Gestionar las cuentas de un IED es un ciclo, no un ajuste: inventariar las cuentas genéricas y por defecto, dar una cuenta a cada persona con el rol mínimo, tratar las cuentas compartidas como excepción documentada, rotar o centralizar las contraseñas, limitar los intentos fallidos y dar de baja los accesos al terminar un trabajo. La norma NERC CIP-007 sirve de lista de control para ese ciclo, aunque el relé no esté sujeto a ella.
Qué se gestiona realmente
La guía de niveles de acceso y contraseñas de relés explica por qué existen los niveles y por qué se cambian las contraseñas de fábrica. Esta trata lo que viene después: cómo se mantienen las cuentas durante la vida del equipo, cuando el personal cambia, llegan contratistas y pasan los años.
Un relé o un controlador tiene tres tipos de cuenta que conviene separar desde el inventario:
- Cuentas por defecto: las que trae de fábrica.
- Cuentas genéricas o compartidas: una contraseña para el nivel de operación o de ajustes que usan varias personas.
- Cuentas individuales: una por persona, con el rol que necesita.
El objetivo es que las dos primeras sean la excepción documentada y la tercera la regla.
Una lista de control tomada de CIP-007
La norma NERC CIP-007 (gestión de seguridad de sistemas) no se aplica a un relé de una planta industrial colombiana, pero su requisito de controles de acceso al sistema es una buena lista de control. En la edición que consultamos pide, para los sistemas que cubre, lo siguiente:
| Tema | Qué pide, en términos generales | Cómo se traduce en un IED |
|---|---|---|
| Autenticación | Un método que obligue a autenticar el acceso interactivo, donde sea técnicamente factible | Ningún nivel sin contraseña, en ningún puerto |
| Cuentas por defecto y genéricas | Identificar e inventariar las cuentas habilitadas | Una hoja con cada equipo, cuenta, nivel y responsable |
| Cuentas compartidas | Identificar quién tiene acceso autorizado a cada una | Lista de personas por cuenta |
| Contraseñas por defecto | Cambiar las conocidas, donde sea posible | Primer paso de la puesta en servicio |
| Parámetros de contraseña | Longitud mínima la que admita el equipo y complejidad mínima | Lo que el relé permita, y más largo si puede |
| Rotación | Cambio o exigencia de cambio al menos cada 15 meses calendario, donde solo hay contraseña | Calendario de rotación con evidencia |
| Intentos fallidos | Limitar los intentos o generar alertas tras un umbral | Bloqueo o alarma al SCADA |
La lista sirve aunque no haya auditoría: son los controles que más se pierden de vista con el tiempo.
Roles: pocos y claros
Un buen esquema de roles para IED suele reducirse a cuatro: lectura, operación, ajustes y administración. Lo que cambia es quién ocupa cada uno:
- Lectura: mantenimiento, análisis de eventos, personal de estudios.
- Operación: operadores autorizados; no necesitan el nivel de ajustes para reponer un relé tras un disparo.
- Ajustes: ingeniería de protecciones, con cambios registrados contra el estudio aprobado. Vea gestión de configuración de IED y SCD.
- Administración: muy pocas personas, con la capacidad de crear cuentas, cambiar la seguridad y actualizar firmware.
La norma IEC 62351-8 define el control de acceso por roles (RBAC) para sistemas de potencia, y IEEE 1686 los requisitos de seguridad del IED; ambas se tratan en las guías enlazadas al final. Si el equipo no admite roles, se aplica el mismo criterio con los niveles que tenga.
Rotación y centralización
Rotar contraseñas de decenas o cientos de IED a mano es el punto donde falla el programa. Tres salidas, de menor a mayor madurez:
- Gestor de contraseñas del propietario con acceso registrado y un calendario de cambio. Es la base y no depende del modelo de relé.
- Acceso intermedio autenticado: el técnico se autentica en un servidor y este se conecta a los IED. Los documentos de fabricantes de este tipo de herramientas indican que puede validar contra un directorio, RADIUS o un segundo factor, y evitar así cuentas compartidas. El detalle de su arquitectura está en acceso remoto seguro a subestaciones.
