SMR: Seguridad Informática

Unidad 3.- SEGURIDAD PASIVA. MEDIDAS DE ACTUACIÓN

1.- UBICACIÓN Y PROTECCIÓN FÍSICA

El primer paso para establecer la seguridad de un servidor o un equipo es decidir adecuadamente
dónde vamos a instalarlo. Esta decisión puede parecer superflua, pero nada más lejos de la realidad:
resulta vital para el mantenimiento y protección de nuestros sistemas.

Los planes de seguridad física se basan en proteger el hardware de los posibles desastres naturales,
de incendios, inundaciones, sobrecargas eléctricas, robos y otra serie de amenazas.

Se trata, por tanto, de aplicar barreras físicas y procedimientos de control, como medidas de
prevención y contramedidas para proteger los recursos y la información, tanto para mantener la
seguridad dentro y alrededor del Centro de Cálculo, como los mecanismos de acceso remoto a él o
desde él.

Veremos algunos de los mecanismos de seguridad física de los que hemos hablado en la Unidad 1,
relativa a amenazas y mecanismos de defensa de seguridad.

Amenazas Mecanismos de defensa

El mobiliario de los centros de cálculo debe ser ignífugo.
Evitar la localización del centro de procesamiento de datos cerca de zonas
donde se manejen o almacenen sustancias inflamables o explosivos.
Incendios
Deben existir sistemas antiincendios, detectores de humo, rociadores de
gas, extintores… para sofocar el incendio en el menor tiempo posible y así
evitar que se propague ocasionando numerosas pérdidas materiales.

Evitar la ubicación de los centros de cálculo en las plantas bajas de los

edificios para protegerse de la entrada de aguas superficiales.
Inundaciones
Impermeabilizar las paredes y techos del Centro de Cálculo. Sellar las
puertas para evitar la entrada de agua proveniente de las plantas superiores.
Proteger los centros de cálculo mediante puertas con medidas biométricas,
Robos cámaras de seguridad, vigilantes jurados…, con todas estas medidas
pretendemos evitar la entrada de personal no autorizado.
Evitar la ubicación de los centros de cálculo próximos a lugares con gran
radiación de señales electromagnéticas, pues pueden interferir en el
correcto funcionamiento de los equipos informáticos del cableado de red.
Señales
En caso de no poder evitar la ubicación en zonas con grandes emisiones de
Electromagnéticas
este tipo de señales deberemos proteger el centro frente de dichas
emisiones mediante el uso de filtros o de cableado especial, o si es posible,
utilizar fibra óptica, que no es sensible a este tipo de interferencias.
Para evitar los apagones colocaremos Sistemas de Alimentación
Apagones Ininterrumpida (SAI), que proporcionan corriente eléctrica durante un
periodo de tiempo suficiente.
Sobrecargas Además de proporcionar alimentación, los SAI profesionales incorporan
Eléctricas filtros para evitar picos de tensión, es decir, estabilizan la señal eléctrica.

1
 SMR: Seguridad Informática

Estando en continuo contacto con el Instituto Geográfico Nacional y la

Desastres
Agencia Estatal de Meteorología, organismos que informan sobre los
Naturales
movimientos sísmicos y meteorológicos en España.

Cada sistema informático es único. Por ejemplo, en la siguiente figura se puede ver la vista parcial
de un Centro de Procesamiento de Datos (CPD) de una organización grande, pero en pequeñas
empresas u organizaciones, el CPD podría estar compuesto solo por uno de estos módulos o por un
servidor. Cuando hablemos del plan de seguridad física no podemos pensar que existe un plan de
seguridad general aplicable a cualquier tipo de instalación.

En esta unidad nos centraremos en las pautas de aplicación general, teniendo en cuenta que estas
deben personalizarse para cada empresa y cada edificio. Además, no es lo mismo establecer las
características de una sala técnica en una zona donde los terremotos son habituales, por ejemplo, a
hacerlo para una zona donde apenas hay temblores apreciables.

1.1.- Factores para elegir la ubicación.-

Cuando hay que instalar un nuevo centro de cálculo es necesario fijarse en varios factores. En
concreto, se elegirá la ubicación en función de la disponibilidad física y la facilidad para modificar
aquellos aspectos que vayan a hacer que la instalación sea más segura. Existen una serie de factores
que dependen de las instalaciones propiamente dichas, como son:

El edificio. Debemos evaluar aspectos como el espacio del que se dispone, cómo es el
acceso de equipos y personal, y qué características tienen las instalaciones de suministro
electrónico, acondicionamiento térmico, etc. Igualmente, hemos de atender a cuestiones de
índole física como la altura y anchura de los espacios disponibles para la instalación, sin
tener columnas, cómo es el suelo, la iluminación, etc.

