1. INTRODUCCIÓN Y ENCUADRE

Un centro de proceso de datos, CPD o data centre es una instalación concebida para alojar, interconectar, alimentar, refrigerar, proteger y operar recursos de tecnologías de la información. El concepto comprende mucho más que una sala con servidores. Incluye la obra civil, la alimentación eléctrica, los sistemas de alimentación ininterrumpida, la generación de emergencia, la climatización, la detección y extinción de incendios, el control de accesos, el cableado, la red, las plataformas de cómputo y almacenamiento, la monitorización, los procedimientos de operación y las personas responsables. La calidad del servicio digital depende de todos esos dominios como un sistema único: un servidor duplicado no proporciona alta disponibilidad si ambos nodos dependen del mismo cuadro eléctrico, del mismo equipo de climatización o de una única ruta de comunicaciones.

La finalidad del CPD es sostener servicios con unos niveles definidos de disponibilidad, integridad, confidencialidad, capacidad, rendimiento, recuperabilidad y eficiencia. El diseño debe comenzar por el servicio y no por la tecnología. Primero se determinan los procesos que se soportarán, su criticidad, sus ventanas de indisponibilidad admisibles y sus necesidades de crecimiento. Después se traducen esas necesidades a arquitectura, redundancia, potencia, refrigeración, almacenamiento, conectividad, personal, contratos y procedimientos. Esta secuencia evita un error frecuente: adquirir una infraestructura de gran coste sin disponer de objetivos de servicio verificables o, en sentido contrario, exigir disponibilidad continua sin financiar la eliminación de puntos únicos de fallo.

En sanidad, la infraestructura digital forma parte de la continuidad asistencial. La historia clínica, la prescripción, la imagen médica, el laboratorio, la citación, la identificación de pacientes, la logística, los sistemas económico-financieros y los servicios de relación con la ciudadanía pueden verse afectados por una interrupción. La criticidad no es uniforme: no tiene el mismo impacto la indisponibilidad temporal de un entorno formativo que la de un sistema utilizado en urgencias. Por ello, la arquitectura debe aplicar proporcionalidad, segmentación y priorización. El objetivo no es que todo tenga el máximo nivel, sino que cada servicio reciba las medidas justificadas por su análisis de riesgos y por sus objetivos de continuidad.

La planificación de un CPD se desarrolla durante todo su ciclo de vida: estrategia, requisitos, diseño, contratación, construcción, instalación, pruebas, migración, operación, ampliación, renovación y retirada. La fase de puesta en servicio o commissioning resulta crítica porque verifica que los sistemas instalados funcionan conjuntamente y que responden como se diseñaron ante fallos simulados. Una instalación puede cumplir por separado las especificaciones de cada fabricante y fracasar, sin embargo, durante una transición real entre red, SAI y grupo electrógeno o al perder una unidad de refrigeración.

Este tema también aborda la producción informática: el conjunto de tareas recurrentes y controladas que mantienen los servicios en ejecución. Incluye procesos por lotes, copias, cierres, intercambios, cargas de datos, mantenimiento, despliegues, gestión de certificados, revisión de capacidad, monitorización y atención de incidencias. La producción debe planificarse mediante calendarios, dependencias, prioridades, ventanas, controles de ejecución, registro de evidencias y procedimientos de recuperación. Automatizar sin gobierno puede acelerar errores; operar manualmente todo aumenta la variabilidad y dificulta la trazabilidad. El equilibrio se logra mediante automatización reproducible, separación de funciones y control de cambios.

En el Servicio Andaluz de Salud, la dimensión organizativa es inseparable de la técnica. El Decreto 189/2026 atribuye a la Dirección General de Salud Digital e Infraestructuras Tecnológicas la planificación y gestión de la infraestructura tecnológica y las comunicaciones del SAS, la programación de recursos, la seguridad, la interoperabilidad, la gobernanza del dato y la disponibilidad de los servicios digitales, en coordinación con la Agencia Digital de Andalucía. No debe deducirse de ello una topología concreta ni un número determinado de centros: las ubicaciones, capacidades y diseños detallados no son información que deba inventarse cuando no consta en fuentes públicas.

2. PLANIFICACIÓN, REQUISITOS Y CICLO DE VIDA

La planificación parte de un caso de negocio y de una cartera de servicios. Deben identificarse los procesos asistenciales y administrativos soportados, las personas usuarias, las dependencias externas, las obligaciones normativas, los acuerdos de nivel de servicio y el horizonte de crecimiento. La decisión puede consistir en construir, ampliar, consolidar, externalizar, contratar colocation, utilizar servicios cloud o combinar varias alternativas. La comparación debe realizarse sobre el coste total durante el ciclo de vida, el riesgo, el control, la reversibilidad, la latencia, la soberanía del dato, la capacidad del equipo y los tiempos de implantación, no solo sobre la inversión inicial.

Los requisitos se organizan en dominios. Los funcionales indican qué cargas se alojarán y cómo se relacionan. Los no funcionales concretan disponibilidad, rendimiento, escalabilidad, seguridad, mantenibilidad, observabilidad, sostenibilidad y recuperabilidad. Los físicos incluyen superficie, carga estructural, potencia por rack, rutas de cable, protección contra incendios y condiciones ambientales. Los operativos definen horarios, dotación, turnos, escalados, mantenimiento, repuestos y proveedores. Los de transición regulan migraciones, coexistencia, retorno y retirada. Cada requisito debe ser medible, trazable y verificable mediante pruebas.

Conviene construir un catálogo de servicios con su criticidad. Para cada servicio se documentan propietario funcional, responsable técnico, horario, usuarios, dependencias, datos tratados, impacto de la indisponibilidad, RTO, RPO, capacidad mínima, latencia, concurrencia, requisitos de auditoría y contactos de escalado. El RTO expresa el tiempo objetivo para restaurar el servicio; el RPO expresa la pérdida máxima de datos medida en tiempo. Ninguno de los dos se deriva automáticamente del nivel TIER del edificio. Un CPD mantenible concurrentemente no garantiza que una aplicación monolítica sin réplica cumpla un RTO exigente.

La demanda debe expresarse con hipótesis explícitas. Se inventarían cifras si se afirmara que un rack sanitario requiere una densidad determinada, porque la densidad depende de la carga. Es preferible construir escenarios: crecimiento orgánico, consolidación, incorporación de imagen o genómica, uso de aceleradores, retención de datos, virtualización, alta disponibilidad y contingencia. Para cada escenario se calcula potencia TI, potencia total, refrigeración, puertos, espacio, almacenamiento, ancho de banda, licencias y personal. Debe reservarse margen, pero una sobrecapacidad excesiva reduce la eficiencia de SAI y climatización y aumenta el coste.

El plan director divide el trabajo en entregables: requisitos, diseño conceptual, diseño de detalle, plan de contratación, plan de obra, plan de seguridad, plan de pruebas, plan de migración, modelo operativo, plan de continuidad, documentación final y plan de retirada. La gobernanza incluye patrocinio, comité de dirección, arquitectura, seguridad, responsables de instalaciones, compras, prevención, protección de datos, usuarios y proveedores. Cada decisión relevante debe quedar registrada junto con sus alternativas y riesgos.

La gestión del riesgo acompaña a todas las fases. Un riesgo se describe mediante causa, evento, consecuencia, probabilidad, impacto, responsable y respuesta. Las respuestas pueden evitar, reducir, transferir o aceptar. El contrato no elimina el riesgo: externalizar un servicio cambia su distribución y exige controlar niveles, subcontratación, salida, ubicación de datos, evidencias y continuidad del proveedor. Del mismo modo, la certificación no sustituye al diseño ni a la operación diaria.

