Un centro de control recibe datos de subestaciones y otros centros mediante protocolos como IEC 101/104, DNP3, ICCP/TASE.2 y OPC, y desde él se envían mandos. Su ciberseguridad combina un perímetro electrónico con segmentación, acceso remoto seguro, seguridad física, gestión de puertos, parches y código malicioso, monitoreo de eventos y planes de respuesta y recuperación. NERC CIP-012 añade la protección de los datos que se intercambian entre centros de control.
Qué hace un centro de control y por qué es un objetivo
El centro de control concentra los datos de subestaciones, plantas y otros centros, y desde él se ordenan maniobras sobre equipos de la red. Su sistema SCADA adquiere y presenta los datos, y el EMS (sistema de gestión de energía) los usa para análisis y control del sistema. Si un atacante lo compromete, puede ver el estado de la red, alterar lo que el operador ve o enviar mandos. Qué aporta un gemelo digital a un centro de control, y cuáles son sus límites, se explica en gemelo digital en centros de control.
Por eso la ciberseguridad de un centro de control se diseña con requisitos de disponibilidad e integridad por encima de la confidencialidad: es más grave perder o falsear un dato en tiempo real que revelarlo.
Protocolos de comunicación
| Protocolo | Uso típico |
|---|---|
| IEC 60870-5-101 | Comunicación serie entre el centro y las remotas de campo |
| IEC 60870-5-104 | Extensión de la 101 sobre redes Ethernet y TCP/IP; habitual para el enlace al centro |
| DNP3 | RTU, IED y estaciones maestras; de uso muy extendido en Norteamérica |
| ICCP / IEC 60870-6 TASE.2 | Intercambio de datos en tiempo real entre centros de control |
| OPC | Interfaz común para que aplicaciones intercambien datos dentro del centro |
Muchos de estos protocolos se diseñaron antes de las amenazas actuales y no cifran ni autentican por sí mismos. Para los que lo permiten, la serie IEC 62351 define cómo añadir seguridad: IEC 104 y DNP3 con TLS y MMS y TASE.2. El camino desde la subestación está en IEC 61850 hacia el centro de control.
Amenazas más frecuentes
- Phishing, que engaña a una persona para que revele credenciales o abra un enlace. La respuesta habitual incluye cambio de credenciales, evaluación del alcance y filtros anti correo no deseado.
- Ransomware, que cifra datos y exige un pago por recuperarlos. Se reduce con parches, segmentación, aislamiento de redes, respaldos y restauración probada.
- Amenazas persistentes avanzadas (APT), que operan de forma sigilosa por múltiples vías durante mucho tiempo y exigen herramientas de detección específicas.
- Fallas de gestión: configuraciones de fabricante sin administrar, permisos mal asignados, falta de gestión de vulnerabilidades.
Los ataques de 2015 y 2016 a la red eléctrica de Ucrania mostraron que se puede llegar a manipular subestaciones a través de la red de TI y de las credenciales de operadores. Es la razón de separar TI y OT. Los casos reales y los patrones que se repiten están en tendencias de ciberataques al sector eléctrico.
Controles de un centro de control
Las áreas de análisis, tomadas de los requisitos NERC CIP, son:
| Área | Qué abarca |
|---|---|
| Perímetro electrónico | Segmentación con firewalls y DMZ; acceso solo por puntos definidos |
| Acceso remoto seguro | VPN con doble factor; sesiones intermedias, no acceso directo a los equipos |
| Seguridad física | Acceso al hardware, control de visitantes, mantenimiento |
| Puertos y servicios | Solo los necesarios habilitados |
| Parches | Proceso para evaluar y aplicar actualizaciones |
| Código malicioso | Antivirus, listas blancas, monitoreo de integridad de archivos |
| Monitoreo de eventos | Registros centralizados y revisados |
| Control de acceso | Directorio de usuarios, contraseñas, roles |
| Incidentes y recuperación | Plan de respuesta y respaldos probados |
- Subestaciones y otros centros
- Enlace con protocolo seguro (TLS o canal protegido)
- Firewall y DMZ del centro de control
- Servidores SCADA/EMS en zona de operación
- Puesto del operador
Monitoreo sin abrir una puerta nueva
Un centro de operaciones de seguridad (SOC) vigila la plataforma: monitoreo, correlación de eventos, gestión de incidentes, análisis de vulnerabilidades y alertas tempranas. En OT hay que hacerlo sin alterar el SCADA. Una arquitectura habitual usa redes y equipos independientes, puertos espejo en los switches, colectores y sondas, y comunicaciones en un solo sentido hacia el SOC. Se vigilan también los enlaces 104 e ICCP. La base conceptual está en monitoreo de seguridad de red IEC 62351-7.
Comunicaciones entre centros de control: CIP-012
El estándar CIP-012 trata las comunicaciones entre centros de control. Pide un plan para mitigar los riesgos de ciberseguridad de los datos transmitidos entre ellos. En la práctica, se identifican los enlaces y los datos que se intercambian (por ejemplo, por ICCP) y se define cómo se protegen su integridad y autenticidad, y cómo se detecta su pérdida. Es el requisito más cercano a IEC 62351-4. La protección de los datos en tiempo real entre centros de control que pide CIP-012 está en NERC CIP-012: comunicaciones entre centros de control.
Errores frecuentes
- Una sola red para oficina y operación.
- Acceso remoto de proveedores sin sesión intermedia ni doble factor.
- Enlaces ICCP o 104 sin cifrar y sin monitoreo.
- Cuentas compartidas en los puestos de operación.
- Parches aplicados sin pruebas o nunca aplicados.
- Respaldos sin restauración probada.
Cómo podemos ayudarle
En Tiza Group evaluamos la arquitectura de su centro de control y de los enlaces con subestaciones frente a NERC CIP y la guía del CNO, con una evaluación de brechas, y le apoyamos en la implementación dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Escríbanos con el alcance de su proyecto.
Guías relacionadas
- IEC 61850 hacia el centro de control
- IEC 62351-4: MMS y TASE.2
- IEC 104 y DNP3 seguros
- Acceso remoto seguro a subestaciones
- NERC CIP: qué exige
- Acuerdo CNO 1960
- Tendencias de ciberataques al sector eléctrico
- NERC CIP-012: comunicaciones entre centros de control
- Gemelo digital en centros de control
Referencias
- NERC, CIP-005, CIP-006, CIP-007 y CIP-012.
- IEC 60870-5-101/-104, IEC 60870-6 (TASE.2) e IEC 62351.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025.
Preguntas frecuentes
¿Qué protocolos comunican un centro de control con las subestaciones?
Los más usados son IEC 60870-5-101 (serie), IEC 60870-5-104 (sobre TCP/IP) y DNP3. Entre centros de control se usa ICCP, también llamado IEC 60870-6 TASE.2. OPC se usa para integrar aplicaciones dentro del propio centro.
¿Qué cubre CIP-012?
Pide un plan para mitigar los riesgos de ciberseguridad de los datos transmitidos entre centros de control. No pide un mecanismo único: el plan describe cómo se protege la confidencialidad, integridad y disponibilidad de esos datos.
¿Por qué el monitoreo de un centro de control se hace con una arquitectura independiente?
Para no alterar los segmentos del SCADA. Se usan puertos espejo en los switches, colectores y comunicaciones en un solo sentido hacia el centro de operaciones de seguridad, de modo que el monitoreo no abre una vía de entrada a la red de operación.