NERC CIP-013: riesgo en la cadena de suministro

Respuesta corta

NERC CIP-013 obliga a la entidad responsable a tener un plan documentado de riesgo de cadena de suministro para sus sistemas cibernéticos de impacto alto y medio, a aplicarlo en cada compra y a revisarlo y aprobarlo al menos cada 15 meses. No fija el contrato ni juzga el desempeño del proveedor: exige un proceso para identificar riesgos antes de comprar y pactar con el proveedor aviso de incidentes, divulgación de vulnerabilidades, verificación de software y control de su acceso remoto.

Qué es CIP-013 y qué no es

CIP-013 es la norma de NERC sobre riesgo en la cadena de suministro de ciberseguridad. Su propósito, según el texto de la edición CIP-013-1 que consultamos, es mitigar los riesgos para la operación confiable del sistema eléctrico de potencia implementando controles de cadena de suministro sobre los sistemas cibernéticos del sistema (BES Cyber Systems). La visión general de todas las normas CIP está en NERC CIP: qué exige y qué se puede tomar en Colombia; aquí se trata solo esta norma, que mira a un actor distinto del resto: el proveedor. Cómo interpretar la matriz NERC CIP de un fabricante, y qué le toca demostrar a usted, está en matriz de cumplimiento NERC CIP.

Algunas ideas ayudan a leerla:

Se centra en la compra. Pide procesos para planear y ejecutar la adquisición de equipos y software, no para operar lo ya instalado.
No juzga al proveedor. Aunque el plan lo mire de cerca, la norma deja fuera del requisito de implementación las condiciones del contrato y el desempeño del proveedor.
Se aplica a los sistemas de impacto alto y medio. La edición consultada limita el plan a esas categorías. Los de impacto bajo quedan fuera de esta edición; la versión vigente se confirma siempre en el sitio de NERC, porque la norma ha tenido ediciones posteriores.

Los requisitos

La norma se reduce a un ciclo corto: escribir el plan, aplicarlo y mantenerlo vigente.

Requisito	Qué exige	Evidencia típica
R1	Desarrollar uno o más planes documentados de gestión del riesgo de cadena de suministro para sistemas de impacto alto y medio	El plan documentado
R2	Implementar el plan de R1	Correspondencia, políticas o documentos de trabajo que muestren su uso
R3	Revisar el plan y obtener la aprobación del responsable de CIP o su delegado al menos cada 15 meses calendario	Plan fechado y aprobado, historial de revisión

Cada requisito tiene factor de riesgo de infracción medio en la edición consultada, y su horizonte de tiempo es la planificación de operaciones.

Lo que el plan debe cubrir

R1 distingue dos partes.

Planeación de la compra (1.1). Uno o más procesos para identificar y evaluar los riesgos de ciberseguridad que los productos o servicios del proveedor traen al sistema, tanto al comprar e instalar equipo y software como al cambiar de un proveedor a otro. La transición entre proveedores es un riesgo que se olvida: el equipo nuevo llega con otra pila de software, otros accesos y otra forma de soporte.

Adquisición (1.2). Procesos que, según aplique, aborden estos asuntos con el proveedor:

Que el proveedor notifique los incidentes que haya identificado en sus productos o servicios y que representen riesgo para usted.
La coordinación de la respuesta a esos incidentes.
Que el proveedor avise cuando deba retirarse el acceso, remoto o presencial, de uno de sus representantes.
La divulgación de vulnerabilidades conocidas de los productos o servicios.
La verificación de la integridad y autenticidad del software y de los parches que el proveedor entrega.
La coordinación de controles del acceso remoto interactivo iniciado por el proveedor y del acceso remoto de sistema a sistema con él.

Estos asuntos son el contenido natural de las cláusulas de una oferta. Se pueden convertir en preguntas que el proveedor responde por escrito antes de la orden de compra.

