CIP-010-3 obliga a documentar la configuración base de cada sistema cubierto (sistema operativo o firmware, software, puertos y parches), autorizar y registrar todo cambio, verificar los controles de seguridad afectados, vigilar la configuración cada 35 días en impacto alto y evaluar vulnerabilidades cada 15 meses, con prueba activa cada 36 meses en impacto alto. Su requisito R4 regula los computadores de servicio y los medios removibles.
Qué cubre CIP-010
CIP-010 trata de cómo cambia un sistema y cómo se sabe si está sano. Tiene cuatro requisitos:
| Requisito | Tema |
|---|---|
| R1 | Gestión de cambios de configuración |
| R2 | Monitoreo de la configuración |
| R3 | Evaluaciones de vulnerabilidades |
| R4 | Planes para activos cibernéticos transitorios y medios removibles |
Aplica a los sistemas de impacto alto y medio según CIP-002, con precisiones por parte que se indican abajo. La versión descrita es CIP-010-3. Cómo interpretar la matriz NERC CIP de un fabricante, y qué le toca demostrar a usted, está en matriz de cumplimiento NERC CIP.
R1: configuración base y control de cambios
| Parte | Qué pide | Aplica a |
|---|---|---|
| 1.1 | Configuración base de cada activo o grupo de activos: sistema operativo o firmware con versión, software instalado con versión, software a la medida, puertos lógicos accesibles y parches de seguridad aplicados | Alto y medio |
| 1.2 | Autorizar y documentar los cambios que se aparten de la base | Alto y medio |
| 1.3 | Actualizar la base dentro de 30 días calendario después de terminar el cambio | Alto y medio |
| 1.4 | Antes del cambio, determinar qué controles de CIP-005 y CIP-007 podría afectar; después, verificar que no quedaron afectados y documentar el resultado | Alto y medio |
| 1.5 | Antes de aplicar el cambio en producción, probarlo en un ambiente de prueba, o en producción de modo que se minimicen los efectos adversos; documentar resultados y diferencias | Alto, donde sea técnicamente posible |
| 1.6 | Antes de un cambio de sistema operativo, firmware, aplicaciones o parches, verificar la identidad de la fuente del software y su integridad, si el fabricante ofrece un método | Alto y medio |
En el sector eléctrico esto se traduce en un registro por equipo: modelo, versión de firmware, versión de la herramienta de ingeniería, parches, puertos habilitados (por ejemplo, los de gestión y los de protocolos) y fecha del último cambio. Para relés, parches y firmware en relés e IED trata cómo se organiza una actualización.
La parte 1.6 no obliga a renegociar contratos con proveedores ni regula sus términos. Pide verificar identidad e integridad cuando existe un método, por ejemplo una firma digital del fabricante o una suma de verificación publicada.
R2: vigilar que la base no cambie sin permiso
Cada 35 días calendario como máximo se monitorea la configuración respecto de la base. Los cambios no autorizados se documentan e investigan. Aplica a impacto alto, con sus sistemas de control de acceso electrónico y activos protegidos asociados.
R3: evaluaciones de vulnerabilidades
| Parte | Qué pide | Aplica a |
|---|---|---|
| 3.1 | Evaluación de vulnerabilidades, en papel o activa, al menos cada 15 meses calendario | Alto y medio |
| 3.2 | Evaluación activa, al menos cada 36 meses calendario, en un ambiente de prueba que modele la configuración base o en producción con efectos mínimos; documentar resultados y diferencias entre ambientes | Alto, donde sea técnicamente posible |
| 3.3 | Antes de poner un activo nuevo en producción, evaluación activa de vulnerabilidades (excepto circunstancias excepcionales y reemplazos por un equipo igual con la misma base) | Alto |
| 3.4 | Documentar los resultados de las evaluaciones y un plan de acción con fechas y estado para corregir o mitigar lo encontrado | Alto y medio |
La evaluación activa consiste en probar el sistema, por ejemplo con escaneos, y es la que puede afectar equipos en servicio. Por eso la norma permite hacerla sobre un ambiente de prueba que modele la base. En equipos de protección y control, un escaneo en producción debe planearse con el cuidado de cualquier intervención en servicio.
R4: laptops de servicio y medios removibles
Para impacto alto y medio, la entidad debe tener planes documentados para activos cibernéticos transitorios (laptops y otros equipos que se conectan por un tiempo limitado) y medios removibles (memorias USB, discos externos). El Anexo 1 de la norma define las secciones que el plan debe incluir; el detalle de cómo aplicarlas a un proyecto está en control de laptops de servicio y USB en subestaciones.
Qué evidencia se espera
La norma da ejemplos de evidencia para cada parte:
- La lista de elementos de la base de cada activo.
- Un sistema de gestión de cambios con la autorización electrónica de quien tiene la facultad.
- Una base fechada dentro de los 30 días.
- Una lista de controles verificados, con resultados fechados.
- Registros del sistema que monitorea la configuración, con la investigación de cada cambio no autorizado.
- Los documentos de evaluación, con las herramientas usadas.
Cómo se usa fuera de Norteamérica
NERC CIP no es obligatoria en Colombia, pero CIP-010 describe un orden de trabajo que se puede tomar: inventario con versiones, cambio autorizado, verificación posterior y revisión periódica. Se conecta con gestión de configuración de IED y SCD y con niveles de acceso y contraseñas de relés. Qué debe incluir el respaldo de un IED, cómo se verifica y cómo se prueba la recuperación está en respaldo y recuperación de ajustes y configuración de IEDs.
¿Necesita ordenar la configuración de sus equipos?
En Tiza Group levantamos el inventario de relés, controladores, gateways y switches de subestaciones e industria, con versiones y puertos, y dejamos un respaldo de configuración y un procedimiento de cambio, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Le cotizamos según el número de equipos.
Guías relacionadas
- NERC CIP-002: categorización de sistemas cibernéticos
- NERC CIP-005: perímetro electrónico y acceso remoto
- NERC CIP: qué exige y qué se puede tomar en Colombia
- Parches y firmware en relés e IED
- Gestión de configuración: versiones de ajustes y del SCD
- Niveles de acceso y contraseñas de relés
- Respaldo y recuperación de ajustes y configuración de IEDs
- Matriz de cumplimiento NERC CIP: cómo leerla
Referencias
- NERC, CIP-010-3, Cyber Security – Configuration Change Management and Vulnerability Assessments: requisitos R1 a R4 y Anexo 1.
Preguntas frecuentes
¿Qué debe incluir la configuración base?
Cinco elementos: el sistema operativo o el firmware, con su versión, cuando no hay sistema operativo independiente; el software comercial o de código abierto instalado a propósito, con su versión; el software a la medida; los puertos lógicos accesibles por red; y los parches de seguridad aplicados.
¿En cuánto tiempo se actualiza la configuración base después de un cambio?
Como máximo 30 días calendario después de terminar el cambio, si el cambio se aparta de la configuración base existente. Antes del cambio se determina qué controles de seguridad de CIP-005 y CIP-007 podría afectar, y después se verifica que no quedaron afectados.
¿Un relé con firmware entra en CIP-010?
Sí, si forma parte de un sistema cibernético de impacto alto o medio. La norma habla de firmware donde no existe un sistema operativo independiente, y de verificar la identidad de la fuente y la integridad del software antes de un cambio, cuando el fabricante ofrece un método para hacerlo.