Bastionar un IED es hacer, equipo por equipo, cinco inventarios y decisiones: qué puertos físicos y lógicos tiene, qué servicios responden en cada uno, quién puede entrar y con qué rol, qué eventos registra y adónde los envía, y qué firmware corre. Lo que no se usa en el proyecto se cierra; lo que se deja abierto se justifica. Los estándares IEEE 1686 y NERC CIP-007 piden esa trazabilidad. Esta guía complementa la de endurecimiento de relés, switches e IED con la vista del propio equipo.
El IED visto desde dentro
La guía de endurecimiento de relés, switches e IED explica qué es endurecer y cómo se hace sin afectar la protección. Esta amplía el punto de vista: se coloca frente a un solo IED (relé, controlador de bahía, gateway) y recorre lo que hay que revisar en él, en el orden en que suele revisarse.
Hay cinco inventarios: puertos, servicios, cuentas, registro de eventos y firmware. Cada uno termina en una decisión: qué se deja, qué se cierra y qué se justifica. En ningún caso se improvisa sobre un equipo en servicio. Esta guía da el método general; los valores y menús dependen del modelo y del fabricante.
1. Puertos físicos y lógicos
Un puerto físico es un conector del equipo: Ethernet, serie, USB, el puerto frontal de servicio, un puerto de fibra. Un puerto lógico es un número que un servicio de red escucha, por ejemplo el de un servidor web o el de un protocolo de control.
| Tipo | Qué preguntar | Decisión habitual |
|---|---|---|
| Puerto frontal de servicio | ¿Quién lo usa y bajo qué cuenta? | Protegido con contraseña; la política decide si se deshabilita |
| Puertos Ethernet de la red de proceso o de estación | ¿Cuáles llevan tráfico del proyecto? | Los que no se usan, apagados; los usados, en la VLAN o zona que corresponde |
| Puertos serie | ¿Hay un enlace serie real? | Si no, deshabilitados |
| Puerto USB | ¿Se necesita para mantenimiento? | Controlado por política de medios extraíbles |
| Puertos lógicos | ¿Qué servicio responde y quién lo consume? | Solo los que usa algún sistema documentado |
La norma NERC CIP-007 (gestión de la seguridad del sistema) pide habilitar solo los puertos lógicos necesarios y justificar los demás; la guía de ciberseguridad del CNO pide lo mismo para los puertos y servicios de los puntos de acceso del perímetro. Vea Acuerdo CNO 1960.
2. Servicios y protocolos
Los fabricantes entregan los IED con muchos servicios disponibles para facilitar la puesta en servicio. Se agrupan en tres familias:
- Operación: los protocolos con los que el equipo habla con el SCADA y con otros IED, como IEC 61850, DNP3, IEC 60870-5-104 o Modbus. Se dejan los que usa el proyecto, y solo hacia los destinos previstos.
- Gestión: acceso web, transferencia de archivos, terminal de comandos, SNMP y sincronización de tiempo. Aquí están los mayores riesgos si el servicio no cifra o no autentica.
- Mantenimiento y diagnóstico: puertos de pruebas, servicios del fabricante y descargas de ajustes y de eventos.
Una regla práctica: los servicios de gestión que viajan sin cifrar (terminal remota sin cifrado, transferencia de archivos sin cifrado, acceso web sin TLS) se sustituyen por su versión cifrada si el modelo la ofrece, o se apagan. Para el SCADA, IEC 104 y DNP3 con TLS describen cómo protegerlos. Para GOOSE y valores muestreados, que no viajan por TCP, la protección se plantea distinta; vea seguridad de GOOSE y Sampled Values.
Si el IED también expone un servicio que otra aplicación necesita, no se cierra a ciegas: se confirma con quien lo consume y, si es necesario, se restringe por origen en el firewall o en el switch.
3. Cuentas y roles
El inventario de cuentas responde cuatro preguntas:
- ¿Qué cuentas existen? Incluya las de fábrica y las de servicio que no figuran en ninguna lista.
- ¿Quién las usa? Cada cuenta, una persona o un sistema identificado.
- ¿Qué puede hacer cada una? Consultar, operar, ajustar o administrar son cosas distintas; el rol más bajo que alcance para la función.
- ¿Cuándo se revisó por última vez? La guía del CNO pide revisar las listas de acceso cada seis meses.