Tratamiento acústico. En general, se ha de tener en cuenta que habrá equipos, como los
de aire acondicionado, necesarios para refrigerar los servidores, que son bastante ruidosos.
Deben instalarse en entornos donde el ruido y la vibración estén amortiguados.

2
 SMR: Seguridad Informática

Seguridad física del edifico. Se estudiará el sistema contra incendios, la protección contra
inundaciones y otros peligros naturales que puedan afectar a la instalación.

Suministro eléctrico propio del CPD. La alimentación de los equipos de un centro de

procesamiento de datos tiene que tener unas condiciones especiales, ya que no puede estar
sujeta a las fluctuaciones o picos de la red eléctrica que pueda sufrir el resto del edificio.
No suele ser posible disponer de toda una red de suministro eléctrico propio, como la que
ves en la siguiente imagen, pero siempre es conveniente utilizar un sistema independiente
del resto de la instalación y elementos de protección y seguridad específicos, como
sistemas de alimentación ininterrumpida: equipos electrógenos, baterías, etc.

Existen otra serie de factores inherentes a la localización, es decir, condiciones

ambientales que rodean al local donde vayamos a instalar el CPD. Los principales son:

 Los factores naturales (frío, calor, inundaciones, incendios o terremotos).

 Los servicios disponibles, especialmente de energía eléctrica y comunicaciones

(antenas, líneas telefónicas, etc.), y otras instalaciones de la misma zona.

3
 SMR: Seguridad Informática

 La seguridad del entorno, ya que la zona donde vaya situarse el CPD debe ser
tranquila, pero no un sitio desolado.

 Otros factoras que han de tenerse en consideración son el vandalismo, el sabotaje y el

terrorismo.

¿ Dónde se debe instalar el CPD ?

Atendiendo solo a estos factores ya podemos obtener las primeras conclusiones para instalar el
CPD en una ubicación de características idóneas. Así pues, siempre que podemos, tendremos en
cuenta que:

Deben evitarse áreas con fuentes de interferencia de radiofrecuencia, tales como transmisores
de radio y estaciones de TV.

El CPD no debe estar contiguo a maquinaria pesada o almacenes con gas inflamable o
nocivo.

El espacio deberá estar protegido ante entornos peligrosos, especialmente inundaciones. Se

buscará descartar:

 Zonas cercanas a paredes exteriores, planta baja o salas de espera, ya que son más
propensas al vandalismo o los sabotajes.
 Sótanos, que pueden dar problemas de inundaciones debido a cañerías
principales, sumideros o depósitos de agua.
 Última planta, evitando desastres aéreos, etc.
 Encima de garajes de vehículos de motor, donde el fuego se puede originar y
extender más fácilmente.

Según esto, la ubicación más conveniente se sitúa en las plantas intermedias de un edificio o en
ubicaciones centrales en entornos empresariales.

4
 SMR: Seguridad Informática

Caso Práctico 1.- Estudio de la ubicación del CPD de SiMur.

SiCon, una importante empresa de construcción, ha decidido trasladar sus oficinas a un nuevo edificio.
Uno de los factores más importantes para decidir entre las posibles ubicaciones, tres en total, es
determinar cuál ofrece las mejores garantías para la instalación de su CPD. Es nuestra responsabilidad
como técnicos informáticos presentar la propuesta de ubicación más conveniente.

1.- Se trata de tres edificios situados en diferentes zonas, consideradas todas ellas como seguras desde
el punto de vista de robos y vandalismo, y que se sitúan en la misma área geográfica, donde no son
habituales las inundaciones. Además, se han seleccionado edificios con buenos sistemas contra
incendios, etc.

2.- El primero d ellos se sitúa en el centro de una gran ciudad, junto a otra serie de edificios principales
de oficinas, aunque también hay alguno de viviendas; el segundo de los edificios se encuentra en un
gran parque empresarial con múltiples oficinas, pero donde no hay fábricas; el tercero, en un polígono
industrial, donde se concentran fábricas de metalurgia, factorías de vehículos, así como otra serie de
fábricas de maquina pesada.

