Una matriz de cumplimiento NERC CIP es un documento del fabricante que enlaza cada requisito de las normas CIP con las funciones del producto que ayudan a atenderlo. No certifica que usted cumpla: un producto solo apoya requisitos, y la evidencia, el proceso y la parte organizativa siguen siendo del propietario del sistema. Se lee por columnas (sistemas aplicables, requisito, medidas, funciones del producto) y se contrasta siempre con el texto de la norma vigente.
Para qué sirve una matriz de cumplimiento
Cuando se compra un equipo o un programa para una instalación sujeta a NERC CIP, o que toma esas normas como referencia, el fabricante suele entregar una matriz de cumplimiento. Es una tabla que recorre las normas CIP y, para cada requisito, dice qué función del producto ayuda a atenderlo. Para quien compra, es un mapa de qué parte del requisito resuelve el producto y qué parte queda por resolver con procesos propios. La visión general de las normas está en NERC CIP: qué exige y qué se puede tomar en Colombia. Los plazos de CIP-008 (prueba cada 15 meses y notificación) están en NERC CIP-008: respuesta y reporte de incidentes.
La matriz que usamos como referencia para esta guía es la de una aplicación de acceso intermedio y autenticado a IED remotos, de abril de 2017. Su introducción recuerda que la FERC aprobó la versión 6 de las normas con la Orden 822 el 21 de enero de 2016, que la entrada en vigor general fue el 1 de julio de 2016 y que los requisitos de impacto bajo y de dispositivos transitorios entraban el 1 de abril de 2017. Es decir, la matriz refleja un momento concreto de las normas.
Cómo está organizada
El documento se organiza por norma: categorización de sistemas, controles de gestión de seguridad, personal y capacitación, perímetro electrónico, seguridad física, gestión de seguridad de sistemas, respuesta a incidentes, planes de recuperación, gestión de cambios y vulnerabilidades, y protección de información. Dentro de cada norma, una tabla con columnas que se repiten:
| Columna | Qué contiene | Qué hacer con ella |
|---|---|---|
| Parte | Número del requisito (por ejemplo, 4.3 o 5.7) | Úselo para ubicar el texto en la norma |
| Sistemas aplicables | Categoría de impacto y sistemas asociados (de control de acceso electrónico, de control de acceso físico, activos de protección y control) | Compruebe que su sistema entra en esa fila |
| Requisito | El texto del requisito | Es la parte contra la que se audita |
| Medidas | Ejemplos de evidencia | Útil para planear qué registros guardar |
| Funciones del producto | Cómo el producto apoya o atiende el requisito | Es la afirmación del fabricante; verifíquela |
Lo importante está en la última columna. Fíjese en el verbo. En el documento aparecen verbos distintos: el producto «hace factible» una autenticación fuerte, «puede hacer cumplir» reglas de longitud y complejidad de contraseñas, «soporta» sistemas externos que aplican las reglas de contraseñas, «deshabilita» una cuenta tras un número configurable de intentos fallidos. Cada verbo promete algo diferente.
Cómo interpretar las respuestas
Lea cada celda de funciones del producto con una pregunta: ¿qué parte del requisito cubre y quién debe hacer el resto?
- «El producto lo hace.» Por ejemplo, registrar intentos fallidos de acceso y de inicio de sesión, que es un tipo de evento exigido por el requisito de monitoreo de eventos de seguridad. Falta aún que usted lo active, lo revise y guarde la evidencia.
- «El producto lo hace posible.» La autenticación fuerte es factible, pero usted debe configurarla, decidir quién la usa y documentarla.
- «El producto lo soporta.» Remite a un sistema externo, como un directorio o un servidor RADIUS, que es quien aplica la regla. La obligación de cambiar contraseñas por periodos sigue siendo suya y del sistema externo.
- «El producto puede conservarlo.» Es una capacidad, no un cumplimiento. El requisito de conservar registros al menos 90 días naturales consecutivos se cumple con la configuración y con el proceso, no con la capacidad de almacenar.
- Celda vacía o «no aplica». Es normal en requisitos de procesos, personal o seguridad física.
Con este criterio, el resultado útil de una matriz es una lista de brechas pendientes: requisitos donde el producto ayuda y requisitos donde usted debe poner proceso.