3. EMPLAZAMIENTO Y ANÁLISIS DE RIESGOS

La selección del emplazamiento condiciona la seguridad y el coste durante décadas. Deben evaluarse riesgos naturales, industriales, urbanos y logísticos: inundación, incendio exterior, sismicidad, temperaturas extremas, contaminación, proximidad a instalaciones peligrosas, cortes de carreteras, disponibilidad eléctrica, rutas de telecomunicaciones, acceso de personal, agua, combustible, ruido y posibilidades de ampliación. No basta con que el edificio se encuentre fuera de una zona de riesgo evidente; es necesario valorar dependencias comunes, como una única subestación, un mismo colector, un acceso compartido o dos fibras que recorren la misma canalización.

El análisis de emplazamiento debe ser multidisciplinar. Arquitectura e ingeniería revisan estructura, carga, compartimentación y evacuación. Telecomunicaciones comprueba diversidad real de operadores y trazados. Energía estudia calidad de red, acometidas y generación. Seguridad analiza perímetros y amenazas. Continuidad examina accesibilidad durante emergencias. Protección de datos y seguridad de la información valoran el contexto de los activos. La decisión se documenta mediante una matriz ponderada y no por preferencias aisladas.

La redundancia geográfica no se define mediante una distancia mínima universal. Dos sedes muy próximas pueden compartir riesgos; dos sedes alejadas pueden depender de la misma red eléctrica, proveedor o equipo de operación. La separación adecuada se obtiene del análisis de amenazas y de los requisitos de latencia y replicación. La replicación síncrona suele exigir condiciones de latencia más estrictas que la asíncrona; la segunda admite mayor separación a cambio de un RPO no nulo. El diseño debe evitar que una única inundación, incendio forestal, fallo regional de comunicaciones o error administrativo afecte simultáneamente a producción y respaldo.

El edificio debe permitir zonas diferenciadas: recepción y control, muelle o área de entrega, desembalaje, almacenamiento temporal, sala blanca, salas eléctricas, baterías cuando proceda, generación, climatización, telecomunicaciones, operación y espacios de soporte. El movimiento de equipos debe planificarse desde el acceso exterior hasta el rack, verificando dimensiones, radios de giro, carga de suelos, ascensores y seguridad. Una puerta insuficiente o una ruta que atraviesa zonas asistenciales puede convertir una renovación rutinaria en un riesgo operativo.

La protección frente al agua incluye cota del emplazamiento, cubiertas, drenajes, tuberías, condensados, detección de fugas y procedimientos de aislamiento. Debe evitarse, cuando sea viable, el paso de conducciones ajenas sobre equipos críticos. Cuando existan circuitos de agua para refrigeración, se aplican sectorización, bandejas, válvulas, sensores y mantenimiento. El riesgo no se elimina prohibiendo el agua de forma absoluta, porque muchas arquitecturas modernas usan agua o líquido de manera controlada; se reduce mediante diseño, detección y contención.

La conectividad externa requiere diversidad física y lógica. Dos operadores no aportan independencia si alquilan el mismo tramo. Deben documentarse entradas al edificio, arquetas, canalizaciones, salas de operador, equipos de borde, direccionamiento, sistemas autónomos cuando proceda, DNS, protección DDoS, rutas WAN y mecanismos de conmutación. También se analizan dependencias de servicios centrales como identidad, tiempo, certificados, correo, repositorios, monitorización o gestión remota: un CPD de respaldo que depende exclusivamente de servicios alojados en el principal puede no ser recuperable.

El resultado del estudio de emplazamiento es un registro de riesgos y restricciones que alimenta el diseño. Las amenazas aceptadas deben contar con medidas, monitorización y planes de respuesta. La aceptación corresponde al órgano competente, no al técnico de forma implícita. En un entorno sanitario, la decisión debe considerar que ciertas incidencias tecnológicas pueden trasladarse a procedimientos manuales, pero esos procedimientos tienen capacidad limitada, requieren formación y no sustituyen indefinidamente al sistema.

4. NORMAS, CLASIFICACIONES Y NIVELES TIER

Los centros de datos se apoyan en normas técnicas, reglamentos obligatorios y esquemas de certificación. Es esencial distinguirlos. Una norma como la serie ISO/IEC 22237 establece principios y requisitos sobre instalaciones e infraestructuras de centros de datos. ANSI/TIA-942-C aborda infraestructura de telecomunicaciones y otros dominios del CPD. Las guías de ASHRAE orientan sobre condiciones térmicas. El Uptime Institute Tier Standard clasifica la topología de la infraestructura por su capacidad de mantenimiento y tolerancia a fallos. En España, además, resultan aplicables reglamentos de edificación, electricidad, climatización y protección contra incendios, junto con el ENS y la normativa de protección de datos cuando se tratan sistemas públicos y datos personales.

La serie ISO/IEC 22237 concibe el centro de datos a lo largo de su vida útil y clasifica aspectos como disponibilidad, seguridad y eficiencia energética. Sus partes cubren conceptos generales, construcción, distribución de energía, control ambiental, cableado, seguridad y operación. Su valor reside en integrar disciplinas que tradicionalmente se diseñaban por separado. Una clasificación debe indicar su alcance: no es correcto afirmar que un edificio es globalmente «nivel cuatro» sin precisar el esquema utilizado, la versión y los dominios evaluados.

El sistema TIER del Uptime Institute contiene cuatro niveles acumulativos. Tier I ofrece una infraestructura básica con una ruta de distribución y sin redundancia exigida de componentes de capacidad. Tier II incorpora componentes redundantes de capacidad, aunque mantiene una única ruta de distribución. Tier III es concurrently maintainable: cada componente de capacidad y ruta de distribución puede retirarse de forma planificada para mantenimiento sin afectar a la operación TI. Tier IV añade fault tolerance: un fallo individual de equipo o una interrupción de una ruta no debe afectar a la operación. La definición se refiere a la infraestructura del sitio; no certifica por sí sola las aplicaciones.

Los porcentajes de disponibilidad atribuidos con frecuencia a cada TIER proceden de simplificaciones históricas y no deben tratarse como si fueran la definición normativa o un SLA contractual. La disponibilidad real depende de la operación, del mantenimiento, de los fallos humanos, de la aplicación y de la cadena completa. Un Tier III puede sufrir una interrupción por una maniobra incorrecta, y una aplicación puede estar caída aunque el edificio permanezca operativo. El acuerdo de servicio debe medirse con datos reales y reglas de cálculo explícitas.

La certificación de diseño revisa documentos; la certificación de la instalación construida verifica la ejecución; y la sostenibilidad operativa analiza prácticas de gestión. No son equivalentes. El proyecto debe conservar planos as built, esquemas unifilares, secuencias de operación, pruebas, fichas, inventario, procedimientos y registros. Una modificación posterior puede romper la mantenibilidad o introducir un punto único de fallo, por lo que la gestión de cambios también protege la conformidad arquitectónica.

La puesta en servicio debe incluir pruebas funcionales integradas. Se ensayan transiciones eléctricas, pérdida de componentes, alarmas, autonomía, secuencias de arranque, climatización en degradado, conmutación de comunicaciones y recuperación. Las pruebas se planifican con análisis de riesgo, prerrequisitos, criterios de parada, observadores, rollback y evidencias. Una prueba de desastre sin control puede convertirse en el desastre que pretendía evitar.

