Azure instalaciones, locales y seguridad física

En este artículo se describe lo que Microsoft hace para proteger la infraestructura de Azure.

Infraestructura de centros de datos

Azure se compone de una infraestructura de centro de datos distribuida globalmente, que admite miles de servicios en línea y abarca más de 400 instalaciones de alta seguridad en todo el mundo.

La infraestructura está diseñada para acercar las aplicaciones a los usuarios de todo el mundo, preservar la residencia de datos y ofrecer opciones integrales de cumplimiento y resiliencia para los clientes. Azure tiene más de 70 regiones en todo el mundo y está disponible en 140 países o regiones.

Una región es un conjunto de centros de datos que se interconectan a través de una red masiva y resiliente. La red incluye la distribución de contenido, el equilibrio de carga, la redundancia y cifrado de capa de vínculo de datos de forma predeterminada para todo el tráfico Azure dentro de una región o viajando entre regiones. Con más regiones globales que cualquier otro proveedor de nube, Azure le ofrece la flexibilidad de implementar aplicaciones donde las necesite.

Las regiones de Azure están organizadas en geografías. Una geografía de Azure garantiza que se respetan los requisitos de residencia, soberanía, cumplimiento y resiliencia de los datos dentro de los límites geográficos.

Las zonas geográficas permiten a los clientes con necesidades específicas de residencia de datos y cumplimiento normativo mantener sus datos y aplicaciones cerca. Las geografías son tolerantes a fallos para resistir la pérdida total de una región, ya que están conectadas a la infraestructura de red dedicada y de alta capacidad.

Las zonas de disponibilidad son ubicaciones físicamente independientes dentro de una región de Azure. Cada zona de disponibilidad consta de uno o varios centros de datos equipados con alimentación, refrigeración y redes independientes. Las zonas de disponibilidad permiten ejecutar aplicaciones críticas con alta disponibilidad y replicación con baja latencia.

En la ilustración siguiente se muestra cómo la infraestructura global de Azure empareja regiones y zonas de disponibilidad dentro del mismo límite de residencia de datos para lograr alta disponibilidad, recuperación ante desastres y copia de seguridad.

Diagrama que muestra los límites de residencia de datos

Los centros de datos distribuidos geográficamente permiten a Microsoft estar más cerca de los clientes, reducir la latencia de red y ofrecer copias de seguridad y conmutación por error con redundancia geográfica.

Seguridad física

Microsoft diseña, crea y opera los centros de datos de forma que se controla estrictamente el acceso físico a las áreas donde se almacenan los datos. Microsoft entiende la importancia de proteger tus datos y está comprometida a ayudar a proteger los centros de datos que contienen tus datos. Microsoft cuenta con toda una división dedicada a diseñar, construir y operar las instalaciones físicas que soportan Azure. Este equipo se dedica a mantener una seguridad física de última generación.

Microsoft adopta un enfoque en capas de seguridad física para reducir el riesgo de que usuarios no autorizados accedan físicamente a los datos y a los recursos del centro de datos. Los centros de datos administrados por Microsoft tienen numerosas capas de protección: autorización del acceso en el perímetro de la instalación, en el perímetro del edificio, dentro del edificio y en la planta del centro de datos. Las capas de seguridad física son:

  • Solicitud de acceso y aprobación. Debe solicitar acceso antes de llegar al centro de datos. Debe proporcionar una justificación comercial válida para su visita, como fines de cumplimiento o auditoría. Los empleados de Microsoft aprueban todas las solicitudes en base a necesidad de acceso. La autorización por necesidad de acceso ayuda a reducir al mínimo el número de personas necesarias para completar una tarea en los centros de datos. Tras la concesión del permiso de Microsoft, una persona solo tiene acceso al área discreta del centro de datos requerida, según la justificación empresarial aprobada. Los permisos se limitan a un determinado período de tiempo y expiran.

  • Acceso de visitantes El SOC de acceso controlado almacena y hace inventario de las tarjetas de acceso temporales al principio y al final de cada turno. Todos los visitantes con acceso aprobado al centro de datos llevan la indicación Solo con acompañante en sus acreditaciones y deben estar siempre acompañados por sus acompañantes. Los visitantes escoltados no tienen ningún nivel de acceso concedido y solo pueden viajar utilizando el acceso de sus acompañantes. El escolta es la persona responsable de revisar las acciones y el acceso de su visitante durante su visita al centro de datos. Microsoft exige que los visitantes entreguen las tarjetas al salir de cualquier instalación de Microsoft. Microsoft elimina todos los niveles de acceso a las credenciales de visitante antes de que se reutilicen para futuras visitas.

