Cuando se analiza cómo entraron en una pyme, la respuesta casi nunca es sofisticada. Entraron por un fallo conocido, con parche publicado, en un sistema que llevaba meses sin actualizar.
No es negligencia de nadie en concreto. Es que actualizar es aburrido, no lo pide ningún cliente y no aparece en ninguna lista de tareas hasta que revienta.
Separar lo que se actualiza solo de lo que no
La decisión clave no es «actualizar o no». Es qué se actualiza sin intervención y qué se toca con cuidado.
Automatizable sin dudarlo:
- Navegadores y clientes de correo de los puestos.
- Sistemas operativos de portátiles y escritorios.
- Actualizaciones solo de seguridad del sistema en los servidores. En Debian y Ubuntu,
unattended-upgradesconfigurado para el repositorio de seguridad. - Móviles de empresa.
A mano y con ventana:
- El ERP y la base de datos.
- Saltos de versión mayor de cualquier cosa.
- Equipamiento de red: firewall, switches, puntos de acceso.
- Lo que tenga integraciones a medida, que es justo lo que se rompe.
El miedo a que una actualización rompa algo es legítimo, pero suele aplicarse al revés: se bloquean las de seguridad del sistema, que casi nunca rompen nada, mientras el salto de versión mayor se hace un viernes por la tarde sin probar.
La rutina mínima
Una hora al mes, con fecha en el calendario y una persona responsable:
- Comprobar que lo automático se aplicó. No que está activado: que se aplicó. Es habitual que un servidor descargue parches durante meses y no reinicie, así que sigue corriendo el núcleo viejo.
- Revisar la lista manual y ver qué tiene actualización pendiente.
- Aplicar lo crítico, con copia verificada antes.
- Anotar qué se hizo. Dos líneas. Es lo que te dice, dentro de seis meses, desde cuándo estaba expuesto algo.
Ese «copia verificada antes» no es retórico. Una actualización que sale mal se soluciona restaurando, y eso solo funciona si la copia se ha probado, como insistimos en las copias que se restauran.
Saber qué tienes
No puedes parchear lo que no sabes que existe, y en toda empresa hay algún servidor olvidado que alguien montó para una cosa concreta hace cuatro años.
Un inventario simple —qué máquinas hay, qué sistema tienen, qué servicio dan, quién es responsable— es la base de todo esto. Si ya tienes monitorización montada, esa lista sale casi sola.
El sistema que ya no recibe parches
Antes o después aparece: una versión fuera de soporte que nadie actualiza porque la aplicación de facturación solo funciona ahí.
Eso no se arregla actualizando, porque no hay nada que aplicar. Se gestiona:
- Aislarlo en su propio segmento de red, sin salida a internet si es posible. Es una de las cosas que hace útil un firewall con segmentación.
- Limitar quién llega a él a las personas que lo necesitan.
- Ponerle fecha de sustitución en el plan del año. Sin fecha, seguirá ahí en 2030.
Un sistema obsoleto y aislado con plan de salida es una decisión. Un sistema obsoleto conectado a todo es una apuesta.