5. DISEÑO FÍSICO, ESPACIOS, RACKS Y CABLEADO

El diseño físico convierte los requisitos en una distribución segura y mantenible. La sala TI debe organizarse para facilitar circulación de aire, rutas de cable, mantenimiento, sustitución de equipos, separación de dominios y control de acceso. Los racks se alinean normalmente en filas con frentes enfrentados para formar pasillos fríos y traseras enfrentadas para formar pasillos calientes. El confinamiento reduce la mezcla entre aire de impulsión y retorno. Los huecos de rack deben cerrarse con paneles ciegos y los pasos de cable sellarse para evitar recirculación.

No existe una altura universal obligatoria de suelo técnico. Puede emplearse suelo elevado para aire, cableado o distribución, pero también diseños sobre losa con bandejas aéreas. La elección depende de densidad, climatización, riesgo de agua, carga, flexibilidad y mantenimiento. El suelo debe soportar cargas estáticas y dinámicas, y la ruta de entrada debe admitir el peso de equipos. Deben documentarse carga por rack, punto de gravedad, anclaje, protección sísmica cuando corresponda y condiciones del fabricante.

La zonificación separa funciones y niveles de confianza. La zona de recepción no debe abrir directamente a la sala blanca sin controles. El desembalaje genera polvo y residuos que no deben introducirse. Las baterías y grupos pueden requerir espacios y ventilación específicos. Los cuadros eléctricos y equipos de climatización necesitan accesibilidad sin invadir el espacio TI. Las salas de operadores deben permitir supervisión, pero no convertirse en vía de paso. La compartimentación contra incendios y las rutas de evacuación se integran desde el diseño, no después de instalar racks.

El cableado se diseña mediante jerarquías, distribuidores, rutas redundantes, etiquetado y radios de curvatura. Se separan potencia y datos según normativa y buenas prácticas, se controlan interferencias y se garantiza la puesta a tierra. Las fibras y cobres se seleccionan por distancia, velocidad, entorno y ciclo de vida. La orden andaluza de 2 de junio de 2017 regula requisitos de cableado estructurado y red local en su ámbito, pero no debe atribuirse a la norma una prescripción que no contiene.

La diversidad de cableado debe ser real. Dos enlaces etiquetados A y B dejan de ser independientes si pasan por la misma bandeja, panel, patinillo o equipo. Los planos deben mostrar rutas, cruces, penetraciones, paneles y puertos. El inventario lógico debe relacionarse con el físico: circuito, PDU, toma, rack, posición, switch, puerto, enlace, transceptor, dirección y servicio. Esta trazabilidad acelera incidentes y evita que una intervención sobre un cable aparentemente libre afecte a producción.

La densidad se planifica por zonas. No todos los racks deben diseñarse con la misma potencia. Se pueden crear áreas de densidad estándar y alta, con refrigeración y distribución adecuadas. El peso, la corriente y el calor se controlan antes de instalar. El procedimiento de alta de equipos debe exigir una ficha de implantación que incluya potencia nominal y esperada, tomas A/B, interfaces, dirección, VLAN, dependencias, propietario, garantía, soporte, mantenimiento, criticidad y plan de retirada.

FICHA MÍNIMA DE IMPLANTACIÓN
Servicio: ______________________________
Rack / unidades: _______________________
Alimentación A / B: ____________________
Potencia medida y prevista: ____________
Puertos de red / almacenamiento: _______
Dependencias: __________________________
Monitorización: ________________________
Propietario funcional y técnico: _______
Plan de respaldo y recuperación: _______
Fecha de revisión / retirada: __________

La documentación final debe representar lo construido, no solo lo proyectado. Incluye planos, esquemas unifilares, bandejas, etiquetado, listas de puertos, fotografías controladas, configuración, certificados, manuales y pruebas. Los documentos sensibles se protegen porque revelan arquitectura y controles. La gestión documental debe asegurar versión, aprobación, acceso y conservación. La pérdida de planos actualizados convierte una intervención en una investigación improvisada.

6. ENERGÍA, SAI Y DISTRIBUCIÓN ELÉCTRICA

La energía es una cadena: acometida, transformación, cuadros, protecciones, SAI, baterías, grupos electrógenos, ATS, PDU y fuentes de los equipos. El diseño debe mantener selectividad, capacidad, calidad y seguridad. La redundancia se expresa mediante N, N+1, 2N u otras configuraciones. N es la capacidad necesaria para la carga; N+1 añade un componente de reserva; 2N duplica la capacidad completa en dos sistemas. La notación no garantiza por sí sola rutas independientes ni ausencia de fallos comunes.

El SAI filtra perturbaciones y mantiene la carga durante la interrupción y la transición a generación o parada controlada. Su autonomía se dimensiona según secuencia de arranque, criticidad, degradación de baterías, carga, mantenimiento y estrategia. No existe un valor mínimo universal de diez, quince o treinta minutos válido para todo CPD. El cálculo debe considerar eficiencia, crecimiento, temperatura, envejecimiento, pruebas y capacidad de sustitución. Las baterías requieren monitorización y mantenimiento; su energía almacenada introduce riesgos térmicos, químicos y eléctricos.

Los grupos electrógenos proporcionan energía prolongada cuando falla la red, pero su disponibilidad depende de combustible, arranque, refrigeración, lubricación, mantenimiento, permisos, calidad del combustible y logística de reposición. La autonomía se determina por análisis de continuidad y acuerdos de suministro. Fijar «setenta y dos horas» como regla universal sería incorrecto. Deben ensayarse con carga suficiente y comprobar la secuencia completa, no solo arrancar en vacío. También se planifica qué cargas son críticas y qué cargas pueden desconectarse para conservar capacidad.

La calidad de energía incluye tensión, frecuencia, armónicos, transitorios, desequilibrio y puesta a tierra. La coordinación de protecciones busca aislar el fallo más próximo sin desconectar niveles superiores. Los trabajos eléctricos se someten a consignación, bloqueo y etiquetado, autorización y prevención de riesgos. Los procedimientos de maniobra deben revisarse y ensayarse. Un error humano durante mantenimiento es una amenaza relevante; por ello se utilizan MOP, SOP y EOP: procedimientos de método, operación estándar y emergencia.

MOP DE MANIOBRA ELÉCTRICA
1. Alcance, equipos y servicios afectados.
2. Estado inicial verificado.
3. Riesgos y puntos de no retorno.
4. Pasos numerados con doble comprobación.
5. Métricas y alarmas a observar.
6. Criterios de abortar y volver atrás.
7. Estado final y evidencias.
8. Comunicación de cierre.

La potencia se mide en puntos adecuados para conocer consumo total, consumo TI, carga de SAI, ramas y racks. Se establecen umbrales para evitar operar cerca de límites. El balanceo entre fases y entre ramas A/B debe considerar el escenario de pérdida de una rama: si cada lado funciona al 80 %, la conmutación puede sobrecargar el restante. La capacidad útil se calcula bajo el peor modo permitido, no bajo la situación normal.

El Reglamento Electrotécnico para Baja Tensión y las instrucciones técnicas aplicables forman parte del marco obligatorio en España, junto con los proyectos, inspecciones y mantenimientos que correspondan. La norma técnica del CPD no sustituye al reglamento eléctrico. El diseño y las maniobras deben ser realizados por profesionales competentes, con documentación y responsabilidades claras.

