Auditoria de segurança no Data Center: saiba o que é e como se preparar para o processo

Os dados são cada vez mais valiosos. E se considerarmos que a sua empresa reúne não apenas os seus, mas também os dados dos clientes, qualquer tipo de vazamento ou de uso indevido desses ativos pode levar a grandes prejuízos. Por isso, a realização periódica de uma auditoria de segurança no Data Center é fundamental para assegurar as condições de armazenamento.

Para saber se as instalações são adequadas para as necessidades da sua empresa, é preciso verificar o desempenho da estrutura, os padrões de conformidade e se está pronta para operar.

Por isso, neste artigo, você conhecerá algumas atividades importantes de auditoria a serem realizadas em um Data Center. Aprenderá o que perguntar ao auditá-lo, para saber se o provedor conseguirá manter seus dados e cargas de trabalho seguros. E, também, descobrirá se o centro é certificado e como seus funcionários lidariam com eventuais quedas de energia ou desastres naturais.

Siga na leitura e veja mais a seguir:

O que é auditoria de segurança no Data Center?

De modo geral, um processo de auditoria trata do exame de documentos, livros e registros para verificar se as demonstrações realmente representam, de forma fidedigna, a situação nelas demonstradas. Para isso, realizam-se inspeções visando à obtenção de informações, assim como confirmações internas e externas, obedecendo-se às normas apropriadas.

Por sua vez, a uma auditoria de segurança no Data Center consiste de um cuidadoso processo de análise da conformidade de determinado centro de processamento de dados às normas e procedimentos que regem seu setor. E, principalmente, da avaliação da qualidade dos diversos subsistemas que o compõe, tais como: acesso, plano arquitetônico, cabeamento, climatização, sistema elétrico, monitoramento e segurança.

Visão geral do processo

O Data Center é parte integrante e essencial da infraestrutura tecnológica de uma organização, já que abriga toda a estrutura de TI e seus equipamentos de suporte.

Para garantir suas condições de segurança e eficiência, é necessária a realização uma avaliação periódica das condições do hardware, dos equipamentos periféricos e de segurança, além dos equipamentos de suporte, assim como dos sistemas de energia e refrigeração.

Na prática, o objetivo principal da realização de uma auditoria de segurança no Data Center é avaliar a adequação e eficiência dos controles em vigor para minimizar riscos, atestando a total disponibilidade e a mitigação de possíveis vulnerabilidades para as empresas que utilizam suas instalações e serviços.

Assim, evitam-se problemas como acesso não autorizado, interrupções na operação, roubo de ativos de informações e riscos ambientais, sem falar no impacto à reputação da marca quando esse tipo de incidente ocorre.

Escopo da auditoria

O processo de uma auditoria de segurança em um Data Center inclui diversas atividades como:

Apuração das condições da infraestrutura existente;
Verificação da eficácia dos controles de acesso físico;
Aferição da correta utilização dos recursos disponíveis;
Análise da eficiência energética e das condições de uso dos recursos hídricos;
Necessidade de expansão das instalações;
Qualificação do Data Center em conformidade com normas como a EIA/TIA 942, ABNT 27001 e 27002, referentes a Segurança da Informação, e com a Lei Sarbanes-Oxley (SARBOX, SOX).

A partir daí, é possível verificar e quantificar possíveis inconformidades, solicitando as adequações necessárias através do desenvolvimento de projetos e ações específicas.

Dependendo da base de clientes, pode ser necessário realizar apenas as auditorias padrão em seu Data Center, como a que se baseia na ISO 27001; ou pode ser necessário realizar várias, para diferentes finalidades, como PCI-DSS – requerida por empresas do mercado financeiro ou que utilizam sistemas de pagamento eletrônico.

É importante que auditorias como essas sejam realizadas pelo menos uma vez ao ano. Essa rotina não apenas permite que todos vejam que a empresa está fazendo tudo corretamente, mas também pode ajudar a esclarecer eventuais pontos problemáticos que a organização e seus funcionários possam estar enfrentando.

O desenvolvimento deste tipo de trabalho tem reflexos diretos na assertividade da estrutura e na garantia das condições de segurança, constituindo-se, assim, em uma ferramenta poderosa para as organizações que priorizam a governança corporativa em seus processos.

O que perguntar em um processo de auditoria no Data Center?

Normalmente, a equipe de auditoria interna, com responsabilidades de garantia ou de supervisão da estrutura, é a responsável por conduzir o processo de avaliação do Data Center. Mas, alternativamente, o proprietário do centro pode contratar uma empresa especializada, como forma de oferecer ao cliente a chancela de um órgão independente.

