Endurecer un equipo es dejarlo con solo lo que necesita para su función: sin credenciales de fábrica, con cuentas por persona y por rol, con los puertos y servicios que no se usan cerrados, con su registro de eventos enviado a donde alguien lo revisa, con firmware gestionado y con su configuración aprobada guardada como línea base. Se aplica a relés, controladores de bahía, switches, gateways, relojes y firewalls, cada uno según lo que permita su modelo. IEEE 1686 e IEC 62443-4-2 dicen qué capacidades debe traer el equipo; la configuración la decide el propietario.
Qué es endurecer un equipo
Un relé, un switch o un gateway salen de fábrica preparados para muchos usos: varios protocolos activos, servidores web y de transferencia de archivos encendidos, cuentas con contraseñas conocidas, puertos frontales disponibles. Esa flexibilidad facilita la puesta en servicio, pero cada servicio activo que el proyecto no usa es una puerta abierta. Endurecer (en inglés, hardening) es dejar el equipo con solo lo que necesita para su función y con los controles de seguridad que trae configurados.
No es una tarea única ni genérica. Lo que se puede endurecer depende del modelo y del firmware, y lo que se debe endurecer depende de la función del equipo y de la zona en que está.
Qué dicen las normas
IEEE 1686-2022 fija las capacidades de ciberseguridad que debe ofrecer un IED: control de acceso, roles, registro de auditoría, alarmas, control de la configuración y del firmware, y la posibilidad de deshabilitar puertos y servicios. IEC 62443-4-2:2019 fija los requisitos técnicos de los componentes de un sistema de automatización y los organiza por tipo: aplicaciones de software, dispositivos embebidos, dispositivos de cómputo y dispositivos de red. Un relé es normalmente un dispositivo embebido; un switch, un dispositivo de red.
Ninguna de las dos dice cómo configurar un equipo concreto. Dicen qué capacidades debe traer; el propietario, con su política, decide cómo usarlas. Por eso en la especificación conviene pedir la declaración de cumplimiento por requisito, como se explica en IEEE 1686.
Los controles, equipo por equipo
| Control | Relés y controladores de bahía | Switches | Gateways y RTU | Relojes y firewalls |
|---|---|---|---|---|
| Credenciales de fábrica | Cambiadas en todos los niveles | Cambiadas, incluida la cuenta de servicio | Cambiadas | Cambiadas |
| Cuentas y roles | Por persona donde el modelo lo admite; si no, por nivel con lista de autorizados | Administración solo por cuentas nominales | Separar operación y configuración | Administración nominal |
| Puertos de red y servicios | Solo los protocolos del proyecto; servidores web, de archivos o de terminal sin cifrado, apagados si no se usan | Puertos sin uso deshabilitados; administración en una VLAN propia | Solo los enlaces documentados con el SCADA y el centro de control | Solo los servicios de sincronización y administración necesarios |
| Puertos físicos | Puerto frontal protegido por contraseña o deshabilitado según la política | Consola protegida | Consola protegida | Consola protegida |
| Registro | Accesos, fallos, cambios de ajuste y de configuración, con hora sincronizada | Syslog y SNMPv3 hacia el sistema de supervisión | Conexiones y cambios | Cambios de reglas y de configuración |
| Aviso de uso | Mensaje de uso autorizado donde el equipo lo permite | Mensaje en la consola y en la administración | Igual | Igual |
| Firmware | Versión registrada en el inventario y gestionada | Igual | Igual | Igual |
| Línea base | Ajustes y configuración aprobados, respaldados | Configuración respaldada | Base de datos y configuración respaldadas | Reglas respaldadas |
Algunas notas sobre la tabla:
- Cuentas. El detalle de niveles, contraseñas y lo que permite cada fabricante está en niveles de acceso y contraseñas de relés. Cuando el relé admite autenticación centralizada, las cuentas se gestionan en un solo lugar, con los roles que define el control de acceso por roles de IEC 62351-8.
- Switches. La supervisión con SNMPv3 y syslog se explica en supervisión de la red de subestación. Cerrar puertos sin uso evita que alguien conecte un portátil en un puerto libre del tablero.
- Aviso de uso. IEC 62443-4-2 incluye entre sus requisitos de identificación y autenticación la notificación de uso del sistema: el mensaje que advierte, antes de entrar, que el acceso está restringido.