La separación de roles de IEEE 1686 y IEC 62351-8 evita que quien consulta eventos pueda cambiar un ajuste. Los detalles sobre niveles y contraseñas por fabricante están en niveles de acceso y contraseñas de relés. Un IED que solo admite cuentas compartidas se compensa con una lista de quién las conoce y con acceso únicamente desde una ruta que sí identifica a cada persona. La gestión de cuentas (una por persona, roles, rotación y baja) se detalla en cuentas y contraseñas en IED.
4. Registro de eventos
Un IED endurecido deja rastro de lo que le ocurre en materia de seguridad. Se revisa si registra, como mínimo:
- Accesos exitosos y fallidos.
- Cambios de ajustes y de configuración, con la cuenta que los hizo.
- Reinicios y cambios de estado.
Además hay que preguntar adónde va el registro. Si queda solo dentro del equipo, se pierde cuando su memoria se llena o cuando alguien lo borra. Por eso se envía, donde el modelo lo permite, a un sistema central (SNMP y syslog) y se sincroniza la hora del IED con el reloj de la subestación (sincronización de tiempo). Sin hora confiable, el registro no permite reconstruir el orden de los hechos. La capacidad de detectar y vigilar eventos es una de las áreas que cubre CIP-007.
5. Firmware
El firmware es parte de la superficie de ataque. El inventario debe registrar la versión de cada IED y compararla con los avisos de seguridad del fabricante. Actualizar un relé es una intervención de protección, no un parche de oficina: se respalda la configuración, se hace en ventana acordada y se verifica la función después. El método está en parches y firmware en relés e IED.
Cómo se documenta el resultado
El producto del bastionado de un IED es una ficha con el modelo, la versión de firmware, los puertos habilitados y su justificación, los servicios activos, las cuentas y roles, el destino del registro y la fecha de la última revisión. La ficha sirve de línea base: cualquier cambio posterior se compara con ella. Es la evidencia que piden las auditorías y la que se usa en pruebas de ciberseguridad en FAT y SAT.
Qué no hacer
- No cerrar un servicio porque «parece que no se usa»: confirme con quien opera el SCADA y la sincronización.
- No hacer el cambio en el equipo en servicio sin respaldo previo ni verificación funcional posterior.
- No dejar las credenciales de fábrica «mientras termina la puesta en servicio».
- No tratar una exploración de red como inofensiva en equipos antiguos.
Cómo le ayudamos
Hacemos el bastionado de los IED de subestaciones, industrias y plantas solares y entregamos la ficha de cada equipo como evidencia, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. En relés y controladores lo hacemos también con la configuración remota de relés. Cuéntenos marca, modelo y versión de sus equipos.
Guías relacionadas
- Endurecimiento de relés, switches e IED
- IEEE 1686: requisitos de ciberseguridad de los IED
- Niveles de acceso y contraseñas de relés
- Parches y firmware en relés e IED
- NERC CIP: qué exige cada norma
- Cuentas y contraseñas en IED: roles y rotación
Referencias
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- NERC CIP-007, Cyber Security – System Security Management.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad.
Preguntas frecuentes
¿Cómo sé qué servicios tiene abiertos un IED?
Se parte de la hoja de datos y del manual del fabricante, que enumeran los protocolos y servicios del modelo, y se compara con lo que realmente responde en la red del equipo. Lo que responde y el proyecto no usa, se cierra. Lo que se mide con una herramienta de exploración debe hacerse en ventana acordada, porque algunos equipos antiguos reaccionan mal.
¿Es seguro apagar todos los puertos que no uso?
Es lo recomendable, con una verificación funcional posterior. Antes de cerrar un puerto o un protocolo hay que confirmar que ningún sistema lo usa: el SCADA, el gestor de eventos, la sincronización de tiempo o el acceso de mantenimiento. Un cierre sin esa comprobación puede dejar la bahía sin una señal.
¿Qué hago si el IED no permite cerrar un servicio?
Se documenta que no es técnicamente factible y se compensa desde fuera: segmentación, firewall o filtro en el switch, acceso solo por una ruta controlada y monitoreo del tráfico. Es lo que contempla la guía de ciberseguridad del CNO, y conviene incluir el equipo en el plan de modernización.