{"id":82886,"date":"2026-09-24T16:05:19","date_gmt":"2026-09-24T19:05:19","guid":{"rendered":"https:\/\/a3aengenharia.com\/?post_type=articles&#038;p=82886"},"modified":"2026-09-24T16:06:05","modified_gmt":"2026-09-24T19:06:05","slug":"iec-62443-subestaciones-ciberseguridad-zonas-conductos-acceso-remoto","status":"publish","type":"articles","link":"https:\/\/a3aengenharia.com\/es-es\/contenido\/articulos-tecnicos\/iec-62443-subestaciones-ciberseguridad-zonas-conductos-acceso-remoto\/","title":{"rendered":"IEC 62443 en subestaciones: ciberseguridad, zonas, conductos y acceso remoto"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">La digitalizaci\u00f3n de las subestaciones ampli\u00f3 la capacidad de protecci\u00f3n, control, supervisi\u00f3n, teleasistencia y diagn\u00f3stico, pero tambi\u00e9n aument\u00f3 la cantidad de activos programables, interfaces de comunicaci\u00f3n y accesos que deben gobernarse. Rel\u00e9s digitales, IED, UTR, SSCL, switches, gateways, servidores, estaciones de ingenier\u00eda, sistemas SCADA y conexiones con centros de operaci\u00f3n forman una infraestructura de tecnolog\u00eda operacional \u2014 OT \u2014 directamente vinculada al proceso el\u00e9ctrico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En este entorno, una falla cibern\u00e9tica no se limita a la p\u00e9rdida de informaci\u00f3n. Puede provocar p\u00e9rdida de supervisi\u00f3n, indisponibilidad de telemandos, alteraci\u00f3n de ajustes, bloqueo de estaciones de ingenier\u00eda, degradaci\u00f3n de canales de comunicaci\u00f3n o presentaci\u00f3n de estados incorrectos al operador. La ingenier\u00eda de ciberseguridad debe, por tanto, preservar simult\u00e1neamente la seguridad de las personas, la integridad de las funciones, la disponibilidad de la operaci\u00f3n y la capacidad de recuperaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La <strong>IEC 62443<\/strong> ofrece conceptos y estructuras para tratar la seguridad de sistemas industriales de automatizaci\u00f3n y control a lo largo del ciclo de vida. En subestaciones, puede combinarse con referencias espec\u00edficas de sistemas de potencia, como IEC 62351, con orientaciones de ingenier\u00eda de redes de ABNT NBR 16932 y con pr\u00e1cticas de seguridad OT consolidadas por NIST SP 800-82.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este art\u00edculo presenta un m\u00e9todo de aplicaci\u00f3n de estos conceptos a subestaciones de distribuci\u00f3n, transmisi\u00f3n y generaci\u00f3n. El objetivo no es transformar la norma en una lista gen\u00e9rica de equipos, sino mostrar c\u00f3mo riesgos, zonas, conductos, accesos, hardening, monitoreo y pruebas se convierten en entregables de proyecto y criterios de contrataci\u00f3n.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Por qu\u00e9 las subestaciones exigen un enfoque propio de ciberseguridad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Las subestaciones combinan requisitos que normalmente no coexisten con la misma intensidad en redes corporativas. Determinadas comunicaciones tienen restricciones de latencia y previsibilidad; los activos pueden permanecer en operaci\u00f3n durante d\u00e9cadas; las ventanas de mantenimiento son limitadas; los cambios deben coordinarse con protecci\u00f3n, automatizaci\u00f3n y operaci\u00f3n; y las fallas pueden afectar la continuidad del suministro el\u00e9ctrico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En TI corporativa, la confidencialidad puede ocupar una posici\u00f3n central. En OT, integridad y disponibilidad suelen recibir mayor peso, con la seguridad operacional como restricci\u00f3n superior. Esto no vuelve irrelevante la confidencialidad: diagramas, ajustes, topolog\u00edas, credenciales y archivos de configuraci\u00f3n tambi\u00e9n son sensibles. Significa que cualquier control debe analizarse por su efecto sobre el proceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una soluci\u00f3n de inspecci\u00f3n profunda, autenticaci\u00f3n o cifrado puede ser t\u00e9cnicamente deseable, pero inadecuada en un camino cr\u00edtico de comunicaci\u00f3n si introduce retraso, indisponibilidad o comportamiento no determinista. IEC 62443 reconoce este conflicto al tratar desempe\u00f1o y continuidad como parte del propio problema de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El enfoque correcto comienza con cuatro preguntas:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">1. qu\u00e9 funciones el\u00e9ctricas y operativas deben preservarse; 2. qu\u00e9 activos y comunicaciones sustentan esas funciones; 3. qu\u00e9 consecuencias pueden resultar de alteraci\u00f3n, indisponibilidad o acceso indebido; 4. qu\u00e9 controles reducen el riesgo sin comprometer protecci\u00f3n, control y seguridad operacional.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Qu\u00e9 es IEC 62443<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">IEC 62443 es una familia de documentos orientada a la ciberseguridad de sistemas industriales de automatizaci\u00f3n y control. El trabajo original de ISA99 fue utilizado en el desarrollo de la serie internacional, raz\u00f3n por la cual tambi\u00e9n son comunes las expresiones <strong>ISA\/IEC 62443<\/strong> e <strong>ISA IEC 62443<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La familia distribuye responsabilidades entre propietarios de activos, prestadores de servicios, integradores y fabricantes. En t\u00e9rminos generales, sus documentos tratan de:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>conceptos, modelos y terminolog\u00eda;<\/li><li>programas, pol\u00edticas y procedimientos de seguridad;<\/li><li>evaluaci\u00f3n de riesgos y requisitos de sistemas;<\/li><li>ciclo de desarrollo seguro y requisitos de componentes.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">ABNT IEC\/TS 62443-1-1:2023, disponible en la base t\u00e9cnica de A3A, establece conceptos fundamentales como defensa en profundidad, activos, amenazas, vulnerabilidades, zonas, conductos y niveles de seguridad. No debe utilizarse de forma aislada como si contuviera todos los requisitos detallados de las dem\u00e1s partes de la serie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n es importante no presentar IEC 62443 como obligaci\u00f3n universal. Los documentos t\u00e9cnicos ABNT son, por regla general, voluntarios. Pueden volverse exigibles cuando se incorporan a contratos, est\u00e1ndares corporativos, licitaciones, reglamentos u otros instrumentos aplicables al proyecto.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Requisitos fundamentales de seguridad industrial<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">ABNT IEC\/TS 62443-1-1 identifica siete grupos fundamentales de requisitos. Ayudan a verificar si el proyecto cubre las dimensiones esenciales de seguridad.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Requisito fundamental<\/td><td>Aplicaci\u00f3n en una subestaci\u00f3n<\/td><\/tr><tr><td>Control de acceso<\/td><td>Restringir qui\u00e9n o qu\u00e9 sistema puede alcanzar IED, servidores, switches, gateways y herramientas de ingenier\u00eda<\/td><\/tr><tr><td>Control de uso<\/td><td>Limitar lo que una identidad autenticada puede visualizar, alterar, comandar o administrar<\/td><\/tr><tr><td>Integridad de datos<\/td><td>Detectar o impedir alteraciones no autorizadas de comandos, ajustes, archivos, eventos y comunicaciones<\/td><\/tr><tr><td>Confidencialidad de datos<\/td><td>Proteger informaci\u00f3n sensible cuando el riesgo o el camino de comunicaci\u00f3n lo justifique<\/td><\/tr><tr><td>Restricci\u00f3n del flujo de datos<\/td><td>Permitir \u00fanicamente comunicaciones necesarias entre zonas y activos<\/td><\/tr><tr><td>Respuesta oportuna a eventos<\/td><td>Detectar, registrar, comunicar y tratar violaciones o anomal\u00edas en un plazo compatible con el riesgo<\/td><\/tr><tr><td>Disponibilidad de recursos<\/td><td>Mantener funciones cr\u00edticas y evitar que fallas o ataques agoten recursos necesarios para la operaci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Estos requisitos no son una lista de productos. El control de acceso, por ejemplo, puede involucrar identidad, reglas de firewall, protecci\u00f3n f\u00edsica, pol\u00edtica de proveedores y aprobaci\u00f3n operacional. La disponibilidad puede depender de redundancia, alimentaci\u00f3n CC, rutas independientes, backup y procedimientos de recuperaci\u00f3n.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">IEC 62443, IEC 62351, NIST 800-82 e ISO 27001<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Las referencias se complementan, pero no tienen la misma finalidad.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">IEC 62443<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Proporciona una estructura para la seguridad de sistemas industriales de automatizaci\u00f3n y control, incluyendo ciclo de vida, responsabilidades, riesgo, zonas, conductos, requisitos de sistema y seguridad de componentes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">IEC 62351<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La serie IEC 62351 trata la seguridad de datos y comunicaciones utilizados en la gesti\u00f3n y el intercambio de informaci\u00f3n en sistemas de potencia. La propia ABNT NBR 16932 indica esta serie como referencia para ciberseguridad de las comunicaciones y cita la parte dedicada a IEC 61850.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mientras IEC 62443 ayuda a estructurar el programa y la arquitectura de seguridad del entorno OT, IEC 62351 se aproxima a los mecanismos aplicables a protocolos e intercambios del sector el\u00e9ctrico. La selecci\u00f3n de las partes aplicables debe considerar los protocolos efectivamente utilizados y el soporte de los equipos.