Seguridad física data center: lo que el firewall no ve

TL;DR. Más del 70% de las caídas serias de data center en 2026 vienen de fallas físicas, no de ciberataques. Según el Annual Outage Analysis 2026 del Uptime Institute, entre 45% y 54% de las caídas con impacto operativo vienen del sistema eléctrico, y la falla de UPS (degradación de baterías) por sí sola explica 29% a 40% de esos incidentes. El estándar ANSI/TIA-942-C define cuatro niveles Rated-1 a Rated-4 con requisitos físicos concretos, y la Ley 21.663 ANCI los hace obligatorios para Operadores de Importancia Vital chilenos. Esta guía recorre los seis ejes de seguridad física que el firewall no ve: poder eléctrico, control térmico, control de acceso, detección y supresión de incendios, monitoreo ambiental y resiliencia estructural.

¿Por qué la seguridad física es el mayor riesgo de downtime?

Porque la mayoría de los servicios productivos no caen por hackers; caen por una batería UPS que se degradó, un chiller que se quedó sin refrigerante o una tubería filtrando sobre un rack. El Uptime Institute 2026 confirma que 45% a 54% de los outages mayores vienen del sistema eléctrico. La degradación silenciosa de baterías UPS es el culpable individual más frecuente. Le siguen fallas térmicas (compresores, bombas, válvulas), problemas en la red interna, errores humanos durante mantenimiento, y solo después los incidentes cyber. El sesgo natural de los equipos TI hacia firewalls y EDR deja al descubierto el flanco que estadísticamente más cae.

El caso chileno suma factores propios: actividad sísmica (NCh 433 obliga a anclaje sísmico de racks y UPS), variaciones de voltaje en redes regionales, ambiente costero con sales que aceleran corrosión, y operadores TI que rotan con frecuencia y arrastran consigo el conocimiento operacional de la sala. En empresas medianas con sala propia, el “data center” suele ser una pieza con aire acondicionado split, sin UPS dimensionado, sin extinción de incendios apropiada y con la llave colgada en el clavo de la pared. Eso no es un data center: es un riesgo asegurado pendiente de gatillar.

¿Qué niveles TIA-942 existen y cuál elegir?

El estándar ANSI/TIA-942-C define cuatro niveles “Rated” que paralelizan los Tier I-IV del Uptime Institute. La diferencia central entre niveles es redundancia y capacidad de mantenimiento sin downtime.

Rated-1 / Tier I — Basic. Una sola ruta eléctrica y mecánica, sin redundancia. Disponibilidad nominal 99,671% (~29 horas downtime al año). Solo apto para sistemas no críticos, dev/QA, archivo frío. Bajo costo, alto riesgo operativo.

Rated-2 / Tier II — Redundant components. Componentes redundantes (N+1) pero una sola ruta de distribución. 99,749% (~22 horas al año). Frecuente en empresas medianas con tolerancia. Mantenimiento implica downtime planificado.

Rated-3 / Tier III — Concurrently maintainable. Múltiples rutas activas/pasivas. Se puede hacer mantenimiento de cualquier componente sin tirar la operación. 99,982% (~1,6 horas al año). Es el sweet spot para la mayoría de empresas medianas/grandes en Chile con e-commerce, ERP propio y datos regulados Ley 21.719.

Rated-4 / Tier IV — Fault tolerant. Tolerante a fallas simples de cualquier componente o ruta. Doble alimentación a cada equipo. 99,995% (~26 minutos al año). Requerido para banca, salud crítica, telco core y la mayoría de los OIV bajo Ley 21.663.

Para una decisión práctica: si una hora de downtime cuesta menos que la diferencia de CapEx entre Rated-2 y Rated-3 en cinco años, Rated-2 alcanza. Si el negocio depende de operación continua o hay regulación de por medio (financiero, salud, OIV), Rated-3 es el piso y Rated-4 el objetivo en mediano plazo.

¿Cómo proteger el corazón eléctrico: UPS, generadores, ATS?

El sistema eléctrico es el principal causante de outages y, no por casualidad, el primer dominio que TIA-942 califica. La defensa en profundidad eléctrica tiene cuatro capas. Doble alimentación desde la red: idealmente desde dos subestaciones distintas (en Chile rara vez factible fuera de Santiago). En su defecto, dos circuitos independientes desde la misma subestación con transferencia automática.

