IEC 62351 es la serie de normas de seguridad para los protocolos del sector eléctrico. Define cómo usar TLS en MMS e IEC 60870-5-104, cómo autenticar mensajes GOOSE y de valores muestreados sin afectar sus tiempos, cómo controlar el acceso por roles y cómo gestionar claves y certificados. Protege los mensajes; IEC 62443 da el marco de zonas, conductos y requisitos del sistema.
Qué es IEC 62351 y sus partes
IEC 62351 es la serie del comité técnico 57 de IEC sobre seguridad de datos y comunicaciones en sistemas de potencia. No es un protocolo nuevo: define cómo proteger los que ya existen. Las partes que más se usan en subestaciones son:
- IEC 62351-3:2023, perfiles para protocolos sobre TCP/IP: TLS 1.2 y TLS 1.3.
- IEC 62351-4:2018, MMS y derivados, con seguridad de extremo a extremo además del transporte.
- IEC 62351-5:2023, IEC 60870-5 y derivados.
- IEC 62351-6:2020, IEC 61850: GOOSE, valores muestreados y archivos de configuración.
- IEC 62351-7, objetos de supervisión de redes y sistemas, con su mapeo a SNMP.
- IEC 62351-8, control de acceso basado en roles (RBAC).
- IEC 62351-9:2023, gestión de claves y certificados.
- Partes de arquitectura (-10), archivos XML (-11) y pruebas de conformidad (serie -100). La parte 14, de registro de eventos de seguridad, está en preparación.
Dónde se usa y por qué
Cada protocolo de la arquitectura de comunicaciones de la subestación tiene un punto débil distinto:
- MMS entre IED, HMI y gateway, y el telecontrol IEC 60870-5-104 o DNP3 hacia el centro de control, viajan por TCP/IP y pueden leerse o alterarse en la red.
- GOOSE y valores muestreados son de capa 2 y deben llegar en milisegundos; un mensaje falso puede abrir un interruptor.
- Las cuentas de ingeniería y operación suelen ser compartidas y sin trazabilidad.
IEC 62351 responde a cada caso. Es más necesaria donde los datos salen de la subestación o cruzan redes compartidas con otros sistemas.
Cómo funciona
TLS para TCP/IP (parte 3). La edición de 2023 define por completo el perfil de TLS 1.2 y 1.3: suites admitidas, autenticación con certificados, reanudación y renegociación de sesión, y revocación de certificados con listas (CRL) u OCSP. Cada norma de protocolo que remite a la parte 3 fija su propio puerto seguro. IANA tiene registrados el puerto TCP 19998 para IEC 60870-5-104 seguro y el 19999 para DNP3 seguro.
MMS (parte 4). Además de TLS, define seguridad de extremo a extremo en la capa de aplicación, que se mantiene aunque haya equipos intermedios.
IEC 60870-5 (parte 5). La edición de 2023 reemplazó la especificación técnica de 2013: quitó el procedimiento de desafío y respuesta y el «modo agresivo», y los sustituyó por un intercambio de datos seguros, con cifrado autenticado de los datos de aplicación y registro de eventos. Su aplicación concreta a los perfiles 101 y 104 está en IEC TS 60870-5-7. DNP3 tiene su propio mecanismo de autenticación segura.
GOOSE y SV (parte 6). Como son de capa 2 y críticos en tiempo, no usan TLS. Se autentican con un código de autenticación de mensaje calculado con una clave compartida por el grupo de publicador y suscriptores, de modo que el suscriptor descarta un mensaje alterado o de un emisor no autorizado.
Claves (parte 9). Las claves de grupo para GOOSE, SV y PTP se distribuyen con GDOI, un protocolo de IETF extendido para IEC 62351 en RFC 8052. La parte 9 también trata el ciclo de vida de los certificados.
Roles (parte 8). El usuario recibe roles predefinidos (por ejemplo, observador o administrador de seguridad) y cada rol tiene permisos. El rol viaja en un certificado X.509, un certificado de atributos o un token, y la edición nueva agrega perfiles con RADIUS y LDAP.
| Qué se protege | Parte | Mecanismo |
|---|---|---|
| Protocolos sobre TCP/IP | IEC 62351-3 | TLS 1.2 y 1.3 con certificados; cada protocolo fija su puerto seguro |
| MMS | IEC 62351-4 | Además de TLS, seguridad de extremo a extremo en la capa de aplicación |
| IEC 60870-5 (101 y 104) | IEC 62351-5 | Intercambio de datos seguros con cifrado autenticado; aplicación en IEC TS 60870-5-7 |
| GOOSE y valores muestreados | IEC 62351-6 | Código de autenticación de mensaje con clave de grupo |
| Claves de grupo y certificados | IEC 62351-9 | GDOI (RFC 8052) y ciclo de vida de los certificados |
| Cuentas de usuario | IEC 62351-8 | Roles con permisos (RBAC) |
Configuración
- Infraestructura de clave pública: quién emite los certificados, con qué vigencia y cómo se revocan.