7. CLIMATIZACIÓN Y CONTROL AMBIENTAL

La energía eléctrica consumida por los equipos se transforma casi íntegramente en calor. La climatización debe extraerlo manteniendo las condiciones de entrada de los equipos dentro de su clase ambiental. ASHRAE TC 9.9 recomienda para equipos refrigerados por aire de clases A1 a A4 una temperatura de entrada de 18 a 27 °C, junto con límites de humedad expresados mediante punto de rocío y humedad relativa. La medida relevante se toma en la entrada de los servidores, no en un termostato distante ni en el retorno caliente.

La humedad exige más precisión que un rango simplificado. Una humedad demasiado baja aumenta riesgo electrostático; una demasiado alta favorece condensación y corrosión. El punto de rocío permite entender la cantidad real de humedad y el riesgo de condensación. Los límites dependen de la clase del equipo y de las recomendaciones del fabricante. Por ello, la operación debe monitorizar temperatura, humedad relativa, punto de rocío, caudal, presión diferencial y consumo, y correlacionarlos con la carga.

Los sistemas pueden emplear expansión directa, agua refrigerada, unidades perimetrales, climatización en fila, intercambiadores traseros o refrigeración líquida. CRAC suele designar una unidad con ciclo de refrigerante; CRAH, una manejadora de aire alimentada por agua fría. La terminología comercial puede variar, por lo que debe revisarse la arquitectura real. La selección depende de densidad, eficiencia, mantenibilidad, disponibilidad de agua, clima y capacidad de crecimiento.

La disposición de pasillos fríos y calientes evita que el aire de descarga vuelva a las entradas. El confinamiento del pasillo frío o caliente mejora la separación. Deben cerrarse huecos, sellarse pasos y respetarse direcciones de flujo. Un ventilador más potente no resuelve necesariamente un problema de recirculación; puede agravarlo. La gestión del aire se verifica mediante sensores y, en diseños complejos, modelización y pruebas.

El free cooling puede ser directo o indirecto. El directo introduce aire exterior tratado; el indirecto intercambia calor sin mezclarlo con el aire de sala. Deben controlarse partículas, contaminantes, humedad y condiciones climáticas. El ahorro depende del clima y del diseño. La refrigeración evaporativa reduce consumo en ciertas condiciones, pero utiliza agua y requiere control sanitario y de mantenimiento. La sostenibilidad debe considerar simultáneamente energía, agua, refrigerantes y fiabilidad.

La refrigeración líquida gana importancia con cargas de alta densidad, como aceleradores. Puede realizarse mediante placas frías o inmersión, entre otras técnicas. Introduce circuitos, unidades de distribución de refrigerante, materiales, detección de fugas y procedimientos específicos. No debe presentarse como sustitución automática del aire: a menudo coexisten ambos sistemas. El diseño debe especificar temperaturas, caudales, calidad del fluido, redundancia y responsabilidad de mantenimiento.

La capacidad térmica se diseña para el modo degradado permitido. Si un sistema N+1 pierde una unidad, las restantes deben sostener la carga dentro de límites. La continuidad de refrigeración es especialmente relevante en Tier IV. Se analizan inercias, tiempo hasta alcanzar temperatura crítica y comportamiento tras un corte. Las alarmas deben anticipar la pérdida de margen y no limitarse a avisar cuando el equipo ya ha superado su umbral.

8. SEGURIDAD FÍSICA, INCENDIOS Y AGUA

La seguridad física aplica defensa en profundidad. El primer nivel es el entorno; después vienen perímetro, edificio, zona técnica, sala, jaula, rack y equipo. Cada barrera debe retrasar, detectar y registrar. Los controles incluyen cerramientos, iluminación, vigilancia, control de accesos, doble puerta cuando proceda, videovigilancia, alarmas, registro de visitas y acompañamiento. El principio de mínimo privilegio también se aplica físicamente: una persona autorizada para una sala no necesita acceso a todos los racks.

La identidad física debe integrarse con altas, bajas y cambios de personal. Las acreditaciones temporales caducan. Los accesos de proveedores se vinculan a una orden, horario y responsable. Los registros se protegen y revisan. La biometría puede aportar control, pero trata datos personales y exige base jurídica, proporcionalidad y seguridad. No debe implantarse por moda ni suponerse que sustituye a la vigilancia y al procedimiento.

La protección contra incendios combina prevención, detección, compartimentación, evacuación y extinción. El diseño debe ajustarse al Código Técnico de la Edificación o al reglamento industrial cuando corresponda, y al Reglamento de instalaciones de protección contra incendios, modificado por el Real Decreto 164/2025. La elección de sistemas no se resuelve con la frase «usar gas porque no daña equipos». Deben protegerse primero las personas, analizar el riesgo, la compartimentación, la estanqueidad, la ocupación, los materiales, el mantenimiento y los requisitos ambientales del agente.

La detección temprana por aspiración puede identificar partículas antes de que el humo alcance detectores puntuales. Debe combinarse con detección reglamentaria y lógica de alarmas. La extinción puede utilizar agentes gaseosos, agua nebulizada, rociadores de preacción u otras soluciones según el proyecto. Los gases inertes y agentes limpios requieren cálculo, estanqueidad, alarmas previas y seguridad de ocupantes. El agua no es automáticamente incompatible con un CPD: un sistema de preacción correctamente diseñado puede limitar daños y cumplir la protección de vidas y edificio.

La compartimentación evita propagación. Las penetraciones de cable se sellan con sistemas certificados; las puertas mantienen su clasificación; los materiales y su carga de fuego se controlan; los embalajes se retiran. El orden y limpieza reducen riesgo. Las baterías y combustibles se gestionan según su naturaleza. Los simulacros deben incluir coordinación con seguridad, mantenimiento, emergencias y operación TI.

El riesgo de agua procede de cubiertas, bajantes, tuberías, condensados, climatización y extinción. Los sensores de fuga se colocan donde el agua puede aparecer, no solo en un punto central. Se prueban alarmas, válvulas y drenajes. Deben existir procedimientos para aislar zonas sin comprometer innecesariamente la refrigeración. Los materiales se elevan del suelo cuando conviene y se evita almacenar documentación o repuestos sensibles en zonas expuestas.

La seguridad frente a sabotaje y robo incluye inventario, precintos, racks cerrados, destrucción segura de soportes y cadena de custodia. Un disco retirado sigue conteniendo datos. La baja requiere borrado seguro, destrucción cuando proceda, registro y certificado. Los equipos enviados a garantía deben gestionarse de forma compatible con la confidencialidad. La propiedad del soporte no exime al responsable del tratamiento de proteger la información.

La seguridad física y la lógica convergen. Un puerto de consola, una toma de red o un dispositivo de gestión fuera de control puede eludir barreras digitales. Las redes de gestión de energía, clima, acceso y edificio deben segmentarse, actualizarse y monitorizarse. Los sistemas de control industrial no se deben exponer directamente ni compartir credenciales. La dependencia de plataformas cloud para gestionar la infraestructura física también se analiza en continuidad.

9. PLATAFORMA TECNOLÓGICA Y CAPACIDAD

Sobre la infraestructura física se despliega la plataforma: servidores, virtualización, contenedores, almacenamiento, copias, red, balanceadores, seguridad, bases de datos y servicios comunes. La planificación debe evitar silos y considerar el ciclo completo. Cómputo sin almacenamiento suficiente no presta servicio; almacenamiento sin red adecuada crea cuellos; un clúster sin quorum o sin separación de dominios puede caer por un único fallo.