3.- Los edificios tienen control de acceso mediante guardias y cámaras, que mantendrá una empresa
externa.

4.- La altura de los edificios, es decir, las plantas disponibles en cada edificio, es distinta. En el edificio
céntrico disponemos de siete plantas en un edificio compartido con otra empresa, en el parque
empresarial de un edificio de seis plantas y en el polígono industrial de un edificio de dos plantas,
ambos de uso exclusivo de SiCon.

5.- Las tres zonas están bien dotadas de servicios de comunicaciones y las instalaciones no presentan
problemas electrónicos.

6.- En el edificio situado en el centro de la ciudad será necesario realizar ciertas reformas para
amortiguar los sonidos de los equipos que se instalen, dada la cercanía de edificios de viviendas.

7.- La empresa ha decidido realizar la inversión necesaria para instalar sistemas de control de
acceso biométrico al CPD, para garantizar que sea lo más seguro posible, así como los sistemas de
alimentación necesarios.

8.- Una vez que conocemos estos datos, podemos realizar una tabla valorando las instalaciones en
función de su conveniencia, donde marcaremos si se adecúa al factor de seguridad correspondiente. En
una situación real, el estudio sería más extenso y se deberían visitar los edificios para comprobar
factores como la situación de tuberías (que no deben pasar por encima de la CPD), etc.

5
 SMR: Seguridad Informática

9.- La valoración realizada indica que la ubicación más apropiada es la del centro empresarial, donde
además contamos con la ventaja de poder instalar el CPD en la penúltima o antepenúltima planta, de las
seis que disponemos. Aunque no se ha indicado, el hecho de que el edificio sea de uso exclusivo es otro
factor ventajoso ya que facilitará el control de acceso al mismo, como también lo será la consideración
de si se trata de un emplazamiento en propiedad o alquilado.

1.2.- Control de acceso.-

Controles de acceso físico

Son obstáculos reales implementados para evitar el contacto directo con los sistemas. El objetivo es evitar que los
usuarios no autorizados tengan acceso físico a las instalaciones, el equipo y otros activos de la organización.

El control de acceso físico determina quién puede ingresar (o salir) y dónde y cuándo puede hacerlo.

Los ejemplos de controles de acceso físico incluyen los siguientes:

 Las protecciones (Figura 1) supervisan las instalaciones

6
 SMR: Seguridad Informática
 Las cercas (Figura 2) protegen el perímetro

 Los detectores de movimiento (Figura 3) detectan objetos móviles

 Los bloqueos de las PC portátiles (Figura 4) protegen los equipos portátiles

 Las puertas bloqueadas (Figura 5) evitan el acceso no autorizado

7
 SMR: Seguridad Informática

 Las tarjetas de deslizamiento (Figura 6) permiten el acceso a las áreas restringidas

 Los perros guardianes (Figura 7) protegen las instalaciones

 Las videocámaras (Figura 8) supervisan las instalaciones al recopilar y registrar las imágenes

8
 SMR: Seguridad Informática

 Las trampas (Figura 9) permiten el acceso al área segura después de que la puerta 1 se cierra

 Las alarmas (Figura 10) detectan intrusiones

Control de acceso lógico

Los controles de acceso lógico son soluciones de hardware y software que se utilizan para administrar el acceso a
recursos y sistemas. Estas soluciones basadas en tecnología incluyen las herramientas y los protocolos que los
sistemas informáticos utilizan para la identificación, autenticación, autorización y responsabilidad.

9
 SMR: Seguridad Informática
Los controles de acceso lógico incluyen los siguientes:

 La encriptación es el proceso de tomar el texto simple y crear el texto cifrado

 Las tarjetas inteligentes tienen un microchip integrado

10
 SMR: Seguridad Informática

 Las contraseñas constan de una cadena de caracteres protegida

 La biométrica consta de las características físicas de los usuarios

 Las listas de control de acceso (ACL) definen el tipo de tráfico permitido en una red

11
 SMR: Seguridad Informática

 Los protocolos son un conjunto de reglas que rigen el intercambio de datos entre dispositivos

 Los firewalls evitan el tráfico de red no deseado

 Los routers conectan al menos dos redes

12
 SMR: Seguridad Informática

 Los sistemas de detección de intrusiones supervisan una red para detectar actividades sospechosas

 Los niveles de recorte son determinados umbrales permitidos para detectar errores antes de activar una indicador rojo

