Seguranca fisica de datacenter e sala de TI: controle de acesso, biometria e trilha de auditoria

Por que segurança física ainda é o elo mais frágil da TI corporativa

Empresas investem alto em firewall, EDR, MFA e criptografia, mas mantêm o rack de servidores em uma sala com fechadura comum, chave copiada em quatro cópias e sem nenhum registro de quem entrou. Do ponto de vista de risco, isso anula boa parte do investimento lógico: quem tem acesso físico ao equipamento tem, na prática, acesso privilegiado a ele. Um servidor pode ser reiniciado em modo de recuperação, um disco pode ser removido, uma porta de console pode ser conectada e um switch pode receber um dispositivo não autorizado — tudo isso sem disparar um único alerta no SIEM.

A segurança física não é uma disciplina separada da segurança da informação; é a primeira camada dela. Normas como a ISO/IEC 27001 dedicam um domínio inteiro ao tema (controles de área segura, proteção de equipamentos, descarte seguro de mídia), e a LGPD trata a proteção física como parte das medidas técnicas e administrativas exigidas para dados pessoais. Uma auditoria que encontra a sala de TI destrancada não avalia o restante dos controles com bons olhos.

Há também o fator humano, que costuma ser subestimado. A maioria dos incidentes físicos não envolve arrombamento: envolve alguém que entrou acompanhado, um prestador que ficou sozinho na sala, uma chave emprestada "só para hoje" ou um funcionário desligado cujo crachá nunca foi revogado. Controle de acesso físico existe menos para deter invasores e mais para tornar cada entrada rastreável e atribuível a uma pessoa específica.

O modelo de camadas: perímetro, prédio, sala, rack

Segurança física funciona por defesa em profundidade. Cada camada deve exigir uma credencial diferente da anterior, de modo que comprometer uma não conceda passagem livre até o equipamento. Um modelo prático para ambientes corporativos brasileiros divide o caminho em quatro anéis: perímetro externo (portaria, estacionamento, cerca), acesso ao prédio ou andar, acesso à sala técnica e, por fim, acesso ao rack.

• Perímetro: identificação de visitantes na recepção, registro de documento, crachá temporário com validade e cor distinta, acompanhante obrigatório para não funcionários.
• Prédio/andar: leitor de proximidade ou biometria na catraca, elevador com liberação por andar, portas corta-fogo com sensor de abertura.
• Sala técnica: porta com fechadura eletrônica, leitor biométrico ou cartão + PIN, sensor magnético de porta aberta, alarme de porta mantida aberta acima de X segundos, CFTV cobrindo a entrada.
• Rack: porta com chave individual ou fechadura eletrônica por rack, lacre numerado em racks de baixa manutenção, inventário de quem detém cada chave.

Salas técnicas pequenas — o caso da maioria das empresas de médio porte — frequentemente colapsam três camadas em uma só. Isso é aceitável desde que a camada remanescente seja forte: acesso individualizado, log automático e câmera. O que não é aceitável é uma sala servida por chave física genérica, sem registro, dentro de um andar de acesso livre.

Vale lembrar que a camada física precisa incluir a infraestrutura de apoio. Quadro elétrico, no-break, chave geral de energia e o ponto de entrada de link são alvos tão críticos quanto o servidor: desligar a energia da sala derruba o ambiente inteiro sem exigir qualquer conhecimento técnico. Se o quadro fica em um corredor comum, ele deve ter, no mínimo, tampa com cadeado e sensor de abertura.

Controle de acesso: crachá, biometria ou os dois

A escolha do método de autenticação física segue a mesma lógica da autenticação lógica: fator de posse (cartão, chave), fator de conhecimento (PIN, senha) e fator de inerência (biometria). Cada um tem um modo de falha próprio, e a decisão correta depende da criticidade do ambiente, não da tecnologia mais nova disponível.

1. Cartão de proximidade (RFID/Mifare): barato, fácil de provisionar e revogar, integra bem com sistemas de ponto. Falha por empréstimo e clonagem — cartões de 125 kHz antigos são triviais de copiar. Prefira Mifare DESFire ou equivalente com criptografia.
2. Biometria (digital, facial, veia palmar): elimina empréstimo e resolve o problema de "quem realmente entrou". Falha por taxa de rejeição em dedos danificados, condições de luz no reconhecimento facial e resistência cultural. Exige base legal e informação clara ao titular sob a LGPD, por se tratar de dado sensível.
3. Cartão + PIN ou cartão + biometria: dois fatores. Recomendado para a porta da sala técnica em qualquer empresa que hospede dados de clientes, sistemas financeiros ou bases pessoais.
4. Chave física: aceitável apenas como redundância de emergência, guardada em cofre lacrado, com abertura registrada.

Sobre biometria, um ponto merece atenção específica: dado biométrico é dado pessoal sensível na LGPD (art. 5º, II). Coletá-lo exige finalidade determinada, base legal adequada, comunicação transparente ao colaborador e, idealmente, armazenamento de template matemático irreversível — não da imagem da digital. Muitos equipamentos de mercado já operam assim, mas isso precisa ser verificado e documentado, não presumido.

Regra prática: se o sistema não consegue responder "quem abriu esta porta às 22h47 de terça?" com um nome, ele não é controle de acesso — é apenas uma tranca mais cara.

