Mediana empresa
Un edificio de oficinas de varias plantas, o una fábrica con oficinas y naves. Entre 60 y 300 personas. Todo lo crítico va duplicado, hay una pequeña sala de servidores, un departamento de IT con funciones separadas y la seguridad pasa a ser un área propia.
Perfil
Lo nuevo respecto al nivel 2:
- Edificio con varias plantas: ya no llega todo a un solo cuarto (límite de 90 m). Aparecen los cuartos de planta unidos con fibra a la sala principal.
- Alta disponibilidad (HA): firewalls en pareja, cores redundantes, clúster de servidores con almacenamiento compartido.
- Servicios publicados: web, portal de clientes, B2B, API… Aparece la DMZ.
- Organización: helpdesk, sistemas, redes, seguridad, con un responsable (IT Manager / CIO). Procesos ITIL: incidencias, cambios, inventario.
- Cumplimiento: ISO 27001, ENS (si se trabaja con la Administración pública), NIS2 si el sector es esencial/importante, auditorías de clientes y aseguradoras.
Corte del edificio: cableado vertical
¿Por qué así?
- Un IDF por planta (o cada 1.000 m² aprox.) porque ningún puesto puede estar a más de 90 m de cable de su switch.
- IDFs apilados verticalmente: el recorrido de fibra es corto y recto, y el patinillo es un hueco previsto en el edificio para instalaciones.
- Fibra de 12 hilos aunque se usen 4: tender fibra es caro; los hilos sobrantes cubren averías y crecimiento.
- Doble ruta: si una obra corta la fibra de un patinillo, la otra mantiene la planta. Cada switch de IDF tiene un uplink a cada core.
- Las dos operadoras entran por fachadas distintas y llegan por centrales distintas. Si las dos fibras van por la misma zanja, una excavadora se las lleva a la vez. Hay que pedirlo explícitamente ("diversidad de ruta").
- Grupo electrógeno: el SAI aguanta minutos; el generador, horas o días. El SAI solo tiene que cubrir los ≈ 10–30 s que tarda en arrancar.
Diagrama lógico
La DMZ, explicada
La DMZ (zona desmilitarizada) es una red aparte donde van los servidores que deben ser accesibles desde Internet. Si un atacante compromete la web, está en la DMZ, y el firewall no le deja pasar a la red interna. Regla de oro: desde Internet se puede llegar a la DMZ; desde la DMZ no se puede iniciar conexión hacia la LAN (salvo puertos muy concretos hacia servidores concretos). Hoy muchas empresas sustituyen la DMZ por servicios en la nube y publican aplicaciones internas con ZTNA o proxies de aplicación (Cloudflare Tunnel, Entra Application Proxy) sin abrir puertos.
Sala de servidores (CPD pequeño)
| Elemento | Configuración | Por qué |
|---|---|---|
| Racks | 3–6 racks 42–47U, 600–800 × 1.200 mm | Red, cómputo, almacenamiento y crecimiento. |
| Pasillo frío / caliente | Frontales enfrentados (pasillo frío) y traseras enfrentadas (pasillo caliente), con confinamiento | Evita mezclar aire caliente con frío: ahorra 20–40 % de energía de climatización. |
| Climatización | 2 equipos de precisión (o in-row) en configuración N+1 | Si uno falla o se mantiene, el otro basta. |
| Electricidad | Dos SAI (o un SAI modular N+1), PDUs A y B por rack, grupo electrógeno con depósito de 8–24 h | Dos caminos eléctricos independientes hasta cada servidor. |
| Suelo / techo | Suelo técnico o bandejas aéreas (separadas: energía y datos) | Orden; aire; seguridad. |
| Extinción | Gas inerte o agente limpio (Novec 1230 / FM-200 / IG-55) + detección precoz por aspiración (VESDA) | Apaga el fuego sin destruir los equipos. El agua y el polvo no son opción. |
| Control | Acceso con tarjeta, cámaras, sensores de temperatura por rack, de agua bajo suelo, de puerta abierta | Trazabilidad y alertas. |
Cómo se mide la eficiencia: PUE
Un PUE de 2,0 significa que por cada vatio de servidores se gasta otro en frío, SAI y luz. Una sala pequeña típica está en 1,6–2,2; un CPD moderno, en 1,2–1,4; los hiperescala, en ≈ 1,1. Bajar el PUE de 2,0 a 1,5 en una sala de 20 kW IT ahorra ≈ 87.600 kWh/año (≈ 13.000 € a 0,15 €/kWh).
