IEC 62351-7 define objetos de gestión de redes y sistemas (NSM) propios del sector eléctrico para vigilar a distancia la salud y el estado de IED, RTU, recursos distribuidos y redes, detectar posibles intrusiones y gestionar el desempeño de la infraestructura de comunicaciones. Su segunda edición, de diciembre de 2025, reemplazó a la de 2017 y trae el mapeo a MIB de SNMP. Junto con el registro por syslog y la detección de intrusos en la red forma el monitoreo de seguridad que piden la guía del CNO y, en Norteamérica, CIP-015.
Qué es IEC 62351-7
IEC 62351-7:2025, Power systems management and associated information exchange – Data and communications security – Part 7: Network and System Management (NSM) data object models, es la parte de la serie IEC 62351 que define los objetos de gestión de redes y sistemas propios de la operación eléctrica. Su segunda edición se publicó el 3 de diciembre de 2025 y reemplazó a la de 2017.
Según su resumen oficial, esos objetos sirven para tres cosas:
- vigilar la salud y el estado de las redes y de los equipos: IED, RTU, recursos distribuidos y otros sistemas importantes para la operación;
- detectar posibles intrusiones de seguridad;
- gestionar el desempeño y la confiabilidad de la infraestructura de información.
La norma cubre el monitoreo de los equipos que usan IEC 61850, IEC 60870-5-104 y DNP3 (IEEE 1815), e incluye el mapeo de sus objetos a bases de información de gestión (MIB) de SNMP, para que los equipos se integren en las plataformas de gestión de red que ya existen. Deja fuera los objetos que ya tienen su propia MIB, como los de servicios de certificados digitales, RADIUS, LDAP o la gestión de claves de grupo. La edición de 2025 revisó y amplió el modelo de datos, lo describe en UML y entrega las MIB como componentes de código.
El lugar de esta parte dentro de la serie se explica en IEC 62351.
Por qué hace falta
Una subestación digital tiene decenas de equipos que se comunican continuamente: relés, controladores de bahía, switches, gateways, relojes. Cuando algo falla o alguien intenta entrar, el primer indicio suele estar en esos mismos equipos: un enlace que se cae, un cliente que no debería conectarse, intentos de acceso fallidos, un cambio de configuración, un proceso que consume más recursos que de costumbre. Si nadie recoge esa información de forma ordenada, se pierde.
El monitoreo de red tradicional, con SNMP y syslog, ya recoge parte de ella en switches y servidores. IEC 62351-7 lleva la idea a los equipos propios del sector eléctrico, con objetos que entienden de protocolos como IEC 61850 o 104 y no solo de interfaces de red.
Las tres fuentes del monitoreo de seguridad
| Fuente | Qué aporta | Guía |
|---|---|---|
| Objetos NSM de IEC 62351-7 (por SNMP) | Lo que el equipo sabe de sí mismo: estado, comunicaciones, eventos de seguridad | Esta guía |
| Syslog y registros de los equipos | Accesos, fallos, cambios de configuración, con hora | Supervisión de la red: SNMP y syslog |
| Detección de intrusos (IDS) pasiva | Lo que pasa en la red, aunque el equipo no lo reporte | Detección de intrusos en redes de subestación |
Ninguna basta por sí sola. Un equipo comprometido puede dejar de reportar; un IDS no ve lo que ocurre dentro de un equipo; un registro sin hora confiable no permite reconstruir los hechos. Un ejemplo de sensor de detección de intrusos pensado para subestaciones es OMICRON StationGuard.
Cómo se arma
- Equipos. IED, switches, gateways y relojes reportan por SNMPv3 y syslog
- Sensor pasivo. IDS en puertos espejo de los switches del bus de estación
- Gestor de red. Recibe objetos NSM, traps y registros con hora sincronizada
- Correlación. Las alertas se cruzan y se priorizan en un solo lugar
- Revisión. Alguien responsable atiende y documenta cada alerta
Algunas decisiones de diseño:
- Dónde vive el gestor. En la zona de estación o en una zona de gestión propia, nunca en la red corporativa sin firewall de por medio, como se explica en IEC 62443 en subestaciones.
- SNMPv3 en lugar de las versiones anteriores, que no autentican ni cifran.
- Hora sincronizada en todos los equipos, desde el reloj de la subestación, para que los eventos se puedan ordenar.
- Qué se lleva al SCADA y qué no. Las alarmas de comunicación que afectan la operación (un enlace caído, pérdida de redundancia) van al SCADA; los eventos de seguridad van al gestor y a quien los revisa.
