¿Cuánto le está costando realmente la desviación de la seguridad de entrada a su centro de datos?

La “pérdida” en un entorno de centro de datos generalmente significa infracciones, interrupciones o tiempo de inactividad. Pero algunas de las pérdidas más importantes causadas por debilidades de seguridad física no aparecen en esos informes en absoluto.

En cambio, aumentan lentamente a través de pequeñas desviaciones de los procedimientos de control de acceso definidos que no causan incidentes por sí solos, pero aumentan constantemente los costos laborales, crean exposición al cumplimiento y reducen la eficiencia operativa con el tiempo.

Las entradas son sistemas operativos que tienen un impacto directo en la fluidez y confiabilidad del funcionamiento diario de su centro de datos.

Las entradas a menudo se tratan como controles fijos... no como puntos de riesgo dinámicos

Los sistemas de energía son redundantes. Se controla el enfriamiento. Las redes se prueban con carga, se parchean y se protegen contra amenazas en evolución.

Las entradas rara vez reciben el mismo tratamiento. Con demasiada frecuencia, se diseñan, implementan y luego se olvidan, por lo general se los considera “suficientemente buenos” una vez que los lectores de credenciales funcionan y el acceso parece restringido.

Con el tiempo, esto puede llevar a una desconexión entre el funcionamiento de las entradas y cómo funcionan realmente en la práctica. A medida que los niveles de personal aumentan, la gente comienza a optimizar la velocidad. Nada falla. Pero el proceso ya no funciona según lo diseñado.

La eficiencia operativa comienza a disminuir, lentamente al principio

Una seguridad de entrada comprometida a menudo comienza con una pérdida de eficiencia operativa.

Cuando sus controles de acceso no pueden imponer consistentemente la entrada de una persona por credencial, esa responsabilidad recae en sus guardias y personal. Alguien tiene que vigilar las entradas más de cerca, guiar a las personas hacia dónde deben ir y aprobar manualmente las excepciones de acceso, como cuando:

• Los guardias están ocupados manejando el acceso de rutina en lugar de monitorear las cámaras.
• Los empleados se detienen para resolver problemas de credenciales o recibir acceso manual
• Contratistas esperan escoltas o alguien que resuelva la confusión
• Las líneas de entrada se obstruyen durante los cambios de turno o los períodos de mayor actividad

Los empleados y guardias se convierten en policías de tránsito en lugar de evaluadores de riesgos.

La cobertura de guardia se convierte en un gasto oculto

Las entradas que requieren una intensa supervisión humana son inherentemente impredecibles. Cuando la confiabilidad de la entrada comienza a volverse errática, es común compensarlo asignando cobertura de guardia adicional.

Los ejemplos incluyen asignar guardias adicionales durante el tráfico pico, agregar cobertura provisional mientras los sistemas de entrada están inactivos o en modo de mantenimiento, aprobar horas extras para manejar la afluencia de contratistas o asignar personal temporal durante auditorías o actividades de alto riesgo.

Hasta que un día, su factura laboral aumentó significativamente debido a las limitaciones del control de entrada y no a ningún incidente real.

Su entrada afecta el tiempo de actividad más de lo que piensa

¿Qué pasa con las consecuencias secundarias cuando el control de acceso no siempre se aplica en las entradas? Por ejemplo, los técnicos se retrasan cuando no pueden acceder al edificio de inmediato para completar el mantenimiento preventivo, la respuesta a incidentes lleva más tiempo porque los empleados esperan en fila en la puerta principal, los empleados se sienten obligados a eludir los controles solo para mantener un flujo de trabajo predecible, o las alarmas de las puertas, las integraciones y el hardware no funcionan cuando más se necesitan.

Si los retrasos en la entrada comienzan a afectar la respuesta de mantenimiento, la resolución de incidentes o el acceso a equipos críticos, sus entradas ahora están influyendo en la confiabilidad del tiempo de actividad.

Los riesgos de cumplimiento pueden aumentar con el tiempo

En muchos casos, la exposición al cumplimiento se desarrolla mucho antes de que ocurra un incidente o una interrupción obvia. Las políticas de seguridad a menudo exigen que el acceso esté restringido a personas autorizadas, que las entradas y salidas se registren y sean auditables, que el acceso se revoque cuando ya no sea necesario y que los controles funcionen de manera consistente.

Cuando las entradas dependen de la aplicación de medidas ad hoc, puede haber grandes diferencias entre la política y la realidad en el lugar.

Los ejemplos incluyen cuando el acceso del contratista no se revoca de manera oportuna, las credenciales se comparten o reutilizan, las puertas se mantienen abiertas para acelerar las entregas a través de seguridad o una actividad de alarma es alta, pero regularmente se ignora o se descarta.

