IEC 62351-10 no es una norma con requisitos que se certifican, sino un informe técnico (IEC TR) de 2012 con pautas de arquitectura de seguridad para sistemas de potencia. Propone agrupar los equipos en dominios de seguridad y ubicar en ellos los controles básicos, tomando como referencia la arquitectura de los sistemas del comité IEC TC 57. Funciona como mapa de lectura de las demás partes de la serie IEC 62351.
Qué es IEC 62351-10
IEC 62351 es la serie de normas del comité técnico IEC TC 57 que protege los protocolos de los sistemas eléctricos: IEC 61850, IEC 60870-5, DNP3 y otros. La mayoría de sus partes especifican cómo asegurar un protocolo o una función concreta. La parte 10 es distinta: es un informe técnico (IEC TR 62351-10, edición 1.0, publicado en octubre de 2012) con el título «Security architecture guidelines», pautas de arquitectura de seguridad.
Un informe técnico no impone requisitos. Recoge buenas prácticas, y por eso no hay equipos «certificados IEC 62351-10». Su alcance es describir una arquitectura de seguridad para sistemas de potencia basada en controles de seguridad esenciales, y relacionar esos controles con la arquitectura general de los sistemas eléctricos del comité TC 57, de modo que un integrador pueda aplicarlos en generación, transmisión y distribución con las normas existentes.
Dicho de otra forma, la parte 10 responde a una pregunta de diseño que las demás partes dejan abierta: dónde va cada control y cómo se relacionan entre sí.
La idea central: dominios de seguridad
El informe organiza la arquitectura en dominios de seguridad. Un dominio es un grupo de equipos y comunicaciones que comparten una función, un nivel de criticidad y unas reglas de acceso. En una instalación eléctrica podrían ser, por ejemplo:
- el nivel de proceso y de bahía (relés, unidades de campo, unidades de fusión);
- la red de estación de la subestación (concentradores, IHM, pasarelas);
- el enlace con el centro de control;
- la gestión remota y de mantenimiento;
- los sistemas de oficina y de terceros, que no deberían tocar el control.
Lo que cruza de un dominio a otro pasa por un punto controlado, donde se aplican los controles: autenticación, autorización, protección de la comunicación y registro. Si le suena a las zonas y conductos de IEC 62443, es porque el concepto es el mismo con otro nombre. La guía sobre análisis de riesgo por zonas y conductos explica cómo se decide qué equipos van en cada zona; la parte 10 aporta la mirada propia del sector eléctrico.
Cómo se relaciona con las demás partes de la serie
Una forma práctica de leer IEC 62351 es por la pregunta que responde cada parte. La parte 10 sirve de mapa para ubicarlas:
| Parte | Tema | Pregunta que responde |
|---|---|---|
| 62351-3 | TLS sobre TCP/IP | ¿Cómo protejo una conexión TCP entre dos equipos? |
| 62351-4 | MMS y derivados | ¿Cómo aseguro la comunicación cliente-servidor de IEC 61850 y TASE.2? |
| 62351-5 | IEC 60870-5 y DNP3 | ¿Cómo autentico el telecontrol serie o IP? |
| 62351-6 | IEC 61850 | ¿Cómo protejo GOOSE y valores muestreados? |
| 62351-7 | Gestión de red y sistema | ¿Cómo monitoreo el estado de seguridad? |
| 62351-8 | Control de acceso por roles | ¿Quién puede hacer qué? |
| 62351-9 | Gestión de claves | ¿Cómo emito, distribuyo y revoco certificados y claves? |
Cada fila tiene guía propia en este sitio: TLS y 62351-3 con 104 y DNP3, MMS y TASE.2 (62351-4), GOOSE y valores muestreados, monitoreo (62351-7), control de acceso por roles (62351-8) y PKI (62351-9). La visión de conjunto de la serie está en IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3.
Las partes 1 y 2 son de introducción y glosario (vea el glosario). La parte 10 completa el conjunto: las demás protegen piezas, esta indica cómo encajan.
