Cómo auditar a tu proveedor de data center en México: el checklist de 40 puntos que tu auditoría interna no tiene

Lo que separa una auditoría seria de una visita turística

Auditar al proveedor de data center en México no es lo mismo que visitar el site, recorrer la sala de cómputo, y firmar un acta de conformidad. Una auditoría operativa real requiere un checklist estructurado que cubra las cinco dimensiones críticas de operación: infraestructura física, infraestructura eléctrica, infraestructura mecánica (enfriamiento), conectividad y redes, y gobierno de seguridad. El siguiente checklist de 40 puntos es el que las empresas maduras usan para evaluar a su proveedor antes de firmar contrato, durante la operación (anual), y cuando hay incidentes que requieren verificación.

Bloque 1 — Infraestructura eléctrica (10 puntos)

1. Capacidad contratada vs capacidad utilizada. ¿Cuántos kVA tiene contratados con CFE? ¿Cuál es la carga promedio mensual? Si la carga supera el 80% de la capacidad contratada, el data center tiene riesgo operativo y eléctrico.

2. Tipo de acometida. ¿Es baja tensión (220/127V o 480/277V) o media tensión (13.8 kV, 23 kV, 34.5 kV)? Sites arriba de 1 MW deben tener acometida en media tensión. Si la acometida es baja tensión, el crecimiento futuro está limitado por la capacidad de la red local.

3. Redundancia del alimentador. ¿Hay un solo alimentador de CFE o dos alimentadores redundantes desde subestaciones diferentes? Data centers Tier III/IV requieren doble alimentador.

4. UPS redundante. ¿Los UPS están en configuración N+1, 2N, o N? ¿Cuál es la autonomía del banco de baterías a plena carga? Mínimo 10 minutos para sites Tier III.

5. Tipo de baterías del UPS. ¿Son VRLA (plomo-ácido reguladas por válvula), Li-ion (litio-ion), o NiCd? Las baterías Li-ion tienen mayor vida útil y densidad energética, pero requieren BMS (Battery Management System) activo.

6. Generador diesel de respaldo. ¿Cuántos generadores? ¿Capacidad de cada uno? ¿Configuración N+1 o 2N? ¿Autonomía de combustible a plena carga? Mínimo 24 horas de autonomía para sites Tier III.

7. ATS (Automatic Transfer Switch). ¿Es open-transition, closed-transition, o soft-load? ¿Cuál es el WCR (withstand and closing rating)? ¿Está coordinado con el estudio de cortocircuito?

8. STS (Static Transfer Switch) en cargas críticas. ¿Las cargas single-corded críticas tienen protección STS? ¿Cuál es el tiempo de transferencia garantizado?

9. PUE real vs PUE prometido. ¿Cuál es el PUE operacional mensual de los últimos 12 meses? ¿El proveedor entrega medición de PUE con metodología documentada o solo estimación?

10. Tablero de transferencia y bypass. ¿Hay bypass de mantenimiento en el UPS, en el generador, en el STS? ¿Está documentado el procedimiento de bypass?

Bloque 2 — Infraestructura mecánica y enfriamiento (8 puntos)

11. Tipo de enfriamiento. ¿CRAC, CRAH, in-row, o híbrido? ¿Cuál es la capacidad de enfriamiento total en kW?

12. Redundancia de enfriamiento. ¿N+1, 2N, o N? ¿Cuántas unidades redundantes disponibles en caso de falla?

13. Contención de pasillos. ¿Hay contención de pasillos fríos (cold aisle containment) o calientes (hot aisle containment)? ¿Cuál es la eficiencia esperada de contención?

14. Rango de temperatura operativa. ¿Cuál es el rango de temperatura de entrada de aire al rack que mantiene el data center? ¿Cumple ASHRAE TC 9.9 clases A1-A4?

15. Humedad relativa. ¿Cuál es el rango de humedad relativa que mantiene el data center? ¿Hay control de humedad activa?

16. Free cooling. ¿Cuántas horas al año el data center opera en modo free cooling? ¿Cuál es el threshold de temperatura para activar free cooling?

17. WUE (Water Usage Effectiveness). ¿Cuál es el WUE operacional anual? Si el proveedor no mide WUE, está ignorando un indicador operativo crítico.

18. Mantenimiento de equipos mecánicos. ¿Con qué frecuencia se da mantenimiento a chillers, CRAH/CRAC, torres de enfriamiento? ¿Hay registros auditables?

Bloque 3 — Conectividad y redes (6 puntos)

19. Carriers disponibles. ¿Cuántos carriers tienen presencia física en el site (no revendidos)? Mínimo 3 carriers Tier 1 para redundancia.

20. Redundancia de entrada de fibra. ¿Hay dos o más entradas de fibra físicamente separadas? Mínimo 2 entradas redundantes para sites Tier III.

21. Meet-me room (MMR). ¿Existe un meet-me room? ¿Cuántos cross-connects activos soporta?

22. Peering directo. ¿Hay peering directo con Tier 1 transit providers? ¿Latencia hacia los principales puntos de intercambio?

23. Capacidad de banda. ¿Cuál es la capacidad total de banda disponible? ¿Hay documentación de SLA de conectividad?

24. Cumplimiento de cableado estructurado. ¿El cableado interno cumple TIA-568 o ISO/IEC 11801? ¿Hay certificación Fluke de los enlaces?

Bloque 4 — Seguridad física y lógica (10 puntos)

25. Control de acceso físico. ¿Doble factor (tarjeta + biometría)? ¿Cuántos puntos de control antes de acceder al rack? ¿Bitácora de acceso auditable?