La virtualización desacopla cargas de servidores físicos y facilita consolidación, movilidad y automatización. La alta disponibilidad del hipervisor reinicia máquinas en nodos supervivientes, pero no sustituye a la alta disponibilidad de aplicación ni evita una interrupción durante el reinicio. La migración en vivo depende de red, almacenamiento y compatibilidad. Las reservas de CPU y memoria, el overcommit, NUMA y la afinidad deben gestionarse para evitar degradación.

La hiperconvergencia integra cómputo y almacenamiento distribuido gestionados por software. Simplifica operaciones y escala añadiendo nodos, pero exige analizar dominios de fallo, tráfico este-oeste, reconstrucciones, licencias, compatibilidad y capacidad reservada. Un nodo añadido aporta simultáneamente varios recursos, lo que puede producir crecimiento desigual. La capacidad útil siempre es menor que la bruta por redundancia, metadatos, reserva y protección.

El almacenamiento se dimensiona por capacidad, IOPS, caudal, latencia, patrón de acceso, disponibilidad, protección y crecimiento. El dato sanitario puede incluir transacciones pequeñas, documentos, imagen y conjuntos analíticos, con comportamientos diferentes. La deduplicación y compresión no deben usarse como garantía sin medir sobre datos representativos. La retención se justifica por necesidad asistencial, legal y de gestión; conservar indefinidamente todo aumenta coste y superficie de riesgo.

La red del CPD se diseña con capacidad, latencia, redundancia y segmentación. Las arquitecturas leaf-spine proporcionan rutas predecibles en entornos de mucho tráfico este-oeste, pero no son obligatorias para cualquier tamaño. Se separan redes de usuario, gestión, almacenamiento, copia, migración y seguridad cuando el riesgo lo exige. Los balanceadores distribuyen tráfico y realizan comprobaciones, pero una comprobación superficial puede declarar sano un servicio que no accede a su base de datos.

La gestión de capacidad utiliza una línea base, tendencias, percentiles, estacionalidad y escenarios. No se dimensiona solo con la media. Se analizan picos de consulta, cierres, campañas, cargas de imagen, procesos nocturnos, mantenimientos y pérdida de componentes. La reserva o headroom debe permitir crecimiento y modo degradado. La capacidad se gobierna desde el servicio hasta el recurso: usuarios, transacciones, colas, CPU, memoria, red, almacenamiento, energía y clima.

MODELO DE CAPACIDAD
Demanda de negocio  -> usuarios, estudios, mensajes, lotes
Carga de aplicación -> transacciones/s, concurrencia, colas
Recursos TI          -> CPU, RAM, IOPS, MB/s, red, licencias
Infraestructura      -> kW TI, refrigeración, espacio, puertos
Escenario degradado  -> capacidad restante tras perder N+1 o ruta A/B
Horizonte            -> actual, 12 meses, 36 meses, fin de vida

La obsolescencia se planifica. Fin de soporte, vulnerabilidades, repuestos, firmware y compatibilidad pueden convertir un equipo operativo en un riesgo. Debe existir una hoja de ruta de renovación coordinada con presupuesto y migraciones. El inventario técnico registra versión, soporte, propietario, criticidad y fecha prevista de sustitución. Las ampliaciones de última hora suelen ser más caras y arriesgadas que una planificación basada en tendencias.

10. PLANIFICACIÓN DE LA PRODUCCIÓN Y AUTOMATIZACIÓN

La producción informática es la ejecución controlada de los servicios y tareas que mantienen la organización funcionando. Incluye procesos en línea y por lotes. Los lotes pueden realizar interfaces, cierres, conciliaciones, cargas, generación de informes, limpieza, copias, indexación o transferencia. Deben registrarse propietario, calendario, prerrequisitos, entradas, salidas, duración esperada, recursos, prioridad, reintentos, alertas, recuperación y retención de logs.

Un planificador o scheduler ejecuta tareas por tiempo, evento o dependencia. Las dependencias forman un grafo dirigido: una tarea espera a que otra termine en estado válido o a que exista un archivo, mensaje o condición. Debe evitarse el acoplamiento por horas fijas cuando existe una condición real. Programar B a las 03:00 suponiendo que A acaba antes es más frágil que declarar que B depende del éxito de A.

La tarea debe ser idempotente cuando sea posible: repetirla no produce efectos duplicados. Si procesa un archivo, registra identificador, checksum y estado. Si inserta datos, utiliza claves y transacciones. Si envía comunicaciones, diferencia preparación de envío. Los reintentos se limitan y espacian; un reintento infinito puede saturar un sistema dependiente. Las tareas largas emiten señales de vida y progreso.

FLUJO DE PRODUCCIÓN
EXTRAER --éxito--> VALIDAR --éxito--> CARGAR --éxito--> PUBLICAR
   │                  │                  │
   └─error-> aislar   └─error-> rechazar └─error-> rollback

Controles: identificador de ejecución · checksum · tiempos · volumen
           reintentos limitados · alerta · evidencia · responsable

El calendario de producción integra ventanas de mantenimiento, copias, cierres y campañas. Debe evitar colisiones de recursos. La planificación contempla ruta crítica, duración y margen. Las tareas críticas reciben prioridad, pero no deben monopolizar. La reserva de capacidad para procesos nocturnos se contrasta con servicios 24×7, porque en sanidad la noche no implica ausencia de actividad.

Los cambios de producción pasan por desarrollo, prueba, preproducción y producción con segregación. La promoción se automatiza mediante artefactos versionados y controles. La configuración se trata como código cuando es viable. Los secretos no se incluyen en scripts. Cada despliegue tiene versión, evidencia, plan de validación y rollback. Las migraciones de base de datos requieren especial cuidado porque revertir código no siempre revierte datos.

La automatización debe incluir control humano donde el impacto lo justifique. Un cambio estándar puede estar preautorizado si es repetible y de bajo riesgo; un cambio mayor requiere evaluación. Las tareas de alto impacto pueden usar doble aprobación, ventana y supervisión. El objetivo no es añadir burocracia, sino adaptar el control al riesgo y dejar trazabilidad.

La documentación de explotación contiene calendario, catálogo de cadenas, procedimientos, contactos, dependencias, códigos de retorno, mensajes, tiempos normales y acciones. Los manuales se prueban por personas distintas de sus autores. La rotación y la guardia exigen que el conocimiento no dependa de una única persona. Los errores se analizan para mejorar automatización y controles, no para ocultarlos.

11. MONITORIZACIÓN, OBSERVABILIDAD Y GESTIÓN DE EVENTOS

Monitorizar es recoger y evaluar señales sobre el estado de los sistemas. La observabilidad busca inferir el estado interno a partir de métricas, logs, trazas y eventos. En un CPD se monitorizan instalaciones, red, hardware, plataforma, aplicaciones, datos y experiencia. La cobertura debe vincularse a servicios: saber que una CPU está al 20 % no demuestra que una petición clínica complete correctamente.

Las métricas se organizan por disponibilidad, latencia, tráfico, errores y saturación, junto con indicadores de negocio. Para energía y clima se observan carga, temperatura, humedad, batería, combustible, alarmas y capacidad. Para almacenamiento, latencia, IOPS, colas, errores y capacidad. Para aplicaciones, tasa de éxito, tiempos, dependencias y operaciones clave. Se establecen líneas base y umbrales dinámicos cuando proceda.

