocado em impedir o acesso às áreas brancas das pessoas não autorizadas.
Independentemente deste foco, muitos Data Centers ainda têm buracos em seus
planos, processos ou sistemas que tornam a área branca menos segura do que
poderia ser.
Eclusas
A eclusa faz parte do recurso de segurança dentro e fora de muitas salas de
Data Centers. A eclusa requer acesso autorizado a uma pequena sala, onde ambos
os lados da porta devem fechar e, em seguida, acontece um outro procedimento
de autorização para liberar a entrada de um indivíduo.
Figura 15: Camada 5: Sala de Data Center e área branca
A Eclusas
B Vigilância
por vídeo
C Biométrica
D Gaiolas
38
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Gaiolas
Dentro da área branca, um sistema de gaiola pode fornecer maior proteção para
separar e proteger gabinetes ou equipamentos de rede específicos do cliente. Ao
utilizar um sistema de gaiola, é necessário garantir que as medidas de segurança
desejadas para controle de acesso, detecção de intrusão e vigilância de vídeo
sejam compatíveis.
Vídeo
Há muitas usos de vídeos nas diferentes camadas, mas para a sala de Data Center
e para a área em branco, há câmeras específicas que podem ser utilizadas.
Uma câmera de 360o graus pode ser usada no meio do corredor quente ou frio.
Dependendo de como ela se integra ao controle de acesso do gabinete, ela dá um
zoom digital em uma posição predefinida quando uma porta do gabinete é aberta.
Uma câmera de zoom com inclinação de área horizontal pode ser utilizada no final
de uma fileira como uma câmera de posição fixa. Ela fica parada e vigia a fileira na
sua posição inicial. Assim que um gabinete for aberto, a câmera automaticamente
dá um zoom e registra a pessoa que entra no gabinete com base em uma posição
predefinida, e em seguida o zoom volta à sua posição inicial fixada.
As câmeras de pouca luz também podem ser usadas em áreas onde as luzes do
piso do Data Center têm regulagem de intensidade quando nenhum movimento
é detectado, buscando reduzir custos de energia. Os avanços na tecnologia
permitem que estas câmeras de pouca luz agora forneçam imagens coloridas em
ambientes escuros com melhor definição e proporcionem cores mais realistas em
condições de pouca luz.
As câmeras térmicas podem ser usadas no Data Center para fornecer proteção no
caso de um indivíduo mal-intencionado acender intencionalmente as luzes em uma
área de armazenamento de equipamentos ou no piso do Data Center. As câmeras
térmicas operam na escuridão completa, fornecendo uma assinatura de calor que
é sempre emitida a partir de um objeto ou pessoa. As câmeras térmicas também
podem ser usadas para encontrar pontos quentes causados pelo superaquecimento
dos servidores, pelas fontes de alimentação ininterruptas, pelos sistemas de
refrigeração e unidades de distribuição de energia dentro dos Data Centers.
O VÍDEO COMO UM SERVIÇO DA EMPRESA:
As câmeras na área branca oferecem mais do que somente proteção das pessoas e ativos. Uma câmera
de vídeo de alta resolução pode permitir que um usuário identifique visualmente o equipamento para
ver o que está acontecendo de errado. Isto proporciona uma capacidade forense para analisar o que
aconteceu no Data Center. As câmeras podem servir de suporte para um centro de operações de rede,
identificando e lendo visualmente os displays dos equipamentos e os padrões de luz de LED, permitindo
a monitoração e manutenção mais eficientes visualmente. Fornecer vigilância de vídeo como um serviço
de negócios é um benefício adicional de monitoramento do vídeo de segurança.
39
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Vantagem do fator triplo da biometria em relação à

autenticação de fator duplo
O controle de acesso à área branca do Data Center e entre a área branca e o
gabinete do Data Center é de importância primordial. Alguns Data Centers, mesmo
aqueles com protocolos de segurança elevada, ainda dependem de crachás de
identificação que exigem autenticação dupla, mesmo na proteção do núcleo interno
de um Data Center. Embora os crachás de identificação ainda sejam aceitáveis
nas partes externas dos anéis de proteção, as melhores práticas ditam o uso de
identificação biométrica mais próxima do conjunto de dados.
Quais são as três principais vantagens da biometria?

