IEC 62351-8 define el control de acceso basado en roles (RBAC) para la gestión de sistemas de potencia. Cada usuario se autentica y recibe uno o varios roles, y cada rol tiene permisos sobre los objetos del equipo: por ejemplo, un observador puede leer medidas y eventos pero no cambiar ajustes. Los roles viajan en un token de acceso emitido por una gestión central de identidades. La edición 2.0, de julio de 2026, agregó un perfil para obtener la información de roles desde un directorio LDAP.
Qué es el RBAC de IEC 62351-8
IEC 62351-8, Role-based access control for power system management, es la parte de la serie IEC 62351 que define cómo controlar el acceso a los equipos y aplicaciones del sistema de potencia según roles. El usuario se autentica, recibe uno o varios roles, y cada rol tiene permisos sobre los objetos del equipo: leer medidas, operar un interruptor, cambiar ajustes, administrar la seguridad.
La introducción de la norma explica el porqué. Si cada aplicación decide la autorización con su propia lógica, la empresa termina con un mosaico de mecanismos difícil de administrar. Si los equipos consultan una fuente confiable de roles, el acceso se controla de forma central y cada equipo solo verifica qué puede hacer quien se conecta.
La edición vigente es la 2.0, de julio de 2026, que reemplazó la de 2020. Sus cambios técnicos principales:
- Quitó del documento el mapeo de roles y permisos a objetos de un modelo de datos concreto, para permitir otros mapeos además de IEC 61850; esos mapeos van en documentos aparte.
- Definió combinaciones de roles y permisos («operationSet») para asignaciones más finas a los objetos.
- Simplificó la asignación de roles cuando se usan con distintos modelos de datos, con ejemplos.
- Incluyó un perfil nuevo para obtener la información de roles desde repositorios LDAP.
- Definió eventos de seguridad específicos a lo largo del documento.
Roles predefinidos y roles propios
La norma trae roles predefinidos, como VIEWER (observador) y SECADM (administrador de seguridad), y permite definir roles propios de cada empresa; uno de sus ejemplos es un rol de operador limitado a un registrador de fallas. Cada rol agrupa permisos, y la norma trata cuántos permisos y cuántos roles debe soportar un equipo y cómo se asignan.
En una subestación, una asignación razonable separa al menos:
| Quién | Qué necesita | Qué no debería poder hacer |
|---|---|---|
| Operador | Ver estados y medidas, mandar maniobras | Cambiar ajustes |
| Ingeniero de protecciones | Leer y cambiar ajustes, descargar registros | Administrar cuentas |
| Analista de eventos | Descargar oscilografías y eventos | Mandar maniobras o cambiar ajustes |
| Administrador de seguridad | Gestionar cuentas, roles y registros | Cambiar ajustes de protección |
La separación entre quien cambia ajustes y quien administra la seguridad es deliberada: ninguna persona sola puede cambiar una protección y borrar el rastro.
La norma también considera los estados de operación del equipo y la definición de eventos de seguridad al diseñar roles y permisos, para que un cambio de ajustes o un intento de acceso rechazado quede registrado.
Tokens de acceso y gestión central
En IEC 62351-8 el rol del usuario va en una estructura llamada token de acceso, creada y administrada por una gestión de identidades, que puede ser federada. Todos los tokens tienen un período de validez y vencen. Antes de verificar el token, el equipo autentica al usuario; después comprueba que el token sea íntegro, vigente, emitido por quien confía y que contenga un rol válido.
La edición de 2026 define cinco perfiles de token:
| Perfil | Cómo llega la información de roles |
|---|---|
| A | Certificado de clave pública X.509 |
| B | Certificado de atributos X.509 |
| C | JSON Web Token (JWT), obtenido con OAuth |
| D | Información entregada por un servidor RADIUS |
| E | Información de roles obtenida de un directorio LDAP |
Los tokens autocontenidos (los certificados y el JWT) permiten verificar localmente, sin consultar el servidor en cada acceso. Los perfiles RADIUS y LDAP consultan un repositorio central. La elección depende de lo que soporten los equipos y de la infraestructura de identidad que ya tenga la empresa.
- El ingeniero se conecta al relé
- Autenticación. El relé verifica la identidad del usuario
- Token de acceso. Rol emitido por la gestión central de identidades
- ¿El token es válido y el rol tiene el permiso? Sí: continúa; No: Acceso rechazado y evento de seguridad registrado.
