IEEE 1686 define las funciones de ciberseguridad que debe traer un dispositivo electrónico inteligente (IED) para apoyar el programa de seguridad de su dueño: control de acceso, operación, configuración, versión de firmware y extracción de datos, con registro de auditoría y alarmas. La edición vigente es la de 2022, que reemplazó a la de 2013. Se usa para especificar y comparar relés y controladores, junto con IEC 62443-4-2 para componentes de automatización.
Qué es IEEE 1686
IEEE 1686, Standard for Intelligent Electronic Devices Cybersecurity Capabilities, define las funciones y características de ciberseguridad que deben ofrecer los dispositivos electrónicos inteligentes (IED): relés de protección, controladores de bahía, RTU, gateways y equipos similares. Su objetivo es que el IED tenga lo necesario para que su dueño pueda aplicar un programa de ciberseguridad.
La edición vigente es la de 2022, que reemplazó a la de 2013. En 2025 se publicó un corrigendo que aclara la definición de forzado de valores y actualiza referencias bibliográficas.
La norma no le dice a la empresa cómo organizar su seguridad. Le dice al fabricante qué capacidades debe traer el equipo y le da al comprador un lenguaje común para pedirlas.
Qué cubre
Según su alcance publicado, IEEE 1686 trata la seguridad del acceso, la operación, la configuración, la revisión de firmware y la extracción de datos del IED, así como la confidencialidad, integridad y disponibilidad de sus interfaces externas. El fabricante debe proveer salvaguardas, mecanismos de auditoría e indicaciones de alarma para esas funciones. La edición de 2022 agrega medidas explícitas de autenticidad, integridad y confidencialidad de los datos almacenados y en tránsito.
En términos prácticos, eso se traduce en capas de control sobre el equipo:
| Capa | Qué se le pide al IED |
|---|---|
| Usuarios | Cuentas individuales, contraseñas robustas, cambio de credenciales de fábrica, bloqueo tras intentos fallidos |
| Roles | Permisos distintos para ver, operar, configurar y administrar |
| Registro | Eventos de seguridad (accesos, fallas de acceso, cambios de configuración, reinicios) con sello de tiempo, que no se puedan borrar desde una cuenta común |
| Alarmas | Avisos de eventos de seguridad hacia el SCADA o un sistema de registros |
| Configuración y firmware | Control de cambios, integridad del firmware y de los archivos de configuración |
| Puertos y servicios | Posibilidad de deshabilitar los que no se usan |
| Datos | Protección de lo que el IED guarda y de lo que envía |
Por qué importa en un relé
Un relé de protección decide cuándo abrir un interruptor. Quien cambia sus ajustes o su lógica puede impedir un disparo necesario o provocar uno indebido. Durante años los relés tuvieron una o dos contraseñas compartidas por niveles, iguales en todos los equipos de la subestación y muchas veces iguales a las de fábrica. Con eso no hay forma de saber quién cambió un ajuste ni de retirar el acceso a una persona sin cambiarlo para todos.
IEEE 1686 empuja a los fabricantes hacia cuentas individuales, roles y registro de auditoría, que son la base para responder después de un incidente qué pasó, cuándo y desde dónde. Son también la base técnica para que un acceso remoto sea controlable, como explicamos en la configuración remota de relés es segura.
Cómo se usa en una especificación
- Pedir el cumplimiento requisito por requisito. Una frase como «cumple IEEE 1686» no dice nada. Se pide al fabricante su declaración de cumplimiento para el modelo y la versión de firmware ofrecidos, indicando qué requisitos cumple, cuáles parcialmente y cuáles no.
- Elegir qué capacidades son obligatorias para el proyecto, según su política de seguridad: por ejemplo, cuentas individuales y registro de auditoría exportable.
- Exigir la integración con la gestión centralizada cuando la empresa la tenga: autenticación contra un servidor central y envío de registros a un sistema de supervisión.
- Pedir la política de actualizaciones de firmware y de avisos de vulnerabilidades del fabricante durante la vida útil del equipo.
- Verificar en la prueba de aceptación que las funciones exigidas están presentes y configuradas.