Prova: A biometria, por impressões digitais, digitalização da íris ou de outra forma,
comprova positivamente a identidade de um indivíduo. Cartões-chaves com dupla
autenticação proporcionam uma aparente segurança, mas como qualquer um que
já tenha usado cartão de débito de um amigo ou cônjuge, ter um cartão e saber sua
senha não são simplesmente provas de identidade de um indivíduo.
Comodidade: Os sistemas biométricos evitam as situações de perda ou extravio de

um cartão, o que exige tempo, energia, esforço e despesas.
Uma impressão digital ou digitalização da íris não precisa de substituição, sendo

uma solução mais eficiente e menos demorada.
Custo: Apesar de um leitor de cartão-chave ser inicialmente mais caro que

um sistema de leitor biométrico, os custos de gestão de um sistema crescem
rapidamente. A emissão inicial de tais cartões-chave pode ser dispendiosa, assim
como a substituição de cartões-chave perdidos ou esquecidos em casa.
A vantagem de custo da biometria destaca-se em uma instalação que exija

autorização de entrada para um grande número de pessoas. O custo de sistemas
biométricos não deve ser uma barreira para sua implementação; no longo prazo,
acaba sendo mais barato, uma vez que existem alguns custos além do custo do
leitor. Mesmo que um leitor biométrico seja mais caro que um leitor de cartão-chave,
não há custos iniciais e correntes dos próprios cartões-chave, que normalmente
custam cerca de US $ 3 por peça. Se, com o passar do tempo, o número de
funcionários e visitantes que necessitam de cartões-chave crescer muito, o sistema
do leitor de cartão-chave será frequentemente mais caro que o sistema biométrico.
40
GESTÃO DE RISCOS
MELHORES PRÁTICAS
CAMADA 6: GABINETE DO DATA CENTER

O núcleo do centro de dados é a infraestrutura de TI alojada dentro de um gabinete
de Data Center. Como regra geral, esses gabinetes não oferecem segurança.
O controle de acesso ao gabinete está sendo implementado em mais normas

de conformidade. A capacidade de identificar positivamente quem está entrando
nesses gabinetes agora é necessária para os Data Centers TIA tier 3 ou tier 4 e
a PCI DSS é uma das muitas certificações que estão exigindo cada vez mais das
normas. A grande maioria dos Data Centers não têm controle de acesso adequado
ao gabinete. Esta é uma questão importante.
Figura 16: Camada 6: Gabinete do Data Center
A Vigilância por
vídeo
B Trava
C Controle de
STOP acesso
STOP
D Biométrica
41
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Um problema-chave
Um problema comum é que muitos gabinetes atualmente ainda estão sendo
despachados com uma única chave mestra. Surpreendentemente, cada chave pode
abrir todos os outros gabinetes do mesmo modelo em qualquer Data Center, em
qualquer lugar. Como resultado, a maioria dos gabinetes usados pelos Data Centers
de hoje podem ser abertos por qualquer um que tenha uma das chaves mestras.
Esta situação cria uma diferença significativa na segurança de muitos Data Centers,
nos quais alguém com uma chave mestra dos fabricantes pode rapidamente e
facilmente acessar um gabinete. As implicações deste pronto acesso a um gabinete
de Data Center tem consequências significativas, incluindo:
›› Roubo de servidor: O roubo de servidores é muito comum e, de acordo com

a DCD, o preço médio de um servidor de um Data Center em 2014 era de $7k,
mas o estrago é infinitamente maior
›› Roubo de armazenamento: O preço médio de um sistema de armazenamento
em 2014 era de US$ 12k de acordo com DCD - mas a perda de dados pode ser
muito significativa
›› Upload: Uma preocupação semelhante é a capacidade de fazer upload de um
vírus quando concedido acesso ao gabinete.
›› Interrupção da energia ou conectividade: Não importa a redundância de um
Data Center, se um servidor tiver os fios cortados, haverá um período de tempo
de inatividade até que o problema seja diagnosticado ou consertado.
Esta é obviamente uma questão importante para todos os Data Center, mas
particularmente em Data Centers com um grande número de visitantes e tráfego de
pedestres na instalação. Deve ser uma preocupação particular dos Data Centers
multi-inquilinos, onde o representante de um cliente (um técnico ou terceirizado)
pode ser legitimamente liberado para adentrar os gabinetes de um cliente, mas
com fácil acesso aos gabinetes de outros clientes. Se eles estiverem de posse da
chave mestra do fabricante adequado, e não forem devidamente monitorados, eles
têm fácil acesso aos servidores e à infraestrutura de outros clientes.
Em muitos Data Centers multi-inquilinos, a infraestrutura de TI de um cliente

