El controlador de planta (PPC) decide cuánta potencia activa y reactiva entrega toda la planta y recibe consignas del operador; el SCADA concentra mandos, alarmas e históricos y es el puente con el centro de control. Por eso son los activos más sensibles de una planta solar. Se protegen con una zona de control propia separada por firewall, cuentas individuales por rol, registro de eventos de seguridad, respaldo de la configuración aprobada y un enlace con el centro de control por conducto propio, con TLS e IEC 62351 donde los equipos lo admiten.
Por qué son los activos más sensibles
En una planta solar, cada inversor decide su propia potencia. El controlador de planta (PPC) decide la de toda la planta: mide en el punto de conexión, recibe consignas del operador y del centro de control y reparte órdenes de potencia activa y reactiva a los inversores para cumplir el código de red. El SCADA concentra mandos, alarmas e históricos de la planta y su subestación, y a través de su gateway la planta envía al centro de control las señales que este supervisa.
Esa posición los vuelve críticos desde la ciberseguridad. Quien cambia una consigna o un ajuste de control en el PPC cambia el comportamiento de la planta completa en el punto de conexión. Quien entra al SCADA puede ver y, según sus permisos, maniobrar. Y como ambos se comunican hacia fuera, son la frontera natural entre la red de la planta y el resto del mundo. Cómo funciona el PPC se explica en el controlador de planta solar, y la supervisión ante el CND en supervisión SCADA y PMU de plantas renovables.
Zonas y conductos
La serie IEC 62443 propone separar los equipos en zonas según su necesidad de seguridad y controlar todo el tráfico entre ellas por conductos. Para el PPC y el SCADA, una partición razonable es:
| Zona | Equipos | Comunica con |
|---|---|---|
| Control de planta | PPC, controladores de inversores, medidor del punto de conexión | Inversores (campo) y SCADA |
| Subestación | Relés, controladores de bahía, gateway | SCADA y centro de control |
| Estación | Servidores SCADA, HMI, historiador, reloj | Zonas de control y subestación; DMZ |
| DMZ | Servidor de salto, réplica del historiador, salida a nubes | Exterior y estación, nunca directo a control |
| Corporativa y vigilancia | Oficina, cámaras | Solo con la DMZ |
El enlace con el centro de control va por un conducto propio, que no comparte camino con la oficina ni con la salida a internet. Los firewalls entre zonas solo dejan pasar los flujos documentados: por ejemplo, del SCADA al PPC las variables y mandos previstos, y nada desde la red de cámaras. El equipo que lo hace posible se describe en router y firewall industrial.
Controles sobre el PPC y el SCADA
IEC 62443-3-3 agrupa los requisitos de seguridad de un sistema en siete requisitos fundamentales. Llevados al PPC y al SCADA, se traducen así:
- Identificación y autenticación. Cuentas individuales, sin las credenciales de fábrica; autenticación fuerte para el acceso remoto.
- Control de uso. Roles que separan ver, operar, cambiar consignas locales y cambiar ajustes de control; cuentas de integrador y fabricante activadas solo para cada intervención.
- Integridad del sistema. Firmware y aplicaciones de origen verificado; control de cambios sobre la lógica y los ajustes de control.
- Confidencialidad de los datos. Cifrado donde el protocolo y los equipos lo admiten, en especial fuera de la planta.
- Flujo restringido de datos. Las zonas y conductos de la tabla anterior.
- Respuesta oportuna a eventos. Registro de accesos, cambios de consigna, cambios de ajuste y mandos, con hora sincronizada, enviado a un lugar donde alguien lo revisa.
- Disponibilidad. Respaldo de la configuración aprobada, redundancia donde el diseño la pide y un comportamiento definido del PPC y de los inversores si se pierde la comunicación.
Ese último punto es a la vez de seguridad y de operación: los fabricantes definen qué hace el inversor cuando deja de recibir consignas, y ese comportamiento debe estar ajustado y probado.
El enlace con el centro de control
La supervisión y el control desde el centro de control suelen viajar por IEC 60870-5-104. Para protegerlo hay dos niveles:
- Con las normas de seguridad del protocolo. IEC 62351-3 aplica TLS a los protocolos sobre TCP/IP, e IEC 62351-5, en su edición de 2023, define la seguridad para IEC 60870-5 con intercambio de datos seguros y cifrado autenticado; su aplicación a 101 y 104 está en IEC TS 60870-5-7. IANA tiene registrado un puerto propio para la versión segura de 104. El detalle está en IEC 62351 y en IEC 104 y DNP3 seguros.