- 01EspecificaciónRequisitos de IEEE 1686 e IEC 62443-4-2 que el proyecto exige
- 02Declaración del fabricanteCumplimiento por requisito para el modelo y firmware ofrecidos
- 03ConfiguraciónCuentas, roles, puertos, registros y alarmas según la política del dueño
- 04Prueba de aceptaciónVerificación en el equipo de cada función exigida
- 05OperaciónRevisión de registros, gestión de cuentas y actualización de firmware
Relación con otras normas
- IEC 62351 protege los protocolos (MMS, GOOSE, IEC 60870-5-104, DNP3). Su parte 8 define el control de acceso por roles para la gestión de sistemas de potencia, en línea con los roles que pide IEEE 1686.
- IEC 62443-4-2 fija requisitos técnicos de seguridad para componentes de sistemas de automatización industrial, organizados por niveles de seguridad. Es más general que IEEE 1686 y sirve para comparar equipos de distintos sectores.
- IEC 62443-3-3 trata la seguridad del sistema completo, con zonas y conductos. El IED es un componente dentro de esa arquitectura, protegida en su borde por el router y firewall industrial.
Ninguna de estas normas reemplaza a las otras: IEEE 1686 dice qué debe saber hacer el relé, IEC 62351 protege lo que viaja e IEC 62443 organiza dónde puede viajar.
Lo que la norma no resuelve
Un relé con todas las capacidades de IEEE 1686 y la contraseña de fábrica sigue siendo vulnerable. Los problemas más comunes en campo no son de capacidad, sino de configuración y operación:
- Credenciales de fábrica sin cambiar o cuentas compartidas.
- Puertos de ingeniería y servicios habilitados que nadie usa.
- Registros de seguridad que nadie revisa o que se sobrescriben.
- Firmware sin actualizar durante años.
- Copias de configuración desactualizadas.
Le ayudamos con sus IED
En Tiza Group configuramos relés y controladores con sus funciones de seguridad (cuentas, roles, puertos y registros) como parte de la configuración remota de relés, siempre con acceso autorizado por el dueño. También especificamos y probamos estas funciones en proyectos de control, protecciones y comunicaciones para subestaciones de alta y extra alta tensión y para industria. Escríbanos.
Guías relacionadas
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- ¿La configuración remota de relés es segura?
- Router y firewall industrial de subestación
- Normas para comunicaciones y sincronización en subestaciones
- Relés de protección: tipos, funciones y mantenimiento
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Detección de intrusos (IDS) en redes de subestación
- Gestión de configuración: versiones de ajustes y del SCD
- Comunicaciones de subestación por nivel de tensión
Referencias
- IEEE 1686-2022, IEEE Standard for Intelligent Electronic Devices Cybersecurity Capabilities, y su corrigendo IEEE 1686-2022/Cor 1-2025.
- IEC 62443-4-2:2019, Technical security requirements for IACS components.
- IEC 62443-3-3:2013, System security requirements and security levels.
- IEC 62351-8, Role-based access control for power system management.
Preguntas frecuentes
¿IEEE 1686 hace seguro a un relé por sí sola?
No. Define las capacidades que el IED debe ofrecer, como cuentas individuales, roles y registro de auditoría. La seguridad real depende de que el dueño las configure y las use dentro de un programa con segmentación de red, gestión de cuentas y supervisión de registros.
¿Qué diferencia hay entre IEEE 1686 e IEC 62443-4-2?
IEEE 1686 es específica para IED del sector eléctrico. IEC 62443-4-2 fija requisitos técnicos de seguridad para cualquier componente de un sistema de automatización industrial, organizados por niveles de seguridad. En una especificación pueden pedirse las dos.
¿Cómo se comprueba que un relé cumple IEEE 1686?
Se pide al fabricante su declaración de cumplimiento requisito por requisito para el modelo y la versión de firmware ofrecidos, y en la prueba de aceptación se verifican en el equipo las funciones exigidas por el proyecto: cuentas, roles, bloqueo por intentos fallidos, registro de eventos de seguridad y puertos deshabilitados.