SNMP permite consultar variables y recibir notificaciones de equipos. Las versiones modernas con autenticación y cifrado deben preferirse frente a SNMPv1, que usa una comunidad en texto claro. ICMP permite comprobar alcanzabilidad y tiempos, pero no valida un servicio de aplicación. Syslog centraliza eventos; los agentes pueden recoger métricas y logs; las API ofrecen información específica. La elección equilibra profundidad, seguridad e intrusividad.

La gestión de eventos filtra, correlaciona, deduplica y prioriza. Una única avería puede generar cientos de alarmas. El sistema debe identificar causa probable y servicio afectado. Las alertas se diseñan para ser accionables: condición, impacto, severidad, responsable y primera actuación. Alertar por cada fluctuación produce fatiga; alertar solo al superar un límite crítico llega tarde. Se utilizan umbrales de advertencia, tendencia y capacidad de tiempo hasta agotamiento.

Los logs deben tener tiempo sincronizado, estructura, identificadores de correlación y retención. La sincronización horaria es esencial para investigar. Los datos de monitorización pueden contener información sensible, nombres, direcciones o trazas, por lo que se protegen. El acceso se limita y se registran consultas. La retención se justifica por operación, seguridad y normativa.

Los cuadros operativos muestran salud de servicios, no una colección de luces. Deben distinguir estado normal, degradado, indisponible y desconocido. «Sin datos» no equivale a «correcto». Las pruebas sintéticas simulan transacciones y detectan fallos funcionales. La monitorización desde varios puntos permite diferenciar problema local, WAN, CPD o aplicación.

POLÍTICA DE ALERTA
Señal: latencia de transacción crítica
Condición: percentil 95 supera umbral durante 10 minutos
Confirmación: error y saturación de dependencia
Impacto: usuarios y proceso afectado
Acción: abrir incidencia, adjuntar gráficos y ejecutar runbook
Escalado: equipo de aplicación + base de datos + red si procede
Cierre: recuperación sostenida y validación funcional

La monitorización también verifica los controles de continuidad: éxito de copias, restauraciones de muestra, replicación, desfase, estado de clúster, caducidad de certificados, capacidad de repositorios y pruebas de generador. Un «backup correcto» significa que la tarea terminó, no que los datos sean restaurables. Deben existir pruebas periódicas y alertas sobre la cadena completa.

Las métricas alimentan capacidad y mejora. Se revisan tendencias, incidencias repetidas, falsas alarmas, tiempos de detección y recuperación. La observabilidad se diseña con el servicio, no se añade al final. Un sistema sin telemetría puede funcionar, pero es difícil operarlo con garantías.

12. OPERACIÓN, CAMBIOS, INCIDENCIAS Y MANTENIMIENTO

El modelo operativo define quién hace qué, con qué autoridad, herramientas, turnos y evidencias. Debe cubrir operación ordinaria, mantenimiento, cambios, incidencias, problemas, capacidad, configuración, seguridad y proveedores. La matriz RACI asigna responsable de ejecutar, responsable final, consultados e informados. Sin esa claridad, las incidencias se trasladan entre equipos y los cambios se realizan sin dueño.

La gestión de configuración mantiene información sobre activos y relaciones. Una CMDB útil no es un inventario exhaustivo de objetos sin calidad, sino un modelo suficiente para soportar decisiones: qué servicio depende de qué aplicación, base, máquina, host, almacenamiento, red y proveedor. La actualización se automatiza, pero los descubrimientos se reconcilian con propietarios y fuentes autorizadas. La calidad se mide por completitud, exactitud, actualidad y coherencia.

La gestión de cambios evalúa beneficio, riesgo, impacto, pruebas, ventana, recursos, comunicación y reversión. Los cambios estándar son repetibles y preautorizados; los normales se evalúan; los de emergencia se aceleran con controles posteriores, no quedan fuera de gobierno. El CAB asesora sobre cambios relevantes, pero no debe convertirse en un órgano que aprueba cada operación rutinaria sin contexto. La autoridad se adapta al riesgo.

El mantenimiento de infraestructura se planifica con MOP, aislamiento y validación. Antes se confirma que la redundancia está disponible: no se retira un SAI si la otra rama tiene alarmas. Se congelan cambios incompatibles, se comunica, se toman medidas y se verifica retorno. El mantenimiento concurrente exige diseño y disciplina. Un Tier III permite retirar elementos de forma planificada, pero una maniobra incorrecta puede afectar al servicio.

La gestión de incidencias restaura el servicio con rapidez. La prioridad combina impacto y urgencia, no solo la opinión del informante. Una incidencia crítica activa escalado, comunicación y mando. Se registra cronología, acciones, hipótesis y decisiones. El equipo técnico debe evitar múltiples cambios simultáneos sin control, porque dificultan identificar la causa. Tras la recuperación se valida con usuarios o pruebas funcionales.

La gestión de problemas busca causas y previene repetición. Utiliza análisis temporal, cinco porqués, árbol de fallos, Pareto o revisión de cambios. La causa raíz no siempre es un único componente: puede ser una combinación de diseño, procedimiento, alerta y formación. Las acciones se asignan con plazo y verificación. Culpar a la persona que ejecutó el último paso impide aprender si el sistema permitía un error catastrófico sin barreras.

La comunicación durante incidentes se estructura por audiencias. El equipo técnico necesita detalle; la dirección, impacto, decisiones y previsión; los usuarios, servicio afectado y alternativa. No deben difundirse tiempos de resolución sin evidencia. Las actualizaciones se emiten con cadencia. La posincidencia documenta hechos y mejoras, evitando especulación.

Los proveedores se integran en el modelo. Los contratos definen soporte, escalado, acceso, repuestos, tiempos, mantenimiento, vulnerabilidades, evidencias, continuidad y salida. El SLA debe tener método de medida y exclusiones claras. La organización conserva capacidad de dirección y conocimiento; un servicio crítico no puede depender de que solo el proveedor entienda la arquitectura.

13. COPIAS, CONTINUIDAD Y RECUPERACIÓN ANTE DESASTRES

La continuidad de negocio identifica procesos críticos, impactos, recursos mínimos y estrategias. La recuperación ante desastres se centra en restaurar tecnología y datos. El plan debe partir del análisis de impacto y establecer RTO, RPO, nivel de servicio degradado, dependencias y prioridades. La estrategia puede combinar alta disponibilidad local, réplica, copias, sitio alternativo, cloud, procedimientos manuales y acuerdos con proveedores.

La alta disponibilidad reduce interrupciones por fallos acotados; la recuperación ante desastres aborda pérdida de un dominio mayor. No son equivalentes. Un clúster puede replicar inmediatamente un borrado o cifrado malicioso. La copia conserva puntos anteriores. La réplica puede cumplir un RPO bajo, pero también propaga corrupción. Se necesitan capas de protección independientes y, cuando el riesgo lo justifica, copias inmutables o fuera de línea.

La política de copias define alcance, frecuencia, retención, cifrado, ubicación, inmutabilidad, monitorización y restauración. La regla 3-2-1 se usa como orientación: varias copias, medios o sistemas diferentes y una fuera del dominio principal. No es una norma suficiente por sí sola. Debe considerarse identidad, credenciales, catálogo de copia, claves, software de recuperación y red. Un atacante que controla la consola de backup puede borrar todas las copias conectadas.