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">NIST SP 800-82<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">NIST SP 800-82 Rev. 3 es una gu\u00eda de seguridad OT que aborda gobernanza, riesgos, arquitecturas, segmentaci\u00f3n, acceso remoto, monitoreo, proveedores, vulnerabilidades, incidentes y recuperaci\u00f3n. Es una referencia de buenas pr\u00e1cticas, no un reglamento brasile\u00f1o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El documento enfatiza que los controles de TI deben adaptarse a las restricciones de desempe\u00f1o, disponibilidad y seguridad operacional de OT. Tambi\u00e9n recomienda un equipo multidisciplinario que re\u00fana automatizaci\u00f3n, operaci\u00f3n, redes, TI, ciberseguridad, seguridad f\u00edsica, gesti\u00f3n y proveedores cuando sea necesario.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">ISO\/IEC 27001<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">ISO\/IEC 27001 proporciona la estructura de un sistema de gesti\u00f3n de seguridad de la informaci\u00f3n. Es \u00fatil para gobernanza, evaluaci\u00f3n de riesgos, responsabilidades, auditor\u00edas y mejora continua. IEC 62443 a\u00f1ade especificidad para entornos industriales y sus restricciones operacionales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ninguna de estas referencias sustituye los requisitos del propietario del activo, los procedimientos de la concesionaria, la filosof\u00eda de operaci\u00f3n o las condiciones contractuales del proyecto.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">La seguridad no es un proyecto con fecha de t\u00e9rmino<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">IEC 62443 trata la seguridad como un ciclo de vida. Una arquitectura puede cumplir los requisitos en el momento de la puesta en servicio y perder eficacia posteriormente por nuevas vulnerabilidades, cambios de configuraci\u00f3n, obsolescencia, accesos no revocados o cambios en las amenazas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El ciclo debe incluir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>evaluaci\u00f3n y definici\u00f3n de requisitos;<\/li><li>proyecto y especificaci\u00f3n;<\/li><li>implantaci\u00f3n y validaci\u00f3n;<\/li><li>operaci\u00f3n y monitoreo;<\/li><li>mantenimiento y gesti\u00f3n de cambios;<\/li><li>reevaluaci\u00f3n de riesgos;<\/li><li>modernizaci\u00f3n, desactivaci\u00f3n y descarte seguro.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Esta perspectiva es especialmente importante en subestaciones, donde la vida \u00fatil del activo primario y de los sistemas de protecci\u00f3n puede superar el ciclo de soporte de sistemas operativos, switches, servidores y componentes de software.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Activos y funciones cr\u00edticas de una subestaci\u00f3n<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El inventario no debe comenzar \u00fanicamente por las direcciones IP. Es necesario relacionar activos f\u00edsicos, l\u00f3gicos y humanos con las funciones que sustentan.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Activos f\u00edsicos y tecnol\u00f3gicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>rel\u00e9s de protecci\u00f3n e IED;<\/li><li>merging units y equipos de interfaz con el proceso;<\/li><li>UTR, RTU, SSCL y gateways;<\/li><li>switches, routers, firewalls y equipos de telecomunicaciones;<\/li><li>servidores SCADA, hist\u00f3ricos y servicios de sincronismo;<\/li><li>estaciones de operaci\u00f3n y de ingenier\u00eda;<\/li><li>sistemas de teleprotecci\u00f3n;<\/li><li>VMS, c\u00e1maras y equipos de video operativo;<\/li><li>paneles de control, distribuidores \u00f3pticos y enlaces;<\/li><li>fuentes, rectificadores, bancos de bater\u00edas y UPS.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Activos l\u00f3gicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>firmware y versiones de software;<\/li><li>ajustes de rel\u00e9s;<\/li><li>l\u00f3gicas de protecci\u00f3n y control;<\/li><li>archivos SCL y bases de datos;<\/li><li>configuraciones de switches y firewalls;<\/li><li>certificados y claves;<\/li><li>listas de puntos y matrices de telemandos;<\/li><li>diagramas, procedimientos y backups;<\/li><li>registros de eventos e hist\u00f3ricos.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Activos humanos y organizativos<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>operadores;<\/li><li>ingenieros de protecci\u00f3n, automatizaci\u00f3n y telecomunicaciones;<\/li><li>equipos de mantenimiento;<\/li><li>administradores de redes y servidores;<\/li><li>integradores y fabricantes;<\/li><li>gestores responsables de la aceptaci\u00f3n de riesgo.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">El compromiso de una estaci\u00f3n de ingenier\u00eda puede ser m\u00e1s relevante que la p\u00e9rdida temporal de una estaci\u00f3n de consulta, porque la primera puede alterar configuraciones de varios activos. La criticidad debe reflejar funci\u00f3n, autoridad y consecuencia.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Inventario y clasificaci\u00f3n de activos OT<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un inventario \u00fatil para ingenier\u00eda y seguridad debe incluir, como m\u00ednimo:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Campo<\/td><td>Finalidad<\/td><\/tr><tr><td>Identificaci\u00f3n y ubicaci\u00f3n<\/td><td>Relacionar el activo con el bay, panel, sala, subestaci\u00f3n o centro de operaci\u00f3n<\/td><\/tr><tr><td>Funci\u00f3n<\/td><td>Indicar protecci\u00f3n, control, supervisi\u00f3n, telecomunicaciones, video o gesti\u00f3n<\/td><\/tr><tr><td>Fabricante y modelo<\/td><td>Apoyar soporte, vulnerabilidades, reposici\u00f3n y compatibilidad<\/td><\/tr><tr><td>Hardware, firmware y software<\/td><td>Determinar estado de actualizaci\u00f3n y dependencias<\/td><\/tr><tr><td>Interfaces y direcciones<\/td><td>Mapear puertos f\u00edsicos, direcciones IP, MAC, seriales e interfaces \u00f3pticas<\/td><\/tr><tr><td>Protocolos y servicios<\/td><td>Identificar MMS, GOOSE, SV, SNMP, NTP, PTP, DNP3, IEC 60870-5-104 y otros<\/td><\/tr><tr><td>Zona y conducto<\/td><td>Relacionar el activo con la arquitectura de seguridad<\/td><\/tr><tr><td>Responsable<\/td><td>Definir propietario t\u00e9cnico y autoridad de cambio<\/td><\/tr><tr><td>Criticidad<\/td><td>Registrar el impacto de la p\u00e9rdida de integridad, disponibilidad o control<\/td><\/tr><tr><td>Soporte y fin de vida<\/td><td>Planificar actualizaci\u00f3n, stock, sustituci\u00f3n y controles compensatorios<\/td><\/tr><tr><td>Backup y restauraci\u00f3n<\/td><td>Informar d\u00f3nde est\u00e1 la configuraci\u00f3n y c\u00f3mo recuperarla<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">El descubrimiento autom\u00e1tico puede ayudar, pero las herramientas activas deben utilizarse con cautela. NIST registra que escaneos y pruebas inadecuados ya han causado interrupciones en redes de control. En entornos en operaci\u00f3n, el levantamiento pasivo, la documentaci\u00f3n existente, las consultas a los equipos y las ventanas controladas tienden a ser m\u00e1s seguros.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">An\u00e1lisis de riesgos cibern\u00e9ticos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El an\u00e1lisis de riesgos debe relacionar activos, amenazas, vulnerabilidades, consecuencias y controles. No basta con importar una matriz de TI y cambiar el nombre de los servidores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En subestaciones, las consecuencias pueden incluir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>p\u00e9rdida de visi\u00f3n del proceso;<\/li><li>p\u00e9rdida o retraso de telemandos;<\/li><li>indicaci\u00f3n incorrecta de estados;<\/li><li>alteraci\u00f3n de ajustes de protecci\u00f3n;<\/li><li>indisponibilidad de teleprotecci\u00f3n;<\/li><li>bloqueo de estaciones de ingenier\u00eda;<\/li><li>p\u00e9rdida de registros necesarios para el an\u00e1lisis de eventos;<\/li><li>propagaci\u00f3n a otras subestaciones o centros de operaci\u00f3n;<\/li><li>operaci\u00f3n degradada durante un per\u00edodo superior al aceptable;<\/li><li>necesidad de desplazamiento de emergencia del equipo;<\/li><li>riesgo para la seguridad de personas y equipos.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Una evaluaci\u00f3n pr\u00e1ctica puede seguir el ciclo:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">1. definir alcance, fronteras y funciones cr\u00edticas; 2. inventariar activos y comunicaciones; 3. identificar amenazas y vulnerabilidades; 4. evaluar consecuencias f\u00edsicas, operacionales y digitales; 5. estimar riesgo inicial; 6. seleccionar controles t\u00e9cnicos, administrativos y f\u00edsicos; 7. evaluar el impacto de los controles sobre la operaci\u00f3n; 8. registrar riesgo residual y autoridad de aceptaci\u00f3n; 9. monitorear cambios y reevaluar peri\u00f3dicamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La respuesta puede involucrar evitar, reducir, compartir, transferir o aceptar el riesgo. La aceptaci\u00f3n debe ser expl\u00edcita y trazable, principalmente cuando la correcci\u00f3n depende de una futura ventana de desconexi\u00f3n o sustituci\u00f3n del activo.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Amenazas relevantes para subestaciones<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La seguridad no debe considerar \u00fanicamente invasores externos. IEC 62443 y NIST tratan amenazas intencionales, accidentales, estructurales y ambientales.