26. CCTV perimetral y de sala. ¿Cámaras en perímetro, acceso principal, sala de cómputo, cuarto eléctrico? ¿Retención de videograbación mínima de 90 días?

27. Detección y supresión de incendios. ¿Sistema de detección temprana (VESDA o equivalente)? ¿Supresión con agente limpio (FM-200, Novec 1230) o agua nebulizada? ¿Sprinklers convencionales NO en sala de cómputo en producción?

28. Personal de seguridad 24/7. ¿Hay personal de seguridad en sitio las 24 horas? ¿Cuántos turnos? ¿Cuál es el procedimiento ante incidente?

29. ISO 27001 vigente. ¿El data center tiene certificación ISO 27001 vigente? ¿Cuándo fue la última auditoría externa? ¿El alcance de la certificación cubre los servicios que el cliente contrata?

30. SOC 2 Type II. ¿El proveedor tiene reporte SOC 2 Type II de los últimos 12 meses? ¿Qué cubren los controles auditados?

31. Pentest anual. ¿El data center se somete a pruebas de penetración anuales por terceros independientes? ¿Se puede obtener el informe ejecutivo?

32. Segregación lógica de ambientes. ¿Los ambientes de producción, pre-producción, desarrollo, y pruebas están segregados lógicamente? ¿Hay reglas de firewall documentadas entre segmentos?

33. Cifrado de datos. ¿Los datos en reposo están cifrados (AES-256 o equivalente)? ¿Los datos en tránsito (TLS 1.2 mínimo, idealmente TLS 1.3)? ¿Dónde se gestionan las claves criptográficas (HSM o servicio equivalente)?

34. Plan de respuesta a incidentes. ¿Existe un plan documentado de respuesta a incidentes de seguridad? ¿Hay un SOC/NOC 24/7 con capacidad de respuesta? ¿Cuál es el SLA de notificación al cliente?

Bloque 5 — Gobierno, SLA y compliance (6 puntos)

35. SLA contractuales. ¿Los SLA están documentados en el contrato? ¿Cubren disponibilidad (uptime mensual), performance (latencia, packet loss), incident response (tiempo de respuesta y resolución), y créditos por incumplimiento?

36. Reportes mensuales. ¿El proveedor entrega reportes mensuales de operación con métricas reales? ¿Los reportes son auditables o son resúmenes?

37. Certificaciones de terceros. ¿El data center mantiene certificaciones Tier (Uptime Institute), TIA-942, ISO 22301 (continuidad de negocio), ISO 27001, SOC 2? ¿Las certificaciones están vigentes y el alcance cubre los servicios contratados?

38. Plan de DR del data center. ¿El data center tiene un DR site? ¿Dónde? ¿Cuál es el RTO y RPO demostrados? ¿Hay evidencia de pruebas de DR en los últimos 12 meses?

39. Auditorías permitidas en contrato. ¿El contrato permite al cliente y a sus auditores externos entrar al site con preaviso razonable (típicamente 72 horas)? ¿Hay límite en el número de auditorías anuales?

40. Compliance con regulación mexicana. ¿El data center cumple con NOM-001-SEDE-2012, LGPD (LFPDPPP), y las disposiciones CNBV aplicables si el cliente es institución financiera? ¿Hay evidencia documental?

Cómo usar este checklist

Antes de firmar contrato (auditoría de pre-contratación): aplicar los 40 puntos. Cualquier respuesta insatisfactoria en puntos 1-7, 19-20, 25-27, o 35-37 debe bloquear la contratación hasta que se resuelva. Los puntos restantes son importantes pero admiten plan de remediación.

Anual durante la operación: aplicar los 40 puntos como parte de la auditoría anual de proveedor. Documentar hallazgos, acordar remediación con plazos, dar seguimiento en auditorías trimestrales.

Después de incidente relevante: aplicar los puntos relacionados al incidente para identificar causa raíz y verificar que el proveedor corrigió la condición.

Lo que la auditoría interna típicamente NO tiene

La auditoría interna de una empresa normalmente se enfoca en controles financieros, compliance, y gestión de riesgos de TI generales. Lo que típicamente NO tiene:

• Conocimiento específico de infraestructura eléctrica (transformadores, UPS, generadores, ATS).
• Conocimiento específico de infraestructura mecánica (chillers, CRAH, free cooling).
• Conocimiento específico de cableado estructurado y fibra óptica.
• Personal con certificación Tier ni TIA-942.
• Plantilla de auditoría de 40 puntos específicos para data center.

Por eso, las empresas maduras contratan auditores externos especializados para complementar la auditoría interna en data center. El costo típico de una auditoría externa especializada es de $50,000 a $200,000 MXN dependiendo del tamaño del site, y se amortiza rápidamente al detectar condiciones que podrían causar incidentes operativos mayores.

Fuentes

1. Diario Oficial de la Federación (2014, reformas vigentes). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
2. Diario Oficial de la Federación. NOM-001-SEDE-2012 — Instalaciones Eléctricas (utilización). https://www.dof.gob.mx/normasOficiales/5567/se11/se11.html
3. Noxtel.mx (2026). Data Centers in Mexico: The Honest 2026 Guide. https://noxtel.mx/en/data-centers-in-mexico-the-honest-2026-guide
4. Noxtel.mx (2026). How to choose a data center provider in Mexico: SLA, contract, and key clauses. https://noxtel.mx/en/how-to-choose-a-data-center-provider-in-mexico-sla-contract-and-key-clauses
5. ASHRAE Technical Committee 9.9 (2024). Thermal Guidelines for Data Processing Environments, 5th Edition. https://www.ashrae.org/technical-resources/bookstore/thermal-guidelines-for-data-processing-environments