Las restauraciones se prueban con muestras y con ejercicios completos. Una prueba debe medir tiempos, validar consistencia y comprobar que la aplicación funciona. Restaurar archivos sin poder reconstruir identidades, DNS, certificados o configuración no recupera el servicio. Los planes incluyen orden: infraestructura mínima, red, identidad, almacenamiento, bases, middleware, aplicaciones, interfaces y validación funcional.

RUNBOOK DE RECUPERACIÓN
1. Declaración y autoridad de desastre.
2. Alcance y servicios prioritarios.
3. Activación de comunicaciones y equipos.
4. Red, identidad, tiempo y acceso de administración.
5. Datos según punto de recuperación aprobado.
6. Aplicaciones en orden de dependencia.
7. Validación técnica y funcional.
8. Servicio degradado / normal.
9. Retorno al sitio principal y cierre.

La conmutación y el retorno son procesos distintos. El retorno puede ser más complejo porque hay que reconciliar cambios y evitar pérdida de datos. Debe planificarse desde el principio. Las pruebas pueden ser de escritorio, técnicas parciales o integrales. Se incrementa la profundidad de forma segura. Cada ejercicio genera hallazgos, responsables y nuevas pruebas.

El sitio alternativo puede ser frío, templado o caliente según recursos preinstalados y tiempos. Estas etiquetas son orientativas; deben expresarse capacidades reales. La distancia y el modo de réplica se justifican por riesgo y latencia. Los equipos de operación, las credenciales y los proveedores también necesitan continuidad. Si las mismas personas no pueden acceder por una emergencia regional, la infraestructura alternativa no basta.

El plan sanitario debe contemplar procedimientos de contingencia asistencial. Las unidades necesitan conocer cómo identificar pacientes, registrar actuaciones y reconciliar información tras la recuperación. Los procedimientos manuales tienen límites y deben probarse. La priorización debe considerar seguridad del paciente y continuidad de cuidados, no solo volumen de usuarios.

14. SEGURIDAD DE LA INFORMACIÓN Y CUMPLIMIENTO

El CPD aloja activos y, por tanto, forma parte del sistema de información sometido al Esquema Nacional de Seguridad cuando se encuentra en su ámbito. El ENS exige política, gestión de riesgos, categorización, medidas y mejora continua. La categoría BÁSICA, MEDIA o ALTA se determina valorando las dimensiones de seguridad y adoptando la mayor. No puede afirmarse que todo sistema sanitario sea automáticamente ALTO por tratar historias clínicas. Los datos de salud elevan el riesgo y las obligaciones de protección, pero la categorización debe documentarse conforme al ENS.

Las medidas afectan a marco organizativo, operacional y de protección. En el CPD se concretan en control físico, personal, configuración, mantenimiento, protección de comunicaciones, copias, continuidad, registro, detección, respuesta y proveedores. La seguridad debe incluir redes de gestión y sistemas de instalaciones. Los controladores de climatización, energía o acceso pueden ser objetivo y requieren segmentación, endurecimiento, copias y monitorización.

El Real Decreto 311/2022 establece una auditoría regular ordinaria al menos cada dos años para los sistemas comprendidos, además de auditorías extraordinarias cuando cambios sustanciales puedan repercutir en las medidas. La auditoría verifica cumplimiento; no sustituye al seguimiento diario. Las deficiencias generan plan de adecuación y riesgos. Las evidencias deben ser trazables y actualizadas.

ISO/IEC 27001:2022 establece requisitos para un sistema de gestión de seguridad de la información. Puede complementar el ENS al estructurar contexto, liderazgo, riesgos, controles, auditoría y mejora. No certifica que nunca habrá incidentes. El alcance debe estar definido; una organización certificada puede tener servicios fuera del alcance. ISO 22301 aporta un sistema de gestión de continuidad e ISO/IEC 20000-1, gestión de servicios.

El RGPD considera los datos de salud categoría especial. El responsable debe aplicar protección desde el diseño, minimización, limitación de finalidad, exactitud, conservación y seguridad. El CPD aporta controles, pero el cumplimiento no se reduce al lugar físico. Se analizan accesos, administradores, encargados, transferencias, copias, logs, soportes y destrucción. Los contratos con proveedores regulan instrucciones, confidencialidad, subencargados, incidentes y devolución o supresión.

La administración privilegiada requiere identidades individuales, autenticación reforzada, bastiones, mínimo privilegio, registro y revisión. Las cuentas compartidas dificultan la atribución. Los accesos de emergencia se protegen y revisan. Las redes de gestión no deben ser accesibles desde redes de usuario. La gestión remota se cifra y se limita. Los secretos se custodian en sistemas adecuados y se rotan.

La gestión de vulnerabilidades incluye inventario, avisos, evaluación, parcheo, mitigación y verificación. En infraestructura crítica, parchear puede requerir pruebas y ventanas, pero posponer indefinidamente no es una estrategia. Se aplican capas: segmentación, listas de control, monitorización, reducción de servicios y aislamiento. El firmware de SAI, PDU, switches, controladores y sistemas de edificio forma parte del alcance.

La respuesta a incidentes coordina SOC, operación, responsables del servicio, protección de datos, comunicación y dirección. Se preservan evidencias y se evita destruirlas durante la recuperación. Las obligaciones de notificación se evalúan por personal competente. Los ejercicios de ransomware deben incluir pérdida de identidad, consola de virtualización, copias y herramientas de gestión, no solo un servidor.

15. ORGANIZACIÓN DE LOS CPD DEL SERVICIO ANDALUZ DE SALUD

La organización debe estudiarse desde dos perspectivas: estructura jurídica y modelo operativo. La primera se apoya en normas públicas; la segunda puede cambiar mediante unidades, contratos y procedimientos internos. A fecha de actualización, el Decreto 189/2026, de 30 de julio, establece que de la Dirección Gerencia del SAS depende la Dirección General de Salud Digital e Infraestructuras Tecnológicas. Esta denominación sustituye a la anterior Dirección General de Tecnologías de la Información y Comunicaciones.

El artículo 29 del decreto atribuye a esa Dirección General, en coordinación con la Agencia Digital de Andalucía, el desarrollo y ejecución de la Estrategia de Salud Digital en el SAS; la planificación, ejecución y supervisión de proyectos digitales; la planificación y gestión de infraestructura y comunicaciones; la programación de recursos para un uso eficiente y sostenible; la seguridad, protección de datos, interoperabilidad, gobernanza y almacenamiento de datos; el soporte, la renovación del puesto y la agenda de transformación digital. Estas competencias sitúan la operación del CPD dentro de una gobernanza más amplia de servicios, datos y seguridad.

La Estrategia de Salud Digital de Andalucía 2030 incluye infraestructura tecnológica y sistemas de información entre sus ámbitos, junto con ciberseguridad, gestión del cambio, soporte y analítica. El CPD es un medio para esos objetivos. La arquitectura debe responder a servicios de salud, toma de decisiones, modernización e innovación, no convertirse en un fin aislado. La inversión se prioriza por riesgo y valor público.

Un modelo operativo sanitario de gran escala suele combinar servicios centrales, equipos territoriales o de centros, atención de proximidad, operación de plataformas, seguridad, comunicaciones, proveedores e instalaciones. Los servicios centrales definen arquitectura, plataformas, contratos, seguridad y criterios. Los equipos cercanos a los centros conocen integración con equipamiento, circuitos asistenciales, salas locales y continuidad. Los proveedores pueden operar componentes, pero la dirección, el riesgo y la responsabilidad pública permanecen en la organización.