Las soluciones temporales pueden convertirse en una realidad permanente

Casi todos los problemas de seguridad de las entradas comienzan como una solución temporal, como una puerta que se mantiene anulada mientras los técnicos terminan el mantenimiento, una entrada de respaldo que se utiliza para acelerar las entregas y un umbral de alarma que se ajusta para eliminar activaciones falsas.

El riesgo surge cuando estas soluciones persisten más de lo previsto originalmente. La postura de seguridad está ahora materialmente debilitada.

La seguridad de la entrada no "falla" en la mayoría de los casos

En lugar de buscar un único incidente que haya provocado una pérdida de seguridad o eficiencia operativa, esté atento a tendencias como:

• Aumentar constantemente las horas de guardia.
• Fricciones operativas causadas por retrasos en el acceso
• La preparación de la auditoría lleva más tiempo debido a la mala documentación
• Se están haciendo más excepciones para facilitar el acceso
• El personal cada vez depende más de los controles manuales

¿Qué tan bien funcionan realmente sus entradas?

La verdadera pregunta es si sus entradas todavía funcionan como lo hacen sus instalaciones.

Y con demasiada frecuencia, los controles de entrada que eran perfectamente adecuados hace cinco años se vuelven obsoletos lentamente a medida que cambia el entorno operativo a su alrededor. Crean vulnerabilidades y desafíos operativos que son fáciles de pasar por alto.

Diagnóstico de operaciones: ¿Ya está pagando costos ocultos por los problemas de ingreso?

Utilice las siguientes preguntas como un diagnóstico simple para determinar si ya existen costos de entrada ocultos en sus instalaciones.

• Flujo de acceso y cumplimiento

¿Cuándo ha superado la comodidad la exigencia del acceso de una sola persona/una sola credencial? ¿Los guardias de seguridad u otras personas frecuentemente evitan el seguimiento cercano, las aprobaciones de acceso o el forzamiento de puertas? ¿El personal, los contratistas, los auditores y las entregas entran todos por la misma puerta? Las entradas comunes crean cuellos de botella en el rendimiento que a menudo convierten la aplicación de la ley en sentencia.

• Supervisión y mantenimiento del sistema

¿Con qué frecuencia revisa el rendimiento de los sistemas de entrada durante condiciones operativas típicas? Algunas instalaciones sólo analizan el rendimiento de la entrada después de un incidente o justo antes de una auditoría. ¿Con qué frecuencia ve alarmas de puerta mantenida abierta o de puerta forzada? Si recibe estas alarmas con regularidad, ¿se investigan o simplemente se reconocen y borran? ¿Revisa periódicamente las configuraciones de las entradas para asegurarse de que coincidan con las condiciones operativas actuales? Se deben considerar factores como la dotación de personal, la actividad de los contratistas y los cambios en los estándares de cumplimiento.

• Acceda a la gestión del ciclo de vida

¿En qué medida sus esfuerzos de acceso replican sus operaciones diarias desde la concesión del acceso hasta la terminación? Se puede conceder rápidamente acceso temporal a contratistas/proveedores para la instalación a fin de evitar ralentizar el progreso del proyecto, pero ¿siempre se cancela rápidamente el suministro? ¿Qué pasa con las anulaciones temporales, los modos de omisión y las excepciones aprobadas al control de acceso normal? ¿Se eliminan siempre a tiempo? ¿Los registros de acceso y la configuración que tiene hoy serían válidos si un auditor apareciera mágicamente en su puerta?

• Impacto operativo

¿El rendimiento de la entrada ha comenzado a afectar sus operaciones diarias? La congestión de la entrada durante los cambios de turno, cierres de mantenimiento o entregas de contratistas puede generar retrasos menores a diario. ¿Se ha encontrado en la necesidad de aumentar la cobertura de guardia con el tiempo para compensar los desafíos de acceso, incluso si no ocurrió ningún evento desencadenante obvio? ¿Sus sistemas de entrada brindan el mismo nivel de “acceso seguro” durante las horas de baja actividad que durante los períodos de mayor actividad (es decir, turnos nocturnos, mantenimiento de emergencia, uso de contratistas estacionales)?

Si respondió afirmativamente a cualquiera de estas preguntas, incluso si solo le causó problemas menores en el pasado, podría estar perdiendo dinero hoy. Al identificar y abordar estos problemas ahora, puede evitar desperdiciar la eficiencia, la preparación para el cumplimiento y la capacidad de depender de sus entradas para ayudar a que sus instalaciones funcionen sin problemas.