13
 SMR: Seguridad Informática
Controles de acceso administrativo

Los controles de acceso administrativo son las políticas y los procedimientos que definen las organizaciones para
implementar y hacer cumplir todos los aspectos del control de acceso no autorizado. Los controles administrativos se
enfocan en las prácticas de personal y las prácticas empresariales. Los controles administrativos incluyen los
siguientes:

 Las políticas son declaraciones de intenciones

 Los procedimientos son los pasos detallados necesarios para realizar una actividad

 Las prácticas de contratación comprende los pasos que una organización sigue para encontrar empleados calificados

 Las comprobaciones de antecedentes son un evaluación del empleo que incluye la información de la última verificación de empleo,
historial de crédito y antecedentes penales

 La clasificación de datos califica los datos según su sensibilidad

 La capacitación de seguridad capacita a los empleados sobre las políticas de seguridad en una organización

 Las revisiones evalúan el rendimiento laboral de un empleado

1.2.2.- Estrategias de control de acceso.

Control de acceso obligatorio

El control de acceso obligatorio (MAC) restringe las acciones que un sujeto puede realizar en un objeto. Un sujeto
puede ser un usuario o un proceso. Un objeto puede ser un archivo, un puerto o un dispositivo de entrada/salida. Una
regla de autorización se aplica si un sujeto puede acceder al objeto o no.

Las organizaciones utilizan el MAC donde se encuentran diferentes niveles de clasificaciones de seguridad. Cada
objeto tiene una etiqueta y cada sujeto tiene una espacio libre. Un sistema MAC restringe a un sujeto según la
clasificación de seguridad del objeto y la etiqueta anexada al usuario.

14
 SMR: Seguridad Informática
Por ejemplo, tome las clasificaciones de seguridad militar denominadas «secreto» y «máxima confidencialidad». Si
un archivo (un objeto) se considera de máxima confidencialidad, es un archivo que se clasifica (etiqueta) como
«máxima confidencialidad». Las únicas personas (sujetos) que pueden ver el archivo (objeto) son aquellas con un
permiso de «maxima confidencialidad». El mecanismo de control de acceso debe garantizar que una persona (sujeto)
con permiso «Secreto» solamente, nunca obtenga acceso a un archivo catalogado como «de máxima
confidencialidad». De manera similar, un usuario (sujeto) con permiso de acceso «de máxima confidencialidad» no
puede cambiar la clasificación de un archivo (objeto) catalogado como «de máxima confidencialidas» a «secreto».
Además, un usuario con permiso de «máxima confidencialidad» no puede enviar un archivo de máxima
confidencialidad a un usuario que solo tiene permiso para ver información secreta.

Control de acceso discrecional

El propietario de un objeto determina si permite el acceso a un objeto con control de acceso discrecional (DAC).
DAC otorga o restringe el acceso de objeto determinado por el propietario del objeto. Como su nombre lo indica, los
controles son discrecionales porque el propietario de un objeto con ciertos permisos de acceso pueden transferir esos
permisos a otro sujeto.

En sistemas que emplean controles de acceso discrecionales, el propietario de un objeto puede decidir qué sujetos
pueden acceder al objeto y qué acceso específico pueden tener. Un método común para lograr esto es con permisos,
como se muestra en la figura. El propietario de un archivo puede especificar qué permisos
(lectura/escritura/ejecución) pueden tener otros usuarios.

Las listas de control de acceso son otros mecanismos comunes utilizados para implementar el control de acceso
discrecional. Un lista de control de acceso utiliza reglas para determinar qué tráfico puede ingresar o salir de una red

Control de acceso basado en roles

El control de acceso basado en roles (RBAC) depende del rol del sujeto. Los roles son las funciones de trabajo en
una organización. Los roles específicos requieren permisos para realizar determinadas operaciones. Los usuarios
adquieren permisos a través de su función.

El RBAC puede trabajar junto con DAC o MAC al hacer cumplir las políticas de cualquiera de ellos. El RBAC
ayuda a implementar la administración de seguridad en grandes organizaciones con cientos de usuarios y miles de
permisos posibles. Las organizaciones aceptan ampliamente el uso de RBAC para administrar permisos en un
sistema o una aplicación, como una mejor práctica.

