IEC 62443 es la serie de normas de ciberseguridad para sistemas de automatización y control industrial, y se aplica a subestaciones e industria. Divide el sistema en zonas con necesidades de seguridad parecidas, unidas por conductos controlados, y asigna a cada zona un nivel de seguridad objetivo (SL 1 a SL 4) según el atacante que debe resistir. Reparte las obligaciones entre el propietario, el integrador y el fabricante.
Qué es IEC 62443
IEC 62443 es una serie de normas sobre la seguridad de los sistemas de automatización y control industrial (IACS). Nació en la industria de procesos, pero sus conceptos se aplican igual a una subestación eléctrica: un conjunto de equipos que miden, protegen y controlan un proceso físico y que se comunican por redes.
Su aporte principal es repartir la seguridad entre quienes intervienen: el propietario que opera la instalación, el integrador que diseña y entrega el sistema y el fabricante que desarrolla los productos. Cada uno tiene su parte de la serie.
Estructura de la serie
| Parte | Para quién | Qué cubre | Edición |
|---|---|---|---|
| IEC 62443-2-1 | Propietario | Programa de seguridad: políticas, personas, procedimientos | 2024 (ed. 2) |
| IEC 62443-3-2 | Propietario e integrador | Evaluación de riesgos, división en zonas y conductos, nivel objetivo | 2020 |
| IEC 62443-3-3 | Integrador | Requisitos de seguridad del sistema y niveles de seguridad | 2013 |
| IEC 62443-4-1 | Fabricante | Ciclo de vida de desarrollo seguro del producto | 2018 |
| IEC 62443-4-2 | Fabricante | Requisitos técnicos de seguridad de los componentes | 2019 |
Hay más partes (conceptos, terminología, gestión de parches), pero estas son las que aparecen en una especificación de subestación.
Zonas y conductos
Una zona es un grupo de equipos con necesidades de seguridad parecidas. Un conducto es el camino de comunicación controlado entre dos zonas. La regla es que todo tráfico entre zonas pase por un conducto, donde se controla y se registra.
En una subestación, una división típica es:
- Zona de proceso: unidades de fusión e interfaces de patio, cuando hay bus de proceso.
- Zona de bahía y de protección y control: relés, controladores de bahía, switches del bus de estación.
- Zona de estación: SCADA local, gateway, reloj, servidor de ingeniería.
- DMZ: servidor de salto, historiador, servidor de actualizaciones; lo que se comparte con el exterior.
- Zona del centro de control y zona corporativa, fuera de la subestación.
Los conductos entre ellas llevan firewall, reglas que solo dejan pasar los flujos documentados y registro. La guía del router y firewall industrial muestra cómo se materializan.
- 01Sistema bajo consideraciónQué equipos y redes entran en el análisis
- 02Evaluación inicial de riesgosConsecuencias de un ataque sobre la subestación
- 03Zonas y conductosAgrupar equipos y definir los caminos entre grupos
- 04Nivel objetivo por zonaSL que cada zona y conducto debe alcanzar
- 05RequisitosMedidas de 62443-3-3 y capacidades de 62443-4-2 para llegar al nivel
Niveles de seguridad SL
Los niveles se definen por el atacante que el sistema debe resistir, no por el daño:
| Nivel | Protege contra |
|---|---|
| SL 1 | Violaciones casuales o accidentales, como un error del personal |
| SL 2 | Violaciones intencionales con medios simples, pocos recursos, habilidades genéricas y baja motivación |
| SL 3 | Violaciones intencionales con medios sofisticados, recursos moderados, habilidades específicas de sistemas industriales y motivación moderada |
| SL 4 | Violaciones intencionales con medios sofisticados, recursos amplios, habilidades específicas y alta motivación |
Se distinguen tres usos del nivel: el objetivo (lo que la zona necesita), el de capacidad (lo que el equipo o el sistema puede dar) y el alcanzado (lo que se logró en la instalación). El trabajo de diseño es que el alcanzado iguale al objetivo.
IEC 62443-3-3 agrupa los requisitos en siete requisitos fundamentales: identificación y autenticación, control de uso, integridad del sistema, confidencialidad de los datos, flujo de datos restringido, respuesta oportuna a eventos y disponibilidad de recursos.