UPS dimensionado con N+1 mínimo. UPS modulares con baterías de ion-litio LiFePO4 están desplazando al ácido-plomo VRLA por densidad, vida útil (10 años vs 4-5) y monitoreo por celda. La degradación de baterías es el #1 causante de outage eléctrico según Uptime: monitoreo BMS por celda y plan de reemplazo basado en SoH (state of health) no son opcionales.

Generador diésel con ATS (Automatic Transfer Switch). Capacidad para operar 24-72 horas con combustible en sitio, contrato de reabastecimiento con SLA por evento. Pruebas mensuales bajo carga y mantenimiento anual con cambio de filtros y refrigerante. El generador sin pruebas reales bajo carga es una promesa, no una solución.

PDUs inteligentes con monitoreo por toma. Cada rack debe tener dos PDUs alimentadas por rutas distintas y todos los equipos con doble fuente conectados a ambas. PDU inteligente con monitoreo permite detectar consumo anómalo (fallo de fuente) antes que cause caída.

¿Qué hacer con el control de temperatura y humedad?

ASHRAE TC 9.9 recomienda para clase A1 un rango operativo de 18°C a 27°C en pasillo frío y humedad relativa 20% a 80% (idealmente 40% a 60%). Salir de ese rango aumenta tasa de falla de componentes y, en caso de humedad baja, riesgo de estática. La arquitectura estándar moderna es contención de pasillo frío o caliente (cold/hot aisle containment) que reduce mezcla de aire y baja el PUE (Power Usage Effectiveness) bajo 1,5. Sin contención, el PUE típico está sobre 1,8.

El cooling redundante (N+1 mínimo) usa CRAC/CRAH con compresores escalonados, free-cooling cuando el clima exterior lo permite (Chile central tiene buen perfil para free-cooling entre mayo y septiembre), y agua refrigerada para densidades sobre 10 kW por rack. La detección de fugas es crítica: sensores lineales bajo el piso técnico, ya que una fuga no detectada en una tubería de agua refrigerada puede destruir una sala entera. Los modernos data centers con cargas de IA están migrando a refrigeración líquida directa (direct-to-chip), lo que cambia completamente el diseño térmico.

¿Qué controles de acceso físico son obligatorios?

El control de acceso a un data center moderno opera por capas concéntricas, principio que el estándar TIA-942 recomienda y la Ley 21.663 ANCI exige para OIV. Las cinco capas estándar son: perímetro del sitio (cerco, CCTV exterior, control vehicular), edificio (recepción con guardia, tarjeta de visita registrada), zona TI (puerta con tarjeta + PIN o biométrico, mantrap de doble puerta en sitios más críticos), sala de servidores (control reforzado, escolta obligatoria para visitas y proveedores), y rack (cerradura con registro de apertura).

La regla de oro es multifactor: al menos dos factores en la puerta de la sala de servidores. Tarjeta + biométrico (huella, iris, palma) es la combinación estándar. CCTV con cobertura completa, retención mínima de 30 días (90 días recomendable para Ley 21.719) y respaldo offsite. Bitácora auditable de ingresos con sello de tiempo, persona, motivo y duración. La supresión de incendios debe activarse sin requerir intervención humana, pero con sistema de aviso previo (30-60 segundos) para evacuación.

Un punto donde las empresas chilenas suelen fallar: la gestión de privilegios de acceso físico. Empleados que se retiran y siguen con tarjeta activa, proveedores externos con acceso “temporal” que dura años, llaves físicas de respaldo sin control. El proceso de altas/bajas físicas debe estar tan automatizado como el de Active Directory.

¿Qué sistema de detección y supresión de incendios usar?

La detección debe ser VESDA (Very Early Smoke Detection Apparatus), un sistema de aspiración que muestrea aire continuamente y detecta partículas de combustión incipiente antes que el humo sea visible. Tres a cinco horas antes que un detector convencional, según el fabricante Xtralis. Eso da margen para actuar antes del fuego declarado. Complementario, detectores de temperatura por encima de racks y bajo piso técnico.