Control de acceso basado en reglas

El control de acceso basado en reglas utiliza listas de control de acceso (ACL) para ayudar a determinar si otorga
acceso o no. Una serie de reglas se incluye en la ACL, como se muestra en la figura. Establecer si se debe otorgar
acceso depende de estas reglas. Un ejemplo de esa regla es una que indica que ningún empleado puede acceder al
archivo de nómina después de horario o los fines de semana.

Como ocurre con el MAC, los usuarios no pueden cambiar las reglas de acceso. Las organizaciones pueden
combinar el control de acceso basado en reglas con otras estrategias para implementar las restricciones de acceso.
Por ejemplo, los métodos de MAC pueden utilizar un enfoque basado en reglas para la implementación.

15
 SMR: Seguridad Informática

1.3.- Sistemas de climatización y protección en el CPD.-

Además de instalar el CPD en la mejor localización posible, es imprescindible que se instalen en su

interior, junto con los equipos propios de procesamiento de datos, sistemas de climatización, de
protección contra incendios (PCI) y sistemas de alarma apropiados.

Los CPD no suelen tener ventanas. La ventilación que conseguiríamos con ellas sería mínima para
todo el calor que se genera, y el riesgo de intrusiones desde el exterior (o simplemente la lluvia) no es
admisible en una instalación de tanta importancia

Los equipos de un centro de proceso de datos disipan mucha energía calorífica y hay que
refrigerarlos adecuadamente para mantener las condiciones interiores de temperatura y humedad
estables, ya que altas temperaturas podrían dañar estos equipos. La temperatura recomendable en la

16
 SMR: Seguridad Informática
sala estaría alrededor de los 22 grados. Las máquinas no lo necesitan, pero hay que pensar que ahí
también van a trabajar personas. Para conseguirlo instalaremos equipos de climatización. Se suele
instalar por duplicado, para estar cubiertos ante el fallo de uno de los equipos. La decisión sobre qué
sistemas de climatización han de instalarse depende de las características da cada CPD, pero hay un
hecho que siempre ha de tenerse en cuenta: no se trata de climatizar el cuarto sino de refrigerar el
equipo. Por ello debemos situar el servidor o rack a la altura adecuada para que le alcance la
circulación de aire, y de modo que el aire frío de la máquina se dirija a la parte del equipo que
absorbe aire, no a la que la expulsa.

Podemos, por ejemplo, utilizar un ventilador que expulsa el aire caliente al exterior para refrigerar
un servidor como el que ves en la siguiente figura.

Para un CPD que tenga varios racks, podemos optar por el uso de quipos murales, o equipos de
techo. En la siguiente figura puedes ver este tipo de instalación, donde también se ha instalado un
servidor en una zona de temperatura característica. Este secuenciador proporciona un sistema de
seguridad adicional, ya que alterna el uso de cada uno de los splits instalados, y, en caso de que
suba la temperatura, ambos equipos se pondrán en funcionamiento para enfriar el CPD.

En los CPD grandes se adopta la configuración de pasillos calientes y pasillos fríos. Las filas de
17
 SMR: Seguridad Informática
equipos se colocan en bloques formando pasillos, de manera que todos los ventiladores que extraen el
calor de la máquina (fuente de alimentación, caja de la CPU) apunten hacia el mismo pasillo. En este
pasillo se colocan los extractores de calor del equipo de climatización.

Ese mismo equipo introduce aire frío en los pasillos fríos, generalmente a través del falso suelo,
utilizando baldosas perforadas.

Si es posible, todo el cableado de potencia irá en los pasillos fríos (es peligroso sobrecalentarlos) y el
cableado de datos en los pasillos calientes.

Lo sistemas contra incendios son otro de los factores clave en un CPD. No es tu misión instalarlos,
pero sí debes conocer su funcionamiento básico ya que de ello puede depender incluso tu propia
seguridad. Es habitual utilizar dos tipos:

Sistema de detección, como el sistema de detección precoz, que realiza análisis continuos
del aire, de modo que puede observar un cambio de composición en el mismo, detectando
un incendio incluso antes de que se produzca el fuego y activando el sistema de
desplazamiento de oxígeno.

Sistema de desplazamiento de oxígeno. Este tipo de sistemas reduce la concentración de

oxígeno, extinguiendo así el fugo, de modo que no se utiliza agua, que puede dañar los
equipos electrónicos. Dado que se produce un desplazamiento de oxígeno, es muy
importante que el personal humano siga las normas de evacuación de la ubicación, ya que
su activación podría perjudicar su integridad física.

