El cuarto de servidores también es OT: UPS, enfriamiento y energía

De todos los lugares donde vive OT sin que lo llamemos así, hay uno con una ironía perfecta: el propio cuarto de servidores. Ahí, junto a los equipos de TI que sí cuidamos con celo, conviven los sistemas que los mantienen vivos —UPS, PDUs, enfriamiento, generadores, sensores— y que casi nadie protege. Son OT de instalaciones (facilities): computadoras conectadas que accionan energía y clima. Y como ya establecimos que OT no es solo de plantas, estos cuentan —quizá más que ninguno, porque tumbar uno tumba todo lo demás—.

Qué hay ahí que es OT

Más de lo que parece, y casi todo administrable por red:

• UPS gestionables: traen tarjeta de red y consola web para monitoreo y apagado ordenado. Es decir, un dispositivo en tu red que controla la energía.
• PDUs inteligentes: regletas de rack que encienden y apagan tomas por red.
• Enfriamiento (CRAC/minisplits gestionables): el clima que evita que todo se apague por temperatura.
• Generadores y transferencias: con sus propios controladores.
• Sensores ambientales: temperatura, humedad, agua, humo.

Cada uno acciona algo físico y casi todos hablan por la red. Definición de OT, otra vez.

La ironía del punto ciego

Es el descuido más curioso de todos: cuidamos obsesivamente los servidores y dejamos sin vigilar justo lo que los sostiene. Estas tarjetas de administración suelen conservar contraseñas de fábrica, rara vez se les actualiza el firmware, y con frecuencia cuelgan de la misma red de gestión sin aislar. Un atacante que llega a la consola del UPS puede, literalmente, apagar el cuarto de servidores por software —sin tocar un solo servidor—. O manipular el enfriamiento hasta que la temperatura los apague sola.

Y el ángulo que ya conoces: también fallan solos

Este frente tiene una ventaja: en NEXT ya lo trabajamos desde la continuidad. Que un UPS tenga baterías degradadas que fallan en el apagón o que esté mal dimensionado es la misma familia de riesgo, vista desde la disponibilidad. Seguridad y continuidad se dan la mano aquí: el mismo dispositivo que hay que endurecer contra un atacante es el que hay que mantener contra el desgaste.

Qué hacer

El manual OT, aplicado al rack: inventariar qué de todo esto es administrable por red; ponerlo en una red de gestión segmentada y sin exposición a internet; cambiar las contraseñas de fábrica de cada tarjeta; actualizar su firmware; monitorear tanto su seguridad como sus variables ambientales; e incluirlos en el plan de recuperación —porque un cuarto de servidores sin energía ni frío es un desastre, lo cause un atacante o el desgaste—. Tratar estos equipos como OT no es sumar trabajo nuevo: es reconocer que la energía y el clima del cuarto de servidores merecen la misma disciplina de credenciales, parches y red que los servidores que protegen —porque son el punto único de falla del que todo lo demás cuelga—.

La pregunta que conviene hacerse

La pregunta no es "¿tengo UPS y enfriamiento?", sino ¿quién puede llegar por red a apagar mi energía o mi clima, y esas consolas tienen todavía la contraseña de fábrica? Cuidar los sistemas que cuidan a TI —como el OT que son— cierra el círculo del edificio. Los otros dos frentes: la automatización del edificio (BMS) y las cámaras y el control de acceso. Y si operas varias sucursales, este mismo cuarto se repite en cada una —casi siempre sin nadie que lo vea—: no necesitas ser AWS para tener un data center.