Los relés de protección separan lo que puede hacer cada usuario en niveles o roles: leer medidas y eventos, operar el interruptor o reponer señalizaciones, y cambiar ajustes o la configuración. Cada nivel tiene su contraseña o cuenta. Las contraseñas de fábrica son públicas en los manuales y deben cambiarse al poner el relé en servicio. IEEE 1686 e IEC 62351-8 describen cómo debe ser ese control de acceso.
Para qué sirven los niveles de acceso
Un relé de protección permite, desde su pantalla, desde el puerto frontal o desde la red, hacer cosas con consecuencias muy distintas: leer una medida, abrir un interruptor o cambiar el ajuste de una protección. Los niveles de acceso existen para que cada acción la haga solo quien debe, sea en el frente del relé o al conectarse con el software:
| Nivel típico | Qué permite | Quién lo usa |
|---|---|---|
| Lectura | Medidas, estado, eventos, oscilografías, ajustes en modo de solo lectura | Operación, mantenimiento, análisis |
| Operación | Abrir y cerrar, reponer señalizaciones y el bloqueo, cambiar el grupo de ajustes en algunos equipos | Operación autorizada |
| Ajustes y configuración | Cambiar ajustes de protección, lógica, comunicaciones y puertos | Ingeniería de protecciones |
| Administración | Cuentas, contraseñas, firmware y seguridad | Responsable de la seguridad del sistema |
Cada fabricante los nombra y los agrupa a su manera:
- SEL usa niveles de acceso numerados con contraseña propia: el de lectura, el de ajustes y, según el modelo, niveles intermedios para operación o para tipos particulares de ajustes.
- Schneider MiCOM Px4x usa niveles 0, 1 y 2. Con el nivel 0 solo se lee; el nivel 1 da algunos permisos de escritura y el nivel 2 todos. Schneider documenta que el control de contraseña sale de fábrica en nivel 2 para todos los usuarios y recomienda cambiarlo a 0, de modo que escribir exija contraseña.
- Siemens SIPROTEC 5, Hitachi Energy Relion y GE Vernova Multilin trabajan, en sus generaciones recientes, con cuentas de usuario y roles, además de la opción de autenticación centralizada según el modelo.
Estos niveles se aplican por puerto: la pantalla frontal, el puerto de ingeniería y la red pueden tener permisos distintos. Un relé con la red bien protegida y el puerto frontal abierto sigue expuesto a quien llegue al tablero.
Por qué cambiar las contraseñas de fábrica
Las contraseñas de fábrica están en los manuales, que son públicos. Un relé que conserva la contraseña de fábrica, o que sale de fábrica sin pedirla, en la práctica no tiene control de acceso. Los riesgos no son solo de ciberataques:
- Cambios no autorizados de ajustes por personal de buena fe que no conoce el estudio.
- Maniobras desde el relé por alguien que no tiene permiso de operación.
- Sin trazabilidad: si todos usan la misma contraseña, el registro del relé no dice quién hizo el cambio.
Cambiarlas es parte de la puesta en servicio. Al entregar el relé, las contraseñas nuevas quedan en el gestor de contraseñas del dueño, nunca en el protocolo de pruebas impreso ni en una etiqueta del tablero.
Qué dicen IEEE 1686 e IEC 62351-8
- IEEE 1686-2022 define las funciones de ciberseguridad que debe traer un dispositivo electrónico inteligente: control de acceso, operación, configuración, revisión de firmware y extracción de datos, con registro de auditoría y alarmas. Sirve para especificar y comparar equipos. Lo explicamos en IEEE 1686: requisitos de ciberseguridad de los IED.
- IEC 62351-8 define el control de acceso basado en roles (RBAC) para sistemas de potencia: los permisos se asignan a roles y los roles a personas, en lugar de compartir contraseñas por nivel. Vea IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3.
- IEC 62443-4-2 fija los requisitos técnicos de seguridad de los componentes de automatización, incluida la identificación y autenticación de usuarios; lo tratamos en IEC 62443 en subestaciones.
Buenas prácticas de gestión
A nivel general, una política de acceso a relés cubre:
- Una contraseña distinta por nivel, y si el relé lo permite, una cuenta por persona.
- Contraseñas en un gestor controlado por el dueño, con acceso registrado.
- Puertos que no se usan, deshabilitados, y servicios de red innecesarios apagados.
- Alarma al SCADA por intentos fallidos o por cambio de ajustes, cuando el relé la ofrece.
