Durant dècades, quan pensàvem en infraestructures estratègiques en una guerra, imaginàvem aeroports, ports, centrals elèctriques, refineries, satèl·lits, xarxes ferroviàries o cables de telecomunicacions. Tanmateix, en una societat digitalitzada hi ha una altra infraestructura que s'ha tornat igual de crítica, tot i que sigui menys visible: els centres de dades.
Els atacs amb drons contra tres centres de dades d'Amazon Web Services (AWS) situats als Emirats Àrabs Units i Bahrain, atribuïts a l'Iran, van mostrar que el núvol ha entrat en la lògica de la geopolítica. El núvol és físic. Té edificis, cables, energia i jurisdicció. I, en temps de guerra, tot això es pot convertir en objectiu.
Atac amb drons a centres de dades
Els atacs iranians contra AWS mostren aquest canvi d'època. Segons Reuters, van ser una represàlia iraniana després d'atacs dels Estats Units i Israel contra l'Iran.
Els centres de dades dels Emirats Àrabs Units i Bahrain van patir danys físics, problemes d'energia i interrupcions de connectivitat. Aquests van afectar serveis de computació al núvol (cloud) utilitzats per bancs, empreses financeres i altres clients de la zona. “Serveis cloud” fa referència a sistemes i dades allotjats en servidors remots, com els d'Amazon Web Services.
Com a conseqüència, AWS va aconsellar alguns clients traslladar les seves càrregues de treball (aplicacions, processos o serveis) a altres regions o centres de dades que no estiguessin afectats. O, si no, fer còpies de seguretat (protegir dades) en llocs segurs fora de la zona.
El missatge estratègic és clar: atacar un centre de dades no equival només a danyar un edifici tecnològic. Pot significar pressionar una empresa nord-americana i generar un efecte dòmino de danys que afecti economies aliades, interrompi serveis civils i qüestioni la confiança en la infraestructura digital.
Centres de dades estratègics a Espanya
Els centres de dades són la columna vertebral de la nostra societat digitalitzada, de la qual depenen múltiples serveis en línia que necessitem en el nostre dia a dia. Són infraestructures sobre les quals descansen bancs, hospitals, administracions públiques, universitats, logística, comerç electrònic, mitjans de comunicació i serveis essencials. Així, per exemple, durant la gran apagada que vam viure a la península Ibèrica, la gent trobava més a faltar no poder comunicar-se o pagar amb targeta que no pas la llum mateixa.
A Espanya, les regions amb més centres de dades són Madrid, Aragó i Barcelona. Si Madrid i Aragó representen el múscul del processament, Catalunya és el sistema circulatori. Sant Adrià de Besòs allotja la Barcelona Cable Landing Station (Barcelona CLS), un port digital neutral que serveix de punt d'amarratge per a cables submarins de fibra òptica d'última generació, com el sistema 2Africa (que circumval·la tot el continent africà connectant-lo amb Europa), o el cable Medusa, un sistema de cable submarí de fibra òptica que connecta Europa amb el nord d'Àfrica i l'Orient Mitjà i abasta més de 8 700 quilòmetres al llarg de la regió mediterrània.
Aquests cables discorren pel fons del mar i transporten aproximadament el 99 % del trànsit intercontinental. L'estació del Besòs i les infraestructures d'interconnexió associades a l'àrea metropolitana de Barcelona no són només infraestructures locals: són el cordó umbilical que uneix la Unió Europea amb el nord d'Àfrica, l'Orient Mitjà i Àsia. Si aquest node s'interromp, l'impacte sobre la connectivitat reverbera a tot el continent. Per això, la societat està començant a plantejar-se la importància estratègica d'aquestes infraestructures i a prendre mesures per a protegir-les.
Duplicar per assegurar
És important distingir clarament entre tolerància a fallades i seguretat.
La tolerància a fallades es resol principalment amb redundància de serveis. Un centre de dades certificat de tipus Tier III o Tier IV (infraestructures de missió crítica altament fiables) pot tenir redundància elèctrica, refrigeració duplicada, generadors autònoms i diverses rutes possibles en les vies de comunicació. Aquestes prevencions el fan molt robust davant de fallades tècniques. Però no el converteixen automàticament en una instal·lació preparada per a guerra híbrida, sabotatge coordinat, atacs a la xarxa elèctrica, talls de fibra o crisis prolongades de subministrament.
Per això, administracions i empreses haurien de conèixer millor les seves dependències digitals. On són les seves dades? En quin núvol o regió cloud? Quins serveis són crítics? Existeixen còpies fora de línia? S'ha provat la recuperació? Pot operar una administració si fallen durant hores el seu proveïdor cloud o centre de processament de dades, el seu sistema d'identitat o la seva xarxa corporativa?
Protecció a Espanya
Espanya disposa d'un marc legal de protecció d'infraestructures crítiques. La Llei 8/2011 i el Reial decret 704/2011 regulen la protecció d'aquelles infraestructures la interrupció de les quals tindria un impacte greu sobre serveis essencials. El sistema està coordinat pel Centre Nacional de Protecció d'Infraestructures Crítiques, dependent del Ministeri de l'Interior. La llista concreta d'operadors i instal·lacions crítiques no és pública, precisament per motius de seguretat.
Això significa que no podem afirmar alegrement que un determinat centre de dades estigui protegit per defensa, policia o mesures especials. Alguns podrien estar inclosos en plans de protecció si donen suport a serveis essencials; altres no.
A més, protegir una infraestructura crítica no significa necessàriament posar soldats a la porta. Pot implicar plans de seguretat, coordinació amb autoritats, anàlisi de riscos, protocols de resposta, ciberseguretat, control d'accessos, redundància i controls periòdics.
La defensa civil del segle XXI no consisteix només a protegir carreteres, hospitals, ports o centrals elèctriques. També requereix garantir que els serveis digitals essencials puguin continuar funcionant davant de possibles amenaces a les infraestructures que els sostenen. El núvol també és un objectiu de guerra.