La denominación «CPD corporativo» aparece en los exámenes de la categoría, lo que confirma el enfoque de consolidación de servicios. Sin embargo, de esa expresión no se deduce una topología pública exacta. Puede existir combinación de centros corporativos, salas de centro, infraestructura de contingencia, servicios de la Junta, cloud y recursos especializados. La arquitectura concreta se gobierna mediante inventarios y documentación restringida.

La organización funcional de un CPD puede distribuirse en dominios:

El NOC o centro de operaciones supervisa tecnología y coordina incidencias; el SOC se especializa en seguridad. Pueden estar integrados o coordinados. El servicio de atención a usuarios recibe y clasifica demanda. La operación de instalaciones puede recaer en mantenimiento especializado. Las fronteras deben estar definidas: quién declara un desastre, quién autoriza una maniobra, quién comunica, quién recupera y quién valida funcionalmente.

La continuidad asistencial exige coordinación con responsables funcionales. El equipo TIC no puede decidir solo el orden de recuperación de servicios clínicos. Las prioridades se acuerdan mediante análisis de impacto. Los centros deben disponer de procedimientos locales para fallo de sistemas, comunicaciones o energía. Tras recuperar, se reconcilian registros generados en contingencia.

La relación con la Agencia Digital de Andalucía es relevante porque el decreto exige coordinación y respeta sus competencias. Esto obliga a gestionar dependencias corporativas: comunicaciones, ciberseguridad, plataformas horizontales o servicios comunes según el reparto vigente. El diseño debe identificar responsabilidades y SLA entre organismos, evitando zonas grises.

16. EFICIENCIA, SOSTENIBILIDAD Y EVOLUCIÓN

La eficiencia debe medirse sin comprometer fiabilidad. El indicador PUE, normalizado en ISO/IEC 30134-2:2026, relaciona la energía total del centro con la energía consumida por los equipos TI. Un valor se aproxima a 1 cuando disminuye la energía de soporte respecto a TI. Deben declararse límites y método de medida. Comparar PUE de edificios diferentes sin contexto puede inducir a error por clima, redundancia, carga, uso mixto o periodo.

PUE = energía total del centro de datos / energía de los equipos TI

PUE no mide la utilidad del trabajo informático. Un CPD con servidores ociosos puede tener buen PUE y desperdiciar energía. Por eso se combina con utilización, consolidación, rendimiento por vatio, carbono, agua y resultados. La versión 2026 de ISO/IEC 30134-2 añade claridad para edificios de uso mixto, energía no contabilizada y generación local. La medición debe ser consistente en el tiempo.

Las medidas incluyen gestión de aire, setpoints adecuados, economizadores, equipos eficientes, variadores, refrigeración líquida donde aporte, consolidación, apagado de recursos, almacenamiento por niveles y compra eficiente. Cada medida se evalúa en modo normal y degradado. Reducir redundancia puede mejorar PUE pero empeorar continuidad; aumentar temperatura puede ahorrar energía pero afectar a otros equipos si se superan límites.

La sostenibilidad considera ciclo de vida: fabricación, transporte, uso, refrigerantes, baterías, agua y residuos. La renovación no siempre debe adelantarse por eficiencia si la fabricación genera mayor impacto; tampoco debe retrasarse cuando la obsolescencia aumenta riesgo y consumo. Se evalúa coste total, soporte y reutilización. Los equipos retirados se gestionan como residuos y los soportes se borran o destruyen.

La previsión de cargas de inteligencia artificial y alta densidad obliga a revisar potencia, red y refrigeración. No todo sistema necesita aceleradores. Deben compartirse de forma gobernada y medir utilización. La refrigeración líquida puede elevar densidad y recuperar calor, pero exige nuevas competencias. La arquitectura modular facilita ampliar por bloques sin sobredimensionar desde el inicio.

La modernización combina CPD, cloud e infraestructura de borde. La decisión de ubicación se toma por latencia, datos, seguridad, coste, dependencia y continuidad. La nube no elimina el CPD: cambia responsabilidades y añade regiones, zonas, conectividad, identidad y salida. El edge acerca procesamiento a equipos o centros, pero multiplica puntos a gestionar. La arquitectura híbrida requiere observabilidad y gobierno comunes.

La eficiencia operacional incluye automatización, mantenimiento predictivo y DCIM. Un sistema DCIM puede integrar inventario, potencia, clima, capacidad y cambios. Su valor depende de datos fiables y procesos. Los gemelos digitales y la analítica pueden simular escenarios, pero deben validarse. Las decisiones críticas no deben delegarse a un modelo sin controles ni explicación.

La Estrategia de Salud Digital de Andalucía 2030 y el Decreto 189/2026 incorporan expresamente el uso eficiente y sostenible de recursos tecnológicos. En el SAS, la sostenibilidad debe compatibilizarse con seguridad del paciente, disponibilidad y protección de datos. Las métricas se convierten en objetivos y planes con responsables, no en declaraciones generales.

17. CONCLUSIONES E IDEAS CLAVE

Planificar un CPD significa transformar necesidades de servicio en una infraestructura operable y verificable. El diseño debe abarcar emplazamiento, energía, climatización, seguridad, cableado, plataforma, producción, monitorización, continuidad, personas y proveedores. La calidad se demuestra mediante pruebas integradas y operación sostenida. Ninguna tecnología aislada garantiza disponibilidad.

Para examen, deben diferenciarse conceptos próximos. Tier III es mantenible concurrentemente; Tier IV es tolerante a un fallo individual. TIER no es PUE. PUE mide eficiencia energética, no disponibilidad. RTO mide tiempo de recuperación; RPO, pérdida temporal de datos. Replicación no sustituye a copias. Alta disponibilidad no sustituye a recuperación ante desastres. SNMP obtiene métricas; ICMP comprueba conectividad básica. CRAC y CRAH describen arquitecturas de refrigeración distintas, aunque la terminología comercial debe interpretarse.

Las cifras universales son una fuente de errores. No hay una distancia mínima general entre CPD, una autonomía única de generadores, una altura obligatoria de suelo técnico ni un tiempo estándar de SAI. Cada valor se diseña por riesgo, carga, normativa y estrategia. Sí existe una recomendación ASHRAE de 18 a 27 °C en la entrada para clases A1 a A4, acompañada de límites de humedad y punto de rocío. Debe citarse con su contexto.

El ENS no categoriza automáticamente todos los sistemas sanitarios como ALTO. La categoría deriva del análisis de dimensiones. Las copias mantienen el nivel de protección de los datos. El RD 311/2022 exige auditoría ordinaria al menos cada dos años. ISO/IEC 27001 estructura un SGSI y complementa, pero no sustituye, las obligaciones públicas.

En producción, las tareas se definen por dependencias, resultados, idempotencia, reintentos y rollback. El control de cambios y la CMDB protegen la arquitectura. La monitorización debe orientarse a servicios. Un ping, una alarma verde o un backup finalizado tienen alcance limitado. La recuperación se prueba y se valida funcionalmente.

En el SAS, la estructura vigente atribuye las competencias tecnológicas a la Dirección General de Salud Digital e Infraestructuras Tecnológicas. Su misión incluye infraestructura, comunicaciones, seguridad, datos, soporte y disponibilidad, coordinada con la Agencia Digital de Andalucía y alineada con la ESDA 2030. La topología detallada de CPD no debe inventarse.

18. MAPA CONCEPTUAL