El inventario de activos OT de una subestación es la lista de cada equipo programable y de red, con los datos que permiten protegerlo: fabricante, modelo, firmware, direcciones, puertos y servicios, protocolos, cuentas, ubicación y criticidad. Es el primer requisito de la Guía de Ciberseguridad del CNO y la base de todo lo demás: sin saber qué hay, no se pueden evaluar riesgos, aplicar parches ni controlar accesos. La guía conjunta de CISA y otras ocho agencias de 2025 propone cómo construirlo y mantenerlo.
Por qué el inventario va primero
La mayoría de los requisitos de ciberseguridad dependen de una lista. No se puede verificar qué cuentas tiene un relé si no se sabe que ese relé existe, ni evaluar un aviso de vulnerabilidad sin saber qué firmware está instalado, ni cerrar puertos sin saber cuáles están abiertos. En subestaciones con años de ampliaciones, esa lista suele no existir o no coincidir con la realidad: un switch agregado en una emergencia, un módem de un medidor, un convertidor de protocolo que nadie registró.
La Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025) lo pone al principio. Su capítulo 4 pide a cada entidad identificar, documentar e inventariar sus activos críticos según los criterios del Anexo 2 y, sobre esa lista, sus ciberactivos críticos. El inventario de ciberactivos críticos debe permitir identificar cada uno de manera única en la red y saber a qué activo crítico pertenece.
La guía de CISA de 2025
En agosto de 2025, CISA y otras ocho agencias de Estados Unidos, Australia, Canadá, Alemania, Países Bajos y Nueva Zelanda publicaron Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators. Propone construir el inventario en cinco pasos:
- Decisión de inventariar
- Alcance y objetivos. Gobierno, responsables y límites del programa
- Identificar activos y atributos. Inspección física y levantamiento lógico
- Taxonomía. Clasificación por criticidad o por función
- Gestión de los datos. Fuentes adicionales y base de datos protegida
- Gestión del ciclo de vida
La guía insiste en combinar la inspección física con el levantamiento lógico, y en contrastar lo encontrado con la documentación. En una subestación eso significa recorrer los tableros además de mirar la red, porque hay equipos con comunicación serial o con puertos que nadie conectó a la red IP.
Qué datos lleva cada activo
La guía de CISA prioriza catorce atributos. En una subestación se ven así:
| Atributo | Ejemplo en una subestación |
|---|---|
| Protocolos activos o soportados | MMS, GOOSE, SV, IEC 104, DNP3, Modbus, SNMP, PTP |
| Criticidad | Relé de una línea del STN frente a medidor de servicios auxiliares |
| Número de activo | Código interno de la empresa |
| Rol o tipo | Relé de protección, controlador de bahía, gateway, switch, reloj |
| Nombre del equipo | Nombre del IED en el SCD |
| Dirección IP | Por cada interfaz |
| Registro | Si genera eventos de seguridad y a dónde los envía |
| Dirección MAC | Por cada interfaz |
| Fabricante | Marca |
| Modelo | Referencia completa, incluida la opción de comunicaciones |
| Sistema operativo | En relés y switches, la versión de firmware |
| Ubicación física | Subestación, tablero, bahía |
| Puertos y servicios | Servicios habilitados: web, FTP, Telnet, SSH, propietarios del fabricante |
| Cuentas de usuario | Cuentas existentes y si alguna conserva la contraseña de fábrica |
A esos atributos conviene sumar lo propio de una subestación: la versión del archivo de configuración del IED, la referencia en el SCD, las conexiones seriales y la ruta por la que se llega al equipo desde fuera. Esto último se cruza con la gestión de configuración de IED y SCD, que mantiene la versión válida de los ajustes.
Cómo se clasifica
La guía de CISA describe dos formas de clasificar, que se pueden combinar:
- Por criticidad: según la importancia del activo para la operación, la seguridad y la misión. Los críticos son aquellos cuya falla o compromiso tendría el mayor impacto.
- Por función: según su papel en el sistema, por ejemplo control, comunicaciones, monitoreo, ingeniería o mantenimiento. Ayuda a entender dependencias e interconexiones.
La guía trae taxonomías de ejemplo para el sector eléctrico y aclara que no son autoritativas: son una ayuda para que cada organización arme la suya. Para la organización por zonas y conductos remite a la serie IEC 62443. En Colombia, la criticidad que manda es la del Anexo 2 del Acuerdo 1960: subestaciones de nivel IV y superior, plantas de 20 MW o más, esquemas especiales de protección, deslastre automático de carga y centros de control, entre otros.
