IEC 62443-3-2 es la parte de la serie que dice cómo pasar del riesgo al diseño de la red. Define el sistema bajo consideración, lo divide en zonas y conductos, evalúa el riesgo de cada uno, fija su nivel de seguridad objetivo (SL-T) y documenta los requisitos, que el propietario aprueba. Se organiza en siete requisitos (ZCR 1 a ZCR 7) y su resultado es un documento de diseño que alimenta la especificación del sistema según IEC 62443-3-3.
Para qué sirve IEC 62443-3-2
La pregunta de todo diseño de red de una subestación es cuánta seguridad necesita cada parte. Poner el mismo control en todo es caro y, a veces, imposible con equipos que ya están en servicio. IEC 62443-3-2:2020, Security risk assessment for system design, responde con un método: medir el riesgo, dividir el sistema en grupos con necesidades parecidas y asignar a cada grupo un nivel de seguridad objetivo.
Según su alcance, la norma establece requisitos para definir el sistema bajo consideración (SUC), dividirlo en zonas y conductos, evaluar el riesgo de cada zona y conducto, fijar su nivel de seguridad objetivo (SL-T) y documentar los requisitos de seguridad. Su única referencia normativa es IEC 62443-3-3:2013, la parte que contiene los requisitos del sistema que después se aplican a cada zona.
Los conceptos de zona, conducto y nivel de seguridad están explicados en IEC 62443 en subestaciones. Aquí se trata el proceso.
Los siete requisitos del proceso
La norma organiza el trabajo en siete requisitos de zonas, conductos y riesgo (ZCR):
- Sistema a diseñar o existente
- Identificar el SUC. Perímetro y puntos de acceso (ZCR 1)
- Evaluación inicial de riesgos. Peor caso sin contramedidas (ZCR 2)
- Zonas y conductos. Partición del sistema (ZCR 3)
- ¿El riesgo inicial supera el tolerable? (ZCR 4) Sí: continúa; No: Se documenta sin evaluación detallada.
- Evaluación detallada. Amenazas, vulnerabilidades, consecuencias, SL-T (ZCR 5)
- Requisitos documentados. Supuestos, dibujos y características (ZCR 6)
- Aprobación del propietario (ZCR 7)
La comparación del ZCR 4 decide si hace falta la evaluación detallada: si el riesgo inicial ya es tolerable, se documenta; si no, se profundiza en las zonas o conductos que lo superan.
ZCR 1 y 2: qué se analiza y cuánto puede pasar
El sistema bajo consideración es el conjunto de equipos y redes que entran en el análisis, con su perímetro y sus puntos de acceso. En una subestación incluye, típicamente, según su red de comunicaciones, los relés y controladores de bahía, los switches del bus de estación y de proceso, el gateway hacia el centro de control, el reloj, el servidor de ingeniería, el HMI local y los enlaces de comunicación hacia afuera. Los puntos de acceso son cada lugar por donde se puede entrar: el enlace al centro de control, el acceso remoto de ingeniería, los puertos frontales de los relés, la red corporativa.
La evaluación inicial estima el peor caso: qué consecuencias tendría que alguien comprometiera el sistema, sin contar todavía las protecciones existentes. En una subestación esas consecuencias se miden en la operación del sistema eléctrico: una protección deshabilitada, un interruptor abierto sin orden, una consigna alterada, la pérdida de visibilidad desde el centro de control.
ZCR 3: cómo se dibujan las zonas
La norma da reglas concretas para la partición. Además de agrupar equipos con necesidades parecidas, pide separar:
| Requisito | Qué separar | En una subestación |
|---|---|---|
| ZCR 3.2 | Activos de negocio y activos del IACS | La red corporativa y la de protección y control |
| ZCR 3.3 | Activos relacionados con la seguridad funcional | Funciones cuya falla afecta la seguridad de las personas o del sistema |
| ZCR 3.4 | Dispositivos conectados temporalmente | Portátiles de mantenimiento y equipos de prueba |
| ZCR 3.5 | Dispositivos inalámbricos | Radios, enlaces celulares, sensores inalámbricos |
| ZCR 3.6 | Dispositivos conectados por redes externas | El enlace al centro de control y el acceso remoto |
Una partición típica queda así: zona de proceso (unidades de fusión), zona de protección y control (relés, controladores, bus de estación), zona de estación (HMI, gateway, reloj, servidor de ingeniería), DMZ (servidor de salto, historiador) y zonas externas (centro de control, corporativa). Cada conducto entre ellas pasa por un router y firewall industrial y solo lleva los flujos documentados.
ZCR 5: evaluación detallada y SL-T
Para cada zona o conducto que no quedó en riesgo tolerable, la norma recorre trece pasos: identificar amenazas y vulnerabilidades, determinar consecuencias, impacto y probabilidad sin mitigar, calcular el riesgo sin mitigar, fijar el SL-T, compararlo con el riesgo tolerable, evaluar las contramedidas existentes, recalcular probabilidad e impacto, determinar el riesgo residual, compararlo de nuevo y, si hace falta, añadir contramedidas. El resultado se documenta y se comunica.