- La acción permitida por su rol queda registrada
Cuentas individuales frente a cuentas compartidas
El problema que resuelve el RBAC en la práctica es la cuenta compartida: una contraseña de nivel de ajustes que conocen todos los ingenieros, contratistas incluidos, igual en todos los relés de la flota. Con ella no se sabe quién cambió un ajuste, y retirar el acceso a una persona obliga a cambiar la clave en todos los equipos.
La Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025) pide verificar al menos una vez al año el acceso y los privilegios de todas las cuentas y roles, bloquear los accesos en 24 horas tras una terminación laboral, revocar las cuentas en 30 días y cambiar en 30 días las contraseñas de cuentas compartidas que conocía la persona que sale o cambia de rol. Cuando un equipo no permite bloquear una cuenta compartida, exige documentarlo con su análisis de riesgos y controles compensatorios. Con RBAC central, esas obligaciones se cumplen desactivando a una persona en un solo lugar. Lo mismo vale para los contratistas que entran por el acceso remoto: una cuenta por persona, con el rol justo para su tarea.
Relación con IEEE 1686 e IEC 62443
IEEE 1686 fija las capacidades de control de acceso, auditoría y alarmas que debe traer un IED; IEC 62351-8 fija cómo se representan y se transportan los roles para que distintos fabricantes y sistemas centrales se entiendan. En IEC 62443, la identificación y autenticación y el control de uso son dos de los siete requisitos fundamentales, y el mapeo de permisos a roles aparece entre las capacidades de un componente de nivel SL 2. Las tres apuntan al mismo resultado: cada acción sobre un relé atribuible a una persona con permiso para hacerla.
Qué revisar al implementarlo
- Soporte real de cada IED: qué perfiles de token acepta, cuántos roles y permisos admite y si permite roles propios.
- Infraestructura de identidad disponible: directorio, servidor RADIUS o autoridad de certificados, y cómo se protege la comunicación con ella.
- Sincronización de tiempo, porque la validez de tokens y certificados depende de la hora.
- Cuentas de emergencia locales para cuando el servidor central no responde, con su control y registro.
- Registro de eventos de seguridad enviado a un servidor central.
- Pruebas en la puesta en servicio: cada rol solo puede hacer lo que tiene asignado.
Los niveles de acceso que traen hoy los relés más comunes están en niveles de acceso y contraseñas de relés, y el resto de la configuración segura de cada equipo (puertos, servicios, registros y línea base) en el endurecimiento de relés, switches e IED.
Configuramos cuentas y roles en sus relés
Nuestro equipo configura los niveles de acceso, las cuentas y los roles de sus relés, reconectadores y controladores, y deja documentado quién puede hacer qué. Lo hacemos a distancia con la configuración remota de relés, con sesiones que usted autoriza y quedan registradas, o en sitio con nuestro servicio de ciberseguridad de subestaciones y plantas, en subestaciones e industria. Cuéntenos marca y modelo por contacto.
Guías relacionadas
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Niveles de acceso y contraseñas de relés de protección
- IEEE 1686: requisitos de ciberseguridad de los IED
- Acceso remoto seguro a relés y subestaciones
- ¿Es segura la configuración remota de relés?
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Endurecimiento de relés, switches e IED: controles
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
Referencias
- IEC 62351-8:2026, ed. 2.0, Power systems management and associated information exchange – Data and communications security – Part 8: Role-based access control for power system management.
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- IEC 62443-4-2:2019, requisitos técnicos de seguridad de los componentes de IACS.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, numerales 5.6 a 5.8.
Preguntas frecuentes
¿Qué diferencia hay entre los niveles de acceso de un relé y el RBAC de IEC 62351-8?
Los niveles de acceso tradicionales suelen ser contraseñas por nivel, iguales para todos los que las conocen. IEC 62351-8 asocia los permisos a roles y los roles a personas identificadas, con tokens que vencen y que se administran desde un servidor central, de modo que se sabe quién hizo cada acción y se puede retirar un acceso sin cambiar la clave de todos.
¿Puedo usar IEC 62351-8 si mis relés no lo soportan?
No en esos equipos, pero puede acercarse a sus principios: cuentas individuales donde el relé las admita, autenticación centralizada en los equipos que la soporten, acceso por un servidor de salto con cuentas por persona y registro, y cambio de contraseñas compartidas cuando alguien deja de necesitar el acceso.
¿Qué pasa si el servidor de autenticación central no está disponible?
Depende del perfil. Con tokens autocontenidos, como los certificados, el equipo puede verificar el token localmente. Con perfiles que consultan un repositorio central, el diseño debe prever qué cuentas de emergencia locales existen, cómo se protegen y cómo queda registrado su uso.