Trilha de auditoria: o registro que transforma controle em evidência

O valor de um sistema de acesso não está na porta que ele tranca, e sim no log que ele produz. Uma trilha de auditoria útil registra, para cada evento: identificação do indivíduo, ponto de acesso, data e hora com fuso definido, resultado (concedido ou negado) e método usado. Eventos de negação são tão importantes quanto os de concessão — dez tentativas negadas na madrugada são um sinal que nenhum log de firewall vai mostrar.

Esse registro precisa sobreviver a três testes. Primeiro, retenção: definir por quanto tempo o log é mantido (12 meses é um piso razoável para ambientes com dados de clientes) e garantir que o equipamento não sobrescreva silenciosamente eventos antigos ao encher a memória local. Segundo, integridade: o log deve ser exportado para fora da controladora, em servidor ou nuvem, para que quem tem acesso físico ao painel não consiga apagar o rastro do próprio acesso. Terceiro, legibilidade: um dump de eventos que ninguém consegue filtrar por pessoa ou período não serve em auditoria nem em investigação.

A prática que separa ambientes maduros dos demais é a revisão periódica. Mensalmente, alguém deve revisar a lista de credenciais ativas contra a lista de colaboradores ativos, conferir acessos fora do horário comercial e validar se prestadores com acesso temporário tiveram a credencial expirada na data prevista. Esse processo é simples, leva menos de uma hora e captura o problema mais comum de todos: o crachá do ex-funcionário que continua abrindo a porta meses depois do desligamento.

• Revisão mensal de credenciais ativas × folha de pessoal ativa.
• Revogação no mesmo dia do desligamento, integrada ao processo de RH — não à boa vontade do gestor.
• Credenciais de prestador sempre com data de expiração automática.
• Relatório trimestral de acessos fora do horário, com justificativa registrada.
• Teste anual de restauração do log exportado, para confirmar que a evidência existe de fato.

CFTV, sensores e monitoramento ambiental

Câmeras não previnem acesso; elas comprovam o que aconteceu e ajudam a reconstruir o incidente. Por isso o posicionamento importa mais que a quantidade: uma câmera enquadrando o rosto de quem entra pela porta da sala técnica vale mais que quatro câmeras panorâmicas mostrando o topo dos racks. Um segundo ângulo, cobrindo a frente dos racks, permite verificar manipulação de equipamento e conexão de dispositivos não autorizados.

A retenção de imagens deve conversar com o log de acesso. Se o log guarda 12 meses e o CFTV guarda 7 dias, o cruzamento só funciona em incidentes descobertos na mesma semana — e a maioria não é. Trinta dias é um mínimo funcional para ambientes de TI; ambientes regulados costumam exigir mais. Como imagem de pessoa identificável também é dado pessoal, aplica-se a LGPD: sinalização visível de área monitorada, finalidade definida, acesso às gravações restrito e registrado.

Monitoramento ambiental completa o conjunto e costuma ser o que mais evita paradas reais. Sensores de temperatura e umidade no corredor frio, detecção de líquido sob o piso elevado, alarme de porta aberta, monitoramento do no-break e alerta de falha de climatização são baratos e integram-se sem dificuldade a ferramentas como Zabbix. Vale registrar: em sala técnica de empresa média, falha de ar-condicionado derruba mais serviço do que ataque físico deliberado.

Um alerta de temperatura acima de 32 °C às 3h da manhã, entregue no celular do responsável, evita o desligamento térmico de um cluster inteiro. Custa menos que uma hora de indisponibilidade.

Integração com a política de segurança e o papel de um parceiro de TI

Controle de acesso e CFTV só produzem resultado quando estão amarrados a uma política escrita. O documento precisa definir, em linguagem que qualquer gestor entenda: quem pode entrar na sala técnica e sob qual justificativa, como um prestador é autorizado e acompanhado, qual o procedimento em desligamento, com que frequência os logs são revisados e quem responde por essa revisão. Sem isso, a tecnologia vira teatro de segurança — equipamento instalado, processo inexistente.

A política também deve tratar do que sai da sala. Descarte de disco, devolução de equipamento de colaborador desligado, envio de hardware para garantia e retirada de fita de backup são momentos de exposição frequentemente ignorados. Um disco enviado para RMA sem sanitização prévia é vazamento de dados com nota fiscal. Registrar número de série na saída e exigir laudo de destruição para mídias descartadas fecha essa lacuna com esforço mínimo.

Na prática, o que trava a implementação raramente é o orçamento — é a falta de alguém que conduza o desenho das camadas, especifique os equipamentos, integre o log ao monitoramento existente e mantenha a rotina de revisão viva depois da instalação. A Duk Informática & Cloud atua exatamente nesse ponto: com mais de 18 anos de mercado, 550+ empresas atendidas e certificação Microsoft Gold Partner, estrutura a segurança física junto com a lógica — do controle de acesso da sala técnica ao monitoramento ambiental integrado, passando pela política que sustenta os dois. A operação do próprio data center em Alphaville é onde essas práticas são aplicadas diariamente, e é dela que vêm os procedimentos levados ao ambiente do cliente.

Se a sala de TI da sua empresa hoje é aberta com chave comum, sem registro de quem entrou e sem câmera na porta, o primeiro passo não é comprar equipamento: é mapear quem tem acesso hoje, o que precisa de proteção e qual camada está ausente. A partir desse diagnóstico, a evolução costuma ser mais rápida e mais barata do que se imagina — e passa a ser demonstrável em auditoria, que é o que realmente conta quando alguém pergunta.