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Origen<\/td><td>Ejemplos<\/td><\/tr><tr><td>Adversarial<\/td><td>acceso indebido, malware, manipulaci\u00f3n de comandos, falsificaci\u00f3n de datos, denegaci\u00f3n de servicio y abuso de credenciales<\/td><\/tr><tr><td>Interna<\/td><td>alteraci\u00f3n no autorizada, uso excesivo de privilegios, eliminaci\u00f3n de logs o conexi\u00f3n de un dispositivo no aprobado<\/td><\/tr><tr><td>Accidental<\/td><td>error de configuraci\u00f3n, aplicaci\u00f3n de patch incompatible, comando en la instalaci\u00f3n equivocada o uso de herramienta inadecuada<\/td><\/tr><tr><td>Estructural<\/td><td>falla de hardware, fuente, switch, software, almacenamiento, sincronismo o comunicaci\u00f3n<\/td><\/tr><tr><td>Ambiental<\/td><td>sobretensiones, interferencia electromagn\u00e9tica, p\u00e9rdida de climatizaci\u00f3n, incendio, inundaci\u00f3n o falla prolongada de energ\u00eda<\/td><\/tr><tr><td>Cadena de suministro<\/td><td>componente comprometido, software sin soporte, actualizaci\u00f3n insegura o acceso excesivo del proveedor<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">La arquitectura tambi\u00e9n debe responder a errores y fallas no maliciosas. Un control que protege contra intrusi\u00f3n, pero crea un punto \u00fanico de falla, puede reducir la seguridad global de la operaci\u00f3n.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Zonas y conductos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Las zonas y los conductos son conceptos centrales de IEC 62443.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una <strong>zona de seguridad<\/strong> agrupa activos f\u00edsicos, l\u00f3gicos o de aplicaci\u00f3n que comparten requisitos de seguridad. Posee una frontera, pol\u00edtica, responsables y criterios de acceso. Puede ser f\u00edsica, como una sala de telecomunicaciones, o l\u00f3gica, como un conjunto de servidores e IED separados por funci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un <strong>conducto<\/strong> agrupa comunicaciones y mecanismos que permiten el flujo de informaci\u00f3n dentro de una zona o entre zonas. Un conducto puede incluir enlaces, switches, routers, firewalls, gateways, VPN y reglas que protegen los canales transportados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La definici\u00f3n debe partir de la funci\u00f3n y del riesgo, no \u00fanicamente de la topolog\u00eda existente.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Elemento<\/td><td>Preguntas de proyecto<\/td><\/tr><tr><td>Activos de la zona<\/td><td>\u00bfQu\u00e9 dispositivos, aplicaciones y personas pertenecen al grupo?<\/td><\/tr><tr><td>Funci\u00f3n<\/td><td>\u00bfQu\u00e9 proceso o servicio sustenta la zona?<\/td><\/tr><tr><td>Frontera<\/td><td>\u00bfD\u00f3nde comienzan y terminan la responsabilidad y el control?<\/td><\/tr><tr><td>Riesgo<\/td><td>\u00bfCu\u00e1l es la consecuencia de un compromiso o indisponibilidad?<\/td><\/tr><tr><td>Flujos<\/td><td>\u00bfCon qu\u00e9 zonas es realmente necesaria la comunicaci\u00f3n?<\/td><\/tr><tr><td>Controles<\/td><td>\u00bfC\u00f3mo se implementar\u00e1n identidad, integridad, disponibilidad y restricci\u00f3n de flujo?<\/td><\/tr><tr><td>Gesti\u00f3n<\/td><td>\u00bfQui\u00e9n aprueba cambios y qui\u00e9n responde por los activos?<\/td><\/tr><tr><td>Monitoreo<\/td><td>\u00bfQu\u00e9 eventos e indicadores demuestran la condici\u00f3n de la zona?<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Una VLAN no constituye, de forma aislada, una zona de seguridad completa. Puede colaborar con la separaci\u00f3n l\u00f3gica, pero debe combinarse con controles de flujo, protecci\u00f3n de puertos, gesti\u00f3n de configuraci\u00f3n, monitoreo, reglas de acceso y documentaci\u00f3n.<\/p>\n\n\n\n\n<div class=\"wp-block-a3a-destaque\">\n<p class=\"wp-block-paragraph\"><strong>Una arquitectura segura comienza por el inventario, las zonas y el control de los flujos.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto debe convertir el an\u00e1lisis de riesgos en topolog\u00eda, fronteras, comunicaciones permitidas, accesos, monitoreo y criterios de aceptaci\u00f3n compatibles con la operaci\u00f3n de la subestaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"\/servicos\/planejamento\/projeto-de-telecomunicacoes\/\"><strong>Conozca el servicio de Proyecto de Telecomunicaciones<\/strong><\/a><\/p>\n<\/div>\n\n\n\n\n\n<h2 class=\"wp-block-heading\">Arquitectura de referencia para subestaciones<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cada concesionaria o agente puede adoptar una arquitectura corporativa de referencia y detallarla por familia de subestaci\u00f3n. El modelo debe reflejar la realidad operacional y no solo un dise\u00f1o gen\u00e9rico basado en niveles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A continuaci\u00f3n se presenta una posible descomposici\u00f3n.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Zona<\/td><td>Activos y funciones t\u00edpicas<\/td><td>Consideraciones principales<\/td><\/tr><tr><td>Proceso<\/td><td>sensores, actuadores, merging units e interfaces primarias<\/td><td>integridad, disponibilidad, latencia y acceso f\u00edsico<\/td><\/tr><tr><td>Protecci\u00f3n y control<\/td><td>rel\u00e9s, IED, unidades de bay y enclavamientos<\/td><td>desempe\u00f1o determinista, independencia y cambio controlado<\/td><\/tr><tr><td>Supervisi\u00f3n local<\/td><td>UTR, SSCL, gateways, HMI y servidores locales<\/td><td>disponibilidad, lista de puntos, comandos y logs<\/td><\/tr><tr><td>Estaci\u00f3n de ingenier\u00eda<\/td><td>herramientas, notebooks y archivos de configuraci\u00f3n<\/td><td>acceso privilegiado, integridad y trazabilidad<\/td><\/tr><tr><td>Telecomunicaciones operacionales<\/td><td>switches, routers, multiplexores y WAN<\/td><td>redundancia, rutas, gesti\u00f3n y supervisi\u00f3n<\/td><\/tr><tr><td>Teleprotecci\u00f3n<\/td><td>rel\u00e9s, equipos y canales dedicados o l\u00f3gicos<\/td><td>baja latencia, independencia y pruebas end-to-end<\/td><\/tr><tr><td>Video operativo<\/td><td>c\u00e1maras, VMS, grabaci\u00f3n e integraciones con eventos<\/td><td>separaci\u00f3n de tr\u00e1fico, disponibilidad y acceso controlado<\/td><\/tr><tr><td>Seguridad patrimonial<\/td><td>CCTV, acceso, per\u00edmetro e intrusi\u00f3n<\/td><td>impedir que los sistemas de seguridad creen un camino hacia OT<\/td><\/tr><tr><td>DMZ OT<\/td><td>jump server, proxy, repositorio y transferencia controlada<\/td><td>impedir comunicaci\u00f3n directa entre la red corporativa y OT cr\u00edtica<\/td><\/tr><tr><td>Centro de operaci\u00f3n<\/td><td>SCADA, hist\u00f3ricos, estaciones y servicios de gesti\u00f3n<\/td><td>identidad, disponibilidad, segregaci\u00f3n y continuidad<\/td><\/tr><tr><td>Red corporativa<\/td><td>aplicaciones administrativas y usuarios generales<\/td><td>no debe alcanzar directamente activos de niveles operacionales inferiores<\/td><\/tr><tr><td>Acceso remoto<\/td><td>VPN, bastion, autenticaci\u00f3n y registro de sesiones<\/td><td>aprobaci\u00f3n, duraci\u00f3n limitada, menor privilegio y revocaci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">La lista no es universal. Una instalaci\u00f3n peque\u00f1a puede combinar funciones; una operaci\u00f3n de mayor criticidad puede subdividir protecci\u00f3n principal y alternativa, separar estaciones de ingenier\u00eda por dominio o crear zonas distintas para sincronismo y gesti\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La arquitectura de zonas y conductos depende de una base de red bien definida. Topolog\u00eda, switches, VLAN, enrutamiento, protocolos, redundancia y monitoreo deben especificarse en conjunto, conforme se detalla en la gu\u00eda de <a href=\"\/conteudo\/artigos-tecnicos\/redes-industriais-requisitos-protocolos-integracao-scada\/\"><strong>redes industriales, seguridad e integraci\u00f3n con SCADA<\/strong><\/a>.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Segmentaci\u00f3n entre protecci\u00f3n, control, SCADA, video y gesti\u00f3n<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La segmentaci\u00f3n debe impedir que una falla o compromiso en un sistema menos cr\u00edtico se propague libremente hacia funciones de protecci\u00f3n y control.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunas separaciones que merecen an\u00e1lisis son:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>bus de proceso y bus de estaci\u00f3n;<\/li><li>sistemas principal y alternativo de protecci\u00f3n;<\/li><li>protecci\u00f3n y supervisi\u00f3n;<\/li><li>red local de la subestaci\u00f3n y WAN operacional;<\/li><li>gesti\u00f3n de equipos y tr\u00e1fico funcional;<\/li><li>estaci\u00f3n de ingenier\u00eda y estaciones de operaci\u00f3n;<\/li><li>video operativo y automatizaci\u00f3n;<\/li><li>seguridad patrimonial y red OT;<\/li><li>subestaci\u00f3n y centro de operaci\u00f3n;<\/li><li>OT y red corporativa.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">ABNT NBR 16932 proporciona orientaciones de ingenier\u00eda para redes IEC 61850, incluyendo topolog\u00edas, redundancia, VLAN, multicast, desempe\u00f1o, sincronismo, gesti\u00f3n y pruebas. La propia norma informa que no detalla ciberseguridad. Por ello, su uso debe combinarse con una arquitectura de seguridad basada en riesgo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La separaci\u00f3n l\u00f3gica puede ser adecuada en determinadas aplicaciones, siempre que se analicen el riesgo, el desempe\u00f1o y las fallas comunes. Protecci\u00f3n principal y alternativa en VLAN diferentes, pero en los mismos switches, fuentes y enlaces, contin\u00faan sujetas a dependencias compartidas.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Matriz de flujos autorizados<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de configurar firewalls y ACL, debe elaborarse una matriz de comunicaci\u00f3n. Esta transforma la arquitectura en requisitos verificables.