Víctor Muñoz | Director comercial en Adviser
Una auditoría de infraestructura TI debe considerar mucho más que la alimentación eléctrica. La climatización, conectividad, protección, seguridad y operación de los sistemas también influyen en la disponibilidad y continuidad del entorno tecnológico.
En la primera parte de esta guía revisamos los elementos fundamentales de la infraestructura eléctrica, desde la documentación y distribución de cargas hasta los UPS, baterías, sistemas de respaldo y puesta a tierra. Estos aspectos permiten conocer si la infraestructura cuenta con la capacidad y las condiciones necesarias para mantener la continuidad de la operación.
Pero una auditoría de infraestructura TI debe ir más allá de la alimentación eléctrica. La protección, climatización, conectividad, seguridad y operación de los sistemas también pueden determinar el desempeño y disponibilidad de un entorno tecnológico. Por ello, en esta segunda parte continuamos con los 10 puntos restantes que conviene revisar para obtener una visión más completa de la condición real de la infraestructura y detectar posibles riesgos antes de que se conviertan en fallas o hallazgos durante una auditoría.
La protección contra sobretensiones debe integrarse a la arquitectura eléctrica, no tratarse como un accesorio aislado. En auditoría conviene revisar la presencia, ubicación, estado y coordinación de SPD, así como la condición general de tableros, interruptores y conexiones. NFPA 70B-2026 es una referencia de mantenimiento de equipos eléctricos; en México, la seguridad del mantenimiento se rige por NOM-029-STPS-2011 dentro de su campo de aplicación.
- Identificar SPD en tableros principales y secundarios cuando el diseño lo requiera.
- Verificar indicadores de estado, fecha de instalación y coordinación con el sistema.
- Aplicar inspección termográfica en conexiones y protecciones bajo carga cuando resulte técnicamente procedente.
Evidencia mínima esperada: Inventario de SPD; inspecciones; termografía; mantenimientos; resultados de torque/pruebas según fabricante.
Casi toda la potencia eléctrica consumida por el equipo IT termina como calor sensible dentro del espacio. Como conversión de ingeniería, 1 kW equivale aproximadamente a 3,412 BTU/h y 1 TR a 12,000 BTU/h (≈3.517 kW de refrigeración). Sin embargo, seleccionar HVAC sólo por TR nominal es insuficiente: debe revisarse capacidad sensible a las condiciones de operación, distribución de aire, redundancia y crecimiento.
- Estimar carga IT real a partir de medición eléctrica y contrastarla con capacidad sensible disponible.
- Agregar cargas auxiliares pertinentes: UPS dentro del recinto, iluminación, personas, envolvente y pérdidas.
- Separar capacidad nominal de placa de capacidad útil a temperatura exterior/condiciones reales.
Evidencia mínima esperada: Memoria térmica; kW IT medidos; capacidad sensible por equipo; condiciones de diseño; margen y escenario de falla.
El termostato de la unidad de aire acondicionado no representa necesariamente el ambiente que “ve” el servidor. ASHRAE TC 9.9 establece condiciones recomendadas y permitidas para diferentes clases de equipo. Para clases A1–A4, la tarjeta de referencia 2021 de la quinta edición muestra un rango recomendado de temperatura de bulbo seco de 18 a 27 °C, acompañado de criterios de humedad/punto de rocío; debe confirmarse la clase de equipo antes de aplicar rangos.
- Medir temperatura de entrada a racks, preferentemente en varios niveles cuando la densidad lo amerite.
- Registrar humedad relativa y/o punto de rocío, evitando control excesivo que aumente energía sin beneficio.
- Configurar alarmas y conservar tendencias, no sólo valores instantáneos.
Evidencia mínima esperada: Tendencias de sensores; mapa térmico; umbrales de alarma; ubicación de sensores; evidencia de eventos y respuesta.
Dos equipos instalados no equivalen automáticamente a N+1. La capacidad remanente debe soportar la carga en el escenario de falla previsto. Además, la disponibilidad térmica depende de distribución de aire, contención de pasillos, sellado de huecos, retorno y control. Un sistema con suficiente TR puede fallar localmente por recirculación o bypass de aire.
- Definir arquitectura N, N+1, 2N u otra y comprobarla a la carga actual.
- Revisar secuencia lead/lag, rotación, arranque del respaldo y alarmas.
- Inspeccionar blanking panels, sellado de pasos de cable, orientación frente/trasera y cortocircuito de aire.
Evidencia mínima esperada: Prueba de falla controlada; secuencia de operación; mapa de flujo; capacidad N+1 demostrada; alarmas y tendencias.
15. Racks, PDUs y distribución final
El rack es el punto donde convergen energía, datos, flujo de aire y operación. La auditoría debe revisar seguridad mecánica, ocupación, potencia por rack, PDU, alimentación A/B cuando exista, organización y bonding. La densidad debe evaluarse por kW/rack y no sólo por número de U ocupadas.
- Registrar ocupación física y carga eléctrica por rack/PDU.
