Ciberseguridad y transformación tecnológica en Luz del Sur: un panorama informativo

Luz del Sur, empresa de distribución eléctrica que abastece a la zona sur de Lima y a provincias como Cañete y Huarochirí, mantiene un proceso de transformación tecnológica impulsado por su accionista mayoritario, China Three Gorges Corporation. La compañía gestiona aproximadamente 40,000 estructuras de media tensión, entre postes y subestaciones aéreas, y ha orientado su estrategia hacia la digitalización de la red, la masificación de medidores inteligentes, la modernización de sus sistemas de control y la incorporación de tecnologías para el mantenimiento de infraestructura. En ese marco, la ciberseguridad aparece como un componente relevante de su operación, junto con proyectos de innovación operativa y de diversificación energética.

En el ámbito operativo, Luz del Sur implementó un proyecto de hidrolavado de aisladores en postes eléctricos de media tensión mediante drones. El equipo consiste en una aeronave no tripulada equipada con una pistola de agua a alta presión, conectada mediante una manguera a una bomba y un tanque de agua en tierra, y es pilotada a distancia por un operador de la empresa. La limpieza se realiza sin que ningún trabajador suba al poste y sin necesidad de cortar la energía. La compañía reporta beneficios en seguridad, continuidad del servicio y eficiencia en zonas de difícil acceso, con una eficiencia de limpieza de entre 40% y 60% en esas áreas. La propuesta recibió el premio Creatividad Empresarial en la categoría de Innovación de Procesos y, tras la fase piloto, se ejecuta en jornadas diarias priorizando zonas críticas; la empresa estima que con dos o tres drones podría cubrir la limpieza de sus postes de media tensión en Lima.

La empresa también desarrolla otros proyectos de digitalización y innovación. Entre ellos figura la migración hacia medidores inteligentes, con más de 100,000 equipos instalados en proyectos piloto en Cañete y Lurigancho-Chosica, y una inversión estimada superior a US$100 millones para la migración masiva. Estos medidores permiten lecturas cada 15 minutos y detección automática de fallas, con una reducción estimada de los tiempos de interrupción del servicio entre 20% y 30%. Asimismo, el proyecto Ñawiri integró más de 25,000 puntos de medición remota para grandes clientes y redujo el proceso de lectura y facturación de cinco a dos días. La empresa inició además la actualización de su sistema SCADA y ha desarrollado un prototipo de robot móvil autónomo teleoperado desde el centro de control. En San Borja se ejecutó un piloto de postes inteligentes que integra iluminación LED, seguridad e internet.

En materia de sostenibilidad y generación, Luz del Sur concretó en 2025 la adquisición del Parque Eólico San Juan de Marcona, en Ica, con una capacidad instalada de 135.7 MW y un valor de aproximadamente US$256 millones, financiado en parte con un préstamo sostenible de S/860 millones del BCP. Su proyecto de generación más ambicioso es la Central Hidroeléctrica Santa Teresa II, en Cusco, con una potencia de 290 MW y una inversión estimada de US$600 millones, cuya construcción está proyectada para iniciar en el primer semestre de 2027. Se aprobó ambientalmente un sistema de almacenamiento BESS de 5 MWh en la planta solar Majes. La empresa cuenta con una flota de 109 vehículos eléctricos, equivalente al 34% de su flota total, que ha recorrido más de 3.2 millones de kilómetros y evitado la emisión de 660 toneladas de CO₂ equivalente. Adicionalmente, implementó más de 5,231 m² de murales sostenibles con pintura fotocatalítica.

Desde el punto de vista administrativo y financiero, la empresa mantiene una deuda financiera significativa. A abril de 2026, su CEO indicó que existían alrededor de S/900 millones en deuda que debían reperfilarse; al cierre de 2025, la deuda total ascendía a S/3,000 millones. La compañía reportó una utilidad antes de impuestos de S/1,024 millones en 2025. Para 2025, la inversión en CAPEX en distribución bordeó los US$135 millones; para 2026 se proyecta un presupuesto de CAPEX de aproximadamente US$140 millones, más un OPEX de US$100 millones para reemplazo de equipos y otros rubros. La empresa contempla además una inversión anual de entre US$120 y US$150 millones para incorporar más tecnología.

