El fabricante de un inversor suele llegar a la planta por tres caminos: la nube a la que el inversor o el datalogger se conecta de forma permanente, una VPN que el propio fabricante pide abrir o un módem celular instalado en el datalogger. Según el equipo y los permisos, desde allí puede leer datos, cambiar parámetros, limitar potencia o actualizar firmware. Se controla haciendo que toda conexión salga por la DMZ de la planta, con sesiones autorizadas, cuentas por persona, registro y un contrato que diga qué puede hacer y cuándo.
El problema
En una planta solar, el propietario suele creer que controla quién entra a sus equipos. Luego descubre que el fabricante del inversor ve la planta en tiempo real, que su soporte técnico cambió un parámetro la semana anterior o que un datalogger tiene un módem celular que sale a internet sin pasar por el firewall. No hay mala fe en eso: el soporte, la garantía y el monitoreo del fabricante funcionan así. El problema es que nadie lo diseñó como parte de la seguridad de la planta.
Por dónde llega el fabricante
| Camino | Cómo funciona | Riesgo típico |
|---|---|---|
| Nube del fabricante | El inversor o el datalogger abre una conexión saliente permanente a una plataforma del fabricante | Lo que la plataforma permita hacer, lo puede hacer cualquiera que entre a ella con permisos sobre su planta |
| VPN pedida por el fabricante | El fabricante solicita un túnel hacia la red de la planta para una intervención | Si queda abierto, la red de control queda unida a una red externa que usted no administra |
| Módem en el datalogger | Un módem celular o un enrutador independiente da conexión al equipo | Ruta fuera del firewall, a menudo sin inventariar |
| Portátil del técnico | El técnico se conecta en sitio con su equipo | Software y archivos sin control, mismos riesgos que una conexión remota |
NIST IR 8498, al probar inversores pequeños, distinguió tres formas de conexión: directa al inversor, a través de un equipo gateway y a través de un servicio en la nube conectado por ese gateway. En las dos últimas, las funciones de seguridad quedan repartidas entre el inversor, el gateway y la nube, y el propietario solo controla una parte. En una planta a gran escala ocurre lo mismo con más equipos.
Qué puede hacer desde allí
Depende del modelo y de los permisos de la cuenta, pero las plataformas de los fabricantes suelen permitir:
- ver mediciones, alarmas e históricos de cada inversor;
- cambiar parámetros de operación, incluidos los de conexión a la red;
- limitar la potencia activa o cambiar la consigna de reactiva;
- encender, apagar o reiniciar equipos;
- cargar firmware nuevo.
Eso es justamente lo que preocupa a la industria. El análisis de riesgo que SolarPower Europe encargó a DNV, publicado el 29 de abril de 2025, señaló como fuentes de riesgo los mandos directos a los inversores y las actualizaciones, y propuso limitar el acceso remoto y el control de los inversores desde fuera de la Unión Europea. La investigación SUN:DOWN de Forescout (marzo de 2025) encontró vulnerabilidades en equipos y plataformas en la nube de varios fabricantes que, según el informe, ya fueron corregidas. El marco regional, con NERC CIP y Chile, está en regulación de ciberseguridad eléctrica en Latinoamérica.
La arquitectura que lo controla
- Solicitud del fabricante. Tarea, equipos, fecha y persona
- Autorización del propietario. Sesión aprobada para esa tarea
- VPN con doble factor. Termina en la DMZ de la planta
- Servidor de salto. Cuenta individual, sesión registrada
- Firewall de la zona de control. Solo los equipos de la tarea
- Cierre de la sesión. Registro y verificación de lo cambiado
La idea es la misma que se usa en una subestación y que se explica en acceso remoto seguro a relés y subestaciones:
- Una sola entrada. Toda conexión desde fuera termina en la DMZ de la planta, nunca directamente en la red de inversores ni en la del PPC.
- Monitoreo saliente controlado. La conexión permanente de datos hacia la nube del fabricante sale por un firewall con reglas que limitan a qué servidores y por qué puertos. Si el equipo lo permite, esa conexión queda solo de lectura.
- Sesiones de ingeniería bajo pedido. Para cambiar parámetros o actualizar firmware, el fabricante entra por el servidor de salto, con cuenta individual y doble factor, solo durante la ventana autorizada.
- Sin módems sueltos. Cada módem o enrutador celular se retira o se integra a la arquitectura; el inventario debe mostrarlo.
- Registro y verificación. Se guarda quién entró, cuándo y qué cambió, y después se compara la configuración con la referencia aprobada.