- Con la red. Mientras el gateway o el centro de control no admitan la versión segura, el enlace va por un conducto propio, el firewall solo acepta las direcciones de los maestros autorizados, se usa VPN si el camino es una red pública y se registran las conexiones.
Respaldo y control de cambios
La configuración aprobada del PPC (consignas, modos de control, estatismos, rampas) es la que se probó con el operador. Debe estar respaldada y comparada después de cada intervención. Lo mismo vale para la base de datos del SCADA y la configuración del gateway: una señal mal mapeada hacia el centro de control es un problema de operación, y un cambio sin registro es también un problema de seguridad. El método se describe en gestión de configuración de IED y SCD.
Qué pide la regulación
La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, considera activos críticos, entre otros, los grupos de generación de 20 MW o más y los centros de control de los generadores. Dentro de esas plantas, el PPC, el SCADA y el gateway son ciberactivos críticos típicos: usan protocolos enrutables y son esenciales para operar la planta. La guía les exige perímetros de seguridad lógica, solo los puertos y servicios necesarios, monitoreo de accesos, control de cambios y de configuraciones, respaldos verificados y un acceso remoto por sistema intermedio con doble factor. Un incidente que los afecte se reporta según el Acuerdo CNO 2188 de 2026.
Errores frecuentes
- El PPC en la misma red que las cámaras o que la oficina.
- Una sola cuenta de administrador compartida por operación, integrador y fabricante.
- El gateway 104 aceptando conexiones de cualquier dirección.
- Sin respaldo de los ajustes de control que se probaron con el operador.
- Registros que nadie revisa o que se pierden al reiniciar el equipo.
Le ayudamos con su planta
En Tiza Group configuramos el PPC, el SCADA y los gateways de plantas solares, sus zonas y firewalls, sus cuentas y registros y el enlace con el centro de control, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Los relés y controladores de la subestación de conexión los configuramos también a distancia con la configuración remota de relés, en sesiones que usted autoriza y quedan registradas. Escríbanos con la arquitectura de control de su planta.
Guías relacionadas
- Controlador de planta solar (PPC): qué es y qué controla
- Supervisión SCADA y PMU de plantas renovables ante el CND
- IEC 60870-5-104: qué es, cómo funciona y cómo se prueba
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Comunicaciones de una planta solar
- IEC 104 y DNP3 seguros: TLS e IEC 62351-3 y -5
- Ciberseguridad de plantas solares: riesgos y controles
- Ciberseguridad de un BESS: BMS, PCS y EMS
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad (Anexo 1, capítulos 6 y 7; Anexo 2).
- Consejo Nacional de Operación, Acuerdo 2188 de 2026, procedimiento y formato de reporte de incidentes cibernéticos.
- IEC 62443-3-3:2013, System security requirements and security levels.
- IEC 62351-3:2023, perfiles que incluyen TCP/IP; IEC 62351-5:2023, seguridad para IEC 60870-5 y derivados.
- IEC TS 60870-5-7, extensiones de seguridad para IEC 60870-5-101 y -104.
Preguntas frecuentes
¿Por qué el PPC es más crítico que un inversor?
Porque un inversor controla su propia potencia y el PPC controla la de toda la planta. Un cambio indebido en sus consignas o en sus ajustes de control de tensión y frecuencia afecta a la planta completa en el punto de conexión, que es justamente lo que el operador supervisa y lo que el código de red exige.
¿Se puede cifrar el enlace IEC 104 con el centro de control?
La norma existe: IEC 62351-3 aplica TLS a los protocolos sobre TCP/IP e IEC 62351-5 define la seguridad de IEC 60870-5, con su aplicación a 104 en IEC TS 60870-5-7. Que se pueda usar depende de que el gateway de la planta y el centro de control lo admitan. Mientras tanto, el enlace se protege por un conducto propio, con firewall que filtra por dirección y VPN si viaja por una red pública.
¿Quién debe tener cuentas en el PPC?
Solo las personas que lo operan o lo mantienen, cada una con su cuenta y un rol que limite lo que puede hacer: ver, operar, cambiar consignas locales o cambiar ajustes de control. Las cuentas del integrador y del fabricante se activan para cada intervención y se revisan periódicamente.