pode ser facilmente acessada pelo cliente ao lado, mas este não é um problema
exclusivo dos Data Centers multi-inquilinos. Poucos Data Centers têm fornecedores
externos ou terceirizados que fazem o trabalho no chão do Data Center. Seja
um Data Center particular ou um ambiente de colocalização, um terceirizado ou
funcionário com intenção maliciosa pode acessar facilmente e com rapidez um
gabinete de Data Center e causar danos significativos em um período muito curto
de tempo.
As instalações de colocalização também contam com um tráfego de pedestres

significativo, com pessoas em transações de vendas, e muitos tentam sediar
eventos para tecnólogos e outros líderes de negócios em um esforço de aumentar
a consciência de outras localizações. Aqueles visitantes adicionais criam a
necessidade extra de uma solução de controle de acesso ao gabinete.
42
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Principais restrições
Se as circunstâncias ditarem o uso de uma chave cilíndrica de acesso, algumas
medidas podem ser tomadas para reduzir o risco.
›› Entenda que "não duplicar" não tem sentido em uma era de máquinas de
replicação de chaves nos grandes varejistas.
›› Alguns fabricantes têm chaves mestras carimbadas com números da ID do
usuário final, o que permite que o fabricante identifique a fonte de qualquer
chave não autorizada.
›› Esteja sempre ciente de que um sistema de chaves sem outro acesso de
controle ao gabinete é considerado insuficiente, representando um risco
significativo à segurança.
Suporte da melhor prática

As melhores práticas de segurança básicas podem reduzir um pouco o risco.
Políticas que podem reduzir o risco incluem rigoroso acompanhamento de todos
aqueles acessos concedidos à área branca, exigindo acompanhantes para os
visitantes, não permitindo que os indivíduos fiquem sozinhos no chão do Data
Center, e que exigem dois ou mais membros da equipe em conjunto, sempre
que estiverem na área branca. Ao mesmo tempo em que servem de impeditivos,
nenhum destes métodos é completamente à prova de falhas.
Um plano de controle de acesso ao gabinete também é necessário para Data

Centers particulares. Não é rara a ocorrência de casos em que os funcionários
tenham motivos para estar na área do Data Center regularmente, mas não
necessariamente nos gabinetes.
Produtos de controle de acesso ao gabinete

Nos últimos anos, vieram ao mercado uma série de produtos de controle de acesso
que tentam resolver a questão da segurança para gabinetes. Normalmente, esses
produtos utilizam duplo (ou superior) fator de autenticação ou biometria em um
esforço de garantir que somente aqueles com autorização adequada tenham
acesso a um gabinete.
Registro de auditoria
Os produtos de controle de acesso devem criar registros de acesso completos para
suportar um verdadeiro nível de segurança e conformidade através de um registro
verificável de auditoria. Eles também podem limitar o acesso a horários específicos
para determinados indivíduos. Por exemplo, um empreiteiro que trabalha em um
servidor na terça-feira de manhã pode ter acesso restrito das 8h-12h, às terças-feiras.
Interoperabilidade e vídeo
O controle de acesso ao gabinete é aperfeiçoado pela inclusão de vídeo integrado,
para confirmação visual e para controle de acesso. A integração entre a vigilância
por vídeo e o controle de acesso cria um registro de auditoria daquelas pessoas que
estão dentro do gabinete. Muitos clientes insistem sobre a interoperabilidade dos
fabricantes e dos integradores de segurança.
43
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Leitor de cabine integrado ou de final de linha

O acesso à caixa pode ser controlado por um leitor de gabinete integrado na
alavanca ou por um dispositivo de acesso no final de uma linha. Como regra geral,
as soluções de final de linha são mais acessíveis, mas não fornecem um registro
de auditoria tão detalhado quanto o leitor de gabinete integrado. Cada aplicação
é única. Além dos fatores orçamentais, a dimensão do sistema, expansibilidade e
necessidades futuras, os requisitos de segurança e políticas e procedimentos devem
ser considerados na decisão.
Chave de cancelamento
Em caso de uma situação de emergência ou perda de energia, uma pessoa em
posição de autoridade pode precisar de uma chave que se sobreponha a todas as
outras medidas de segurança. A presença de uma chave de cancelamento manual,
obviamente, exige um gerenciamento significativo, incluindo as seguintes melhores
práticas:
1. O sistema de chave deve ficar restrito por uma patente para evitar
a duplicação não autorizada da chave.
2. As chaves de cancelamento devem ser gerenciadas de perto para