De modo geral, o escopo da auditoria deve abranger razoavelmente todos os aspectos do negócio, como as operações do Data Center, infraestruturas, gerenciamento e capacidade humana. A seguir, veja uma sugestão de roteiro sobre o que perguntar neste processo, com base em diversos aspectos, para garantir que o edifício tenha protocolos de qualidade e de segurança físicos e virtuais suficientes:

Segurança física

Ao auditar um Data Center, verifique se os protocolos de segurança são suficientes para manter seus dados seguros;

Confira o procedimento de cadastro de funcionários e clientes: ao contratar um funcionário, a empresa realiza a verificação de antecedentes? Quando os clientes chegam às instalações, sua identidade é conferida e, em seguida, o indivíduo recebe um cartão de acesso temporário? O edifício dispõe de sistemas de biometria para controle de acesso?

Descubra se há câmeras de segurança suficientes para observar quem entra e sai do prédio. Deve haver o suficiente para cobrir todos os ângulos, sem deixar pontos cegos.

Segurança virtual

Cheque o modo de acesso e a presença online dos dados. Existem camadas de segurança suficientes, como proteções antivírus e firewalls, para evitar malwares? Quais são os protocolos de autenticação antes que uma pessoa possa acessar os dados?
Criptografia: em geral, existem dois tipos – o de chave simétrica e o de chave assimétrica. Idealmente, o Data Center deve usar o tipo de criptografia apropriado para seus dados, juntamente com os algoritmos criptográficos mais recentes.

Performance

Para verificar como a instalação opera é preciso se certificar de que, diante de uma possível ocorrência de complicações técnicas, os funcionários do Data Center conseguirão corrigi-las imediatamente, sem perder nenhum de seus dados;

Para isso, cheque se o provedor oferece suporte remoto, prestado uma equipe técnica especializada própria, e se o serviço é oferecido em escala de 24-7-365;

Pergunte se os funcionários têm experiência com:
- Montagem de racks
- Configuração de novos servidores ou dispositivos
- Ajuste da umidade e da temperatura em níveis ideais
- Monitoramento de geradores, de fontes de alimentação e dos computadores da subestação, para que funcionem.

Histórico

Muitos provedores dizem oferecer uma garantia de disponibilidade de serviço de 100%. No entanto, qualquer tipo de sistema tem risco de falhas devido a algum imprevisto e, por isso, um acordo de nível de serviço (SLA) de 100% é um mito. Portanto, cheque o que o provedor oferece como compensação caso haja uma interrupção;

Descubra os parâmetros de medição, como tempo médio de recuperação (MTTR) e velocidade média de resposta (ASA);
Verifique o nível de transparência que a empresa oferece aos clientes quando há um problema. Se houver alguma interrupção, o provedor o notificará ou esperará que você ligue para eles para checar o que está acontecendo?
Peça-lhes para fornecer um relatório de suas interrupções anteriores. Verifique os relatórios de como eles notificam o cliente, o que acontece durante a resolução e o que ocorre após a resolução.

Certificações

Um bom Data Center deve reunir certificados reconhecidos internacionalmente, que atestam suas condições de segurança, qualidade, estabilidade, confiabilidade. E até a sua relação como meio ambiente. Então, cheque se o seu provedor dispõe de selos como LEED, ISO 9001, ISO 20000-1, ISO 27001, ISO 14001, PCI-DSS e outros.

Eficiência Energética

Ao auditar um Data Center, descubra se o provedor executa testes de carga estendidos em cada gerador. O teste de carga é uma atividade importante porque, por meio dele, a instalação verifica se seus geradores podem lidar com quedas de energia;
Além disso, cheque com que frequência os funcionários realizam os testes. O mínimo de um teste por trimestre é o ideal;

Desastres naturais e protocolos de segurança

Apesar de um desastre natural ser um fator imprevisível, é importante que seu provedor de serviços de Data Center disponha de um protocolo de medidas preventivas ou alternativas para contorná-las. Por isso, ao auditar um centro de dados, pergunte que tipo de incidentes são prováveis de ocorrer na zona onde a instalação está localizada;

Cheque quais planos de contingência a instalação oferece em caso de desastre;

Averigue se o Data Center dispõe de fontes de geração de energia próprias ou se depende de geradores para backup energético. Nesse caso, pergunte por quanto tempo os geradores funcionam com o suprimento normal de combustível e se, quando acabar, haverá fornecedores suficientes para serviços de reabastecimento.

Precisa de ajuda para melhorar as condições de segurança do seu Data Center?

Outras categorias

Segurança

Outras tags

Infraestrutura de Data Centers Segurança

Conheça os riscos digitais e as melhores práticas para proteger seu Data Center

Seu Data Center está seguro? Veja as medidas cruciais para prevenir violações de dados

Conheça as principais ameaças à proteção do Data Center e saiba como manter sua estrutura segura