Cómo se levanta sin afectar la operación
- Documentación primero: diagramas de red, SCD, listas de equipos de proyectos anteriores, registros de mantenimiento.
- Recorrido físico de tableros y cuartos de comunicaciones, con fotografía de placas y etiquetas.
- Datos de la propia red: tablas de direcciones de los switches, configuración de los firewalls, supervisión SNMP y syslog donde exista.
- Escucha pasiva del tráfico, que revela quién habla con quién sin enviar nada a los equipos. Es el mismo principio de la detección de intrusos.
- Interrogación activa solo con cuidado, en ventanas acordadas y conociendo cómo responde cada modelo. La guía del CNO reconoce que hay equipos donde el escaneo de vulnerabilidades no se puede realizar y pide para ellos controles compensatorios.
Cómo se mantiene
Un inventario que no se actualiza envejece en meses. La guía de CISA pide definir las etapas del ciclo de vida de cada activo (adquisición, despliegue, puesta en servicio, mantenimiento y retiro) y exigir la actualización del inventario cada vez que se introduce o retira un equipo, en todos los casos, incluso bajo la autoridad de un cambio de emergencia. La guía del CNO pide procedimientos de control de cambios y gestión de configuraciones para adiciones, modificaciones, reemplazos o retiros de hardware o software de los ciberactivos críticos, y su lista de cumplimiento fija una revisión periódica de la lista de activos.
Con el inventario al día, el siguiente paso es cruzarlo con las bases de vulnerabilidades. La guía de CISA menciona el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA y la base CVE, junto con los avisos de seguridad de cada fabricante. Así se sabe qué equipos necesitan un parche, cuáles una medida compensatoria y cuáles un reemplazo. El inventario es también la base de una evaluación de brechas frente a la guía del CNO.
Errores frecuentes
- Inventariar solo lo que tiene IP y dejar por fuera los equipos seriales y los convertidores.
- Registrar el modelo pero no el firmware, que es lo que determina las vulnerabilidades.
- Guardar el inventario sin protección: es un mapa de la instalación y debe tratarse como información sensible.
- No asignar un responsable de mantenerlo.
Configuramos sus equipos a partir del inventario
Con el inventario en la mano, el trabajo técnico es configurar cada equipo como debe estar: firmware conocido, cuentas individuales, contraseñas de fábrica cambiadas, servicios innecesarios deshabilitados y respaldo de la configuración. En Tiza Group lo hacemos en relés, controladores, gateways y switches con nuestro servicio de ciberseguridad de subestaciones y plantas, y en los relés también con la configuración remota de relés. Escríbanos con la lista de sus equipos.
Guías relacionadas
- Gestión de configuración: versiones de ajustes y del SCD
- Supervisión de la red de subestación: SNMP y syslog
- Detección de intrusos (IDS) en redes de subestación
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Parches y firmware en relés e IED: cómo gestionarlos
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
- Red de comunicaciones de subestación
Referencias
- CISA, EPA, NSA, FBI, ASD’s ACSC, Canadian Centre for Cyber Security, BSI, NCSC-NL y NCSC-NZ, Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators, 13 de agosto de 2025.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, capítulos 4 y 7, y Anexo 2, Criterios de activos críticos.
- IEC 62443 (serie), zonas y conductos.
Preguntas frecuentes
¿Qué equipos de una subestación entran en el inventario de ciberactivos?
Todo dispositivo electrónico programable y todo elemento de la red de comunicaciones: relés, controladores de bahía, unidades de fusión, gateways, RTU, switches, routers y firewalls, relojes, servidores, HMI, medidores con comunicación y convertidores de protocolo. La guía del CNO califica como críticos los que son necesarios para operar un activo crítico y usan un protocolo enrutable o de comunicación.
¿Se puede hacer el inventario con un escáner de red?
Solo en parte. Una herramienta de red ayuda a descubrir equipos y servicios, pero hay equipos en los que el escaneo no se puede realizar, como reconoce la propia guía del CNO, y otros que no aparecen en la red IP porque se comunican por puerto serial. Por eso las guías combinan inspección física, revisión de la documentación y levantamiento lógico, con métodos pasivos donde el escaneo no es seguro.
¿Cada cuánto se actualiza el inventario?
Cada vez que entra o sale un equipo o cambia su firmware, como parte de la gestión de cambios, incluso en cambios de emergencia. Además, la lista de cumplimiento del Acuerdo CNO 1960 fija una revisión periódica de la lista de activos y ciberactivos.