Las pruebas de ciberseguridad en FAT y SAT comprueban que el sistema de automatización de la subestación se entrega con las funciones de seguridad que pide la especificación: cuentas individuales y roles, contraseñas de fábrica cambiadas, solo los puertos y servicios necesarios, registro de eventos, firewall con las reglas documentadas, acceso remoto por el camino previsto y respaldos completos. No existe un procedimiento normalizado: los requisitos salen de IEC 62443-3-3, IEEE 1686 y el pliego, y el protocolo se acuerda entre propietario e integrador.
Para qué sirven estas pruebas
Un sistema de automatización de subestación puede pasar todas sus pruebas funcionales y aun así entregarse inseguro: contraseñas de fábrica en los relés, un servidor web habilitado en cada switch, una cuenta de ingeniería compartida que conoce todo el equipo del integrador, un firewall con una regla «permitir todo» que se dejó para la puesta en servicio. Nada de eso aparece en una prueba de disparo o de mando.
Las pruebas de ciberseguridad en FAT y SAT verifican que lo entregado coincide con lo que la especificación pidió en materia de seguridad, y dejan una línea base documentada de cómo quedó cada equipo.
Por qué no hay un procedimiento normalizado
Como se explica en normas de puesta en servicio y comisionamiento, no existe una norma única de FAT y SAT de subestaciones, y tampoco hay una para su parte de ciberseguridad. Las referencias se reparten así:
| Referencia | Qué aporta a la prueba |
|---|---|
| IEC 62443-3-3:2013 | Requisitos de seguridad del sistema, agrupados en siete requisitos fundamentales: identificación y autenticación, control de uso, integridad del sistema, confidencialidad de los datos, flujo de datos restringido, respuesta oportuna a eventos y disponibilidad de recursos |
| IEEE 1686-2022 | Capacidades de ciberseguridad de cada IED: control de acceso, auditoría, alarmas, configuración y firmware |
| IEC 62443-2-4:2023 | Procesos que debe aplicar el integrador durante la integración y la entrega |
| IEC 62351 | Seguridad de los protocolos, cuando el proyecto la incluye |
| Especificación del proyecto | Qué requisitos aplican, a qué nivel y con qué evidencia |
El protocolo de prueba se pacta en el pliego. Si el pliego solo dice «el sistema cumplirá IEC 62443», no hay nada concreto que probar; si dice qué requisitos de 62443-3-3 aplican a cada zona y con qué evidencia, cada uno se convierte en una línea del protocolo. La relación entre requisitos de sistema y zonas está en IEC 62443 en subestaciones.
Qué se verifica, por tema
| Tema | Qué se verifica |
|---|---|
| Cuentas y roles | Cuentas individuales, roles con los permisos especificados, contraseñas de fábrica cambiadas, bloqueo por intentos fallidos donde el equipo lo admite, cuentas de prueba eliminadas al final |
| Puertos y servicios | En cada IED, switch, gateway y servidor, solo los servicios y puertos necesarios habilitados; puertos físicos no usados deshabilitados |
| Firewall y conductos | Reglas iguales a la matriz de flujos documentada; nada de reglas genéricas que quedaron de la puesta en servicio |
| Acceso remoto | Entrada solo por el camino definido (servidor de salto, sistema intermedio), con autenticación de varios factores y registro |
| Registro de eventos | Los eventos de seguridad (inicio de sesión, fallo de autenticación, cambio de configuración) se generan y llegan al servidor central con la hora correcta |
| Protocolos seguros | Si el proyecto los incluye: sesiones TLS, autenticación de GOOSE, certificados válidos y rechazo de los inválidos |
| Firmware | Versiones instaladas iguales a las aprobadas, sin vulnerabilidades conocidas abiertas o con su mitigación documentada |
| Respaldos | Ajustes, SCD, configuraciones de red y de firewall respaldados, y una restauración probada |
| Documentación | Inventario de equipos, diagrama de zonas y conductos, matriz de flujos, lista de cuentas y roles |
FAT y SAT: qué se prueba en cada una
- Especificación con requisitos de seguridad
- Protocolo de prueba acordado. Requisitos de 62443-3-3 y del pliego convertidos en verificaciones
- FAT. Configuración de cada equipo, cuentas, servicios, reglas y registros en el banco del integrador
- Línea base de fábrica. Configuraciones y versiones como salieron
- SAT. Enlaces externos, acceso remoto real, equipos de otros contratistas y cuentas temporales retiradas
- Línea base de entrega aprobada por el propietario
En la FAT se verifica lo que depende del integrador: configuración de cada equipo, cuentas y roles, servicios, reglas del firewall de la subestación, registro de eventos y respaldo. Se hace en un entorno controlado, donde corregir es fácil. La lista de controles que se revisa en cada equipo está en endurecimiento de relés, switches e IED.
