En un centro de datos, un drone in a box forma parte de la capa de seguridad más exterior. Patrulla el vallado, los accesos, las zonas de grupos electrógenos y de combustible, y los trazados por los que entran en el campus los cables de alimentación y de fibra. También sale a verificar alarmas perimetrales. No sustituye al control de accesos, a la detección de intrusión ni a los vigilantes. Añade una cámara móvil capaz de llegar rápidamente a cualquier punto del perímetro y registra cada vuelo en un registro de auditoría que se conserva in situ.
- Los proveedores de servicios de centros de datos figuran como infraestructura digital en el anexo I de la Directiva NIS2.
- NIS2 establece que la gestión de riesgos de ciberseguridad también debe abordar la seguridad física y del entorno de los sistemas.
- La EN 50600-2-5 gradúa la protección contra el acceso no autorizado y la intrusión en clases de protección.
- Un dron que funciona sin conexión mantiene por defecto el vídeo de seguridad en el campus.
- El software de Nestua funciona en versiones de desarrollo. El dron y la estación base aún están en construcción.
¿Qué seguridad física se espera de los centros de datos en Europa?
La Directiva NIS2 (UE) 2022/2555 incluye a los proveedores de servicios de centros de datos en el anexo I, dentro de la infraestructura digital. El considerando 35 define el servicio de forma amplia: estructuras dedicadas a equipos informáticos y de red, junto con su distribución eléctrica y su control ambiental. Excluye los centros de datos corporativos internos gestionados para fines propios. El considerando 79 indica que las medidas de ciberseguridad también deben abordar la seguridad física y del entorno de los sistemas, incluida la protección frente a actos malintencionados. El considerando 31 explica que, para las entidades de infraestructura digital, es NIS2 y no la Directiva CER la que cubre esa seguridad física.
La serie de normas europeas EN 50600 abarca las instalaciones e infraestructuras de los centros de datos. La parte 2-5 (sistemas de seguridad) trata de la protección contra el acceso no autorizado, la intrusión, el fuego y los eventos ambientales. Utiliza clases de protección que se aplican espacio por espacio, desde las zonas de acceso público hasta las restringidas al personal designado. El perímetro exterior es la capa de clase más baja, pero es donde empieza cualquier ataque físico.
¿Por qué las cámaras fijas y las rondas de vigilantes dejan huecos?
- Grandes zonas exteriores. Los campus modernos tienen vallados largos, recintos de grupos electrógenos, almacenamiento de combustible y subestaciones, con vistas tapadas por edificios y equipos.
- Los vigilantes se quedan dentro. El personal de seguridad suele estar ligado a la recepción, la sala de control y el acompañamiento de visitas. Salir a revisar una esquina lejana del vallado debilita el interior.
- Tiempo de verificación. Una alarma de vallado por la noche exige ver lo que ocurre. Puede que una cámara fija no esté orientada hacia el punto adecuado, y un vigilante a pie tarda minutos en llegar.
¿Cómo patrullaría un drone in a box un centro de datos?
Una unidad drone in a box consta del dron, una estación base estanca y un nodo en el borde que controla ese único dron. En el diseño de Nestua:
- Patrullas programadas. El editor de misiones del navegador define rutas sobre un mapa de satélite a lo largo del vallado, los accesos, la zona de grupos electrógenos y los puntos de entrada de cables. Las misiones se cargan, inician y detienen desde el navegador, y cada acción queda auditada.
- Geovallas. Las geovallas poligonales mantienen el dron fuera de las cubiertas y lejos de los equipos de refrigeración, y fuera de los límites del campus, sobre propiedades colindantes y vías públicas. Las geovallas circulares protegen mástiles y chimeneas. Una infracción bloquea el comando o activa el regreso al punto de despegue.
- Verificación por alarma. Cuando se activa un sensor perimetral, el operador envía el dron al lugar. Un comando solo se considera correcto tras el acuse de recibo MAVLink del dron, con reintentos y tiempos de espera.