certificar-se de que sejam utilizadas somente por usuários autorizados.
3. As chaves devem ficar trancadas em um cofre ou gabinete de chaves

de emergência que tenha acesso restrito.
4. As chaves devem ser conectadas e desconectadas – e somente por

usuários autorizados.
5. O sistema de controle de acesso à cabine devem ser capaz de

detectar e registrar todas as utilizações das chaves de sobreposição.
6. As chaves devem ser usadas somente em situações de emergência/

perda de energia.
Procedimentos e controle
de acesso adequados ao gabinete são as chaves
O risco de intrusão em um gabinete do Data Center é óbvio, e o grande número de
chaves que o fabricante possui em circulação aumenta esse risco. Uma combinação
de um plano sólido, de procedimentos de segurança adequados, a adesão
específica a esses processos e as novas ferramentas e tecnologias são necessários
para oferecer segurança adequada a um gabinete.
44
GESTÃO DE RISCOS
MELHORES PRÁTICAS
CONCLUSÃO
A criação de uma estratégia de segurança não é uma proposta que atende a

todas as especificações. Ao usar a abordagem de defesa abrangente descrita
neste relatório, os Data Centers conseguem criar um ambiente seguro ao usar
várias estratégias, políticas e protocolos de segurança. Seja uma instalação de
nível militar, uma instalação multi-inquilinos ou até mesmo um Data Center local em
uma empresa, as seis camadas ajudam a criar uma postura de defesa abrangente,
adaptada às necessidades de cada indivíduo, buscando proteger a infraestrutura
fundamental, impedir potenciais ameaças e promover a realização e manutenção
dos objetivos de conformidade necessários.
As violações de dados estão se tornando quase universais, e os Data Centers de

todos os portes precisam estar cientes dos riscos e das estratégias de prevenção.
À medida que são criados mais dados em todas as áreas da vida pessoal e
profissional, a informação armazenada nos gabinetes torna-se cada vez mais
valiosa. A avaliação e orçamento de segurança lógica e física é a única etapa
racional.
Hoje, mais do que nunca, uma violação de um Data Center é muito prejudicial
para o futuro de uma organização. Conforme o risco aumentou, uma crescente
variedade de ameaças sofisticadas continua a emergir, projetadas para penetrar
as defesas do Data Center. É importante dar os primeiros passos agora para
desenvolver, implementar e executar uma estratégia de segurança física adequada
ao Data Center.
45
GESTÃO DE RISCOS
MELHORES PRÁTICAS
Contate a Anixter para saber mais sobre como funciona a gestão de riscos com
os outros blocos de construção da infraestrutura da Anixter como uma solução de
plataforma. A infraestrutura como plataforma centra-se em ajudar a criar um Data
Center ágil e modular, abordando os cinco blocos de construção essenciais para a
interoperabilidade do Data Center:
›› Gestão de riscos
›› Migração de rede
›› Otimização de energia
›› Componentes de eficiência
›› Habilitação DCIM
Para mais informações sobre como proteger o seu Data Center e reduzir o risco
de violação, visite anixter.com/datacenterdcd ou entre em contato com seu
representante Anixter local.
PATROCINADO PELOS PARCEIROS DA TECNOLOGIA ALLIANCE DA ANIXTER
46
Na Anixter possibilitamos a conexão com o mundo todo. Desde
instalações e comunidades mais seguras até os ambientes
industriais e as redes mais eficientes, entregamos as soluções de
infraestrutura - e inteligência - que sustentam o seu negócio.
Através da nossa rede de distribuição global inigualável, nossa

expertise em gestão de Supply Chain Services e know-how
técnico, nós entregamos eficiência e eficácia para beneficiar seu
resultado.
DatacenterDynamics (DCD), parte do grupo DCD, é uma empresa

internacional de publicidade e mídia B2B (business-to-business).
Ela oferece uma extensa gama de produtos e serviços para
auxiliar profissionais de alto nível em organizações mundiais que
dependem de ICT a tomar decisões de capacidade e infraestrutura
com base no risco.
PARA MAIS INFORMAÇÕES:
O portfólio da DCD sobre os cases ao vivo, a publicação
online e impressa, a inteligência de negócios e as marcas
de desenvolvimento profissional concentra-se em torno das +44 (0)20 7426 4813
complexidades da convergência tecnológica. Acessíveis em mais
de 42 países, o conhecimento exclusivo e a plataforma de rede info@dcd-intelligence.com
da DCD têm a confiança de mais de 40.000 ICT e profissionais de
engenharia e tecnologia em todo o mundo. www.dcd-intelligence.com

