Paulo Coelho: “O vosso data center não é só o vosso IT” (com vídeo)

Um centro de dados pode ter os servidores protegidos e continuar vulnerável através dos sistemas que asseguram o seu funcionamento. Um ataque a um gerador, a uma UPS ou ao arrefecimento pode comprometer a operação sem atingir diretamente a infraestrutura informática. Foi este o alerta de Paulo Coelho, Head of ICT and Cybersecurity da Start Campus, na IT Security Conference, numa apresentação sobre segurança no desenho, construção e operação dos data centers.

“Um data center não é só computação”, afirmou o responsável, ao apontar para as infraestruturas menos visíveis aos clientes.

A dependência destes sistemas de suporte amplia a superfície de ataque e exige que a segurança vá além das redes informáticas. Para Paulo Coelho, o comprometimento de qualquer uma destas componentes pode ter consequências graves para a operação, uma vez que “o impacto direto no IT é efetivamente muito grande”.

A segurança começa no desenho

Proteger este ecossistema coloca desafios antes da operação, pelo que Paulo Coelho defendeu a integração da segurança desde a conceção do projeto, através de uma abordagem de security by design. A dificuldade está em conciliar esta exigência com a pressão dos prazos de entrega, o que levou o responsável a questionar se “temos a capacidade de desenhar desde o início um data center para que ele seja seguro”.

Durante a construção, a circulação de profissionais de diferentes empresas torna o controlo dos acessos físicos particularmente exigente. “Gerirem mais de duas mil pessoas diariamente a entrar num data center é desafiante”, reconheceu Paulo Coelho, que também destacou a complexidade de garantir a segurança da infraestrutura nesta fase.

A par disso, o trabalho não termina com a conclusão da obra, já que é necessário confirmar que os controlos definidos no projeto foram implementados e que continuam a funcionar durante a operação, com separação entre ambientes e visibilidade sobre os sistemas industriais. Para Paulo Coelho, a monitorização deve existir “não só no IT, mas em todas as infraestruturas”, incluindo uma operação de segurança disponível 24 horas por dia.

O risco escondido nas redes industriais

Nas redes de tecnologia operacional dos centros de dados continuam a ser utilizados protocolos antigos, como o Modbus, que apresentam vulnerabilidades de segurança. Paulo Coelho alertou para a dificuldade de proteger estes sistemas, essenciais ao funcionamento da infraestrutura, uma vez que “estamos a falar de tecnologias que não evoluíram assim tanto do ponto de vista de cibersegurança”.

O problema manifesta-se também nas decisões tomadas para acelerar a entrega dos projetos. Equipamentos com configurações de fábrica e pedidos de conectividade pouco restrita podem entrar em conflito com os requisitos de segurança. Paulo Coelho referiu até pedidos de operadores de energia para instalar contadores com cartões 5G nas redes do centro de dados, uma prática que afirmou não autorizar.

A diversidade de sistemas e equipamentos exige também soluções de segurança adaptadas a cada infraestrutura. Nesse sentido, Paulo Coelho aconselhou a não depender de uma única marca ou solução tecnológica, ao recomendar que as empresas “não acreditem nem apostem as fichas todas num único fabricante”.

Fornecedores também fazem parte da segurança

O risco aumenta com a multiplicação das empresas envolvidas na construção e na operação. Um prestador contratado pode recorrer a subcontratados, que por sua vez dependem de outras entidades. É por isso que o cumprimento de requisitos, incluindo os associados à NIS2, não pode ser avaliado apenas junto do fornecedor principal.

A dimensão de um fornecedor também não é garantia de segurança. Nesse sentido, alertou que, mesmo nas grandes empresas, os níveis de maturidade em cibersegurança podem variar significativamente entre departamentos, pelo que a avaliação dos riscos deve abranger todas as entidades envolvidas na cadeia de fornecimento.

Na visão do responsável, “não há one-size fit all”, já que o mesmo modelo de proteção não responde necessariamente às exigências de todos os centros de dados nem de todos os seus sistemas, sobretudo quando parte da infraestrutura depende de fabricantes com diferentes níveis de maturidade em cibersegurança.

A relação com estes intervenientes deve, por isso, ir além da compra de equipamentos. Em vez de uma ligação limitada ao fornecimento, defendeu que os fabricantes sejam “nossos parceiros tecnológicos e não apenas um fornecedor tecnológico ou um fabricante”, com participação nas decisões de segurança ao longo do projeto.

Planos que resistam a uma falha real

Na fase de operação, Paulo Coelho destacou a importância de preparar as equipas para responder a incidentes que possam comprometer os sistemas físicos do centro de dados, através da monitorização das redes OT e da realização de exercícios práticos. Afinal, como alertou, “ter tudo num papel e não treinar é claramente uma falha”.

Assim, os exercícios devem reproduzir falhas reais na infraestrutura, como “desligar um grupo de geradores, desligar energia, desligar um sistema de arrefecimento”, para testar a resposta das equipas e a capacidade do centro de dados para assegurar a continuidade dos serviços.

A preparação exige também uma resposta coordenada entre as equipas internas, os prestadores de serviços e os subcontratados. Paulo Coelho sublinhou a importância dessa colaboração para conciliar as exigências de segurança com os prazos dos projetos e lembrou que “estamos todos no mesmo barco com o mesmo objetivo”.

A segurança dos centros de dados exige, por isso, que as organizações questionem os seus prestadores sobre toda a cadeia de suporte das infraestruturas, dos sistemas informáticos aos equipamentos que garantem a sua operação, porque “o vosso data center não é só o vosso IT”.