1.4.- Recuperación en caso de desastre.-

Nuestro objetivo debe ser siempre evitar daños en el CPD, pero hay que ser realista y tener
preparado un plan de contingencia que debe ponerse en marcha en caso de desastre.

Una opción que ha de tenerse en cuenta es tener un centro de backup independiente, de modo que
aunque los equipos del CPD queden fuera de servicio por una avería muy grave, la organización
podrá seguir realizando su actividad con cierta normalidad.
18
 SMR: Seguridad Informática

Dentro de los planes de contingencia debemos tener en cuenta la realización de sistemas

redundantes, como los sistemas RAID y el uso de copias de seguridad.

En caso de que se produzca un desastre, el primer paso es que se reúna el comité de crisis para
evaluar los daños. Si se decide poner en marcha el plan de contingencia, es importante que los
trabajos comiencen por recuperar las bases de datos y ficheros esenciales, así como desviar las
comunicaciones más críticas al centro alternativo, desde donde se comenzará a operar en las áreas
que sean prioritarias, ya que de no hacerlo las consecuencias podrían ser desastrosas.

1.5.- Centro de respaldo.

A pesar de tanta protección, debemos pensar en la posibilidad de que ocurra una catástrofe en nuestro
CPD y quede inservible (inundación, terremoto, sabotaje). La continuidad de la empresa no puede
depender de un punto único de fallo; si disponemos de presupuesto suficiente, debemos instalar un
segundo CPD.

Este segundo CPD, también llamado centro de respaldo (CR), ofrece los mismos servicios del centro
principal (CP). Aunque, si la inversión en hardware resulta demasiado elevada, puede limitarse a los
servicios principales, o a los mismos servicios pero con menos prestaciones. Por supuesto, debe estar
físicamente alejado del CPD; cuantos más kilómetros entre ambos mejor.

En condiciones normales, el CR está parado (stand-by) esperando que, en cualquier momento, la

empresa pueda necesitar detener el cP y activar el CR como nuevo CP. Los usuarios (empleados,
clientes, proveedores) no deberían notar el cambio. Para ello, la información del CP también esté el
CR. Esto incluye la configuración de los servicios; pero sobre todo, los datos que han sido modificados
en el último instante, antes de la conmutación de centros. Por tanto, no es suficiente con recuperar la
última copia de seguridad del CP (sobre todo, porque la configuración puede ser distinta): debemos
habilitar mecanismos especiales de réplica, en especial para las bases de datos, que son más
complejas que los sistemas de ficheros. Pero esto necesita de muy buenas comunicaciones entre el
CP y el CR, con lo que la distancia que los separa puede ser un problema.

Como hemos señalado con anterioridad en el plan de recuperación ante desastres, puede que las
circunstancias que nos llevan a conmutar el CR al CP sean muy urgentes y no haya tiempo para

19
 SMR: Seguridad Informática
descubrir cómo se hace: todo el procedimiento de conmutación debe estar documentado con el
máximo detalle, así como la posterior recuperación del CP, asumiendo los cabios ocurridos
mientras estaba inactivo. Incluso conviene probarlo una vez al año para confirmar que los pasos
están bien descritos y el personal está capacitado para ejecutarlos bien.

Los equipos del centro principal y el centro de respaldo constituyen los centros de producción de la
empresa: están en funcionamiento para dar servicio a los empleados, clientes y proveedores de la
misma. Pero no son las únicas salas con servidores y equipamiento de red. Cualquier cambio en las
aplicaciones corporativas o la nueva web de la empresa no puede instalarse directamente en las
máquinas de producción, porque un fallo no detectado puede bloquear algunas áreas de la empresa.
Primero se prueba en un entorno controlado, llamado maqueta de preproducción, donde el personal
de la empresa aplica el cambio. En esta fase hay un contacto directo con el suministrador del
software para resolver inmediatamente cualquier contingencia.

2.- SISTEMAS DE ALIMENTACIÓN ININTERRUMPIDA

Ningún equipo informático, por sofisticado que sea, está exento de sufrir un corte de luz y apagarse.
Es por ello que es necesario, especialmente cuando se están procesando datos o dando servicios de
alojamiento web u otros, utilizar sistemas auxiliares de alimentación.

2.1.- Definición de SAI.-

Un SAI o sistema de alimentación ininterrumpida es un dispositivo electrónico que permite proteger

a los equipos frente a los picos o caídas de t ensión. De esta manera se dispone de una mayor
estabilidad frente a los cambios del suministro eléctrico y de una fuente de alimentación auxiliar
cuando se produce un corte de luz.

