Num centro de dados, o valor não está no que se pode levar às costas: está no que acontece se alguém chegar demasiado perto de um bastidor errado ou de um quadro elétrico. Por isso um serviço de segurança física de data center não se avalia pela ausência de furtos, mas pela capacidade de responder, meses depois e por escrito, a uma pergunta muito simples: quem esteve nesta sala, a que horas, acompanhado por quem e para fazer o quê.
Quem gere estas instalações não pede vigilância no sentido tradicional. Pede disciplina de registo. O cliente final é muitas vezes uma empresa internacional que vai auditar o fornecedor, e essa auditoria não pergunta se o serviço é bom: pede provas. Se a operação de segurança não produzir prova de forma sistemática, o problema deixa de ser operacional e passa a ser comercial. Portugal tem atraído projetos de grande dimensão neste segmento, e com eles chegam contratos com este nível de exigência.
Acesso por níveis: a espinha dorsal da segurança física de data center
Um centro de dados organiza-se em camadas concêntricas, e cada camada tem uma regra diferente. O perímetro exterior e o estacionamento. A receção, onde se identifica e se autoriza. As áreas comuns e escritórios. As salas técnicas onde estão os equipamentos. E, dentro destas, jaulas ou salas dedicadas a clientes específicos, onde nem todo o pessoal da instalação tem acesso.
A consequência prática é que a autorização nunca é binária. Não existe «tem acesso» ou «não tem acesso»: existe acesso a um nível, num período, com ou sem acompanhamento. As instruções de posto têm de refletir esta granularidade e o vigilante tem de saber consultá-la sem ter de telefonar a alguém a meio da noite. Quando a lista de autorizações está desatualizada, acontece sempre a mesma coisa: alguém com pressa é deixado passar por bom senso, e o registo dessa entrada fica pior do que se não existisse.
Técnicos externos: acompanhamento permanente
A maior parte do movimento numa instalação destas é de pessoas externas: técnicos de manutenção de energia e de refrigeração, instaladores, equipas de clientes que vêm intervir no seu próprio equipamento, empresas de limpeza especializada. Muitos entram fora de horas, porque as intervenções fazem-se em janelas planeadas, e frequentemente à noite.
O procedimento é conhecido e não admite atalhos: trabalho previamente autorizado, identificação verificada na receção, confirmação de que a intervenção corresponde ao que está autorizado, entrega de cartão, acompanhamento até à zona de trabalho e — nas áreas críticas — permanência do acompanhante durante toda a intervenção. À saída, verificação do que sai, devolução do cartão e fecho do registo.
O ponto que mais se degrada com o tempo é o acompanhamento. Quando o mesmo técnico aparece pela vigésima vez, cria-se familiaridade e a tentação de o deixar seguir sozinho. É exatamente essa exceção informal que uma auditoria procura, e é a única que não tem justificação possível: ou o procedimento se aplica sempre, ou não é procedimento.
Registo rigoroso: o produto real do serviço
Numa instalação destas, o registo não é burocracia acessória — é o que o cliente compra. Cada entrada deve ficar com identificação, entidade, motivo, autorização em que se baseou, zona a que acedeu, hora de entrada, acompanhante e hora de saída. Cada ronda deve ficar com hora e ponto. Cada anomalia deve ficar com descrição, local e o que foi feito a seguir.
Isto é impossível de manter em papel com qualidade constante, sobretudo com equipas que rodam e turnos que se sucedem. Num livro de ocorrências digital o registo fica com autor, hora e local, não se reescreve depois e pode ser pesquisado por período, por zona ou por tipo. Quando o cliente pede o histórico de acessos a uma sala num determinado mês, esse histórico existe e sai sem depender da memória de ninguém.
Salas de energia, refrigeração e o que a videovigilância não vê
Uma parte substancial dos incidentes reais neste tipo de instalação não é criminal: é técnica. Um alarme de temperatura numa sala, uma bateria de apoio com sinal de avaria, uma porta corta-fogo que ficou calçada com um cone porque estava a incomodar uma equipa, água onde não devia haver água, uma saída de emergência obstruída por material de obra.