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Origen<\/td><td>Destino<\/td><td>Servicio o protocolo<\/td><td>Direcci\u00f3n<\/td><td>Finalidad<\/td><td>Criticidad<\/td><td>Responsable<\/td><\/tr><tr><td>IED de bay<\/td><td>SSCL<\/td><td>MMS<\/td><td>seg\u00fan arquitectura<\/td><td>supervisi\u00f3n y control<\/td><td>alta<\/td><td>automatizaci\u00f3n<\/td><\/tr><tr><td>IED<\/td><td>IED<\/td><td>GOOSE<\/td><td>multicast local<\/td><td>enclavamiento o protecci\u00f3n<\/td><td>cr\u00edtica<\/td><td>protecci\u00f3n<\/td><\/tr><tr><td>Reloj<\/td><td>IED y switches<\/td><td>PTP\/NTP\/IRIG-B<\/td><td>distribuci\u00f3n<\/td><td>sincronismo<\/td><td>alta<\/td><td>automatizaci\u00f3n\/telecom<\/td><\/tr><tr><td>SSCL<\/td><td>Centro de operaci\u00f3n<\/td><td>protocolo de telecontrol<\/td><td>bidireccional controlado<\/td><td>datos y telemandos<\/td><td>alta<\/td><td>operaci\u00f3n<\/td><\/tr><tr><td>Estaci\u00f3n de ingenier\u00eda<\/td><td>IED<\/td><td>protocolo de gesti\u00f3n<\/td><td>sesi\u00f3n autorizada<\/td><td>parametrizaci\u00f3n<\/td><td>cr\u00edtica<\/td><td>protecci\u00f3n\/automatizaci\u00f3n<\/td><\/tr><tr><td>Dispositivo OT<\/td><td>servidor de logs<\/td><td>syslog o mecanismo soportado<\/td><td>salida<\/td><td>auditor\u00eda<\/td><td>media\/alta<\/td><td>ciberseguridad<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">La pol\u00edtica recomendada es negar por defecto y permitir \u00fanicamente lo necesario. Las reglas de salida tambi\u00e9n deben controlarse. Un activo comprometido puede utilizar comunicaciones de salida para movimiento lateral, comando y control o exfiltraci\u00f3n.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">DMZ OT y comunicaci\u00f3n con la red corporativa<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando existe necesidad de integraci\u00f3n entre OT y TI, debe evitarse la comunicaci\u00f3n directa entre la red corporativa y los niveles cr\u00edticos. Una DMZ OT puede alojar servicios intermedios, como:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>jump server o bastion host;<\/li><li>servidores de transferencia controlada;<\/li><li>r\u00e9plicas de hist\u00f3ricos;<\/li><li>proxy de actualizaci\u00f3n;<\/li><li>servicios de autenticaci\u00f3n espec\u00edficos;<\/li><li>colectores de logs;<\/li><li>herramientas de monitoreo;<\/li><li>gateways de aplicaci\u00f3n.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La DMZ no debe ser solo una VLAN con otro nombre. Debe poseer fronteras controladas, pol\u00edticas distintas, reglas m\u00ednimas, monitoreo y procedimientos de administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En casos donde el flujo deba ocurrir \u00fanicamente desde OT hacia entornos superiores, pueden considerarse gateways unidireccionales. La decisi\u00f3n depende de los servicios requeridos, de la necesidad de comandos o mantenimiento y del an\u00e1lisis de riesgo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Identidades, perfiles y menor privilegio<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El acceso a activos OT debe concederse con base en funci\u00f3n, necesidad y per\u00edodo. Operadores, ingenieros, administradores, auditores y proveedores no necesitan los mismos permisos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto debe definir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>identidades individuales siempre que sea t\u00e9cnicamente viable;<\/li><li>perfiles de acceso por funci\u00f3n;<\/li><li>cuentas administrativas separadas de las cuentas de uso com\u00fan;<\/li><li>cuentas t\u00e9cnicas con responsable y finalidad;<\/li><li>procesos de concesi\u00f3n, revisi\u00f3n y revocaci\u00f3n;<\/li><li>tratamiento de cuentas de emergencia;<\/li><li>protecci\u00f3n y rotaci\u00f3n de secretos;<\/li><li>registro de acciones privilegiadas.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Las cuentas compartidas reducen la trazabilidad. Cuando un equipo legado no permite identidades individuales, los controles compensatorios pueden incluir b\u00f3veda de contrase\u00f1as, registro de retiro, supervisi\u00f3n de sesi\u00f3n, aprobaci\u00f3n previa y correlaci\u00f3n con orden de servicio.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n corporativa no debe aplicarse autom\u00e1ticamente a todos los niveles. Una dependencia directa de la red OT respecto de servicios corporativos puede comprometer la disponibilidad. La arquitectura debe decidir qu\u00e9 servicios ser\u00e1n locales, replicados o aislados.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Estaciones de ingenier\u00eda<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La estaci\u00f3n de ingenier\u00eda posee autoridad elevada porque puede alterar ajustes, l\u00f3gicas, archivos SCL, configuraciones de red y par\u00e1metros de dispositivos. Debe tratarse como un activo cr\u00edtico, no como un notebook convencional de mantenimiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los controles posibles incluyen:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>uso dedicado a la funci\u00f3n;<\/li><li>inventario de software y versiones;<\/li><li>bloqueo de aplicaciones no autorizadas;<\/li><li>control de medios removibles;<\/li><li>protecci\u00f3n contra malware compatible con el entorno;<\/li><li>autenticaci\u00f3n fuerte;<\/li><li>backups de las configuraciones antes y despu\u00e9s de los cambios;<\/li><li>registro de qui\u00e9n cambi\u00f3 qu\u00e9 y mediante qu\u00e9 orden de servicio;<\/li><li>acceso \u00fanicamente a las zonas necesarias;<\/li><li>almacenamiento controlado de archivos y credenciales;<\/li><li>verificaci\u00f3n antes de conectarse a diferentes subestaciones.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando se permiten notebooks de proveedores, el contrato debe definir requisitos m\u00ednimos, validaci\u00f3n, herramientas autorizadas, acceso a internet, protecci\u00f3n contra malware y procedimiento de cuarentena.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Acceso remoto de operadores y proveedores<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El acceso remoto atraviesa la frontera f\u00edsica de la subestaci\u00f3n. Una VPN, de forma aislada, no resuelve identidad, autorizaci\u00f3n, duraci\u00f3n, destino, registro y revocaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una arquitectura robusta puede incluir:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">1. solicitud vinculada a ticket u orden de servicio; 2. aprobaci\u00f3n operacional y t\u00e9cnica; 3. autenticaci\u00f3n multifactor en la entrada remota; 4. acceso a jump server en la DMZ OT; 5. autorizaci\u00f3n \u00fanicamente para activos y protocolos necesarios; 6. ventana de tiempo definida; 7. monitoreo y registro de la sesi\u00f3n; 8. finalizaci\u00f3n autom\u00e1tica al concluir la actividad; 9. validaci\u00f3n de la configuraci\u00f3n alterada; 10. revocaci\u00f3n inmediata tras la conclusi\u00f3n o terminaci\u00f3n contractual.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las conexiones permanentes de fabricantes, m\u00f3dems olvidados, software de soporte no inventariado y reglas amplias de VPN constituyen riesgos recurrentes. El inventario debe incluir todos los caminos remotos, incluidas soluciones de nube, enlaces celulares y herramientas incorporadas en equipos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El mantenimiento remoto tambi\u00e9n necesita modo degradado. La subestaci\u00f3n no puede depender de la disponibilidad del acceso del proveedor para ejecutar funciones esenciales o restaurar una configuraci\u00f3n b\u00e1sica.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Hardening de IED, rel\u00e9s, switches y gateways<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hardening es la definici\u00f3n y aplicaci\u00f3n de una configuraci\u00f3n de referencia que reduce la superficie de ataque sin impedir la funci\u00f3n operacional.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">IED y rel\u00e9s<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>cambiar credenciales predeterminadas;<\/li><li>crear perfiles seg\u00fan las capacidades del equipo;<\/li><li>deshabilitar servicios y puertos no utilizados;<\/li><li>controlar interfaces locales, frontales y de mantenimiento;<\/li><li>proteger archivos de ajuste y firmware;<\/li><li>configurar registros y alarmas disponibles;<\/li><li>documentar modos de operaci\u00f3n y llaves f\u00edsicas;<\/li><li>validar el impacto sobre protecci\u00f3n y comunicaci\u00f3n.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Switches y routers<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>desactivar puertos no utilizados;<\/li><li>limitar VLAN permitidas en cada puerto;<\/li><li>controlar trunks e interfaces de gesti\u00f3n;<\/li><li>utilizar protocolos de gesti\u00f3n seguros cuando sean compatibles;<\/li><li>restringir el origen de la administraci\u00f3n;<\/li><li>configurar logs, hora y monitoreo;<\/li><li>proteger configuraciones y backups;<\/li><li>documentar multicast, QoS, redundancia y rutas.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Servidores y estaciones<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>instalaci\u00f3n m\u00ednima;<\/li><li>solo servicios necesarios;<\/li><li>firewall local compatible;<\/li><li>cuentas de servicio con menor privilegio;<\/li><li>control de aplicaciones;<\/li><li>actualizaciones probadas;<\/li><li>protecci\u00f3n de bases de datos e hist\u00f3ricos;<\/li><li>backup y restauraci\u00f3n verificados.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Una baseline debe identificar qu\u00e9 requisitos son obligatorios, recomendados o no aplicables. Las excepciones deben poseer justificaci\u00f3n, riesgo, control compensatorio y aprobaci\u00f3n.