- Verificar que equipos con doble fuente estén conectados a rutas realmente independientes cuando el diseño lo requiera.
- Revisar capacidad de PDU, interruptores, conectores, balance de fases y temperatura.
Evidencia mínima esperada: Rack elevation; inventario; kW por rack; diagrama A/B; identificación de PDU; fotografías y registro de grounding/bonding.
Un enlace que “da red” no necesariamente cumple con desempeño, administración o capacidad futura. La familia ANSI/TIA-568 cubre cableado genérico de cobre y fibra; TIA-606-D la administración e identificación; TIA-569-E las canalizaciones y espacios. La auditoría debe relacionar cada enlace físico con su identificación y su certificación.
- Verificar categoría/clase, longitud, componentes, patch cords y consistencia del canal.
- Revisar etiquetado de puerto, faceplate, patch panel, rack y sala conforme a una convención documentada.
- Conservar resultados de certificación con identificadores que coincidan con la instalación.
Evidencia mínima esperada: Planos; base de datos de puertos; reportes de certificador; fotos de etiquetado; matriz origen-destino.
En fibra, la auditoría debe ir más allá del número de hilos. Debe conocerse tipo de fibra, conectores, pérdida total, empalmes, hilos utilizados/disponibles y trayectorias. Cuando se declara redundancia, la diversidad física debe verificarse: dos enlaces lógicos por la misma canalización siguen compartiendo un riesgo común.
- Registrar SM/MM, categoría de fibra, cantidad de hilos y conectores.
- Conservar pruebas de pérdida de inserción y OTDR cuando sean parte del alcance de aceptación o diagnóstico.
- Mapear empalmes, cajas, registros y rutas.
Evidencia mínima esperada: Reporte OLTS/OTDR; mapa de ruta; tabla de hilos; pérdida extremo a extremo; identificación de trayectorias diversas.
La protección contra incendio debe evaluarse como una secuencia funcional. NOM-002-STPS-2010 establece requerimientos de prevención y protección contra incendios en centros de trabajo. Como referencias especializadas, NFPA 72-2025 aborda alarma y señalización, NFPA 75-2024 la protección de equipos de tecnología de información y NFPA 2001-2025 los sistemas de agente limpio.
- Verificar dispositivos de detección, panel, notificación y supervisión.
- Si existe agente limpio, revisar memoria, cilindros, actuadores, abort/release, señalización, concentración de diseño y pruebas pertinentes.
- Mantener matriz causa-efecto: qué señal inicia alarma, paro de HVAC, cierre de compuertas, descarga u otras interfaces.
Evidencia mínima esperada: Planos y memoria; matriz causa-efecto; bitácora de panel; reportes de prueba; mantenimiento; certificados de cilindros/inspecciones aplicables.
La disponibilidad y confidencialidad también dependen del control físico. ISO/IEC 27001:2022 establece requisitos para el sistema de gestión de seguridad de la información y ISO/IEC 27002:2022 proporciona guía sobre controles organizacionales, de personas, físicos y tecnológicos. ISO/IEC 22237-6:2024 aborda sistemas de seguridad para centros de datos.
- Definir zonas de acceso y privilegios mínimos por rol.
- Revisar altas, bajas y recertificación de permisos; el acceso de excolaboradores debe cancelarse oportunamente.
- Correlacionar eventos de control de acceso, CCTV y alarmas para áreas críticas.
Evidencia mínima esperada: Matriz de accesos; listado vigente de usuarios; logs; política de retención; revisión de permisos; cobertura y estado de CCTV.
La madurez operativa se demuestra cuando el conocimiento deja de estar sólo en las personas y se convierte en procedimiento. ANSI/BICSI 009-2024 aborda la operación de centros de datos e incluye gobierno, procedimientos operativos, mantenimiento y procedimientos de emergencia. ISO 22301:2019 conecta estas capacidades con continuidad de negocio.
- SOP: documentar operación normal y verificaciones recurrentes.
- MOP: definir paso a paso intervenciones planificadas, precondiciones, riesgos, rollback y validación final.
- EOP: establecer respuesta ante pérdida de red, falla de UPS, sobretemperatura, incendio, fuga de agua o pérdida de comunicaciones.
Evidencia mínima esperada: Plan anual; SOP/MOP/EOP aprobados; historial de mantenimiento; tickets; hallazgos cerrados; lista de repuestos críticos; RACI.
En Adviser podemos apoyar en este proceso mediante revisiones técnicas de infraestructura, levantamientos en sitio y validación de los principales puntos que intervienen en la continuidad de la operación.
Nuestra experiencia en energía crítica, UPS, climatización, cableado estructurado, centros de datos, detección y extinción, monitoreo y seguridad física nos permite identificar riesgos, áreas de mejora y oportunidades de optimización antes de que se conviertan en una falla operativa o en una observación de auditoría.
El objetivo no es únicamente señalar incumplimientos, sino entender la condición real de la infraestructura, validar capacidades, detectar puntos vulnerables y definir acciones de mejora con criterio técnico y prioridad operativa.
Comentarios