La configuración remota de relés es segura cuando el acceso está cifrado, separado de las redes de oficina y de internet, se abre solo cuando el dueño lo autoriza y para una tarea concreta, cada persona tiene su propia cuenta con permisos limitados y cada sesión queda registrada. Las normas de referencia son IEC 62351 para las comunicaciones, IEC 62443 para zonas y conductos e IEEE 1686 para las capacidades de seguridad de los relés; en Colombia, los agentes del SIN siguen la Guía de Ciberseguridad del CNO.
La pregunta correcta
Casi todo jefe de mantenimiento hace la misma pregunta antes de contratar un servicio remoto: «¿no estoy abriendo una puerta a mi subestación?». Es una buena pregunta. La respuesta corta es que el riesgo no está en lo remoto, sino en cómo se hace el acceso: un portátil con un módem conectado al puerto del relé es un riesgo; un conducto cifrado, autorizado caso por caso y registrado, es una práctica que recogen las normas del sector.
Esta guía explica, en términos generales, qué debe tener un servicio de configuración remota de relés para ser seguro y qué preguntar al contratarlo. No describe arquitecturas internas de ningún proveedor: eso, con razón, nadie debería publicarlo.
Las normas de referencia
| Norma | Qué protege |
|---|---|
| IEC 62351 | Los mensajes de los protocolos del sector: TLS para MMS e IEC 60870-5-104, autenticación de GOOSE, control de acceso por roles (parte 8) y gestión de claves y certificados (parte 9) |
| IEC 62443 | El sistema: lo divide en zonas y conductos, asigna niveles de seguridad y fija requisitos a los componentes |
| IEEE 1686 | Las capacidades de seguridad que debe tener un IED: control de acceso, configuración, firmware y registro de auditoría |
Se usan juntas: IEC 62351 protege lo que viaja, IEC 62443 organiza dónde puede viajar y IEEE 1686 dice qué debe saber hacer el relé. El detalle técnico está en IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3.
En Colombia: la Guía de Ciberseguridad del CNO
El Consejo Nacional de Operación actualizó su Guía de Ciberseguridad con el Acuerdo 1960 de 2025, que sustituyó al Acuerdo 1502 de 2021. Aplica a los agentes de generación, transmisión y distribución y al operador del SIN. Entre sus temas están la gestión del acceso físico y lógico al perímetro de seguridad, las conexiones temporales, el monitoreo de eventos, la respuesta a incidentes y la gestión del riesgo de la cadena de suministro, incluidos los proveedores y contratistas que intervienen los activos.
Si usted es agente del SIN, el proveedor de un servicio remoto entra en ese marco: su acceso debe poder encajar en sus procedimientos, no saltárselos.
Si su instalación es industrial o un autogenerador que no es agente, la guía no le obliga de la misma forma, pero sus principios son una buena lista de comprobación: saber qué activos son críticos, quién puede entrar a ellos, por dónde y cómo se detecta y se responde a un acceso no esperado.
Cinco principios de un acceso remoto seguro
1. Segmentación
El relé no se conecta directamente a la red de oficina ni a internet. La red de la subestación es una zona propia y el acceso remoto llega por un conducto controlado en el borde, normalmente por un router y firewall industrial, que solo deja pasar lo necesario hacia los equipos autorizados.
2. Cifrado y autenticación
Todo el tráfico va cifrado y cada extremo se autentica. Las credenciales por defecto de fábrica se cambian, y donde el relé y el protocolo lo permiten se usan las capacidades de IEC 62351 y las cuentas individuales que describe IEEE 1686.
3. Acceso solo cuando está autorizado
El acceso no queda abierto de forma permanente. Se habilita cuando el dueño de la instalación lo autoriza, para una tarea y una ventana concretas, y se cierra al terminar. Quien controla esa apertura es usted, no el proveedor.