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Gesti\u00f3n de firmware, patches y vulnerabilidades<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Actualizar inmediatamente cualquier activo puede ser tan arriesgado como no actualizar nunca. El proceso debe combinar inteligencia de vulnerabilidades, an\u00e1lisis de aplicabilidad y validaci\u00f3n operacional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Etapas recomendadas:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">1. recibir avisos de fabricantes, CISA, bases de vulnerabilidades y fuentes sectoriales; 2. identificar modelos, versiones y activos afectados; 3. evaluar exposici\u00f3n, funci\u00f3n, consecuencia y existencia de explotaci\u00f3n; 4. consultar compatibilidad y dependencias; 5. probar en un entorno representativo; 6. planificar ventana, backup y rollback; 7. aplicar y validar funciones; 8. registrar evidencias y actualizar el inventario; 9. implementar control compensatorio cuando la correcci\u00f3n no pueda aplicarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los controles compensatorios pueden involucrar segmentaci\u00f3n adicional, restricci\u00f3n de acceso, bloqueo de un servicio vulnerable, monitoreo espec\u00edfico o sustituci\u00f3n planificada. No deben convertirse en una excusa permanente para mantener activos sin soporte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El programa tambi\u00e9n debe tratar el fin de vida. Fabricantes e integradores deben informar per\u00edodos de soporte, pol\u00edtica de vulnerabilidades, disponibilidad de firmware y requisitos de actualizaci\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Certificados, claves y sincronismo<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Los certificados y las claves pueden autenticar dispositivos, usuarios y comunicaciones, pero introducen una infraestructura que debe operarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto debe definir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>autoridad emisora y cadena de confianza;<\/li><li>inventario de certificados;<\/li><li>responsables de emisi\u00f3n y renovaci\u00f3n;<\/li><li>almacenamiento de claves privadas;<\/li><li>tratamiento de expiraci\u00f3n y revocaci\u00f3n;<\/li><li>sustituci\u00f3n de equipo;<\/li><li>recuperaci\u00f3n tras p\u00e9rdida de configuraci\u00f3n;<\/li><li>impacto de un reloj incorrecto sobre la validaci\u00f3n.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">El sincronismo tambi\u00e9n sustenta eventos, registros e investigaci\u00f3n. Las fuentes de tiempo, caminos principal y alternativo, holdover, alarmas y seguridad de la distribuci\u00f3n deben documentarse. La alteraci\u00f3n indebida del tiempo puede perjudicar la correlaci\u00f3n de eventos y la trazabilidad.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Logs, monitoreo y detecci\u00f3n<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El monitoreo debe combinar contexto operacional y cibern\u00e9tico. En redes OT, el tr\u00e1fico tiende a ser m\u00e1s previsible que en redes corporativas, lo que favorece la creaci\u00f3n de baselines.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las fuentes posibles incluyen:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>firewalls y routers;<\/li><li>switches;<\/li><li>servidores y estaciones;<\/li><li>IED y gateways que soporten registro;<\/li><li>sistemas SCADA y SDSC;<\/li><li>control de acceso f\u00edsico;<\/li><li>sistemas de acceso remoto;<\/li><li>antivirus, allowlisting y herramientas de integridad;<\/li><li>plataformas de gesti\u00f3n e inventario.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Eventos relevantes:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>autenticaci\u00f3n exitosa o denegada;<\/li><li>creaci\u00f3n y modificaci\u00f3n de cuentas;<\/li><li>cambio de configuraci\u00f3n;<\/li><li>actualizaci\u00f3n de firmware;<\/li><li>alteraci\u00f3n de regla de firewall;<\/li><li>conexi\u00f3n de dispositivo;<\/li><li>p\u00e9rdida o retorno de comunicaci\u00f3n;<\/li><li>cambio de ruta o redundancia;<\/li><li>falla de sincronismo;<\/li><li>tr\u00e1fico nuevo entre activos;<\/li><li>uso de protocolo no previsto;<\/li><li>reinicio y p\u00e9rdida de recursos.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La recopilaci\u00f3n pasiva mediante TAP o SPAN suele ser preferible como punto de partida. Las respuestas autom\u00e1ticas de IPS deben evaluarse cuidadosamente porque un bloqueo incorrecto puede afectar comunicaciones cr\u00edticas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La integraci\u00f3n con SIEM o SOC es posible, pero los casos de uso deben considerar la sem\u00e1ntica de OT. Una r\u00e1faga GOOSE leg\u00edtima, una conmutaci\u00f3n PRP o una secuencia de eventos operacionales no debe interpretarse sin contexto.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Backup, restauraci\u00f3n y continuidad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El backup debe abarcar m\u00e1s que archivos de servidor. La recuperaci\u00f3n puede depender de:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>ajustes y firmware de IED;<\/li><li>proyectos de automatizaci\u00f3n y archivos SCL;<\/li><li>configuraciones de switches, routers y firewalls;<\/li><li>bases de datos y listas de puntos;<\/li><li>certificados y documentaci\u00f3n de claves;<\/li><li>im\u00e1genes de sistemas e instaladores;<\/li><li>licencias;<\/li><li>versiones compatibles de herramientas de ingenier\u00eda;<\/li><li>diagramas, inventarios y procedimientos.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Las copias deben protegerse contra alteraci\u00f3n e indisponibilidad. Al menos una parte debe permanecer separada del entorno operacional para resistir incidentes destructivos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La restauraci\u00f3n debe probarse. La prueba debe responder:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>si el archivo est\u00e1 \u00edntegro;<\/li><li>si existe una herramienta compatible para abrirlo;<\/li><li>si la versi\u00f3n puede cargarse en el equipo;<\/li><li>si las licencias y certificados est\u00e1n disponibles;<\/li><li>si la secuencia de recuperaci\u00f3n est\u00e1 documentada;<\/li><li>si el tiempo de restauraci\u00f3n atiende la necesidad operacional.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La continuidad tambi\u00e9n implica operaci\u00f3n degradada. Los procedimientos deben indicar c\u00f3mo se operar\u00e1 la subestaci\u00f3n durante p\u00e9rdida de SCADA, WAN, servidor, sincronismo, estaci\u00f3n de ingenier\u00eda o parte del monitoreo de ciberseguridad.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Respuesta a incidentes en entornos OT<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El plan de respuesta debe elaborarse antes del incidente. La contenci\u00f3n de TI basada en apagar o aislar inmediatamente un equipo puede ser inadecuada cuando el activo sustenta protecci\u00f3n, control o seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El procedimiento debe definir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>clasificaci\u00f3n del incidente;<\/li><li>funciones y autoridades;<\/li><li>contactos de operaci\u00f3n, protecci\u00f3n, automatizaci\u00f3n, telecomunicaciones, TI y proveedores;<\/li><li>criterios para aislamiento;<\/li><li>preservaci\u00f3n de evidencias;<\/li><li>comunicaci\u00f3n interna y externa;<\/li><li>operaci\u00f3n segura durante la respuesta;<\/li><li>restauraci\u00f3n y validaci\u00f3n;<\/li><li>retorno a la condici\u00f3n normal;<\/li><li>an\u00e1lisis de causa y mejora.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Entre los escenarios \u00fatiles para ejercicios est\u00e1n:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>credencial de proveedor comprometida;<\/li><li>malware en estaci\u00f3n de ingenier\u00eda;<\/li><li>cambio no autorizado en un rel\u00e9;<\/li><li>p\u00e9rdida de visibilidad en el centro de operaci\u00f3n;<\/li><li>tr\u00e1fico anormal en la red de estaci\u00f3n;<\/li><li>indisponibilidad de servidor SCADA;<\/li><li>compromiso de VPN;<\/li><li>ransomware en entorno corporativo con riesgo de propagaci\u00f3n a OT;<\/li><li>p\u00e9rdida de configuraci\u00f3n de switch o firewall.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Los ejercicios de mesa permiten verificar decisiones y responsabilidades sin afectar la instalaci\u00f3n. Las pruebas t\u00e9cnicas deben planificarse para no interrumpir funciones activas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Seguridad f\u00edsica y ciberseguridad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La frontera cibern\u00e9tica puede superarse f\u00edsicamente. Puertos de switch, interfaces seriales, USB, paneles, racks, cajas de empalme y equipos en ubicaciones remotas necesitan protecci\u00f3n proporcional a la criticidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La integraci\u00f3n con control de acceso, intrusi\u00f3n y CCTV puede ayudar a correlacionar:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>entrada de una persona en una sala t\u00e9cnica;<\/li><li>apertura de un panel;<\/li><li>conexi\u00f3n de equipo;<\/li><li>inicio de sesi\u00f3n administrativa;<\/li><li>cambio de configuraci\u00f3n;<\/li><li>salida del lugar.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Los propios sistemas de seguridad f\u00edsica son activos conectados. C\u00e1maras, controladoras y paneles no deben crear un puente no controlado hacia redes de automatizaci\u00f3n. El video operativo y la seguridad patrimonial deben tener flujos y zonas definidos.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Seguridad de proveedores y cadena de suministro<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Las subestaciones dependen de fabricantes, integradores, desarrolladores y prestadores de mantenimiento. El riesgo no termina con la entrega del equipo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los requisitos contractuales pueden incluir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>pr\u00e1cticas de desarrollo seguro;<\/li><li>proceso de divulgaci\u00f3n de vulnerabilidades;<\/li><li>plazo de comunicaci\u00f3n al contratante;<\/li><li>pol\u00edtica de patches y firmware;<\/li><li>per\u00edodo de soporte y fin de vida;<\/li><li>composici\u00f3n de software o SBOM cuando corresponda;<\/li><li>cuentas y accesos necesarios;<\/li><li>protecci\u00f3n de los entornos de desarrollo y soporte;<\/li><li>control de subcontratistas;<\/li><li>devoluci\u00f3n o eliminaci\u00f3n de datos;<\/li><li>transferencia de configuraciones, contrase\u00f1as y certificados;<\/li><li>apoyo durante incidentes;<\/li><li>evidencias de pruebas de seguridad.