- Detección de personas y vehículos. Un modelo YOLO en la NPU de un ordenador en el borde NXP i.MX 8M Plus detecta personas y vehículos. Las reglas de IA pueden notificar, iniciar la grabación, mantener posición o devolver el dron al punto de despegue, siempre dentro de la política de seguridad y las geovallas. El sistema no identifica a las personas.
- Vista de la sala de control. Los operadores ven vídeo WebRTC y un mapa en directo con la trayectoria del dron. Se puede mostrar más de una fuente de vídeo mediante un selector. La grabación local va a un búfer circular y se pueden exportar clips.
- Gobernanza. Roles de administrador, operador y observador, confirmación escrita para los comandos críticos, franjas horarias y un diario de eventos exportable respaldan la documentación que esperará un auditor.
¿Por qué importa el funcionamiento sin conexión en un centro de datos?
Un centro de datos tiene buena conectividad, así que el problema no es la cobertura. Es adónde van los datos de seguridad y quién puede acceder al dron. Las imágenes aéreas de un campus muestran su distribución y sus medidas de protección. En un diseño sin conexión, el plano de control se ejecuta in situ y el envío de grabaciones fuera de las instalaciones está desactivado por defecto. El acceso remoto también está desactivado por defecto. Si se activa, la nube opcional se conecta a través de un túnel WireGuard con comandos firmados por nodo, MFA y SSO opcional. Modos de política como solo local, visualización remota, confirmación local y solo emergencias limitan lo que puede hacer un usuario remoto. Por otra parte, el enlace de radio del dron utiliza cifrado autenticado por paquete y emparejamiento mutuo estricto.
Notas sobre normativa y privacidad
- NIS2. El ámbito de aplicación, la supervisión y las sanciones dependen de la transposición nacional. Un dron puede ayudar a un operador a cumplir las expectativas de seguridad física, pero no es un certificado de cumplimiento.
- Normativa de drones. Muchos centros de datos están cerca de ciudades y aeropuertos. Los Estados miembros pueden restringir las operaciones UAS mediante zonas geográficas según el artículo 15 del Reglamento (UE) 2019/947. Las patrullas automatizadas desde una estación son normalmente una operación de categoría "específica" que requiere autorización. Consulte nuestra guía de normativa UE de drones.
- Privacidad. Es posible que se grabe a empleados, contratistas y vecinos. Aplique el RGPD y las Directrices 3/2019 del CEPD sobre dispositivos de vídeo, limite las rutas al campus y fije plazos de conservación.
Esta página es información general, no asesoramiento jurídico.
Qué evaluar para un centro de datos
- ¿Funciona el sistema íntegramente in situ, y se pueden desactivar y auditar el envío externo y el control remoto?
- ¿Cómo se gestionan los roles, la reautenticación y la aprobación de comandos remotos?
- ¿Pueden las alarmas perimetrales de sus sistemas actuales activar un vuelo de verificación? Pregunte por el esfuerzo de integración.
- ¿Está el espacio aéreo sobre el campus y a su alrededor dentro de una zona geográfica, y qué autorización se necesita?
- ¿Cómo se protege el enlace de radio del dron frente a la interceptación y la suplantación?
- ¿Cuál es el rendimiento nocturno de la cámara y cuáles son los límites meteorológicos del dron? Pida a los proveedores cifras probadas.
- ¿Se puede exportar el diario de eventos como evidencia para NIS2 e ISO/IEC 27001?
Fuentes
- Directiva (UE) 2022/2555 (NIS2), considerandos 31, 35 y 79 y anexo I: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Directiva (UE) 2022/2557 (CER): eur-lex.europa.eu/eli/dir/2022/2557/oj
- EN 50600-2-5:2021, Instalaciones e infraestructuras de centros de datos, parte 2-5: Sistemas de seguridad (CENELEC; ficha de catálogo): standards.iteh.ai
- Reglamento de Ejecución (UE) 2019/947 de la Comisión, artículo 15: eur-lex.europa.eu/eli/reg_impl/2019/947/oj
- Directrices 3/2019 del CEPD sobre el tratamiento de datos personales mediante dispositivos de vídeo: edpb.europa.eu