En gobierno corporativo, en junio de 2026 el directorio ratificó a Ning Xue como presidente para el periodo 2025-2026. La influencia del accionista mayoritario, China Three Gorges Corporation, ha sido asociada a una visión de largo plazo que permitió mayores inversiones en tecnología, ciberseguridad y sistemas de vigilancia. En el ámbito regulatorio, en enero de 2026 Indecopi multó a Luz del Sur con 1,000 UIT, más de S/5.5 millones, por presuntamente infringir el deber de información durante la notificación de una operación de concentración empresarial vinculada a la adquisición de plantas solares; la empresa anunció que apelaría la decisión. En mayo de 2026 interpuso un recurso de reconsideración contra una resolución relacionada con los términos para el estudio de costos del VAD. La compañía cuenta con la certificación ISO 37001, obtenida en 2025, y mantiene la recertificación de la ISO 14001.

En el ámbito tecnológico y de telecomunicaciones, Luz del Sur no opera como empresa de telecomunicaciones, pero su infraestructura es utilizada para el despliegue de redes de terceros. En junio de 2026, OSIPTEL aprobó un Mandato de Compartición de Infraestructura que obliga a Luz del Sur a permitir que Ufinet Perú utilice sus postes y ductos para desplegar redes de fibra óptica de banda ancha, en el marco de la ley que declara de interés nacional el uso de infraestructura eléctrica para facilitar el despliegue de telecomunicaciones. La empresa realiza además operativos para retirar cables de telecomunicaciones de terceros instalados sin cumplir las distancias mínimas de seguridad. A nivel interno, ha implementado enlaces de fibra óptica entre subestaciones para mejorar la fiabilidad de sus propios sistemas de telecomunicaciones y protección.

La estrategia de ciberseguridad de Luz del Sur incluye una inversión aproximada de US$10 millones anuales en modernización de plataformas tecnológicas, rubro que abarca sistemas de ciberseguridad. La empresa ha implementado plataformas EDR (1), de detección y respuesta en puntos finales, y NDR (2), de detección y respuesta en la red de datos, que permiten visibilidad del comportamiento de la infraestructura tecnológica y capacidad de detectar, investigar y responder a eventos maliciosos. También implementó una plataforma de autenticación de doble factor para el acceso a sistemas sensibles. En colaboración con Siemens, digitalizó subestaciones de alta tensión, entre ellas la SET Los Sauces, con sistemas de protección y automatización orientados a ampliar las capacidades de monitoreo de manera cibersegura.

La protección de subestaciones se basa en un diseño de seguridad incorporado desde la arquitectura. En la subestación Los Sauces se reemplazó el cableado tradicional de cobre por un bus de proceso digital, en el que los datos de medición se convierten a formato digital en el equipo y se transmiten por fibra óptica hasta los dispositivos de protección. El sistema de bus de proceso se compone de dos redes Ethernet físicamente separadas para distintas aplicaciones, medida que mantiene los ciberataques alejados de la red del proceso. La comunicación entre subestaciones, como entre Industriales y Los Sauces, se realiza mediante enlaces de fibra óptica, y los sistemas de comunicación implementados cumplen normas internacionales IEC para la transmisión de datos y la coordinación entre equipos del sistema eléctrico.

Un informe de la firma de inteligencia de amenazas Hudson Rock, con datos a septiembre de 2026, clasifica el dominio luzdelsur.com.pe con una postura de amenaza media y detecta 8,985 credenciales comprometidas, desglosadas en 74 empleados y 8,911 usuarios. El informe identifica credenciales asociadas al portal de VPN vtx.luzdelsur.com.pe/vpn/index.html y a puntos de acceso Citrix, herramientas que permiten movimiento lateral dentro de la red corporativa. También señala falta de datos sobre la fortaleza de contraseñas, ausencia de cobertura de antivirus en algunos endpoints y 17 dominios de terceros comprometidos, entre ellos microsoftonline.com y coursera.org. El informe incluye planteamientos como el restablecimiento de credenciales para los afectados, el monitoreo continuo de filtraciones y el fortalecimiento de las aplicaciones críticas mediante autenticación multifactor. La información disponible muestra una empresa con inversiones en detección, autenticación y segmentación de subestaciones, junto con una exposición de credenciales que constituye un vector de riesgo identificado por terceros.

(1) EDR son las siglas de Endpoint Detection and Response (Detección y Respuesta en Puntos Finales). Se trata de un sistema de seguridad instalado en cada dispositivo final (como laptops, servidores o estaciones de trabajo) mediante un agente de software.

(2) NDR significa Network Detection and Response (Detección y Respuesta en Red). A diferencia del EDR, no necesita instalar agentes en cada dispositivo; en su lugar, analiza el tráfico de red para detectar comportamientos anómalos.