Un acceso remoto seguro a una subestación nunca conecta el computador del ingeniero directo al relé. Pasa por una VPN con autenticación de varios factores que termina en un servidor de salto en la DMZ; desde allí, solo durante una sesión autorizada y con una cuenta por persona, se llega a los relés previstos a través de un firewall, y toda la sesión queda registrada.
Por qué hace falta el acceso remoto
Revisar un evento, descargar una oscilografía o cambiar un ajuste ya no exige viajar a la subestación. El acceso remoto ahorra horas de desplazamiento y permite responder rápido a un disparo. Pero cada camino desde afuera hasta un relé de protección es también un camino para un atacante. La pregunta no es si dar acceso remoto, sino cómo darlo de forma controlada.
La guía sobre si la configuración remota de relés es segura responde la pregunta desde el lado del cliente que contrata el servicio. Aquí se describe la arquitectura técnica que lo hace posible.
Lo que no se debe hacer
- Módem o enrutador celular conectado directo al relé o al switch de la subestación.
- Software de escritorio remoto instalado en el computador de la casa de control y expuesto a internet.
- Cuentas compartidas por todo el equipo de mantenimiento, con la contraseña de fábrica.
- VPN que deja al usuario dentro de toda la red de protección y control, sin restricción de destino.
- Accesos permanentes que nadie cierra al terminar el trabajo.
Cualquiera de ellos rompe la segmentación en zonas y conductos de IEC 62443 y deja la protección expuesta.
La arquitectura
La arquitectura habitual pone varios controles en serie, de modo que fallar en uno no basta para llegar al relé:
- 01VPN con autenticación de varios factoresEl ingeniero se identifica con una cuenta personal
- 02DMZ y servidor de saltoLa VPN termina aquí, nunca en la red de protección y control
- 03Autorización de la sesiónEl propietario aprueba quién, a qué equipos y por cuánto tiempo
- 04Firewall de la subestaciónSolo deja pasar del servidor de salto a los relés previstos y sus puertos de ingeniería
- 05ReléCuenta personal y rol en el propio IED, con su registro de eventos de seguridad
1. VPN con autenticación de varios factores. El ingeniero se conecta con una cuenta personal, no compartida, y un segundo factor. La VPN cifra el tráfico desde su equipo y termina en la DMZ.
2. DMZ y servidor de salto. La DMZ es una zona intermedia entre la red externa y la red de la subestación. El servidor de salto es el único punto desde donde se puede llegar a los relés. Allí está el software de ingeniería; el computador del ingeniero nunca habla con el relé.
3. Autorización y ventanas de acceso. Cada sesión se aprueba antes: quién entra, a qué equipos y por cuánto tiempo. Fuera de esa ventana, la cuenta no tiene acceso.
4. Firewall de la subestación. Solo permite el tráfico del servidor de salto a los relés previstos y solo en los puertos del software de ingeniería. Todo lo demás se bloquea y se registra.
5. El propio relé. Cuentas por persona y por rol, como define el control de acceso por roles de IEC 62351, y registro de inicios de sesión y cambios, una capacidad que describe IEEE 1686.
Sesiones grabadas y registro
- Registro de la VPN: quién se conectó, desde dónde y cuándo.
- Registro del servidor de salto: qué programas abrió y a qué equipos llegó; en muchas instalaciones, la grabación de la pantalla de la sesión.
- Registro del firewall: flujos permitidos y bloqueados.
- Registro del relé: inicios de sesión, cambios de ajustes y de configuración.
Con los cuatro se puede reconstruir cualquier intervención. Además, el cambio de ajustes queda documentado con la versión anterior y la nueva, firmado por quien lo aprobó.
Gestión de cuentas y de cambios
La arquitectura sirve poco si las cuentas no se administran. Lo habitual es:
- Alta y baja de cuentas ligadas al contrato de cada persona externa, con fecha de vencimiento.
- Revisión periódica de quién tiene acceso y a qué equipos.
- Contraseñas de fábrica cambiadas en todos los relés, switches y gateways antes de la puesta en servicio.
- Copia de los ajustes antes y después de cada intervención, guardada fuera del relé.
Qué pide la regulación
- NERC CIP-005 (Norteamérica), para el acceso remoto interactivo a sistemas de impacto alto y medio: un sistema intermedio, de modo que el equipo que inicia la sesión no llegue directo al activo; cifrado que termina en ese sistema intermedio; y autenticación de varios factores.
- Colombia: los agentes del SIN siguen la Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025.
- IEC 62443-3-3: requisitos de identificación, autenticación, control de uso y registro que la arquitectura anterior materializa.
Cuando no hay infraestructura todavía
Muchas subestaciones de media tensión e industria no tienen DMZ ni servidor de salto. Las opciones razonables, en general, son:
- un enrutador industrial con firewall que concentra la VPN y solo permite llegar a los relés previstos;
- acceso habilitado por el propietario solo durante la ventana del trabajo, y deshabilitado al terminar;
- una cuenta personal por cada ingeniero externo.
No reemplaza una arquitectura completa, pero evita los errores de la lista anterior. Los equipos para esto están en router y firewall industrial y en enlaces de radio y celulares.
Configuración remota de relés con Tiza Group
Nuestro servicio principal es la configuración remota de relés: trabajamos sobre sus relés y reconectadores solo a través del acceso que usted controla, con sesiones autorizadas, cuentas personales y registro de cada cambio, en subestaciones de media, alta y extra alta tensión e industria. Si su subestación todavía no tiene un acceso seguro, lo diseñamos dentro de la ingeniería de comunicaciones. Escríbanos con la marca y el modelo de sus relés.
Guías relacionadas
- ¿La configuración remota de relés es segura?
- Router y firewall industrial
- IEC 62351: seguridad para IEC 61850, 104 y DNP3
- Enlaces de radio y celulares
- Red de comunicaciones de subestación
- Normas para comunicaciones y sincronización en subestaciones
- Detección de intrusos (IDS) en redes de subestación
- Comunicaciones de subestación por nivel de tensión
Referencias
- IEC 62443-3-3:2013, requisitos de seguridad del sistema y niveles de seguridad.
- IEC 62351-8: control de acceso por roles para la gestión de sistemas de potencia.
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- NERC CIP-005, Cyber Security – Electronic Security Perimeter(s), requisito R2 sobre acceso remoto interactivo.
- CNO, Acuerdo 1960 de 2025, Guía de Ciberseguridad.
Preguntas frecuentes
¿Por qué no se debe conectar un módem directo al relé?
Porque deja el relé expuesto sin control de quién entra, desde dónde ni cuándo, sin registro y sin forma de cortar el acceso de una persona sin afectar a las demás. Un relé con un módem o un enrutador celular directo es una puerta abierta a la protección de la red.
¿Qué es un servidor de salto?
Es un equipo en la DMZ por el que pasa obligatoriamente todo acceso remoto. El ingeniero se conecta a él, nunca directamente a la red de protección y control, y desde él abre el software de ingeniería. Así se centralizan la autenticación, las reglas de a qué equipos se puede llegar y el registro de la sesión.
¿Qué exige la regulación para el acceso remoto?
Depende del país. En Norteamérica, NERC CIP-005 exige para el acceso remoto interactivo un sistema intermedio, cifrado que termine en él y autenticación de varios factores. En Colombia, los agentes del SIN siguen la Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025.