El SL-T expresa el tipo de atacante que la zona debe resistir, de SL 1 (violaciones casuales o accidentales) a SL 4 (atacantes sofisticados, con recursos amplios y alta motivación). Después, el diseño elige equipos con un nivel de capacidad (SL-C) suficiente y los configura para que el nivel alcanzado (SL-A) iguale al objetivo.
En subestaciones existentes, la evaluación de contramedidas pesa mucho: un relé antiguo puede no tener la capacidad que pide el SL-T, y entonces el conducto o la zona deben compensarlo. La guía del CNO pide exactamente eso en Colombia: documentar el control que no es técnicamente factible y aplicar controles compensatorios y de monitoreo.
ZCR 6 y 7: el documento final
El resultado no es una figura, es una especificación. ZCR 6 pide documentar los requisitos de ciberseguridad, la descripción del SUC, los dibujos de zonas y conductos, las características de cada uno, los supuestos del entorno de operación, el entorno de amenazas, las políticas de seguridad de la organización, el riesgo tolerable y los requisitos regulatorios. ZCR 7 cierra con la aprobación del propietario.
Ese documento es la base de la ingeniería: de él salen la especificación técnica del sistema según IEC 62443-3-3, las reglas del firewall, la lista de cuentas y roles y las pruebas de aceptación.
Relación con la regulación colombiana
El Acuerdo CNO 1960 de 2025 cambió la Guía de Ciberseguridad hacia un enfoque basado en riesgos. Su capítulo de gestión de riesgos pide identificar amenazas y vulnerabilidades de los activos y ciberactivos críticos, evaluar su impacto en la operación, determinar el nivel de riesgo y mantener un plan de tratamiento revisado al menos cada 12 meses, y exige perímetros de seguridad lógica documentados. Un análisis según IEC 62443-3-2 produce esa evidencia con un método reconocido. En una instalación que ya opera, conviene empezar por el inventario de activos y una evaluación de brechas frente a la guía.
Errores frecuentes
- Zonas por ubicación física y no por necesidad de seguridad: un mismo cuarto puede tener equipos de zonas distintas.
- Olvidar los puntos de acceso pequeños: un módem de un medidor o el puerto frontal de un relé también son puntos de acceso.
- Un SL-T para toda la subestación, que encarece lo que no lo necesita y deja corto lo que sí.
- No volver a evaluar después de una ampliación o de un cambio de arquitectura.
- Tratar el análisis como un trámite y no usar sus supuestos para vigilar la red; la detección de intrusos sirve precisamente para comprobar que los flujos reales siguen siendo los documentados.
Diseñamos y configuramos sus zonas
En Tiza Group hacemos el diseño de la segmentación en zonas y conductos dentro de la ingeniería de comunicaciones y después configuramos de forma segura los relés, controladores, gateways y switches que la componen, con nuestro servicio de ciberseguridad de subestaciones y plantas. El acceso de ingeniería a los relés lo resolvemos con la configuración remota de relés, que entra por el camino que su diseño define. Escríbanos.
Guías relacionadas
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Router y firewall industrial de subestación
- Red de comunicaciones de subestación
- Acceso remoto seguro a relés y subestaciones
- Detección de intrusos (IDS) en redes de subestación
- Ciberseguridad de subestaciones y plantas: normas y mapa
- IEC 62443-2-4: requisitos para integradores y contratistas
- Evaluación de brechas de ciberseguridad OT ante el CNO
Referencias
- IEC 62443-3-2:2020, Security for industrial automation and control systems – Part 3-2: Security risk assessment for system design.
- IEC 62443-3-3:2013, System security requirements and security levels.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, capítulos 6 (perímetro) y 12 (gestión de riesgos).
Preguntas frecuentes
¿El nivel de seguridad objetivo se fija para toda la subestación?
No. Se fija para cada zona y cada conducto. Es habitual que la zona de protección y control tenga un objetivo más alto que la red de servicios generales o la de video, porque las consecuencias de un ataque son distintas.
¿Por qué IEC 62443-3-2 pide separar los equipos que se conectan temporalmente?
Porque un portátil de mantenimiento o un equipo de pruebas entra y sale de la red y puede traer software malicioso desde otro sitio. Por eso la norma pide agruparlos en zonas propias, y la guía del CNO exige un procedimiento para ciberactivos transitorios y medios extraíbles.
¿Qué entrega un análisis de riesgo según IEC 62443-3-2?
Un documento con la descripción del sistema bajo consideración, los dibujos de zonas y conductos, sus características, el nivel de seguridad objetivo de cada uno, los supuestos del entorno de operación y de amenazas, el riesgo tolerable, los requisitos regulatorios y la aprobación del propietario.