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Un producto certificado o con recursos de seguridad no garantiza, por s\u00ed solo, que la instalaci\u00f3n alcanzar\u00e1 el nivel previsto. La seguridad resulta de la combinaci\u00f3n entre capacidades del componente, arquitectura, configuraci\u00f3n, procesos y operaci\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Proyecto y documentaci\u00f3n de ciberseguridad OT<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La contrataci\u00f3n debe producir documentos utilizables por implantaci\u00f3n, operaci\u00f3n y fiscalizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre los posibles entregables est\u00e1n:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>definici\u00f3n de alcance y fronteras;<\/li><li>inventario de activos OT;<\/li><li>clasificaci\u00f3n de criticidad;<\/li><li>matriz de riesgos y tratamiento;<\/li><li>arquitectura de referencia;<\/li><li>mapa de zonas y conductos;<\/li><li>matriz de flujos autorizados;<\/li><li>tabla de puertos y protocolos;<\/li><li>matriz de accesos y perfiles;<\/li><li>pol\u00edtica de acceso remoto;<\/li><li>baseline de hardening por familia de activos;<\/li><li>requisitos de logs y monitoreo;<\/li><li>estrategia de certificados y claves;<\/li><li>plan de vulnerabilidades y actualizaciones;<\/li><li>estrategia de backup y recuperaci\u00f3n;<\/li><li>plan de respuesta a incidentes;<\/li><li>requisitos de proveedores;<\/li><li>especificaciones para adquisici\u00f3n;<\/li><li>plan de modernizaci\u00f3n;<\/li><li>procedimientos de FAT y SAT;<\/li><li>matriz de pruebas y criterios de aceptaci\u00f3n;<\/li><li>documentaci\u00f3n as-built.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto debe identificar claramente qu\u00e9 corresponde a la concesionaria, al integrador de automatizaci\u00f3n, al proveedor de telecomunicaciones, al fabricante de rel\u00e9s y al equipo de ciberseguridad. Las interfaces indefinidas tienden a generar lagunas.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Modernizaci\u00f3n de subestaciones existentes<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">En instalaciones existentes, la implantaci\u00f3n debe comenzar por diagn\u00f3stico y plan de transici\u00f3n. Los equipos legados pueden no soportar autenticaci\u00f3n individual, cifrado, logs o firmware actual.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La modernizaci\u00f3n debe considerar:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>indisponibilidades permitidas;<\/li><li>secuencia de migraci\u00f3n;<\/li><li>coexistencia entre equipos nuevos y antiguos;<\/li><li>ventanas de desconexi\u00f3n;<\/li><li>controles compensatorios;<\/li><li>retorno a la condici\u00f3n anterior;<\/li><li>actualizaci\u00f3n de los centros de operaci\u00f3n;<\/li><li>compatibilidad de herramientas;<\/li><li>capacitaci\u00f3n de los equipos;<\/li><li>revisi\u00f3n de procedimientos.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">La segmentaci\u00f3n puede implantarse progresivamente, comenzando por fronteras cr\u00edticas, accesos remotos y caminos entre TI y OT. El objetivo es reducir riesgo sin crear una transformaci\u00f3n inviable o una arquitectura paralela imposible de mantener.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">FAT, SAT y puesta en servicio de ciberseguridad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Los controles de seguridad deben probarse como parte del sistema. El <strong>FAT<\/strong> puede verificar configuraciones, perfiles, flujos, hardening, logs, backups y comportamiento de componentes antes de la instalaci\u00f3n. El <strong>SAT<\/strong> valida la arquitectura real, incluyendo enlaces, direcciones, reglas, integraciones y condiciones de campo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una matriz de pruebas puede incluir:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><tbody><tr><td>Dominio<\/td><td>Verificaci\u00f3n<\/td><\/tr><tr><td>Inventario<\/td><td>modelo, versi\u00f3n, direcci\u00f3n, funci\u00f3n y responsable coinciden con el proyecto<\/td><\/tr><tr><td>Zonas<\/td><td>los activos est\u00e1n conectados a las zonas previstas y no existen caminos alternativos<\/td><\/tr><tr><td>Flujos<\/td><td>solo se permiten puertos, protocolos, or\u00edgenes y destinos aprobados<\/td><\/tr><tr><td>Identidades<\/td><td>perfiles, cuentas administrativas, cuentas t\u00e9cnicas y revocaciones funcionan<\/td><\/tr><tr><td>Acceso remoto<\/td><td>MFA, aprobaci\u00f3n, jump server, limitaci\u00f3n temporal y logs son comprobados<\/td><\/tr><tr><td>Hardening<\/td><td>servicios innecesarios, credenciales predeterminadas y puertos no utilizados fueron tratados<\/td><\/tr><tr><td>Redundancia<\/td><td>fallas de enlaces, equipos y fuentes no eliminan funciones cr\u00edticas<\/td><\/tr><tr><td>Desempe\u00f1o<\/td><td>los controles no degradan GOOSE, SV, teleprotecci\u00f3n, SCADA o sincronismo m\u00e1s all\u00e1 de lo permitido<\/td><\/tr><tr><td>Monitoreo<\/td><td>los eventos son generados, transportados, sincronizados e interpretados correctamente<\/td><\/tr><tr><td>Backup<\/td><td>las configuraciones son exportadas, protegidas y restauradas en un entorno controlado<\/td><\/tr><tr><td>Incidentes<\/td><td>los procedimientos, contactos y operaci\u00f3n degradada son ejercitados<\/td><\/tr><tr><td>Documentaci\u00f3n<\/td><td>diagramas, matrices, configuraciones e informes reflejan la instalaci\u00f3n final<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Las pruebas activas, escaneos y simulaciones deben estar autorizados y evaluados en cuanto al riesgo. En producci\u00f3n, herramientas inadecuadas pueden bloquear controladores o degradar comunicaciones.<\/p>\n\n\n\n\n<div class=\"wp-block-a3a-destaque\">\n<p class=\"wp-block-paragraph\"><strong>Los controles declarados en proyecto deben comprobarse durante FAT, SAT y operaci\u00f3n asistida.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las pruebas deben validar segmentaci\u00f3n, perfiles, acceso remoto, hardening, logs, redundancia, recuperaci\u00f3n y el impacto de los controles sobre GOOSE, SV, teleprotecci\u00f3n, SCADA y sincronismo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"\/servicos\/servicos-complementares\/comissionamento-aceite-instalacoes-eletricas\/\"><strong>Conozca el servicio de Puesta en Servicio y Aceptaci\u00f3n T\u00e9cnica<\/strong><\/a><\/p>\n<\/div>\n\n\n\n\n\n<h2 class=\"wp-block-heading\">Criterios de aceptaci\u00f3n y dossier t\u00e9cnico<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cada requisito debe asociarse con m\u00e9todo, resultado esperado, tolerancia y evidencia. Declaraciones como \u201cred segmentada\u201d o \u201cacceso seguro\u201d son insuficientes sin demostraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El dossier puede reunir:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>matriz de requisitos y trazabilidad;<\/li><li>diagramas aprobados y as-built;<\/li><li>inventario final;<\/li><li>configuraciones exportadas;<\/li><li>informe de reglas y flujos;<\/li><li>lista de cuentas y perfiles;<\/li><li>evidencias de hardening;<\/li><li>resultados de FAT y SAT;<\/li><li>mediciones de desempe\u00f1o;<\/li><li>pruebas de redundancia y recuperaci\u00f3n;<\/li><li>registros de acceso remoto;<\/li><li>backups e informe de restauraci\u00f3n;<\/li><li>pendientes, riesgos aceptados y planes de acci\u00f3n;<\/li><li>t\u00e9rminos de aceptaci\u00f3n.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Los pendientes de ciberseguridad necesitan responsable, plazo, impacto y control temporal. La energizaci\u00f3n o entrada en operaci\u00f3n no deber\u00eda borrar la trazabilidad de esos pendientes.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Owner\u2019s Engineering en programas de subestaciones<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">En programas con varias subestaciones y proveedores, Owner\u2019s Engineering puede actuar en la gobernanza de las interfaces y en la verificaci\u00f3n independiente de los requisitos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las actividades posibles incluyen:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>revisar arquitectura y especificaciones;<\/li><li>verificar adherencia a est\u00e1ndares corporativos;<\/li><li>analizar propuestas t\u00e9cnicas;<\/li><li>coordinar protecci\u00f3n, automatizaci\u00f3n, telecomunicaciones y ciberseguridad;<\/li><li>controlar documentos y revisiones;<\/li><li>acompa\u00f1ar FAT y SAT;<\/li><li>verificar la matriz de pruebas;<\/li><li>registrar pendientes y desv\u00edos;<\/li><li>evaluar solicitudes de cambio;<\/li><li>consolidar evidencias de aceptaci\u00f3n;<\/li><li>acompa\u00f1ar riesgos residuales.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Esta funci\u00f3n es particularmente \u00fatil cuando cada proveedor demuestra \u00fanicamente su equipo, pero nadie demuestra el comportamiento integrado de la subestaci\u00f3n y del centro de operaci\u00f3n.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Indicadores para operaci\u00f3n continua<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de la puesta en servicio, los indicadores ayudan a demostrar si se mantiene el nivel de seguridad.<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>porcentaje de activos inventariados;<\/li><li>activos sin soporte o pr\u00f3ximos al fin de vida;<\/li><li>vulnerabilidades por criticidad y plazo;<\/li><li>accesos remotos realizados y excepciones;<\/li><li>cuentas sin revisi\u00f3n peri\u00f3dica;<\/li><li>cambios no conciliados con la baseline;<\/li><li>fallas de backup o restauraci\u00f3n;<\/li><li>fuentes de logs indisponibles;<\/li><li>comunicaciones nuevas o no autorizadas;<\/li><li>tiempo de detecci\u00f3n y tratamiento de incidentes;<\/li><li>controles y procedimientos probados;<\/li><li>pendientes de FAT y SAT a\u00fan abiertos.