- Quién mira. El monitoreo sin una persona responsable de revisar las alertas es solo almacenamiento.
En la especificación de los equipos conviene pedir al fabricante qué objetos NSM soporta cada modelo y versión, además del soporte de SNMPv3 y syslog.
Qué piden las regulaciones
Colombia. La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, incluye el monitoreo de accesos 24/7 en su capítulo de perímetro y el monitoreo de eventos en el de seguridad de ciberactivos. La evidencia de la revisión periódica del sistema de control intermedio y de los controles para identificar y monitorear eventos tiene como plazo el 3 de abril de 2027, 24 meses después de la expedición del acuerdo. Cuando el monitoreo detecta un incidente, se reporta según el Acuerdo CNO 2188 de 2026, que sustituyó al 2088.
Norteamérica. La FERC aprobó el 26 de junio de 2025, con la Orden 907, la norma CIP-015-1, de monitoreo de seguridad de la red interna (INSM). Exige ese monitoreo dentro del perímetro electrónico de seguridad para los sistemas de impacto alto, tengan o no conectividad enrutable externa, y para los de impacto medio con conectividad enrutable externa. La misma orden pidió a NERC extenderlo a los sistemas de control o monitoreo de acceso electrónico y de control de acceso físico ubicados fuera del perímetro. El marco general está en regulación de ciberseguridad eléctrica en Latinoamérica, y el detalle de cada norma en NERC CIP: qué exige.
Brasil. La rutina RO-CB.BR.01 del ONS dedica un capítulo al monitoreo y la respuesta a incidentes en su ambiente regulado cibernético.
Errores frecuentes
- Recoger todo y no revisar nada.
- SNMP v1 o v2c con comunidades por defecto en los switches de la subestación.
- Equipos con la hora desfasada, que hacen imposible ordenar los eventos.
- El gestor de red en la red corporativa, con acceso directo a la red de protección y control.
- No pedir en la especificación el soporte de monitoreo de cada equipo.
Le ayudamos a montarlo
En Tiza Group configuramos SNMPv3, syslog, sincronización de tiempo y las alarmas de comunicación de relés, controladores, gateways y switches, y dejamos la red preparada para un sensor de detección de intrusos, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. En relés y controladores lo hacemos también a distancia con la configuración remota de relés. Escríbanos con la arquitectura de su red.
Guías relacionadas
- Detección de intrusos (IDS) en redes de subestación
- Supervisión de la red de subestación: SNMP y syslog
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Sincronización de tiempo en subestaciones: GNSS, IRIG-B y PTP
- Red de comunicaciones de subestación: niveles y protocolos
- Ciberseguridad de subestaciones y plantas: normas y mapa
- NERC CIP: qué exige y qué se puede tomar en Colombia
- Seguridad de GOOSE y Sampled Values: IEC 62351-6 y -9
Referencias
- IEC 62351-7:2025, Network and System Management (NSM) data object models, edición 2.0, 3 de diciembre de 2025.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad, y Acuerdo 2188 de 2026.
- FERC, Orden 907 (26 de junio de 2025), aprobación de CIP-015-1, Internal Network Security Monitoring, expediente RM24-7-000.
- ONS, Rotina Operacional RO-CB.BR.01, revisão 00, numeral 4.6.
Preguntas frecuentes
¿En qué se diferencia IEC 62351-7 de un IDS?
IEC 62351-7 define qué información deben reportar los propios equipos sobre su salud, sus comunicaciones y su seguridad. Un IDS observa el tráfico desde fuera, sin depender de que el equipo reporte nada. Son complementarios: el primero dice qué ve el equipo de sí mismo; el segundo, qué pasa en la red.
¿Mis relés ya soportan IEC 62351-7?
Depende del modelo y del firmware. Muchos equipos de red y algunos IED reportan por SNMP y syslog, pero el soporte de los objetos NSM de IEC 62351-7 no es general. Hay que pedirlo al fabricante y declararlo en la especificación; donde no existe, la detección de intrusos en la red cubre parte del hueco.
¿Qué exige la guía del CNO sobre monitoreo?
El Acuerdo CNO 1960 de 2025 pide monitoreo de los accesos 24/7 y controles para identificar y monitorear eventos de seguridad. La evidencia de la revisión periódica del sistema de control intermedio y de esos controles de monitoreo tiene como plazo el 3 de abril de 2027.