La supresión moderna usa agente limpio, no agua ni espuma, porque el agua destruye los equipos que el sistema intenta proteger. Dos familias principales:

Agentes químicos halocarbonados. El estándar emergente es FK-5-1-12 (Novec 1230) por su GWP cercano a cero, ODP cero y almacenamiento líquido (menos cilindros, menos espacio). FM-200 (HFC-227ea) fue dominante por años pero su GWP de 3.220 lo está sacando del mercado por presión regulatoria. Apaga por absorción de calor en 10 segundos típicos, sin residuo, sin daño a equipos.

Gases inertes. IG-541 (Inergen, mezcla N₂/Ar/CO₂), IG-100 (nitrógeno puro), IG-55 (Argonite, N₂/Ar). Apagan por desplazamiento de oxígeno bajo el umbral de combustión sin bajar bajo el umbral de respiración humana. Costo de cilindros más alto que FK-5-1-12, pero costo operativo más bajo. Frecuentemente la opción correcta en salas grandes (>500 m²).

La supresión debe estar coordinada con un sistema de pre-acción (válvula seca + alarma + descarga) para evitar falsos disparos. En Chile el cumplimiento normativo se valida ante SEC y ante la compañía aseguradora. Las salas certificadas Tier III/IV requieren zoneo independiente de detección y supresión.

¿Qué controles físicos exige la Ley 21.663 ANCI?

Para los Operadores de Importancia Vital (OIV) bajo Ley 21.663, la Instrucción General N°1 de ANCI sobre Estándares Mínimos de Seguridad incluye controles físicos proporcionales al riesgo. Lo no opcional es: control de acceso multifactor a la sala de servidores con bitácora auditable, segregación física entre zonas de cliente y operación, CCTV con cobertura completa y retención de evidencia, sistema de detección y supresión de incendios certificado, monitoreo ambiental 24/7 con alertas a equipo de operación, y plan de continuidad operacional que considere fallas de infraestructura física entre sus escenarios.

La fiscalización de ANCI ya está revisando estos elementos en sectores prioritarios (financiero, telecomunicaciones, energía, salud crítica). Los hallazgos más frecuentes en las primeras auditorías son: ausencia de bitácora auditable de accesos, supresión de incendios no certificada o vencida, falta de monitoreo ambiental en tiempo real, generador sin pruebas reales bajo carga, y plan de continuidad que no contempla escenarios físicos. Cualquiera de estos hallazgos puede configurar sanción administrativa, además del riesgo operativo subyacente. Para empresas no-OIV el cumplimiento no es legal pero los criterios son la mejor práctica de mercado y la base para certificarse o auditar.

¿Cómo empezar si la sala actual está bajo estándar?

El camino realista en una empresa chilena mediana tiene cuatro pasos. Uno, assessment honesto. Un partner externo audita la sala contra TIA-942 nivel 2 o 3 y entrega gap analysis con riesgos priorizados y CapEx estimado. La verdad incómoda suele ser que la sala “siempre funcionó” porque no se ha probado bajo estrés. Dos, decisión estratégica. Si la operación crítica justifica Tier III/IV pero la inversión es prohibitiva, la alternativa es migrar a colocation en data center comercial de Sonda, GTD, ClaroVTR, Cirion o Equinix que ya cumplen Tier III certificado y diluyen el CapEx en OpEx mensual.

Tres, plan de remediación por fases. Si se mantiene sala propia, las primeras inversiones que más valor entregan son: UPS modular con baterías LiFePO4 monitoreadas, generador con pruebas mensuales bajo carga, supresión FK-5-1-12 con VESDA, control de acceso multifactor con bitácora, sensores ambientales con dashboard 24/7, y CCTV con retención 30+ días. Cuatro, plan de continuidad real. Test de DR físico anual (corte de energía simulado, fail-over a generador, recovery procedure documentado) que valide que la sala efectivamente aguanta lo que dice aguantar.

En Elite Center diseñamos, construimos y operamos salas de servidores corporativas alineadas con TIA-942 Tier II/III y los requisitos físicos de Ley 21.663 ANCI, integradas con monitoreo continuo y soporte 24/7. Si quieres un assessment de tu sala actual y un plan de mejora con cifras realistas, conversemos.