Ejemplo de lectura: registros y cuentas
Tomando dos requisitos de la norma de gestión de seguridad de sistemas (CIP-007):
- Monitoreo de eventos de seguridad. Pide registrar al menos los inicios de sesión exitosos, los accesos e inicios fallidos y el código malicioso detectado; generar alertas para código malicioso y para la falla del propio registro; conservar los registros al menos 90 días naturales consecutivos; y revisar un resumen o muestreo de eventos en intervalos no mayores a 15 días naturales. La matriz indica que el producto registra los intentos fallidos, notifica por correo o syslog y puede conservar datos sin límite. No dice que alguien revise el resumen cada 15 días: eso es suyo.
- Controles de acceso al sistema. Pide autenticación de acceso interactivo, inventario de cuentas genéricas o por defecto, identificación de quién tiene acceso a las cuentas compartidas, cambio de contraseñas por defecto, parámetros de contraseña, cambio al menos cada 15 meses calendario cuando solo hay contraseña, y límite de intentos fallidos. El producto aporta autenticación individual y bloqueo; el inventario de cuentas de los relés y el calendario de cambios siguen en su programa.
Estos temas se desarrollan en cuentas y contraseñas en IED y registros y SIEM en subestaciones.
Señales de alerta en una matriz
- Fecha antigua. Revise si las versiones de las normas citadas siguen vigentes.
- Errores de numeración. En la matriz que consultamos, el capítulo de categorización de sistemas lleva un número de norma que no corresponde a ese tema, y otro capítulo tiene un número con un dígito de menos. Sirve de recordatorio: contraste siempre con el texto de la norma.
- Descargo de responsabilidad. Documentos de este tipo traen un aviso de que los ejemplos no son vinculantes ni completos y no sustituyen la responsabilidad del usuario. Léalo: define el valor de la matriz.
- Funciones que dependen de una licencia o de un módulo adicional. Pregunte qué versión y qué opciones cubre cada fila.
- Requisitos que el producto «cumple» pero que dependen de su red. Un registro no sirve si el reloj del equipo está mal ajustado; vea sincronización de tiempo.
Cómo usarla en un proyecto
- Pida la matriz en la fase de oferta, junto con las respuestas sobre cadena de suministro (vea NERC CIP-013).
- Marque en cada fila quién responde: producto, integrador, propietario.
- Convierta las filas «le corresponde al propietario» en tareas con responsable y fecha.
- Guarde la matriz con la versión del producto, para saber contra qué se evaluó.
- Revísela cuando cambie la versión del producto o de la norma.
Qué se pudo verificar
Este artículo se apoya en la matriz de un fabricante de abril de 2017 y en el texto de los requisitos que reproduce de CIP-007. No se revisó la edición vigente de las normas ni la matriz de otros fabricantes. La lectura que se propone es un criterio de trabajo, no una opinión de auditoría.
Cómo le ayudamos
En Tiza Group revisamos con usted lo que un fabricante promete y lo que realmente queda por hacer en la configuración de relés, puertas de enlace y conmutadores, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Escríbanos.
Guías relacionadas
- NERC CIP: qué exige y qué se puede tomar en Colombia
- NERC CIP-013: riesgo en la cadena de suministro
- Cuentas y contraseñas en IED: roles y rotación
- Registros y SIEM en subestaciones
- Evaluación de brechas de ciberseguridad OT
- Endurecimiento de relés, switches e IED
- NERC CIP-008: respuesta y reporte de incidentes
- NERC CIP-010: gestión de cambios y vulnerabilidades
Referencias
- Matriz de cumplimiento NERC CIP de una aplicación de acceso a IED remotos de un fabricante, abril de 2017, capítulos de CIP-007 (R4 y R5).
- NERC, normas CIP-002 a CIP-011 (la versión vigente se confirma en nerc.com).
Preguntas frecuentes
¿Si compro un producto con matriz CIP ya cumplo la norma?
No. La matriz describe cómo las funciones del producto pueden ayudar a atender ciertos requisitos dentro de un programa CIP. Los propios documentos de este tipo lo aclaran: son ejemplos de aplicación, no vinculantes ni completos, y la responsabilidad de usar bien el producto y de cumplir la norma sigue siendo de quien lo opera.
¿Por qué algunos requisitos no tienen funciones del producto?
Porque muchos requisitos CIP son de proceso, personal o seguridad física: capacitación, evaluación de riesgo del personal, planes de recuperación, control de acceso a salas. Un producto de software o de red no los resuelve. Que la celda esté vacía o diga que no aplica es normal y honesto.
¿Cómo sé si la matriz está desactualizada?
Compare la fecha del documento y las versiones de las normas que cita con las vigentes. Una matriz de 2017 habla de las versiones 5 y 6 de las normas, y desde entonces han seguido cambiando. Revise también que el título de cada norma corresponda a su número: las erratas existen.