WannaCry paralizó empresas enteras en 2017 con una vulnerabilidad que tenía parche disponible desde dos meses antes. La lección no fue técnica: fue de proceso. El equipo sin actualizar no es un riesgo teórico, es una puerta que quedó abierta mientras alguien decidía cuándo aplicar la actualización "en el mejor momento".
Gestionar parches no es darle clic a "actualizar" cuando aparece el aviso: es tener inventario, calendario, pruebas y reversa. Con esos cuatro elementos, el proceso cabe en una PyME con lo que ya tiene, sin comprar una plataforma de gestión.
Qué son los parches y por qué importan
Un parche es una corrección del fabricante, casi siempre de seguridad, para una vulnerabilidad ya detectada. Los atacantes escanean internet buscando equipos sin parche, no personas: entre la publicación del parche y el primer intento masivo de explotación pueden pasar días. Aplicarlo tarde no es descuido operativo menor: es dejar el riesgo abierto.
La actualización también cubre firmware de redes, grabadores de videovigilancia, impresoras y aplicaciones de negocio. Cada dispositivo sin parche es una entrada posible a la red, y el inventario debe incluirlos aunque no sean computadoras.
Inventario de sistemas y fin de soporte
No se parcha lo que no se conoce. El inventario mínimo: equipo, sistema operativo, navegador, aplicaciones críticas, responsable y fecha del último parche. En una PyME pequeña una hoja de cálculo actualizada sirve; lo que no se tolera es el "creo que todo está actualizado".
El inventario revela además el fin de soporte: versiones de Windows sin actualizaciones, equipos con versiones antiguas que ya no reciben correcciones del fabricante. Esos equipos no se parchean: se migran o se retiran de la red. Dejarlos operando por costumbre es aceptar el riesgo completo; el criterio de baja está en ciclo de vida tecnológico.
Calendario y ventana de aplicación
La práctica que funciona: parches críticos de seguridad dentro de las 72 horas y el resto en ventana mensual definida, fuera del horario de mayor carga. La ventana se comunica con anticipación: el personal debe saber que el equipo se reiniciará esa noche, no enterarse lunes a las ocho.
Para equipos que no se pueden apagar (línea, punto de venta, servidor), la aplicación se programa por turnos con respaldo de configuración previa. Ningún equipo debe quedar sin calendario; el "después" es la causa más común de parques con tres años de atraso. Las señales de que ya se llegó a ese punto están en señales de que tu empresa necesita actualizar su sistema.
- Críticos de seguridad: hasta 72 horas
- Navegador y ofimática: ventana mensual
- Firmware de red y periféricos: trimestral, con respaldo de configuración
- Equipos de línea o punto de venta: por turnos, con plan de reversa
Pruebas previas y plan de reversa
Los parches que rompen existen: un controlador, un complemento del ERP, una impresora vieja. Probar en un equipo representativo antes del despliegue masivo evita el lunes de caos. Si el equipo de prueba falla, el parche se retiene y se documenta el motivo.
El plan de reversa incluye respaldo de configuración y, cuando aplica, punto de restauración del sistema. Revertir documentado es un trámite; revertir sin respaldo es un proyecto de emergencia. En entornos virtualizados, una instantánea previa hace el proceso trivial.
Cómo medir el retraso de actualización
La métrica que mueve decisiones es el porcentaje de equipos actualizados y los días de atraso promedio. Revisarla cada mes convierte la actualización en un indicador, no en una intención. Un parque con más del 10% de equipos con más de 30 días de atraso está en riesgo, no "en pendientes".
Conviene publicar el avance en el tablero de TI. Cuando el retraso es visible, el proceso se sostiene; cuando vive en una bitácora que nadie abre, se cae en la primera semana ocupada. La actualización es también el control más barato del programa de seguridad, por delante de cualquier compra.
Un buen programa de parches se mide en pocas cosas: inventario completo, calendario conocido, pruebas previas y atraso publicado. Con eso, la actualización deja de ser la tarea que nunca llega y se vuelve el control más barato del programa de seguridad.