  • Perímetro de la instalación. Cuando llegas a un centro de datos, debes pasar por un punto de acceso bien definido. Normalmente, una alta valla de acero y hormigón rodea cada centímetro del perímetro. Las cámaras alrededor de los centros de datos graban la actividad y un equipo de seguridad monitoriza sus vídeos en todo momento. Las patrullas de guardia de seguridad garantizan que la entrada y salida estén restringidas a las áreas designadas. Tanto bolardos como otras medidas protegen el exterior del centro de datos frente a posibles amenazas, incluido el acceso no autorizado.

  • Entrada al edificio. La entrada al centro de datos está protegida por profesionales de seguridad que han recibido rigurosos cursos de aprendizaje y comprobaciones de antecedentes. Estos responsables de seguridad patrullan habitualmente el centro de datos y supervisan los vídeos de las cámaras situadas dentro continuamente.

  • Dentro del edificio. Después de entrar al edificio, debe pasar por una autenticación en dos fases con datos biométricos para continuar avanzando por el centro de datos. Si tu identidad está validada, solo puedes acceder a la parte del centro de datos a la que te han aprobado acceder. Puede permanecer allí solo durante el tiempo aprobado.

  • Planta del centro de datos. Solo puedes entrar en la planta para la que estás autorizado. Debe pasar un control de detección de metales de cuerpo entero. Para reducir el riesgo de que los datos no autorizados entren o salgan del centro de datos sin el conocimiento de Microsoft, solo los dispositivos aprobados pueden acceder al suelo del centro de datos. Las cámaras de vídeo también monitorizan la parte delantera y trasera de cada rack de servidores. Cuando sales del piso del centro de datos, debes pasar de nuevo por un control de detección de metales de cuerpo completo. Para salir del centro de datos, debes pasar por otro escaneo de seguridad.

Revisiones de la seguridad física

Microsoft realiza periódicamente revisiones físicas de seguridad de las instalaciones para garantizar que los centros de datos cubren correctamente los requisitos de seguridad de Azure. El personal del proveedor de alojamiento de centros de datos no proporciona gestión de servicios en Azure. El personal no puede iniciar sesión en los sistemas de Azure y no tiene acceso físico a la sala de colocación ni a las jaulas de Azure.

Eliminación de equipos

Cuando un sistema llega al final de su vida útil, el personal operativo de Microsoft sigue rigurosos procedimientos de gestión de datos y eliminación de hardware para garantizar que partes no confiables no puedan acceder al hardware que contiene tus datos. Microsoft utiliza las mejores prácticas y una solución de borrado que cumple con el NIST 800-88. Microsoft utiliza un enfoque de borrado seguro para discos duros que lo soportan. Si Microsoft no puede borrar un disco duro, Microsoft utiliza un proceso de destrucción que destruye el disco y hace imposible la recuperación de información. Este proceso de destrucción puede desintegrar, triturar, pulverizar o incinerar la unidad. Microsoft determina el medio de disposición según el tipo de activo y mantiene registros de la destrucción. Todos los servicios de Azure usan servicios aprobados de administración de almacenamiento y eliminación de medios.

Cumplimiento normativo

Microsoft diseña y gestiona la infraestructura de Azure para cumplir con un amplio conjunto de normas internacionales y específicas de la industria, como ISO 27001, HIPAA, FedRAMP, SOC 1 y SOC 2. Microsoft también cumple con estándares específicos de países o regiones, incluyendo Australia IRAP, UK G-Cloud y Singapore MTCS. Auditorías de terceros rigurosas, como las del Instituto Británico de Normalización, confirman la observancia de los estrictos controles de seguridad que estos estándares exigen.

Para obtener una lista completa de los estándares de cumplimiento que Azure cumple, consulte las ofertas Compliance.

Pasos siguientes

Para obtener más información sobre lo que Microsoft hace para ayudar a proteger la infraestructura de Azure, consulte:

  • Last updated on