Cuartos de red y de servidores

Un cuarto técnico concentra lo que una sede necesita para funcionar: si alguien entra y mueve un cable, se interrumpe todo. Por eso el acceso se controla por lista nominal y toda entrada queda anotada. Los controles A.7.3 (seguridad de oficinas, despachos e instalaciones) y A.7.6 (trabajo en áreas seguras) son los que sostienen esa práctica.

La bitácora es la evidencia, y para que sirva debe contestar cuatro preguntas sin dejar huecos: quién entró, cuándo, para qué y con la autorización de quién. Si falta alguna, no se puede reconstruir lo ocurrido.

Los equipos tienen un rango de temperatura en el que operan. El control A.7.5 trata la protección contra amenazas físicas y ambientales y A.7.8 el emplazamiento y la protección de los equipos: dónde se instala un equipo y con qué condiciones se mantiene. La hoja de inspección compara la temperatura máxima registrada con el umbral de cada cuarto.

Lee la hoja de condiciones y compara las dos columnas de temperatura, sin fijarte en lo que dice la cabecera del cuarto.

El control A.7.11 trata los servicios de apoyo: la energía, las telecomunicaciones y la climatización, que deben proteger a los equipos de fallos. Una fuente de energía de respaldo que nunca se prueba es una esperanza, no un control. El procedimiento de Cardón fija la frecuencia de la prueba y la hoja de inspección registra cuándo se hizo la última.

Fíjate en la fecha de la inspección y en la frecuencia del procedimiento, y busca el cuarto cuya última prueba quedó fuera de plazo.

Una lista nominal de acceso se prueba contra la bitácora: cada nombre que aparece en la bitácora debe estar en la lista o tener una autorización escrita y un acompañante. Que alguien entre «por un momento» y «sin mala intención» no cambia la clasificación del hallazgo: el control está para que no dependa de la buena intención.

Cruza la lista de acceso autorizado de los cuartos con las entradas de la bitácora.

El control A.7.13 cubre el mantenimiento de los equipos: que se haga en los plazos y por personal autorizado, y que no abra una puerta lateral. Un técnico externo dentro de un cuarto de comunicaciones, solo y con el equipo que da servicio a las áreas, ve mucho más de lo que necesita para cambiar un filtro.

Lee la tabla de mantenimiento y busca el trabajo que se hizo sin que nadie de TI estuviera presente.