- Autenticación centralizada en el propio IED (directorio o RADIUS), disponible solo en algunos modelos y firmwares. Se verifica en el manual de cada equipo y se prueba antes de depender de ella, incluida la conducta cuando el servidor no responde.
En las dos últimas, conserve una cuenta local de emergencia, con contraseña larga guardada en el gestor y uso registrado, para el caso en que la red o el servidor de autenticación fallen.
Altas, bajas y contratistas
- Alta: la cuenta se crea con el rol mínimo para el trabajo y, si es temporal, con fecha de vencimiento.
- Baja: cuando una persona deja de trabajar con la instalación, se retira su cuenta o se cambian las contraseñas compartidas que conocía. Es el evento que más se olvida.
- Contratistas: cuentas con la duración del contrato y retiradas al terminar; el cierre del trabajo incluye la entrega de la configuración respaldada y la baja de accesos.
- Revisión periódica: compare el inventario de cuentas contra el personal vigente y contra las cuentas que realmente aparecen en los IED.
Evidencia que conviene guardar
Para una auditoría de proveedores o una revisión interna, la evidencia habitual es el inventario de cuentas por equipo, el registro de cambios de contraseña con fecha, la lista de personas por cuenta compartida, la prueba de que los niveles piden contraseña en cada puerto y los eventos del IED o del SCADA por intentos fallidos. Si los eventos del relé se envían a un registro central, vea registros y SIEM en subestaciones.
Qué se pudo verificar
La lista de control se apoya en los requisitos de acceso al sistema de CIP-007 tal como los reproduce una matriz de cumplimiento de un fabricante de 2017; vea cómo leer una matriz de cumplimiento. El documento de información de seguridad de la herramienta de ingeniería de una familia de relés que revisamos es un aviso general y no describe roles ni rotación, por lo que no se citan funciones específicas de ese fabricante: cada modelo y firmware se verifica en su manual.
Cómo le ayudamos
En Tiza Group configuramos relés y controladores con cuentas individuales, niveles mínimos, puertos cerrados y registro de eventos, y dejamos el inventario de cuentas documentado, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Escríbanos. Qué puertos, servicios y cuentas conviene revisar en el propio IED está en bastionado de IEDs.
Guías relacionadas
- Niveles de acceso y contraseñas de relés de protección
- Matriz de cumplimiento NERC CIP: cómo leerla
- IEEE 1686: seguridad de IED
- Endurecimiento de relés, switches e IED
- Acceso remoto seguro a subestaciones
- Gestión de configuración de IED y SCD
- Bastionado de IEDs: puertos, servicios y cuentas
Referencias
- NERC, CIP-007, Systems Security Management, requisito R5 (la versión vigente se confirma en nerc.com).
- IEEE 1686, seguridad de dispositivos electrónicos inteligentes; IEC 62351-8, control de acceso por roles.
Preguntas frecuentes
¿Cada técnico debe tener su propia cuenta en el relé?
Es lo recomendable cuando el equipo lo permite, porque solo así el registro del relé dice quién hizo un cambio. Si el modelo solo ofrece cuentas por nivel, no hay forma de individualizar en el equipo: se compensa con un acceso intermedio que sí autentica a cada persona y guarda su traza, o con un registro de quién usó la contraseña y cuándo.
¿Con qué frecuencia hay que cambiar la contraseña de un relé?
No hay una frecuencia universal. NERC CIP-007 pide, donde solo se usa contraseña, cambiarla o exigir su cambio al menos cada 15 meses calendario. Más importante que el calendario son los eventos: cambiarla siempre que se va una persona que la conocía, tras un incidente y al terminar un trabajo de un contratista.
¿Qué hago si el relé solo admite cuentas compartidas?
Documente la excepción: qué cuenta es, qué nivel permite, quién tiene autorización de usarla y cómo se controla. Guarde la contraseña en un gestor del propietario, con acceso registrado, y cámbiela cuando cambie la lista de personas autorizadas. La norma CIP-007 pide justamente identificar a las personas con acceso autorizado a cada cuenta compartida.