Almacenamiento y cómputo
Clúster tradicional (3 capas)
Hosts de cómputo + red de almacenamiento + SAN (cabina con dos controladoras). La cabina aporta snapshots, réplica, deduplicación. Protocolos: iSCSI, Fibre Channel, NVMe/TCP.
Pros: escalas cómputo y disco por separado. Contras: más piezas, más caro de entrada.
Hiperconvergencia (HCI)
Cada nodo tiene CPU, RAM y discos; el software (Ceph en Proxmox, vSAN, Nutanix, Azure Local, S2D) los une en un almacenamiento distribuido. Mínimo 3 nodos.
Pros: sencillo, crece de nodo en nodo. Contras: para añadir disco, añades nodo completo.
| Tipo de almacenamiento | Qué es | Uso |
|---|---|---|
| Bloque (SAN, iSCSI, FC) | Discos "en crudo" que el servidor formatea | Discos de VMs, bases de datos. |
| Fichero (NAS, SMB, NFS) | Carpetas compartidas | Documentos de usuarios, departamentos. |
| Objeto (S3) | Ficheros con metadatos accesibles por HTTP | Backups inmutables, archivos, datos de aplicaciones web. |
Para elegir RAID y calcular capacidad útil, usa la calculadora RAID.
Disponibilidad: el lenguaje de los "nueves"
| Disponibilidad | Caída permitida al año | Al mes | Qué hace falta (orientativo) |
|---|---|---|---|
| 99 % | 3,65 días | 7,3 h | Un servidor con buen backup (nivel 1–2). |
| 99,9 % | 8,76 h | 43,8 min | Componentes redundantes en una sede (nivel 3). |
| 99,99 % | 52,6 min | 4,4 min | Dos CPDs, conmutación automática (nivel 4). |
| 99,999 % | 5,26 min | 26 s | Activo-activo multi-región, operación 24/7 (nivel 5). |
Los componentes en serie multiplican su disponibilidad (empeora): firewall 99,9 % × switch 99,9 % × servidor 99,9 % = 99,7 %. Los componentes en paralelo (redundantes) la mejoran: dos firewalls de 99 % en HA → 1 − (0,01 × 0,01) = 99,99 %. Calculadora de disponibilidad.
Software y servicios
- AD + Entra ID híbrido, con SSO (inicio de sesión único) por SAML/OIDC en todas las aplicaciones SaaS.
- Acceso condicional: solo desde equipos gestionados y cumplidores; MFA resistente a phishing (FIDO2/passkeys) para admins.
- Modelo de niveles (tiering): las cuentas que administran controladores de dominio no inician sesión en PCs de usuario.
- PAM básico: bóveda de contraseñas privilegiadas con registro (Delinea, CyberArk, Bitwarden/Keeper Enterprise, o LAPS + PIM de Entra).
- NAC (Cisco ISE, Aruba ClearPass, FortiNAC, PacketFence): el puerto de red asigna VLAN según quién/qué se conecta; los desconocidos van a cuarentena.
- Gestor de tickets con catálogo de servicios: GLPI, Jira Service Management, Freshservice, ServiceNow (más bien N4+).
- CMDB / inventario: qué equipos hay, quién los tiene, garantías, licencias, dependencias.
- Gestión de cambios: ningún cambio en producción sin aprobar, planificar ventana y plan de vuelta atrás.
- Monitorización unificada con paneles (Zabbix, PRTG, Datadog, Grafana + Prometheus) y guardias rotativas.
- Automatización: Ansible, PowerShell DSC, Terraform para nube. Despliegue de PCs con Autopilot/Intune.
- SIEM (Microsoft Sentinel, Wazuh, Splunk, Elastic) con un SOC propio o externo (MDR/SOCaaS).
- Gestión de vulnerabilidades con SLA de parcheo por criticidad (críticas < 7 días).
- Pentest anual externo y tras cambios importantes.
- Segmentación: firewall interno entre VLANs (no solo en el perímetro); OT/industrial aislado (modelo Purdue, IEC 62443).
- Plan de respuesta a incidentes y ejercicios de simulación (tabletop).
- DLP y etiquetado de información (Purview) para datos sensibles.
- Bases de datos con alta disponibilidad: SQL Server Always On, PostgreSQL con Patroni/réplicas, MySQL Group Replication.
- Backup 3-2-1-1-0: 3 copias, 2 soportes, 1 fuera, 1 inmutable/offline, 0 errores en las pruebas de restauración.