4. Mínimo privilegio
Cada persona tiene su propia cuenta y solo los permisos que necesita. Leer eventos y oscilografías no requiere los mismos permisos que cambiar ajustes, y un cambio de ajustes debería seguir el mismo control de cambios que se aplica en sitio.
5. Registro y trazabilidad
Cada sesión queda registrada: quién entró, cuándo, a qué equipo y qué cambió. Ese registro le sirve a usted en una auditoría y al proveedor para demostrar que hizo exactamente lo autorizado. El relé guarda su propio registro de cambios y eventos; el equipo de borde, el de las conexiones. Antes y después de cada cambio se guarda una copia de los ajustes para poder comparar o volver atrás.
Qué debe tener listo usted
- Una persona responsable que autorice cada intervención.
- El procedimiento interno de acceso de terceros y de control de cambios, si existe; si no, es un buen momento para escribirlo.
- La lista de equipos que se van a intervenir, con marca y modelo.
- El estudio de ajustes vigente, para que todo cambio quede trazado contra él.
- Si es agente del SIN, cómo encaja el acceso en su programa de cumplimiento de la Guía de Ciberseguridad del CNO.
Señales de alerta al contratar
- El proveedor pide acceso permanente «para no molestarlo».
- Propone usar software de escritorio remoto genérico sobre un computador de la subestación conectado a internet.
- Cuentas compartidas o contraseñas de fábrica sin cambiar.
- No hay registro de quién hizo qué, ni copia de los ajustes antes del cambio.
- No puede explicar en términos generales cómo segmenta, cifra y autoriza.
- Promete que el remoto reemplaza las pruebas en sitio. No es así: las pruebas de puesta en servicio y de inyección se hacen en sitio.
Qué entregables pedir después de cada intervención
- Descripción de la tarea autorizada, fecha y duración de la sesión.
- Ajustes antes y después, con las diferencias resaltadas.
- Archivos de eventos u oscilografías descargados, si fue un análisis. Vea reporte de eventos y secuencia de eventos.
- Confirmación de cierre del acceso.
- Recomendación de prueba en sitio cuando el cambio lo amerite.
Configuramos sus relés de forma remota
Nuestro equipo configura protecciones, reconectadores, control y comunicaciones a distancia en Colombia y Latinoamérica, con acceso cifrado, abierto solo con su autorización y con un registro de quién cambió qué y cuándo. Es útil para cambios de ajustes, análisis de disparos (vea diagnóstico de disparos de protección) y soporte durante la operación. Conozca la configuración remota de relés y cuéntenos marca y modelo de sus equipos por contacto.
Guías relacionadas
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Router y firewall industrial
- Enlaces de radio y celulares
- Reporte de eventos y secuencia de eventos
- Diagnóstico de disparos de protección
Referencias
- IEC 62351 (serie), Power systems management and associated information exchange — Data and communications security.
- IEC 62443 (serie), seguridad de sistemas de automatización y control industrial.
- IEEE 1686-2022, IEEE Standard for Intelligent Electronic Devices Cyber Security Capabilities.
- Acuerdo CNO 1960 de 2025, actualización de la Guía de Ciberseguridad (sustituye el Acuerdo 1502 de 2021).
Preguntas frecuentes
¿Abrir un acceso remoto a un relé lo expone a internet?
No tiene por qué. Un acceso bien hecho no deja el relé publicado en internet: pasa por un conducto cifrado, controlado por un equipo de borde, y solo se habilita cuando el dueño de la instalación lo autoriza.
¿Qué norma de ciberseguridad aplica a las subestaciones en Colombia?
Los agentes de generación, transmisión y distribución y el operador del SIN siguen la Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025. Las normas técnicas de referencia son IEC 62351, IEC 62443 e IEEE 1686.
¿Quién decide cuándo se abre el acceso remoto?
El dueño u operador de la instalación. El proveedor pide la intervención, el dueño la autoriza para una tarea y una ventana concretas, y al terminar el acceso se cierra.