Cómo llevarlo a la práctica

En la práctica el plan se vuelve una lista de verificación que acompaña a cada compra de relés, controladores, puertas de enlace, conmutadores o software de ingeniería:

Antes de pedir oferta: qué tipo de sistema es y de qué categoría de impacto, qué acceso del proveedor se necesitará y por dónde pasará.
En la oferta: respuestas del proveedor sobre aviso de incidentes y de vulnerabilidades, firmas o sumas de verificación de software y parches, y política de acceso remoto.
Al recibir: comprobar que el software y los parches coinciden con lo que el proveedor firmó o publicó, antes de instalarlos. La gestión de parches y firmware trata cómo se hace en relés.
En el servicio: que el acceso del proveedor pase por la arquitectura segura de la instalación, como se explica en acceso remoto seguro a subestaciones, con cuentas individuales y ventanas autorizadas.
Al terminar el contrato o cambiar de proveedor: retiro de cuentas y de accesos, y entrega de la configuración respaldada.

Para el lado del proveedor existen requisitos equivalentes en la serie IEC 62443; vea IEC 62443-2-4: requisitos para proveedores de servicios.

Errores frecuentes

Un plan que nadie usa. R2 pide implementación; un documento sin correspondencia ni registros de compras no la demuestra.
Olvidar la revisión. El plazo de 15 meses calendario corre desde la aprobación anterior; sin fecha y firma, no hay evidencia.
Medir al proveedor por el contrato. Si el contrato no trae aviso de incidentes ni acceso remoto controlado, el plan debe decir cómo se mitigará, aunque no se pueda renegociar.
Excluir el cambio de proveedor. Migrar de una marca a otra es el momento de mayor riesgo y el que el texto menciona de forma explícita.
Confundirla con un inventario. El inventario de activos es otro trabajo; vea inventario de activos OT de una subestación.

Qué se puede verificar y qué no

Este artículo se apoya en el texto de la edición CIP-013-1 de la norma, que se consultó para comprobar los requisitos, sus plazos y la nota sobre contratos. No se verificó la edición vigente ni las guías de implementación de NERC; para una auditoría, confirme la versión aplicable en nerc.com. Los plazos de CIP-008 (prueba cada 15 meses y notificación) están en NERC CIP-008: respuesta y reporte de incidentes.

Cómo le ayudamos

En Tiza Group revisamos con usted las condiciones de ciberseguridad que conviene pedir a proveedores de relés, controladores y equipos de comunicaciones, y configuramos esos equipos con cuentas individuales, puertos mínimos y registro de eventos dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Escríbanos.

Guías relacionadas

Referencias

NERC, CIP-013-1, Cyber Security – Supply Chain Risk Management, requisitos R1 a R3 y notas (la versión vigente se confirma en nerc.com).

Preguntas frecuentes

¿CIP-013 obliga a renegociar los contratos que ya tengo?

No. La nota del requisito R2 aclara que implementar el plan no exige renegociar ni anular contratos vigentes, incluidas enmiendas a acuerdos marco y órdenes de compra. Tampoco entran en R2 las condiciones del contrato en sí ni el desempeño del proveedor. Lo que se evalúa es que usted tenga el proceso y lo aplique en las adquisiciones.

¿Se aplica a una planta o subestación en Colombia?

No es obligatoria en Colombia, donde la referencia local es la guía de ciberseguridad del CNO. Pero los pliegos de empresas con operación en Norteamérica y muchos contratos de equipos de control ya traen cláusulas de este tipo, y el plan sirve como lista de preguntas para cualquier compra de equipos de protección, control o comunicaciones.

¿Qué evidencia piden para demostrar que lo cumplo?

Para el plan, el documento fechado y aprobado por el responsable de CIP o su delegado. Para su aplicación, correspondencia, políticas o documentos de trabajo que muestren que el plan se usó en las compras. Para la revisión, el historial de versiones o los registros de que se revisó dentro del plazo.