- Hora. Un registro sin hora confiable no sirve para reconstruir lo que pasó. Los equipos se sincronizan con el reloj de la subestación, como se explica en sincronización de tiempo.
Cómo se hace sin afectar la protección
- Inventario. Modelo, firmware, servicios activos y cuentas
- Propuesta. Qué se cierra, qué se cambia y qué no admite el modelo
- Respaldo. Configuración y ajustes actuales
- Aplicación. En ventana acordada con la operación
- Verificación funcional. Protecciones, mandos, GOOSE, señales al SCADA
- Línea base. Nueva configuración aprobada y documentada
El paso que más se olvida es la verificación. Un servicio cerrado que usaba el SCADA, una VLAN cambiada que transportaba mensajes GOOSE o una cuenta bloqueada que usaba un proceso de descarga de eventos dejan la bahía sin una función sin que nadie lo note hasta el siguiente evento. Por eso el endurecimiento se trata como cualquier cambio de configuración, con el método de gestión de configuración de IED y SCD.
Cuando el equipo no lo permite
Los equipos antiguos a menudo no admiten cuentas individuales, registro exportable ni cierre de servicios. La respuesta no es dejar el control sin aplicar, sino documentar la limitación y compensarla: segmentación más estricta, acceso solo por una ruta que sí identifica a cada persona, contraseñas distintas por equipo y por nivel con la lista de quién las conoce, y vigilancia del tráfico. La Guía de Ciberseguridad del CNO admite controles compensatorios con monitoreo cuando un control no es técnicamente factible, y la rutina RO-CB.BR.01 del ONS de Brasil pide, cuando no hay credenciales individuales, una lista de las personas autorizadas a usar las cuentas compartidas.
Qué pide la regulación
La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, exige habilitar solo los puertos y servicios necesarios, revisar las listas de acceso cada seis meses, controlar cambios y configuraciones y tener una línea base de los puntos de acceso al perímetro. En Norteamérica, NERC CIP-007-6 pide habilitar solo los puertos de red necesarios, cambiar las contraseñas por defecto y registrar accesos e intentos fallidos. En Brasil, la rutina del ONS pide patrones de configuración segura para firmware y sistemas, con mecanismos para vigilar que se cumplan.
Configuramos sus equipos
En Tiza Group endurecemos relés, controladores de bahía, gateways y switches de subestaciones, industrias y plantas solares: cuentas, roles, puertos, servicios, registros y línea base, con verificación funcional de cada bahía, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. En relés y controladores lo hacemos también a distancia con la configuración remota de relés, en sesiones que usted autoriza y quedan registradas. Cuéntenos marca, modelo y versión de sus equipos.
Guías relacionadas
- IEEE 1686: requisitos de ciberseguridad de los IED
- Niveles de acceso y contraseñas de relés de protección
- Supervisión de la red de subestación: SNMP y syslog
- Gestión de configuración: versiones de ajustes y del SCD
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Parches y firmware en relés e IED: cómo gestionarlos
- Control de acceso por roles en IED: IEC 62351-8
Referencias
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- IEC 62443-4-2:2019, Technical security requirements for IACS components.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad (Anexo 1, capítulos 6 y 7).
- NERC CIP-007-6, Cyber Security – System Security Management.
- ONS, Rotina Operacional RO-CB.BR.01, revisão 00, numerales 4.3.3 y 4.5.1.1.
Preguntas frecuentes
¿El endurecimiento puede afectar la protección?
Puede, si se hace sin criterio. Cerrar un servicio que usa el SCADA, cambiar una configuración de red que transporta GOOSE o bloquear una cuenta que usa un proceso automático deja la bahía sin una función. Por eso cada cambio se respalda antes y se termina con una verificación funcional de protecciones, mandos y señales.
¿Qué hago con un relé que no admite cuentas individuales?
Se documenta la limitación y se compensa: contraseñas distintas por nivel y por equipo, lista de las personas autorizadas a usarlas, acceso solo desde una ruta controlada que sí identifica a cada persona y registro en esa ruta. Es lo que piden la guía del CNO y la rutina del ONS de Brasil cuando un control no es técnicamente posible.
¿Cada cuánto se revisa un equipo endurecido?
Después de cada intervención y periódicamente. Se compara su configuración con la línea base aprobada para detectar cambios no autorizados o servicios reabiertos, y se revisan las cuentas activas. La guía del CNO, por ejemplo, pide revisar las listas de acceso cada seis meses.