El auge de los centros de datos de IA pone en riesgo una brecha en la seguridad física

El auge de los centros de datos de IA está creando una brecha en la seguridad física al mismo tiempo que los gobiernos tratan estas instalaciones como infraestructura crítica. El desencadenante inmediato es un plazo regulatorio en EE. UU.: la Federal Data Center Enhancement Act expira el 30 de septiembre y actualmente no tiene un reemplazo.

La ley estableció estándares mínimos para los centros de datos federales, incluida la protección contra intrusiones físicas. Marcos más amplios como FISMA y el catálogo de controles del NIST seguirían vigentes, pero establecen principios en lugar de la evaluación operacional detallada que exigía la Federal Data Center Enhancement Act.

El director ejecutivo de Acre Security sostiene que la distinción importa. Sin un mecanismo específico de cumplimiento, los requisitos de seguridad pueden interpretarse de forma laxa, especialmente mientras desarrolladores e hyperscalers compiten por poner en línea capacidad para IA más rápido de lo que las redes eléctricas, los departamentos de planificación y las cadenas de suministro pueden soportar cómodamente.

Recomendado

Texas pausa aprobaciones de centros de datos para auditorías de la red

Por qué los nuevos centros de datos de IA están expuestos

La carrera actual de construcción dirige la atención hacia métricas que aparecen de forma prominente en los planes de proyecto: megavatios, refrigeración, chips, redes y ciberseguridad. La protección física es más fácil de posponer, sobre todo cuando una instalación debe diseñarse y construirse bajo intensa presión de tiempo y presupuesto.

Los riesgos son prácticos más que teóricos. Incluyen:

• Contratistas con acceso sin escolta a las salas de servidores
• Muelles de carga sin supervisión
• Puertas de mantenimiento dejadas abiertas por conveniencia
• Exempleados cuyas credenciales aún abren áreas restringidas

Esas vías de acceso pueden permitir el robo de datos, el sabotaje o una interrupción en una instalación que puede ocupar un edificio del tamaño de un almacén.

La mayor exposición no está necesariamente en los centros de datos ya establecidos. Los operadores existentes generalmente mantienen el gasto en seguridad mediante contratos activos y sus propias evaluaciones de riesgo. La preocupación mayor es la ola de nuevas instalaciones, en su mayoría privadas, que se están especificando y adquiriendo a una velocidad extraordinaria: muchas de ellas construidas sin un mandato que exija una evaluación de seguridad física específica para centros de datos.

Si el marco de evaluación desaparece, la protección física puede reducirse durante la adquisición para cumplir con un presupuesto o un calendario sin generar una advertencia de cumplimiento. Eso crea una brecha precisamente donde la industria está añadiendo capacidad más rápidamente.

La referencia estadounidense podría desaparecer

No es la primera vez que el requisito enfrenta incertidumbre. El predecesor de la ley venció en 2022 y sobrevivió solo después de ser incorporado en el proyecto de ley de defensa del año siguiente. Esa historia sugiere que el estándar puede desaparecer sin una sola decisión política dramática: simplemente puede dejar de renovarse.

Los estándares mínimos de seguridad a menudo se erosionan por omisión. Cuando el estándar mínimo del propio gobierno desaparece, los operadores privados también pueden perder el punto de referencia contra el que miden discretamente sus instalaciones, incluso si sus programas de seguridad existentes permanecen sin cambios.

La contradicción de política es sencilla. Los gobiernos designan cada vez más a los centros de datos como infraestructura nacional crítica; el Reino Unido ya lo hace. Permitir que su referencia de seguridad física se debilite al mismo tiempo apunta en la dirección contraria. La infraestructura no puede clasificarse de forma consistente como crítica mientras su protección se trate como opcional.

La seguridad física debe diseñarse junto con la instalación

Renovar la ley ayudaría, pero la regulación por sí sola no es la respuesta propuesta. El enfoque más sólido es tratar la seguridad física como un requisito central de diseño, especificado junto con la energía y la refrigeración en lugar de añadirse después de que la estructura del edificio esté completa.

Las grandes instalaciones críticas son más vulnerables cuando la seguridad se monta a partir de componentes desconectados: una cámara en un área, un lector de acceso en otra y alarmas añadidas al final de la construcción. Un sistema más eficaz vincula el control de acceso, el video, la identidad y las alarmas para que una anomalía en un sistema pueda desencadenar una respuesta coordinada.

Esa integración también conecta la seguridad física y la digital. Una puerta dejada abierta con un calzo, una acreditación clonada o un contratista deshonesto pueden convertirse en el punto de partida de un incidente cibernético. Si los operadores no pueden correlacionar un evento de puerta con un registro de accesos y la imagen de una cámara, es probable que respondan después de una intrusión en lugar de detenerla en curso.

Incorporar esos controles en un centro de datos en funcionamiento y a plena carga es más difícil y caro que diseñarlos desde el principio. Para los operadores, la decisión práctica es por tanto clara: la protección física debe especificarse durante el mismo proceso de planificación que los sistemas de cómputo, energía, refrigeración y red de la instalación.

El despliegue de infraestructura para IA está resolviendo problemas de ingeniería difíciles a una velocidad notable. Pero si un estatuto federal caduca y eso por sí solo determina si los nuevos centros de datos reciben una evaluación adecuada de seguridad física, las prioridades de la industria están desalineadas. Para la infraestructura ya considerada crítica, proteger el edificio debería ser un requisito básico, no el primer elemento que se recorta cuando el plazo se ajusta.