Este tipo de sistemas nacieron originalmente con el objetivo de proteger el trabajo que se estaba
realizando en el momento en que se producía un apagón. La idea consistía en proporcionar al
usuario del equipo el tiempo suficiente para guardar la información y apagar correctamente los
equipos cuando se producía un corte en el suministro eléctrico, aunque posteriormente se le ha
agregado capacidad para poder continuar trabajando cierto tiempo, aunque no se disponga de
suministro.

Las características de los SAI dependen de cada modelo en concreto, pero en la siguiente tabla se
presenta un resumen de sus funcionalidades:

20
 SMR: Seguridad Informática

Características Descripción
Alimentación de
Se puede conectar de uno a varios equipos al mismo SAI.
ordenadores
Permiten seguir trabajando con el ordenador de 15 a 270 minutos
Tiempo extra de trabajo
cuando se produce un corte en el suministro eléctrico.
Alimentación de otros No están diseñados para conectar dispositivos de alto consumo de
equipos energía (como grandes impresoras láser o plotters).
Integrado en algunos modelos para evitar que los picos de tensión que se
Regulador de voltaje
producen en la línea afecten a la alimentación de los equipos.
Algunos incorporan conectores para conectar el módem, router u otros
Otros conectores
dispositivos imprescindibles en la comunicación y protegerlos.

2.2.- Tipos de SAI.-

En general, podemos identificar dos tipos de SAI, en función de su forma de trabajar:

Sistemas de alimentación en estado de espera o Stand-by Power Systems (SPS). Este tipo
de SAI activa la alimentación desde baterías automáticamente cuando detecta un fallo en el
suministro eléctrico.

SAI en línea (on-line), que alimenta el ordenador de modo continuo, aunque no exista un
problema en el suministro eléctrico, y al mismo tiempo recarga su batería. Este dispositivo
tiene la ventaja de que ofrece una tensión de alimentación constante, ya que filtra los picos
de la señal eléctrica que pudiesen dañar el ordenador, si bien el tiempo extra de trabajo que
ofrece es menor que el de los SPS.

2.3.- Modo de funcionamiento.-

Como ya hemos dicho, un SAI es un dispositivo auxiliar que alimenta un ordenador, bien de modo
continuo o bien quedando a la espera hasta que es necesario (cuando hay un corte de luz). Las
siguientes figuras ilustran este funcionamiento.

21
 SMR: Seguridad Informática

En esta figura podemos ver una representación

de un SAI en línea, en una situación normal
donde hay suministro eléctrico. El SAI está
conectado, por un lado, a un enchufe de la red,
a través del cual recibe la corriente con la que
va cargando sus baterías, y por otro se conecta
al equipo o equipos a los que vaya a proteger.

En esta figura podemos ver cuál es la situación

cuando se produce un corte de luz, y la
alimentación del ordenador depende
únicamente de las baterías internas del SAI.
Disponemos de alimentación el tiempo que
estas baterías tarden en descargarse.

3.- UTILIZACIÓN DE SISTEMAS BIOMÉTRICOS

Los sistemas biométricos consisten en la utilización de sistemas automáticos para la clasificación /
reconocimiento de rasgos personales en identificación.

Los sistemas biométricos se clasifican en los siguientes tipos:

Rasgos fisiológicos: huellas dactilares, geometría de la mano/dedo, iris, ADN, etc.

Rasgos del comportamiento: voz, firma, modo de teclear, modo de andar, etc.

Imágenes de huellas y caras sintéticas generadas con los programas SFINGE y FACES

22
 SMR: Seguridad Informática

Las características que tienen los sistemas biométricos son las siguientes:

Rendimiento: precisión en el proceso de identificación.

Aceptabilidad: grado de aceptación / rechazo personal y social del sistema biométrico.

Evitabilidad: capacidad de eludir el sistema mediante procedimientos fraudulentos.

Las ventajas que ofrecen estos sistemas son las siguientes:

No pueden ser sustraídos, perdidos, olvidados o descolocados.

Representan una manifestación tangible de lo que uno es.

El principal riesgo que se deriva de los sistemas biométricos es la suplantación de identidad

mediante la imitación (voz, cara) o la reproducción (huella, iris) del rasgo a reconocer.

23