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">El indicador no debe incentivar acciones inseguras. Una meta de aplicaci\u00f3n r\u00e1pida de patches, por ejemplo, debe considerar pruebas, ventana e impacto operacional.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Errores comunes<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Tratar IEC 62443 como checklist de equipos<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La norma estructura riesgo, responsabilidades, arquitectura y ciclo de vida. Comprar firewall o NAC no sustituye inventario, flujos, pol\u00edticas y pruebas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Crear VLAN sin controlar las comunicaciones<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Las VLAN ayudan en la organizaci\u00f3n y segmentaci\u00f3n l\u00f3gica, pero por s\u00ed solas no garantizan restricci\u00f3n de flujo, identidad o monitoreo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Aplicar pr\u00e1cticas de TI sin evaluar la operaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Escaneos, patches, IPS y autenticaci\u00f3n pueden introducir indisponibilidad o latencia. Cada control debe probarse en el contexto de la funci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Conectar sistemas de apoyo directamente a la red cr\u00edtica<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Video, acceso, mantenimiento, impresi\u00f3n, antivirus, historizaci\u00f3n y servicios corporativos pueden crear caminos no planificados.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Mantener acceso permanente de proveedores<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El acceso sin aprobaci\u00f3n, duraci\u00f3n, registro y revocaci\u00f3n ampl\u00eda la superficie de ataque y reduce la responsabilizaci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">No conocer los activos existentes<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Sin modelo, versi\u00f3n, firmware, funci\u00f3n y responsable, no es posible evaluar vulnerabilidad, soporte o impacto.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Confundir redundancia con independencia<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Dos sistemas que comparten switch, fuente, cable, servidor o credencial pueden fallar simult\u00e1neamente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Probar \u00fanicamente la configuraci\u00f3n nominal<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La aceptaci\u00f3n debe incluir p\u00e9rdida de enlace, falla de autenticaci\u00f3n, indisponibilidad del servicio, restauraci\u00f3n, conmutaci\u00f3n y operaci\u00f3n degradada.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Finalizar el programa despu\u00e9s de la implantaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El nivel alcanzado disminuye con el tiempo. Auditor\u00eda, vulnerabilidades, cambios, capacitaci\u00f3n y revalidaci\u00f3n deben continuar.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Rutas de profundizaci\u00f3n en ciberseguridad OT<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">IEC 62443 proporciona la arquitectura de riesgo, zonas, conductos y ciclo de vida. Los controles espec\u00edficos pueden profundizarse en las rutas siguientes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Identidad y acceso<\/h3>\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/conteudo\/artigos-tecnicos\/radius-802-1x-autenticacao-rede-nac-ot\/\">RADIUS, 802.1X y NAC<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/mfa-2fa-autenticacao-multifator-acesso-remoto-ot\/\">MFA y 2FA para acceso remoto<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/pam-jump-server-bastion-host-acesso-privilegiado-ot\/\">PAM, jump server y bastion host<\/a><\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Monitoreo y protecci\u00f3n<\/h3>\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/conteudo\/artigos-tecnicos\/siem-ambientes-ot-logs-subestacoes\/\">SIEM en entornos OT<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/edr-xdr-ambientes-ot-scada-estacoes-engenharia\/\">EDR y XDR en servidores SCADA y estaciones de ingenier\u00eda<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/snmp-o-que-e-mib-oid-traps-seguranca-snmpv3\/\">SNMPv3 y monitoreo de la infraestructura<\/a><\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Protocolos y arquitectura<\/h3>\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/conteudo\/artigos-tecnicos\/iec-62351-seguranca-iec-61850-iec-104-dnp3\/\">IEC 62351 para IEC 61850, IEC 104 y DNP3<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/dmz-o-que-e-redes-ti-ot\/\">DMZ entre redes TI y OT<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/hardening-o-que-e-checklist-servidores-endpoints-ot\/\">Hardening de servidores, endpoints y activos OT<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/subestacao-digital-iec-61850\/\">Subestaci\u00f3n digital e IEC 61850<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/telecomunicacoes-operacionais-subestacoes\/\">Telecomunicaciones operacionales en subestaciones<\/a><\/li><\/ul>\n\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo contratar un proyecto de ciberseguridad para subestaciones<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El t\u00e9rmino de referencia debe informar:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>tipos y cantidad de instalaciones;<\/li><li>etapa de los proyectos o condici\u00f3n del legado;<\/li><li>arquitectura corporativa existente;<\/li><li>est\u00e1ndares de protecci\u00f3n, automatizaci\u00f3n y telecomunicaciones;<\/li><li>sistemas y protocolos involucrados;<\/li><li>centros de operaci\u00f3n e integraciones;<\/li><li>requisitos de acceso remoto;<\/li><li>proveedores existentes;<\/li><li>restricciones de ventana e indisponibilidad;<\/li><li>entregables y formatos;<\/li><li>responsabilidades por implantaci\u00f3n;<\/li><li>pruebas y criterios de aceptaci\u00f3n;<\/li><li>necesidad de apoyo a la adquisici\u00f3n, fiscalizaci\u00f3n u Owner\u2019s Engineering.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Las propuestas deben compararse por el m\u00e9todo y los productos de ingenier\u00eda, no \u00fanicamente por la cantidad de equipos de seguridad. El contratante debe saber qui\u00e9n realizar\u00e1 el levantamiento, c\u00f3mo se evaluar\u00e1n los riesgos, qu\u00e9 documentos se producir\u00e1n y c\u00f3mo se probar\u00e1n los controles.<\/p>\n\n\n\n\n<h2 class=\"wp-block-heading\">Conclusi\u00f3n<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aplicar IEC 62443 en subestaciones significa transformar riesgos operacionales en decisiones de arquitectura, responsabilidades, controles y evidencias. El resultado no es una red aislada de forma indiscriminada, sino una infraestructura en la que cada activo es conocido, cada comunicaci\u00f3n posee una finalidad, cada acceso posee autoridad y cada cambio puede rastrearse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La seguridad debe preservar protecci\u00f3n, control, telecomunicaciones y operaci\u00f3n. Por ello, el proyecto debe integrar ingenier\u00eda el\u00e9ctrica, automatizaci\u00f3n, redes, ciberseguridad, seguridad f\u00edsica y operaci\u00f3n desde la definici\u00f3n de requisitos hasta la puesta en servicio.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las zonas y los conductos ofrecen un lenguaje para organizar esta arquitectura. Inventario, matriz de flujos, acceso remoto controlado, hardening, monitoreo, recuperaci\u00f3n y pruebas completan el ciclo. El mantenimiento continuo garantiza que el nivel alcanzado no se pierda con vulnerabilidades, cambios y obsolescencia.<\/p>\n\n\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Referencias t\u00e9cnicas<\/summary>\n<p class=\"wp-block-paragraph\">[1] ASOCIACI\u00d3N BRASILE\u00d1A DE NORMAS T\u00c9CNICAS. ABNT IEC\/TS 62443-1-1:2023 \u2014 Seguridad para sistemas de automatizaci\u00f3n y control industriales \u2014 Parte 1-1: Terminolog\u00eda, conceptos y modelos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">[2] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. NIST SP 800-82 Rev. 3 \u2014 Guide to Operational Technology (OT) Security. 2023.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">[3] ASOCIACI\u00d3N BRASILE\u00d1A DE NORMAS T\u00c9CNICAS. ABNT NBR 16932:2020 \u2014 Redes y sistemas de comunicaci\u00f3n para automatizaci\u00f3n de sistemas de potencia \u2014 Orientaciones sobre ingenier\u00eda de red.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">[4] ASOCIACI\u00d3N BRASILE\u00d1A DE NORMAS T\u00c9CNICAS. ABNT NBR IEC 61850-10:2018 \u2014 Redes y sistemas de comunicaci\u00f3n para automatizaci\u00f3n de sistemas de potencia \u2014 Parte 10: Ensayos de conformidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">[5] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. NIST CSWP 28 \u2014 Security Segmentation in a Small Manufacturing Environment.<\/p>\n<\/details>\n\n\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Preguntas frecuentes<\/summary>\n<div class=\"schema-faq wp-block-yoast-faq-block\"><div class=\"schema-faq-section\" id=\"faq-question-o-que-a-iec-62443-a87572f0\"><strong class=\"schema-faq-question\">\u00bfQu\u00e9 es IEC 62443?<\/strong> <p class=\"schema-faq-answer\">Es una familia de documentos para ciberseguridad de sistemas industriales de automatizaci\u00f3n y control. Trata conceptos, programas de seguridad, evaluaci\u00f3n de riesgos, requisitos de sistemas, prestadores de servicios y componentes.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-a-iec-62443-obrigat-ria-em-todas-as-subesta-es-a1860c55\"><strong class=\"schema-faq-question\">\u00bfIEC 62443 es obligatoria en todas las subestaciones?