- Cinta LTO para archivo largo y copia offline real (aire entre la copia y la red).
- Plan de recuperación ante desastres (DRP): réplica de VMs críticas a la nube (Azure Site Recovery, Veeam Cloud Connect, Zerto) o a un CPD alquilado. Prueba anual completa.
Equipo de IT típico
Responsable IT / CIO
Presupuesto, proveedores, prioridades con dirección, cumplimiento.
Soporte / helpdesk (1–3)
Primer nivel: usuarios, puestos, altas y bajas, inventario.
Sistemas (1–3)
Servidores, virtualización, backup, M365, directorio.
Redes y comunicaciones (1–2)
Switches, Wi-Fi, firewall, operadoras, telefonía.
Seguridad (1, a veces CISO externo)
Políticas, SIEM, auditorías, concienciación.
Proveedores
Integrador de red, partner Microsoft, mantenimiento de clima/SAI, SOC externo, operadoras.
Problemas típicos y quién los arregla
| Síntoma | Causa probable | Quién | Solución |
|---|---|---|---|
| Una planta entera sin red | Fallo del switch del IDF, fibra cortada, SAI del IDF agotado | Redes | Con doble uplink y stack no debería pasar. Revisar SAI del IDF (los IDF también necesitan SAI). |
| Wi-Fi colapsa en el auditorio durante eventos | Densidad (200 personas en una sala) | Redes | APs adicionales con antenas direccionales, canales de 20 MHz, banda de 6 GHz, limitar velocidades mínimas (deshabilitar tasas bajas). |
| Las copias no caben en la ventana nocturna | Crecimiento de datos | Sistemas + compras | Backups incrementales "forever" + snapshots de la cabina; red de backup dedicada a 25G; más repositorio. |
| La cabina SAN se llena al 85 % | Crecimiento | Compras | Ampliación (meses de plazo). Planificar capacidad cada trimestre con tendencia: calculadora de crecimiento. |
| Microcortes en la línea principal | Problema físico o de enrutamiento en la operadora | Operadora | Aportar pruebas (MTR, gráficas de pérdida) y exigir según SLA. SD-WAN mueve el tráfico sensible a la otra línea entretanto. |
| Fallo de suministro eléctrico de 3 horas | Compañía eléctrica | Distribuidora eléctrica | Generador arranca solo. Verificar repostaje y pruebas mensuales con carga. |
| Fin de soporte de un fabricante (EoL/EoS) | Ciclo de vida | Dirección | Plan de renovación a 5 años (redes 5–7 años, servidores 5, PCs 4–5). Presupuestar con antelación. |
| Auditoría: "no hay evidencias de revisión de accesos" | Proceso inexistente | IT + RR. HH. | Revisión trimestral de permisos por responsables de área; automatizar con Entra ID Governance o similar. |
Presupuesto orientativo (200 personas)
Inicial
| Cableado 450 puntos + fibra vertical | 60.000 € |
| Sala (clima, SAI, extinción, racks) | 90.000 € |
| Generador | 25.000 € |
| Firewalls en HA | 25.000 € |
| Cores + 10 switches acceso | 60.000 € |
| 35 APs + NAC | 35.000 € |
| Clúster 4 hosts + SAN | 120.000 € |
| Backup (servidor, cinta, licencias) | 35.000 € |
| Proyecto e integración | 40.000 € |
| Total | ≈ 490.000 € |
|---|
Anual
| Comunicaciones (2× fibra 1–10 Gb, IPs, telefonía) | 15–40 k€ |
| M365 E3/E5 ×200 | 90–140 k€ |
| Seguridad (EDR, SOC, correo, pentest) | 40–80 k€ |
| Mantenimientos y soporte | 40–70 k€ |
| Equipo IT (6 personas) | 300–420 k€ |
| Total | ≈ 0,5–0,75 M€/año |
|---|
Referencia habitual: el gasto IT de una empresa mediana suele estar entre el 2 % y el 6 % de su facturación, según sector.
Cuándo pasar al nivel 4
- Se abre la segunda sede (delegación, fábrica, almacén) con personas que dependen de los sistemas centrales.
- Un desastre en el edificio (incendio, inundación) pararía la empresa por semanas: hace falta un segundo CPD real.
- Las aplicaciones de negocio necesitan RTO de minutos, no horas.
- Entrada en sectores regulados o con clientes que exigen continuidad certificada (ISO 22301).