Gestionar parches y firmware en relés e IED es decidir, para cada aviso de seguridad del fabricante, si aplica a los equipos instalados, cuánto riesgo representa y cómo se corrige: con una actualización probada antes en banco, instalada en una ventana de mantenimiento, con respaldo previo y verificación posterior, o con un control compensatorio cuando actualizar no es posible. La Guía de Ciberseguridad del CNO exige un procedimiento documentado y evidencia de los ciclos de parchado.
Por qué un relé no se parchea como un computador
En un computador de oficina, una actualización se instala, se reinicia y se sigue trabajando. En un relé de protección, una actualización de firmware es un cambio en un equipo crítico: mientras se carga, la bahía queda sin esa protección; después, el relé debe comportarse exactamente como antes ante una falla. Por eso la gestión de parches en una subestación tiene más de procedimiento de mantenimiento que de rutina informática.
A la vez, no actualizar nunca tampoco es una opción. Los fabricantes publican avisos de seguridad para sus relés, controladores, switches y gateways cuando encuentran vulnerabilidades, y un equipo con firmware de hace diez años puede tener servicios expuestos que ya se saben explotar.
Qué pide la regulación
La Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025) trata el tema en su capítulo de gestión de la seguridad de los ciberactivos críticos:
- Procedimiento de actualizaciones y parches documentado e implementado, con instalación periódica según ese procedimiento. Donde la actualización no sea técnicamente factible, controles compensatorios que mitiguen el riesgo.
- Evaluación de vulnerabilidades técnicas de los ciberactivos críticos y de los puntos de acceso al perímetro como máximo cada dos años, y también antes de poner en producción un ciberactivo crítico nuevo y en los reemplazos programados, con planes de acción fechados para remediar o mitigar lo encontrado.
- Control de cambios y gestión de configuraciones para cualquier modificación de hardware o software de un ciberactivo crítico, asegurando que no afecte los controles de seguridad existentes.
El procedimiento de parches y la evidencia de los ciclos de parchado tenían plazo hasta el 3 de abril de 2026.
Como referencia de un régimen más detallado, NERC CIP-007-6 pide evaluar los parches de seguridad al menos cada 35 días calendario y, dentro de los 35 días siguientes, aplicarlos o crear un plan de mitigación con fecha. En Colombia no hay un plazo de días fijado por la guía del CNO: lo define el procedimiento de cada agente.
Las normas de apoyo
- IEC TR 62443-2-3:2015, Patch management in the IACS environment, es el informe técnico de la serie IEC 62443 sobre gestión de parches en sistemas de automatización: cómo se organizan el propietario y el fabricante para que los parches lleguen probados y documentados.
- IEEE 1686-2022 incluye entre las capacidades de seguridad de un IED la revisión de su firmware: control de cambios e integridad del firmware y de los archivos de configuración, con registro de auditoría.
- IEC 62443-4-2:2019 incluye, entre las capacidades de un componente de nivel SL 2, comprobaciones de autenticidad del código y de las actualizaciones.
El ciclo de un parche
- Aviso de seguridad del fabricante
- Evaluación. ¿Qué modelos y firmware del inventario afecta y con qué riesgo?
- ¿Se puede actualizar en un plazo razonable? Sí: continúa; No: Control compensatorio y plan de modernización.
- Prueba en banco. Misma versión de hardware, ajustes reales y pruebas funcionales
- Respaldo. Ajustes, configuración, registros y versión anterior del firmware
- Instalación. Ventana de mantenimiento con la bahía en condición segura
- Verificación. Comparación de ajustes, pruebas de las funciones y de las comunicaciones
- Inventario y registro de cambios actualizados
Evaluación. El punto de partida es el inventario de equipos con su versión, que mantiene la gestión de configuración: sin saber qué firmware tiene cada equipo, un aviso no se puede cruzar con la instalación. La evaluación mira si la vulnerabilidad es alcanzable en su red (un servicio web vulnerable no es lo mismo si el puerto está deshabilitado y el equipo está en una zona sin acceso externo), qué consecuencia tendría y qué más cambia la versión nueva. Que ese servicio esté deshabilitado de antemano es parte del endurecimiento del equipo.
Prueba en banco. La actualización se prueba primero en un equipo igual al instalado, con los ajustes reales: que el archivo de ajustes se cargue sin conversiones inesperadas, que las funciones de protección operen igual y que las comunicaciones, incluidos GOOSE y el modelo de datos IEC 61850 que usa el SCD, sigan funcionando.