- Reposición tras un disparo con el nivel que corresponde a la operación, sin compartir el de ajustes; vea reponer un relé tras un disparo.
- Revisión periódica: contraseñas de personal que ya no trabaja con la instalación, cuentas temporales de contratistas.
- Acceso remoto solo a través de la arquitectura segura de la instalación; vea acceso remoto seguro a relés y subestaciones.
Qué se verifica en el comisionamiento
En la puesta en servicio, o comisionamiento, del relé, la seguridad de acceso se prueba como cualquier otra función. A nivel general se verifica que cada nivel pida su contraseña en cada puerto, que las contraseñas de fábrica ya no funcionen, que los puertos y servicios que no se usan estén deshabilitados, que el registro del relé anote los accesos y los cambios, y que las alarmas de seguridad lleguen al SCADA. El resultado queda en el protocolo de pruebas, sin escribir las contraseñas.
Si se pierde una contraseña
- ¿Aparece en los archivos de puesta en servicio o en el gestor de contraseñas del dueño?
- SíÚsela, cámbiela si estaba compartida y regístrela de nuevo
- No¿El nivel que falta es solo el de ajustes o administración?
- SíEl relé sigue protegiendo; planee el restablecimiento con el procedimiento del fabricante
- No, tampoco hay lecturaPlanee igual el restablecimiento; mientras tanto, los eventos se recuperan por el SCADA o el registrador si existen
El restablecimiento lo define cada fabricante. En muchos equipos exige presencia física en el relé, a veces sacarlo de servicio, y en otros el apoyo del fabricante con el número de serie. No existen atajos seguros: cualquier método que salte la contraseña sin el procedimiento del fabricante pone en riesgo los ajustes y la garantía. Trátelo como una intervención en la bahía, con la protección de respaldo verificada y la bahía aislada para pruebas si hace falta.
Después del restablecimiento, lea los ajustes y compárelos con el último archivo aprobado antes de volver a servicio: algunos procedimientos devuelven el relé a valores de fábrica.
Le ayudamos con el acceso a sus relés
En Tiza Group configuramos relés de las principales marcas de forma remota, incluidas las cuentas, los niveles de acceso, los puertos y las alarmas de seguridad, dentro de la política de su empresa. Conozca la configuración remota de relés. Si su instalación necesita revisar la seguridad de toda la red de protección y control, nuestra ingeniería de comunicaciones lo incluye.
Guías relacionadas
- IEEE 1686: requisitos de ciberseguridad de los IED
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Acceso remoto seguro a relés y subestaciones
- ¿Es segura la configuración remota de relés?
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Relés de protección: tipos, funciones y mantenimiento
- Software de configuración de relés por marca
Referencias
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cyber Security Capabilities. https://standards.ieee.org/ieee/1686/5321/
- IEC 62351-8, Role-based access control for power system management.
- IEC 62443-4-2:2019, Technical security requirements for IACS components.
- Schneider Electric, FAQ FA180139, niveles de contraseña de los relés MiCOM Px4x. https://www.se.com/us/en/faqs/FA180139/
- Manuales de instrucciones de SEL, Siemens, Hitachi Energy y GE Vernova, secciones de seguridad y acceso.
Preguntas frecuentes
¿Dónde encuentro la contraseña de fábrica de mi relé?
Está en el manual de instrucciones del fabricante, en la sección de seguridad o de acceso. No la publicamos aquí porque es justamente la que no debería seguir funcionando en un relé en servicio. Si su relé aún la acepta, cámbiela y registre la nueva en el gestor de contraseñas de su empresa.
¿Qué hago si nadie sabe la contraseña del relé?
Busque primero en los archivos de la puesta en servicio y en el gestor de contraseñas del dueño. Si no aparece, siga el procedimiento del fabricante para restablecer el acceso; en muchos equipos exige presencia física, sacar el relé de servicio o el apoyo del fabricante. Planee esa maniobra como una intervención en la bahía, con la protección respaldada.
¿Una contraseña por nivel es suficiente para cumplir IEEE 1686?
IEEE 1686 describe las capacidades de seguridad que el equipo debe ofrecer, como cuentas, control de acceso, registro de auditoría y alarmas. Cumplir depende de qué ofrece el relé y de cómo se usa: contraseñas compartidas por todo el personal o nunca cambiadas no dan trazabilidad aunque el relé tenga niveles.