El firewall que separa las zonas se describe en router y firewall industrial, y la forma de documentar la red de la planta en comunicaciones de una planta solar.
Lo que debe decir el contrato
La técnica no basta si el contrato no la respalda. En el suministro de inversores o en el contrato de operación y mantenimiento conviene dejar escrito:
- qué conexiones remotas necesita el fabricante y para qué;
- qué puede leer y qué puede cambiar, equipo por equipo;
- que toda sesión de ingeniería se solicita y se autoriza antes;
- que las actualizaciones de firmware se anuncian con sus notas de versión y no se instalan sin aprobación;
- cómo se notifica un incidente o una vulnerabilidad que afecte a los equipos instalados;
- quiénes del fabricante tienen cuentas y cómo se dan de baja.
Qué dice la regulación colombiana
La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, aplica a los generadores con activos que cumplen sus criterios de criticidad, como los grupos de generación de 20 MW o más; las plantas menores (más de 5 y menos de 20 MW) tienen requisitos mínimos propios. Para el acceso remoto exige doble factor de autenticación, monitoreo, cifrado, control de la autorización y un sistema intermedio fuera del perímetro de seguridad lógica. Su capítulo de cadena de suministro pide gestionar el riesgo de los proveedores y contratistas que suministran o acceden a ciberactivos críticos. Las reglas que han fijado otros países para este acceso están en acceso remoto a plantas solares: reglas en el mundo.
Si algo sale mal, el reporte de incidentes cibernéticos sigue el Acuerdo CNO 2188 de 2026, que sustituyó al 2088.
Errores frecuentes
- Aceptar la configuración por defecto de la nube, con permisos de escritura que nadie revisó.
- Abrir una VPN para una intervención y no cerrarla.
- Compartir una cuenta del fabricante entre todos sus técnicos.
- No incluir los dataloggers con módem en el inventario ni en el diagrama de red.
- No verificar después qué parámetros cambiaron en una sesión remota.
Le ayudamos a ordenar los accesos
En Tiza Group diseñamos y configuramos el acceso remoto de plantas solares para que los fabricantes de inversores y los mantenedores entren por un camino controlado, con firewall, servidor de salto, cuentas individuales y registro, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Nuestra propia configuración remota de relés trabaja con ese mismo principio: sesiones que usted autoriza, cifradas y registradas. Cuéntenos qué fabricantes tienen acceso hoy a su planta.
Guías relacionadas
- Acceso remoto seguro a relés y subestaciones
- Comunicaciones de una planta solar
- Router y firewall industrial
- ¿Es segura la configuración remota de relés?
- Controlador de planta solar (PPC): qué es y qué controla
- Ciberseguridad de plantas solares: riesgos y controles
- Acceso remoto a plantas solares: reglas en el mundo
- Ciberseguridad de subestaciones y plantas: normas y mapa
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad (Anexo 1, capítulos de perímetro y cadena de suministro).
- Consejo Nacional de Operación, Acuerdo 2188 de 2026, procedimiento y formato de reporte de incidentes cibernéticos.
- NIST IR 8498, Cybersecurity for Smart Inverters, diciembre de 2024, apéndice D (formas de conexión).
- SolarPower Europe y DNV, Solutions for PV Cyber Risks to Grid Stability, 29 de abril de 2025.
- Forescout Vedere Labs, SUN:DOWN, marzo de 2025.
Preguntas frecuentes
¿El fabricante puede cambiar la potencia de mi planta desde su nube?
Depende del modelo, del firmware y de cómo esté configurada la conexión. Muchas plataformas permiten, además de ver datos, cambiar parámetros, limitar potencia o actualizar firmware. Lo que puede hacer en su planta debe quedar documentado por equipo y acordado por contrato.
¿Puedo exigir al fabricante que entre por mi servidor de salto?
Sí, y es lo recomendable para tareas de ingeniería. La conexión permanente de monitoreo hacia la nube puede mantenerse, pero saliendo por un punto controlado de la planta, con reglas que limiten a qué servidores llega. Los términos conviene fijarlos en el contrato de suministro o de mantenimiento.
¿Qué pide la guía del CNO para el acceso remoto de terceros?
El Acuerdo CNO 1960 de 2025 exige que toda conexión remota tenga doble factor de autenticación, monitoreo, cifrado y control de la autorización, y que pase por un sistema intermedio fuera del perímetro de seguridad lógica. También pide gestionar el riesgo de proveedores y contratistas que acceden a ciberactivos críticos.