O vigilante não é técnico e não deve intervir nos sistemas. Mas é ele que passa fisicamente por todos os corredores durante a noite, e é a sua ronda que deteta a porta calçada às três da manhã. Para que isso funcione, a ronda tem de ter pontos definidos nas zonas certas — salas de energia, corredores frios, saídas de emergência, perímetro exterior, cais de carga — e prova de passagem. O controlo de rondas com leitura de pontos regista a hora e o local de cada passagem, e permite verificar que os pontos críticos foram efetivamente visitados em todos os turnos, e não apenas nos dias em que houve tempo.
A videovigilância complementa mas não substitui. Cobre corredores e acessos, ajuda a esclarecer o que aconteceu, e é limitada em áreas densas de equipamento, onde os bastidores criam zonas cegas. A analítica de imagem gera falsos positivos, precisa de manutenção e de alguém que reveja os alertas; sem essa pessoa, os alertas acumulam-se e deixam de ser lidos. A imagem é sempre um meio de verificação e de reconstituição, e o registo escrito continua a ser a base.
Auditorias de clientes internacionais
Quem contrata espaço num centro de dados tem obrigações próprias perante os seus reguladores e clientes, e transfere parte dessa exigência para o fornecedor. Daí as auditorias periódicas, que muitas vezes incluem a componente de segurança física: pedem a lista de acessos de um período, a evidência de que os pontos de ronda foram cumpridos, a prova de que o pessoal em serviço estava habilitado e formado, e o histórico de incidentes com o respetivo seguimento.
Estar preparado para isto não é uma tarefa de véspera. É consequência de registar bem todos os dias. Dar ao cliente um portal do cliente onde possa consultar as ocorrências e os relatórios do seu serviço reduz o pedido de última hora e, sobretudo, muda a relação: o cliente deixa de ter de acreditar e passa a poder ver.
Enquadramento legal, com a devida cautela
A atividade de segurança privada em Portugal está sujeita a licenciamento, à habilitação profissional dos vigilantes e à supervisão da autoridade competente. O tratamento de imagens e de registos de acesso envolve dados pessoais e está sujeito às regras de proteção de dados, com deveres de informação, de limitação de finalidade e de conservação. Infraestruturas consideradas críticas podem ainda estar sujeitas a regimes específicos. Os requisitos concretos mudam e variam consoante a instalação e o cliente: devem ser confirmados junto das entidades competentes e de um assessor jurídico. Este texto é informativo e não constitui aconselhamento legal.
Perguntas frequentes
O que distingue a segurança física de data center de uma vigilância corporativa normal? A profundidade do registo e o acompanhamento. Num edifício de escritórios, o visitante é identificado e segue. Aqui, o acesso é por níveis e as áreas críticas exigem acompanhamento permanente, com prova documental de tudo o que aconteceu.
Quantos vigilantes precisa uma instalação destas? Depende da dimensão, do número de acessos, do volume de intervenções técnicas e do que o cliente exigir. O que é comum é a cobertura contínua, incluindo noites e feriados, porque as janelas de manutenção acontecem quase sempre fora do horário normal.
A videovigilância dispensa rondas físicas? Não. As câmaras cobrem acessos e corredores, mas têm zonas cegas entre bastidores e não detetam odores, calor anómalo ou uma porta calçada. A ronda com prova de passagem continua a ser o método que garante presença verificável nas zonas críticas.
Como se prepara a operação para uma auditoria? Registando com consistência desde o primeiro dia. Uma auditoria pede evidência de acessos, de rondas, de habilitação da equipa e de seguimento de incidentes. Se esses dados forem produzidos diariamente, a preparação resume-se a exportá-los.
Se a sua empresa presta serviço a centros de dados e precisa de provar cada acesso e cada ronda perante auditorias exigentes, vale a pena conhecer o CGuardPro.