Qué es y cuándo se necesita
La ciberseguridad de subestaciones y plantas es el conjunto de controles que impide que alguien sin autorización lea, cambie o maneje los equipos que protegen y controlan la instalación: relés de protección, controladores de bahía, gateways, switches y el acceso desde fuera de la red. En una subestación digital esos equipos están conectados entre sí y con el centro de control, y una configuración descuidada puede abrir la puerta a un cambio de ajustes o a un mando no autorizado.
Nuestro trabajo está donde la ciberseguridad toca la ingeniería de control, protecciones y comunicaciones: la configuración segura de los equipos, el acceso remoto, el respaldo de las configuraciones y la aplicación de las normas en el diseño y en las pruebas. Lo hacemos en subestaciones de media, alta y extra alta tensión, en plantas industriales y en plantas solares.
Se necesita cuando el agente debe atender la guía de ciberseguridad del CNO, cuando un proyecto nuevo pide endurecer los equipos antes de energizar, cuando se va a abrir un acceso remoto o cuando, después de años de cambios, nadie sabe con certeza qué configuración tiene cada equipo. Es parte de nuestro servicio de control, protecciones y comunicaciones.
Qué incluye
- Configuración segura de relés e IED. Contraseñas y cuentas, roles donde el equipo los admite, puertos y servicios innecesarios cerrados, registro de eventos de seguridad activado y sincronizado con la hora de la subestación. Los requisitos de IEEE 1686 para IED sirven de lista de verificación; el detalle está en la guía de IEEE 1686.
- Gateways y switches. Puertos sin uso deshabilitados, VLAN y reglas que separan el tráfico de protección, de control y de gestión, acceso de administración restringido y registros enviados a donde el cliente los revisa.
- Acceso remoto seguro. Entrada por un único camino controlado, con autenticación fuerte, sesiones autorizadas para cada tarea y registro de lo que se hizo, también para los fabricantes de inversores y de equipos que dan soporte a distancia.
- Respaldo y control de cambios. Copia de la configuración aprobada de cada equipo, registro de quién cambió qué y cuándo, y comparación contra la referencia después de cada intervención. La guía de gestión de configuración de IED y SCD explica el método.
- Apoyo en la ingeniería. Aplicamos IEC 62443 (zonas y conductos, requisitos de sistema), IEC 62351 (seguridad de los protocolos IEC 61850, IEC 60870-5-104 y DNP3) y los controles del Acuerdo CNO 1960 de 2025 en la arquitectura de red y en las especificaciones del proyecto.
- Verificación en pruebas. Comprobamos en FAT y SAT que lo configurado sea lo especificado: cuentas, puertos, servicios, registros, respaldo y acceso remoto.
Cómo lo hacemos
- Levantamiento. Revisamos la arquitectura de red, la lista de equipos con su modelo y firmware, las conexiones hacia fuera y los requisitos de su programa de ciberseguridad o del pliego.
- Propuesta de configuración. Definimos, equipo por equipo, qué se cambia y qué no se puede cambiar por limitaciones del modelo, y lo acordamos con usted antes de tocar nada.
- Respaldo previo. Guardamos la configuración actual de cada equipo.
- Aplicación. Configuramos en el proyecto o en una ventana de mantenimiento acordada. En equipos en servicio verificamos después que protecciones, mandos y señales sigan funcionando como antes.
- Verificación y entrega. Comprobamos cada control aplicado, guardamos la nueva configuración como referencia y la documentamos.
Criterios y normas
IEC 62443 es la serie para sistemas de automatización y control industrial: define zonas y conductos, niveles de seguridad y los requisitos para el propietario, el integrador y el fabricante; su aplicación a una subestación está en la guía de IEC 62443 en subestaciones. IEC 62351 trata la seguridad de los protocolos de la red eléctrica, como se explica en la guía de IEC 62351. IEEE 1686 fija las capacidades de seguridad que debe ofrecer un IED.
En Colombia, los agentes del SIN siguen la guía de ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, con un enfoque basado en riesgo sobre los activos críticos, la gestión de accesos y las conexiones temporales. El alcance y los plazos están en el texto del acuerdo, y el cumplimiento es del agente: nosotros configuramos y documentamos los controles técnicos que le corresponden a la ingeniería. No emitimos certificaciones ni hacemos auditorías formales.
Qué recibe
- La configuración aplicada en cada equipo y su respaldo antes y después.
- La lista de controles aplicados por equipo y los que el modelo no permite, con la medida alternativa propuesta.
- La arquitectura de acceso remoto documentada, con sus usuarios y reglas.
- El registro de la verificación funcional posterior a los cambios.
- La documentación para su programa de ciberseguridad y para el seguimiento de la guía del CNO.
Por qué Tiza Group
- Configuramos relés, controladores, gateways y switches de las marcas principales: sabemos qué se puede endurecer en cada uno sin afectar la protección.
- Criterio de protecciones y control: ningún cambio de seguridad se entrega sin verificar que la bahía sigue protegiendo y maniobrando como debe.
- El mismo equipo que diseña la red de comunicaciones en nuestra ingeniería de comunicaciones la configura y la prueba.
- Experiencia en subestaciones de media, alta y extra alta tensión, en industria y en plantas solares.
Nuestra configuración remota de relés usa el mismo principio: sesiones autorizadas para cada tarea y respaldo de la configuración antes y después.