Relación con IEC 62351 e IEEE 1686
- IEC 62351 asegura los protocolos del sector eléctrico: TLS para MMS, IEC 104 y DNP3, autenticación de GOOSE y SV, control de acceso por roles y gestión de claves. Es la herramienta dentro del conducto.
- IEEE 1686-2022 define las capacidades de ciberseguridad que debe traer un IED: control de acceso, registro de auditoría, alarmas, configuración, actualización de firmware y seguridad de sus interfaces.
- IEC TR 61850-90-4, la guía de ingeniería de redes de IEC 61850, remite la seguridad a IEC 62351 e IEC 62443.
Las tres juntas cubren el sistema (62443), el protocolo (62351) y el equipo (1686 y 62443-4-2).
Regulación
IEC 62443 es una norma voluntaria; lo obligatorio lo fija la regulación de cada país. En Colombia, los agentes del SIN siguen la Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025. En Norteamérica rigen las normas NERC CIP. Ambas usan conceptos compatibles con zonas, conductos y control de acceso.
Qué pedir a un proveedor
- Certificado IEC 62443-4-2 del componente, con el nivel de capacidad, y del proceso 4-1 del fabricante.
- Declaración IEEE 1686 del IED: qué capacidades tiene y cuáles no.
- Soporte de IEC 62351 en los protocolos que usará el proyecto.
- Gestión de vulnerabilidades y parches: cómo informa el fabricante y cada cuánto publica.
- Cuentas por persona y por rol, sin contraseñas por defecto que no se puedan cambiar.
- Registro de eventos de seguridad exportable a un servidor central.
La norma se adquiere a través de IEC o de ISA; no se distribuye libremente.
Ciberseguridad con Tiza Group
La ciberseguridad empieza en el diseño de la red y sigue en la configuración de cada IED. Nuestro equipo diseña la segmentación en zonas y conductos dentro de la ingeniería de comunicaciones y trabaja sobre los relés con un acceso remoto controlado, autorizado y registrado, como explica la guía sobre si la configuración remota de relés es segura. Conozca la configuración remota de relés o escríbanos.
Guías relacionadas
- IEC 62351: seguridad para IEC 61850, 104 y DNP3
- Router y firewall industrial
- ¿La configuración remota de relés es segura?
- Normas para comunicaciones y sincronización en subestaciones
- Red de comunicaciones de subestación
- Normatividad colombiana para subestaciones y pruebas
- Detección de intrusos (IDS) en redes de subestación
- Comunicaciones de subestación por nivel de tensión
- Supervisión de la red de subestación: SNMP y syslog
Referencias
- IEC 62443-2-1:2024, programa de seguridad para propietarios de IACS.
- IEC 62443-3-2:2020, evaluación de riesgos de seguridad para el diseño del sistema.
- IEC 62443-3-3:2013, requisitos de seguridad del sistema y niveles de seguridad.
- IEC 62443-4-1:2018, requisitos del ciclo de vida de desarrollo seguro del producto.
- IEC 62443-4-2:2019, requisitos técnicos de seguridad de los componentes de IACS.
- IEC 62351 (serie): seguridad de las comunicaciones del sector eléctrico.
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- CNO, Acuerdo 1960 de 2025, Guía de Ciberseguridad.
Preguntas frecuentes
¿IEC 62443 reemplaza a IEC 62351?
No, se complementan. IEC 62351 asegura los protocolos (TLS para MMS y 104, autenticación de GOOSE y SV, control de acceso por roles). IEC 62443 organiza la seguridad del sistema completo: zonas, conductos, niveles de seguridad, el programa del propietario y el desarrollo seguro de los productos.
¿Qué nivel de seguridad SL necesita una subestación?
No hay un nivel fijo. El nivel objetivo de cada zona sale de la evaluación de riesgos de IEC 62443-3-2, considerando las consecuencias de un ataque y la regulación aplicable. Es común que la zona de protección y control tenga un objetivo más alto que la red de servicios generales.
¿Un relé certificado IEC 62443-4-2 hace segura la subestación?
No por sí solo. La certificación 4-2 dice que el componente tiene las capacidades de seguridad de cierto nivel. La seguridad real depende de que se configuren, de cómo se diseñen las zonas y conductos, de la gestión de cuentas y parches y del programa del propietario.