Anixter Melhores Praticas de Gestao de Riscos Data Center

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Anixter Melhores Praticas de Gestao de Riscos Data Center

Enviado por

Direitos autorais:

Formatos disponíveis

RESUMO DE TECNOLOGIA GLOBAL

ÍNDICE DAS FIGURAS

Equilibrar a segurança física com a segurança lógica é a única maneira de proteger

Ao longo dos capítulos, o documento estabelece os passos para criar uma

Seja para negócios, educação, entretenimento ou compras, quase todas as

A violação de dados é universal

FATOS DAS VIOLAÇÕES DE SEGURANÇA

›› O custo médio de uma violação de dados é de $3,5 milhões. A ausência de desenvolvimento ou

Segurança física: O verdadeiro alicerce da segurança de dados

Segurança do Data Center

›› Quem, na empresa, é o principal responsável pela segurança física do Data

Não espere por uma catástrofe

Figura 1: Ameaças aos Data Centers

Importância e natureza crítica

Impacto das falhas

Big Data, IoT, Mobility, Cloud:

Figura 3: Impulsionadores do crescimento do Data Center

Seu Data Center

Centros de computação — Colocalidade/terceirizações — Espaço total — In-house

Data centers com

Figura 5: Ameaças físicas ao Data Center

Segurança é responsabilidade de todos

É dever de todos evitar as violações dos dados

Os custos de uma violação de dados são significativos: um estudo de 2014, pelo

Investimento vs. Risco: Figura 6: Investimento vs. Risco

Por meio da construção de uma —

NÃO FAÇA PARTE DA ESTATÍSTICA

O custo médio incorrido pelos Data

Fonte: Instituto Ponemon 2014. Estudo do custo

Defesa contra a variedade de ameaças à segurança

Adversários sérios, astutos e habilidosos

Estabelecer uma cultura de segurança

Passos necessários Figura 7: Os certos e errados do comprometimento corporativo

Quais são os planos e procedimentos

Desde a diretoria até a linha de frente,

Para ficar à frente dos fatores de risco,

Ter um orçamento substancial não é o único problema. A propriedade daquele

Figura 8: Orçamento para segurança física – atendendo às diferentes especificações executivas

Análise de custo para determinar o orçamento

LISTA DE VERIFICAÇÃO DO ORÇAMENTO PARA SEGURANÇA FÍSICA

›› Onde fica a responsabilidade orçamentária pela segurança física do Data Center?

O ambiente determina a proteção

›› Um prestador de serviços que hospeda sua plataforma de negócio inteira no

Apesar do Sistema de Classificação de Tier (Tier Classification System) não impor

Dentro da infraestrutura de TI existem inúmeras medidas de segurança das "melhores

Plano de segurança física

Manutenção de procedimentos e políticas sólidas

›› As políticas sólidas e melhores práticas oferecem suporte à segurança em um

A segurança é um dos dois principais componentes da conformidade, assim como

Um enfraquecimento no cumprimento das orientações de uma organização pode

Abordar a segurança física é cumprir com os regulamentos e normas. Aqueles que

As normas de conformidade são exclusivas para indústrias individuais, mas

›› Proteger os dados armazenados do titular do cartão

Esses requisitos de segurança podem ser cumpridos por meio de protocolos

Uma abordagem em camadas, que atenderia às necessidades específicas que a

GLB HIPAA & HITECH SSAE 16 PCI DSS

A importância Figura 10: A conversa ideal com um auditor

Sempre que possível, implemente normas de concepção de Data Center.

O projeto e layout adequados de um Data Center permitem a eficácia destes e de

Concepção do Data Center e normas de segurança

A conscientização e o entendimento dessas normas são fundamentais para

Parte integrante das normas globais de projeto de um Data Center é compreender

1. Gabinete do Data Center

2. Sala de Data Center e área branca