Cómo usarla en un proyecto
El informe no trae un procedimiento paso a paso, pero su lógica se traduce en un orden de trabajo que ya es habitual en proyectos eléctricos:
- Inventariar. Qué equipos hay, qué función cumplen, qué protocolos hablan y con quién.
- Agrupar en dominios. Por función y por impacto de su compromiso en la operación, no por marca ni por ubicación física.
- Definir los puntos de paso. Cada cruce entre dominios es un punto de control: cortafuegos, pasarela segura, servidor de acceso remoto.
- Elegir los controles de cada dominio. Autenticación de personas y equipos, cifrado donde no afecte tiempos, roles, registros y monitoreo.
- Verificar. Comprobar que lo diseñado es lo que quedó instalado, con pruebas en FAT y SAT.
Un punto de cuidado propio del sector: no todos los mensajes toleran los mismos controles. Un disparo por GOOSE tiene un tiempo de transferencia de pocos milisegundos y no admite un cifrado que lo retrase, así que en ese dominio pesan más la autenticación liviana y el aislamiento de la red que el cifrado. En el enlace con el centro de control, en cambio, el cifrado con TLS sí es razonable.
Qué no cubre
- No sustituye la evaluación de riesgos. Dice qué controles existen y dónde caben; qué es suficiente en una instalación lo decide el riesgo propio.
- No fija niveles de seguridad. Para eso están los niveles de seguridad de IEC 62443.
- No es una lista de comprobación de la regulación local. En Colombia la obligación viene de la Guía de Ciberseguridad del CNO, que usted debe contrastar con su arquitectura.
- No endurece equipos. La configuración segura de relés y switches es otro trabajo; vea endurecimiento de relés, switches e IED.
Cuándo conviene apoyarse en un especialista
La arquitectura se decide una sola vez y se paga durante toda la vida de la instalación. Rediseñar una red de subestación en operación es mucho más caro que acertar al inicio. Si va a construir, ampliar o modernizar, una evaluación de brechas de ciberseguridad OT compara su situación con estos criterios y entrega una lista priorizada. Para la ingeniería de zonas, accesos y configuración de los equipos, vea nuestro servicio de ciberseguridad de subestaciones y plantas y escríbanos para cotizar.
Guías relacionadas
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- IEC 62443 en subestaciones
- Ciberseguridad de subestaciones y plantas
- Análisis de riesgo IEC 62443-3-2: zonas y conductos
- Evaluación de brechas de ciberseguridad OT
Referencias
- IEC TR 62351-10:2012, Power systems management and associated information exchange. Data and communications security. Part 10: Security architecture guidelines.
- Serie IEC 62351, partes 3 a 9 (títulos y alcance según la edición vigente de cada parte).
- Serie IEC 62443: seguridad de sistemas de automatización y control industrial.
Preguntas frecuentes
¿IEC 62351-10 es una norma obligatoria o certificable?
No. Es un informe técnico (IEC TR), es decir, una guía informativa. No define requisitos que un equipo deba cumplir ni un esquema de certificación. Su utilidad es ordenar el diseño: qué controles de seguridad conviene aplicar y en qué parte de la arquitectura ubicarlos.
¿En qué se diferencia de IEC 62443?
IEC 62443 es una serie de normas con requisitos para operadores, integradores y fabricantes de cualquier sistema industrial, con niveles de seguridad y un método de zonas y conductos. IEC 62351-10 es una guía específica para sistemas de potencia que usan la arquitectura del comité IEC TC 57. En un proyecto se usan juntas: una da el método y la otra el contexto eléctrico.
¿Dónde empiezo si mi subestación ya está construida?
Por el inventario y el diagrama de red actual. Con ellos se agrupan los equipos por función y criticidad, se identifican los puntos de entrada (acceso remoto, enlaces al centro de control, equipos portátiles de pruebas) y se compara lo que hay con los controles de cada parte de la serie. Una evaluación de brechas ordena ese trabajo y deja una lista priorizada.