Respaldo. Antes de tocar el equipo se guardan los ajustes, la configuración de comunicaciones, los registros de eventos y oscilografías que no se hayan descargado y, si el fabricante lo permite, la versión anterior del firmware para poder volver atrás.
Instalación. En una ventana de mantenimiento, con la bahía en una condición segura según el procedimiento de la empresa y con la protección de respaldo disponible. Los portátiles y memorias que se usan para cargar el firmware son ciberactivos transitorios y medios extraíbles, y la guía del CNO pide controlarlos con su propio procedimiento.
Verificación. Se comparan los ajustes cargados con los respaldados, se prueban las funciones de protección y control con inyección secundaria, según el plan de pruebas del relé, y se verifican las comunicaciones. El inventario y el registro de cambios se actualizan con la nueva versión.
Cuando no se puede actualizar
En muchas subestaciones hay relés que el fabricante ya no actualiza o cuya actualización exige un cambio de hardware. Para ellos, la guía del CNO no da una exención: pide documentar que no es técnicamente factible y aplicar controles compensatorios. En general:
- Deshabilitar en el equipo los servicios y puertos que no se usan, en especial los afectados por el aviso, y revisar sus niveles de acceso y contraseñas.
- Ubicarlo en una zona sin acceso directo desde redes externas, con un conducto que solo deje pasar lo necesario.
- Permitir el acceso de ingeniería solo por una ruta controlada y registrada.
- Vigilar su tráfico con detección de intrusos.
- Incluirlo en el plan de modernización con una fecha.
Errores frecuentes
- Actualizar sin respaldo y descubrir después que los ajustes no se convirtieron bien.
- Actualizar en campo sin prueba en banco un modelo que nunca se había probado con esa versión.
- No actualizar el inventario, de modo que el siguiente aviso se evalúa con datos viejos.
- Usar un portátil sin control para cargar el firmware en varias subestaciones.
- Olvidar los switches, relojes y gateways, que también tienen firmware y avisos.
Configuramos sus relés antes y después del cambio
Alrededor de cada actualización hay trabajo de configuración: respaldar ajustes y comunicaciones, cargarlos y compararlos en la versión nueva, y dejar deshabilitados los servicios que no se usan y las cuentas como deben estar. Nuestro equipo lo hace en relés, reconectadores y controladores a distancia con la configuración remota de relés, en sesiones que usted autoriza y quedan registradas, o en sitio con nuestro servicio de ciberseguridad de subestaciones y plantas. Cuéntenos marca, modelo y versión por contacto.
Guías relacionadas
- Gestión de configuración: versiones de ajustes y del SCD
- IEEE 1686: requisitos de ciberseguridad de los IED
- Niveles de acceso y contraseñas de relés de protección
- Detección de intrusos (IDS) en redes de subestación
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Inventario de activos OT de una subestación
- Firmware de inversores: actualizaciones seguras
- Plan de pruebas de un relé
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, numerales 7.1, 7.3, 7.4 y 7.5, y artículo de plazos.
- IEC TR 62443-2-3:2015, Security for industrial automation and control systems – Part 2-3: Patch management in the IACS environment.
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- IEC 62443-4-2:2019, requisitos técnicos de seguridad de los componentes de IACS.
- NERC CIP-007-6, Cyber Security – System Security Management, requisito R2.
Preguntas frecuentes
¿Hay que actualizar el firmware de un relé apenas sale una versión nueva?
No. Primero se evalúa si la versión corrige algo que afecta a su instalación, con qué riesgo y qué cambia en el equipo. Una actualización en un relé de protección es un cambio en un equipo crítico: se prueba antes, se planea en una ventana de mantenimiento y se verifica después. Si el riesgo es bajo o el equipo está bien protegido por la red, puede programarse con el mantenimiento.
¿Qué se hace si el fabricante ya no publica firmware para un relé?
Se documenta que la actualización no es técnicamente factible y se aplican controles compensatorios: segmentación más estricta, deshabilitar los servicios vulnerables, limitar el acceso a una ruta controlada y monitorear el tráfico. El equipo entra en el plan de modernización. Es lo que pide la guía del CNO para los ciberactivos existentes.
¿Una actualización de firmware puede cambiar los ajustes de protección?
Puede afectarlos. Según el fabricante y la versión, el archivo de ajustes puede necesitar conversión, una función puede cambiar de comportamiento o el modelo de datos IEC 61850 del equipo puede variar. Por eso se respalda todo antes, se revisan las notas de la versión y se comparan los ajustes antes y después.