Gestión de parches en una pyme: cómo montar una política de actualizaciones
Cómo priorizar qué actualizar primero, qué plazos fijar según la gravedad, qué herramientas usar y cómo no romper nada por el camino.
Buena parte de los ataques que sufren las empresas no usan técnicas sofisticadas: aprovechan vulnerabilidades conocidas para las que el fabricante ya había publicado un parche. El problema no suele ser técnico, sino de organización: nadie tiene claro qué hay que actualizar, cuándo ni quién lo hace. Una política de gestión de parches sencilla lo resuelve.
1. Sin inventario no hay parches
No puedes actualizar lo que no sabes que tienes. Mantén una lista, aunque sea en una hoja de cálculo al principio, con:
- Equipos y servidores, con su sistema operativo y versión.
- Aplicaciones instaladas, incluidas las de terceros.
- Equipos de red y seguridad: firewalls, routers, VPN, switches, puntos de acceso wifi.
- Servicios expuestos a internet.
- Dispositivos “olvidados”: NAS, impresoras, cámaras, sistemas de control de acceso.
Anota también quién es responsable de cada elemento y si el fabricante le sigue dando soporte.
2. Prioriza por riesgo real, no solo por gravedad
La puntuación CVSS indica la gravedad técnica de una vulnerabilidad, pero no si se está atacando. Para priorizar, combina varias preguntas:
- ¿Se está explotando activamente? El catálogo KEV de CISA recoge las vulnerabilidades con explotación confirmada. Si una está ahí y te afecta, va primero.
- ¿Es probable que se explote pronto? El sistema EPSS de FIRST estima esa probabilidad.
- ¿Está expuesto a internet? Una VPN, un firewall o un servidor web publicado tienen prioridad sobre un equipo interno.
- ¿Qué impacto tendría? Un servidor con datos críticos pesa más que un equipo de pruebas.
3. Fija plazos por nivel de prioridad
Ejemplo de tabla que puedes adaptar:
| Prioridad | Criterio | Plazo orientativo |
|---|---|---|
| Emergencia | Explotada activamente (KEV) y expuesta a internet | 24-72 horas, o mitigación inmediata |
| Crítica | Gravedad crítica o explotada activamente en sistemas internos | 7 días |
| Alta | Gravedad alta | 30 días |
| Media y baja | Resto | Siguiente ciclo mensual |
Lo importante no son estos números exactos, sino que existan, estén escritos y se midan.
4. Automatiza lo que puedas
- Windows: Windows Update for Business, Intune o WSUS para controlar cuándo y dónde se instalan las actualizaciones.
- macOS y Linux: herramientas de gestión de dispositivos o los gestores de paquetes con actualizaciones automáticas de seguridad.
- Aplicaciones de terceros: navegadores, ofimática, lectores de PDF, clientes VPN… Usa una herramienta que las gestione o, como mínimo, activa su actualización automática.
- Equipos de red: aquí suele haber menos automatización. Suscríbete a los avisos de seguridad de cada fabricante y revisa sus boletines.
5. Actualiza por anillos para no romper nada
- Anillo 0 (IT): los primeros en recibir las actualizaciones, uno o dos días.
- Anillo 1 (piloto): un grupo representativo de usuarios durante unos días.
- Anillo 2 (general): el resto de la empresa.
- Servidores críticos: en ventanas de mantenimiento acordadas, con copia de seguridad previa y plan de vuelta atrás.
Para las emergencias, acorta los anillos: el riesgo de no parchear supera al de un posible problema de compatibilidad.
6. Cuando no se puede parchear
A veces no hay parche, el sistema no admite actualizaciones o el fabricante ya no da soporte. Entonces toca mitigar:
- Aplicar las medidas temporales que recomiende el fabricante.
- Retirar el sistema de internet o limitar quién puede conectarse a él.
- Aislarlo en un segmento de red propio.
- Vigilarlo más de cerca.
- Y planificar su sustitución: un sistema sin soporte es un riesgo permanente.
7. Mide y revisa
Indicadores sencillos que funcionan:
- Porcentaje de equipos con todas las actualizaciones críticas instaladas.
- Tiempo medio desde que sale un parche crítico hasta que está instalado.
- Número de sistemas sin soporte del fabricante.
Revisa estos datos cada mes con la dirección. Lo que se mide, mejora.
Preguntas frecuentes
¿Es seguro activar las actualizaciones automáticas en todos los equipos? En los puestos de trabajo, casi siempre compensa. En los servidores y sistemas críticos, mejor de forma controlada y con anillos.
¿Qué hago con un software antiguo que solo funciona en una versión vieja de Windows? Aíslalo todo lo posible, restringe su acceso a internet y a la red, y planifica su sustitución. Es deuda técnica que tarde o temprano se paga.