<\/strong> <p class=\"schema-faq-answer\">No de forma universal. Los documentos t\u00e9cnicos normalmente son voluntarios, pero pueden convertirse en requisitos cuando se incorporan a contratos, est\u00e1ndares corporativos, licitaciones, reglamentos u otros instrumentos aplicables.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-o-que-s-o-zonas-e-condu-tes-d5cab34b\"><strong class=\"schema-faq-question\">\u00bfQu\u00e9 son zonas y conductos?<\/strong> <p class=\"schema-faq-answer\">Una zona agrupa activos que comparten requisitos de seguridad. Un conducto agrupa y protege las comunicaciones dentro de una zona o entre zonas, incluyendo canales, equipos, reglas y mecanismos de control.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-uma-vlan-suficiente-para-criar-uma-zona-de-segur-47fb0cd2\"><strong class=\"schema-faq-question\">\u00bfUna VLAN es suficiente para crear una zona de seguridad?<\/strong> <p class=\"schema-faq-answer\">No. La VLAN puede colaborar con la separaci\u00f3n l\u00f3gica, pero la zona tambi\u00e9n necesita frontera, pol\u00edtica, control de flujos, gesti\u00f3n de acceso, monitoreo, responsables y criterios de prueba.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-qual-a-diferen-a-entre-iec-62443-e-iec-62351-74cc1938\"><strong class=\"schema-faq-question\">\u00bfCu\u00e1l es la diferencia entre IEC 62443 e IEC 62351?<\/strong> <p class=\"schema-faq-answer\">IEC 62443 estructura la seguridad de sistemas industriales, su ciclo de vida, riesgos, zonas y requisitos. IEC 62351 se concentra en la seguridad de datos y comunicaciones utilizados en sistemas de potencia. Son complementarias.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-como-deve-funcionar-o-acesso-remoto-a-uma-subest-3ba1d5dc\"><strong class=\"schema-faq-question\">\u00bfC\u00f3mo debe funcionar el acceso remoto a una subestaci\u00f3n?<\/strong> <p class=\"schema-faq-answer\">El acceso debe ser aprobado, autenticado con mecanismos fuertes, limitado a los activos necesarios, preferentemente intermediado por jump server o bastion, registrado, temporal y revocado al concluir la actividad.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-poss-vel-aplicar-patches-imediatamente-em-ativos-b233fa16\"><strong class=\"schema-faq-question\">\u00bfEs posible aplicar patches inmediatamente en activos OT?<\/strong> <p class=\"schema-faq-answer\">No siempre. Los patches deben evaluarse y probarse respecto de compatibilidad, desempe\u00f1o y seguridad operacional. Cuando no puedan aplicarse, deben adoptarse controles compensatorios y un plan de correcci\u00f3n o sustituci\u00f3n.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-como-monitorar-uma-rede-ot-sem-prejudicar-a-oper-f29702b6\"><strong class=\"schema-faq-question\">\u00bfC\u00f3mo monitorear una red OT sin perjudicar la operaci\u00f3n?<\/strong> <p class=\"schema-faq-answer\">El monitoreo pasivo mediante TAP o SPAN suele ser el punto inicial m\u00e1s seguro. Las herramientas activas y respuestas autom\u00e1ticas deben evaluarse y probarse para no degradar comunicaciones cr\u00edticas.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-cftv-e-controle-de-acesso-podem-compartilhar-a-r-c04c4edd\"><strong class=\"schema-faq-question\">\u00bfCCTV y control de acceso pueden compartir la red de automatizaci\u00f3n?<\/strong> <p class=\"schema-faq-answer\">El uso compartido no debe presumirse. Video, seguridad f\u00edsica y automatizaci\u00f3n tienen requisitos diferentes y deben separarse mediante zonas y flujos controlados seg\u00fan el an\u00e1lisis de riesgo.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-o-que-deve-ser-testado-no-fat-e-no-sat-de-cibers-259b3674\"><strong class=\"schema-faq-question\">\u00bfQu\u00e9 debe probarse en el FAT y el SAT de ciberseguridad?<\/strong> <p class=\"schema-faq-answer\">Deben verificarse inventario, zonas, flujos, perfiles, acceso remoto, hardening, logs, redundancia, desempe\u00f1o, backup, recuperaci\u00f3n, fallas y adherencia de la documentaci\u00f3n a la instalaci\u00f3n real.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-qual-o-papel-do-owner-s-engineering-em-cibersegu-8f221904\"><strong class=\"schema-faq-question\">\u00bfCu\u00e1l es el papel de Owner\u2019s Engineering en ciberseguridad OT?<\/strong> <p class=\"schema-faq-answer\">Owner\u2019s Engineering puede revisar requisitos, coordinar interfaces, analizar propuestas, fiscalizar proveedores, acompa\u00f1ar pruebas, controlar pendientes y consolidar evidencias para la aceptaci\u00f3n t\u00e9cnica.<\/p><\/div><div class=\"schema-faq-section\" id=\"faq-question-quais-documentos-comp-em-um-projeto-de-cibersegu-2c9eec9f\"><strong class=\"schema-faq-question\">\u00bfQu\u00e9 documentos componen un proyecto de ciberseguridad para subestaciones?<\/strong> <p class=\"schema-faq-answer\">Entre los principales est\u00e1n inventario, matriz de riesgos, arquitectura, mapa de zonas y conductos, matriz de flujos, perfiles de acceso, baseline de hardening, pol\u00edtica de acceso remoto, plan de vulnerabilidades, monitoreo, backup, incidentes y pruebas.<\/p><\/div><\/div>\n<\/details>\n\n\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Materiales t\u00e9cnicos complementarios<\/summary>\n<p class=\"wp-block-paragraph\"><strong>Soluciones<\/strong><\/p>\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/solucoes\/engenharia-de-automacao-industrial\/redes-industriais\/\">Redes Industriales<\/a><\/li><li><a href=\"\/solucoes\/engenharia-de-ciberseguranca\/network-access-control-nac\/\">Network Access Control (NAC)<\/a><\/li><li><a href=\"\/solucoes\/engenharia-de-sistemas\/centro-de-operacoes-de-seguranca\/\">Centro de Operaciones de Seguridad (SOC)<\/a><\/li><li><a href=\"\/solucoes\/solucoes-digitais\/zabbix\/\">Zabbix \u2014 Monitoreo de Infraestructura<\/a><\/li><\/ul>\n\n\n<p class=\"wp-block-paragraph\"><strong>Servicios de ingenier\u00eda<\/strong><\/p>\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/servicos\/planejamento\/projeto-de-telecomunicacoes\/\">Proyecto de Telecomunicaciones<\/a><\/li><li><a href=\"\/servicos\/implementacao\/integracao-de-sistemas\/\">Integraci\u00f3n de Sistemas<\/a><\/li><li><a href=\"\/servicos\/servicos-complementares\/comissionamento-aceite-instalacoes-eletricas\/\">Puesta en Servicio y Aceptaci\u00f3n T\u00e9cnica de Instalaciones El\u00e9ctricas<\/a><\/li><li><a href=\"\/servicos\/servicos-complementares\/compatibilizacao-e-integracao-de-projetos\/\">Compatibilizaci\u00f3n e Integraci\u00f3n de Proyectos<\/a><\/li><\/ul>\n\n\n<p class=\"wp-block-paragraph\"><strong>Materiales t\u00e9cnicos complementarios<\/strong><\/p>\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/conteudo\/artigos-tecnicos\/subestacao-digital-iec-61850\/\">Subestaci\u00f3n digital e IEC 61850<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/o-que-e-scada-no-setor-eletrico\/\">SCADA en el sector el\u00e9ctrico<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/teleassistencia-subestacoes-desafios-normativos-solucoes-avancadas-2\/\">Teleasistencia en subestaciones<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/telecomunicacoes-operacionais-subestacoes\/\">Telecomunicaciones operacionales en subestaciones<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/teleprotecao-subestacoes-linhas-transmissao\/\">Teleprotecci\u00f3n en subestaciones y l\u00edneas de transmisi\u00f3n<\/a><\/li><li><a href=\"\/conteudo\/artigos-tecnicos\/segmentacao-de-rede-fundamentos-modelos-boas-praticas\/\">Segmentaci\u00f3n de Red<\/a><\/li><li><a href=\"\/conteudo\/whitepapers\/ciberseguranca-em-sistemas-de-cftv\/\">Ciberseguridad en Sistemas de CCTV<\/a><\/li><li><a href=\"https:\/\/www.abntcatalogo.com.br\/\" target=\"_blank\" rel=\"noopener\">Cat\u00e1logo ABNT \u2014 normas t\u00e9cnicas vigentes<\/a><\/li><\/ul>\n<\/details>\n","protected":false},"excerpt":{"rendered":"<p>Aplique conceptos de IEC 62443 a subestaciones: riesgo OT, zonas, conductos, inventario, acceso remoto, hardening, monitoreo, pruebas y aceptaci\u00f3n de ciberseguridad.<\/p>\n","protected":false},"author":1,"featured_media":78598,"parent":0,"template":"","meta":{"_a3a_global_related_solutions":[],"_a3a_global_related_services":[],"_a3a_global_related_materials":[],"_a3a_post_lang":"es-es","_a3a_translation_group_id":"ef2d06d9-6201-456a-80bc-2735f9f2d093","_a3a_i18n_canonical_slug":"iec-62443-subestaciones-ciberseguridad-zonas-conductos-acceso-remoto","_a3a_prod_post_id":"","_a3a_lang_url_en-us":"","_a3a_lang_url_es-es":""},"categories":[],"segments":[],"mercados":[],"etapas":[],"class_list":["post-82886","articles","type-articles","status-publish","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/articles\/82886","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/articles"}],"about":[{"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/types\/articles"}],"author":[{"embeddable":true,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/users\/1"}],"version-history":[{"count":1,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/articles\/82886\/revisions"}],"predecessor-version":[{"id":82891,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/articles\/82886\/revisions\/82891"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/media\/78598"}],"wp:attachment":[{"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/media?parent=82886"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/categories?post=82886"},{"taxonomy":"segments","embeddable":true,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/segments?post=82886"},{"taxonomy":"mercados","embeddable":true,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/mercados?post=82886"},{"taxonomy":"etapas","embeddable":true,"href":"https:\/\/a3aengenharia.com\/es-es\/wp-json\/wp\/v2\/etapas?post=82886"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}