En la SAT se verifica lo que solo existe en sitio: el enlace real al centro de control, el acceso remoto por la infraestructura del propietario, la integración con equipos de otros contratistas, y que las cuentas, reglas y accesos temporales que se usaron durante la puesta en servicio se retiraron. Es también el momento de comparar la configuración final con la línea base de fábrica y documentar cada diferencia.
Qué pide la guía del CNO
Para los agentes del SIN, la Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025) convierte varias de estas verificaciones en obligaciones. Pide realizar una evaluación de vulnerabilidades antes de adicionar un ciberactivo crítico nuevo al entorno de producción y en los reemplazos programados; habilitar en los puntos de acceso del perímetro solo los puertos y servicios necesarios para la operación normal y de emergencia, con un documento de línea base de esos equipos; asegurar que los equipos nuevos y los cambios no afecten los controles existentes, con aprobación del responsable de ciberseguridad o su delegado; y que todo ciberactivo crítico nuevo incorpore desde el principio los controles de la guía. Las pruebas de ciberseguridad de la SAT son la forma natural de dejar esa evidencia.
Lo que no se hace en una FAT o SAT
- Herramientas de ataque sobre equipos en operación. Una prueba de penetración es otro trabajo, con alcance, autorización y ventana propios.
- Escaneos agresivos sin conocer los equipos. La guía del CNO reconoce que hay ciberactivos donde el escaneo no se puede realizar y pide para ellos controles compensatorios.
- Aprobar con excepciones abiertas sin dueño. Cada requisito no cumplido queda con su justificación, su control compensatorio y su fecha.
Errores frecuentes
- Requisitos de seguridad vagos en el pliego, que no se pueden convertir en una verificación.
- Cuentas y reglas temporales que nunca se retiran después de la puesta en servicio.
- Línea base que no se guarda, de modo que nadie sabe después qué cambió.
- Probar solo el firewall y no la configuración de cada IED.
Configuramos y preparamos su sistema para las pruebas
En Tiza Group configuramos relés, controladores, gateways y switches con las cuentas, roles, servicios y registros que pida su especificación, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas, y le ayudamos a planear y ejecutar las pruebas FAT y SAT de su sistema. Para los relés trabajamos también a distancia, incluso durante la FAT y la SAT, con la configuración remota de relés. Escríbanos con el alcance de su proyecto.
Guías relacionadas
- Normas de puesta en servicio y comisionamiento: FAT y SAT
- IEEE 1686: requisitos de ciberseguridad de los IED
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Router y firewall industrial de subestación
- Comisionamiento de subestaciones: etapas y pruebas
- Ciberseguridad de subestaciones y plantas: normas y mapa
- IEC 62443-2-4: requisitos para integradores y contratistas
- Gestión de configuración: versiones de ajustes y del SCD
Referencias
- IEC 62443-3-3:2013, System security requirements and security levels.
- IEC 62443-2-4:2023, Security program requirements for IACS service providers.
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- IEC 62351 (serie), seguridad de los protocolos del sector eléctrico.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, numerales 3, 6.4, 6.5 y 7.3.
Preguntas frecuentes
¿Qué norma define las pruebas de ciberseguridad de una FAT de subestación?
Ninguna define un procedimiento único. IEC 62443-3-3 da los requisitos de seguridad del sistema, IEEE 1686 las capacidades de cada IED e IEC 62443-2-4 lo que debe hacer el integrador. A partir de ellos y de la especificación del proyecto, propietario e integrador acuerdan el protocolo de prueba.
¿Por qué repetir en la SAT lo que ya se probó en la FAT?
Porque entre la fábrica y el sitio cambian cosas: se conectan enlaces externos, se agregan equipos de otros contratistas, se ajustan reglas y se crean cuentas temporales para la puesta en servicio. La SAT verifica el sistema como queda en operación, y la guía del CNO pide evaluar las vulnerabilidades antes de poner en producción un ciberactivo crítico nuevo.
¿Las pruebas de ciberseguridad incluyen intentar atacar el sistema?
En una FAT o SAT normal, no. Se verifica la configuración contra la especificación con listas de chequeo, revisión de configuraciones y herramientas de inventario y de verificación de servicios. Una prueba de penetración es un trabajo distinto, que se planea aparte, con alcance y autorización explícitos y sin poner en riesgo equipos en operación.