- Perfil TLS y puertos en IED, gateway, firewall y centro de control.
- Grupos de claves de GOOSE y SV coherentes con las suscripciones del SCD.
- Roles y cuentas individuales, idealmente con un servidor central de autenticación.
- Sincronización de tiempo confiable, porque la validez de los certificados depende de la hora.
Seguridad en el sistema: relación con IEC 62443
IEC 62351 protege los mensajes. IEC 62443 protege el sistema: lo divide en zonas y conductos, asigna niveles de seguridad y fija requisitos de componentes (parte 4-2). IEEE 1686 fija las capacidades de seguridad que debe tener un IED (acceso, configuración, firmware, auditoría). Las tres se usan juntas; el borde lo controla el router y firewall industrial. En Colombia, los agentes del SIN siguen además la Guía de Ciberseguridad del CNO, Acuerdo 1960 de 2025.
Problemas típicos en campo y diagnóstico
- Certificados vencidos o revocados: la comunicación segura cae de un día para otro.
- Reloj desajustado: certificados que parecen no válidos.
- IED antiguos sin soporte: conviven segmentos protegidos y no protegidos.
- Interoperabilidad: suites o perfiles TLS distintos entre fabricantes.
- Claves de grupo desalineadas después de un cambio de suscripciones: el suscriptor descarta los GOOSE.
Para diagnosticar: registros de seguridad de cada equipo, captura del establecimiento TLS (el error suele estar en el certificado o en la suite), fechas y cadena de certificados, y estado de la sincronización.
Convivencia con los demás protocolos
IEC 62351 se aplica sobre cada protocolo sin cambiar su modelo de datos. Convive con VLAN y prioridad, con PRP y HSR, que duplican la trama ya autenticada, y con PTP, cuyas claves también puede gestionar la parte 9. Durante una migración, la red tendrá equipos con y sin seguridad, y la segmentación debe cubrir esa etapa.
Pruebas
- Conformidad: especificaciones técnicas de la serie IEC TS 62351-100, por ejemplo la -100-1 (IEC 62351-5 e IEC TS 60870-5-7), la -100-3 (TLS según IEC 62351-3) y la -100-6 (seguridad de IEC 61850-8-1 y 9-2).
- Establecimiento de cada sesión segura y rechazo de certificados vencidos o revocados.
- GOOSE alterado o sin autenticar: el suscriptor lo descarta y genera evento.
- Roles: cada cuenta solo puede hacer lo que su rol permite.
- Registros: los eventos de seguridad llegan al servidor central con la hora correcta.
Seguridad de comunicaciones con Tiza Group
¿Necesita habilitar TLS hacia el centro de control o revisar cuentas y roles de sus IED? En Tiza Group trabajamos con el esquema de acceso de su empresa en nuestra configuración remota de relés y, en sitio, con nuestra ingeniería IEC 61850, en media, alta y extra alta tensión, en subestaciones e industria.
Referencias
- IEC 62351-3:2023: perfiles que incluyen TCP/IP.
- IEC 62351-4:2018: perfiles que incluyen MMS y derivados.
- IEC 62351-5:2023: seguridad para IEC 60870-5 y derivados.
- IEC 62351-6:2020: seguridad para IEC 61850.
- IEC 62351-7: modelos de objetos para la gestión de redes y sistemas.
- IEC 62351-8: control de acceso basado en roles.
- IEC 62351-9:2023: gestión de claves para equipos de sistemas de potencia.
- IEC TS 60870-5-7: extensiones de seguridad para IEC 60870-5-101 y -104.
- IETF RFC 8052: soporte de GDOI para servicios de seguridad de IEC 62351.
- IEC 62443 (serie): seguridad de sistemas de automatización y control industrial.
- IEEE 1686-2022: capacidades de ciberseguridad de los IED.
- CNO, Acuerdo 1960 de 2025, actualización de la Guía de Ciberseguridad (sustituye el Acuerdo 1502 de 2021).
- IEEE 1815-2012: DNP3 (revisión P1815 en curso).
Preguntas frecuentes
¿Por qué se cayó la comunicación segura con el centro de control sin que nadie cambiara nada?
La causa más común es un certificado vencido o revocado, o un reloj desajustado en uno de los extremos, que hace que el certificado parezca no válido todavía o ya vencido. Revise fechas de vigencia, la lista de revocación y la sincronización de tiempo de ambos equipos.
¿IEC 62351 cifra los GOOSE?
El objetivo principal en GOOSE y valores muestreados es la autenticación y la integridad: que el suscriptor sepa que el mensaje viene del publicador correcto y no fue alterado, sin agregar retardos que afecten los disparos. Las claves de grupo se distribuyen según IEC 62351-9.
¿Si cumplo IEC 62443 ya cumplo IEC 62351?
No. IEC 62443 trata el sistema: zonas, conductos, niveles de seguridad y requisitos de componentes. IEC 62351 trata los protocolos del sector eléctrico. Se complementan: el firewall protege el borde y IEC 62351 protege cada mensaje.