La ventana entre el parche y el ataque se achicó

Cuando se publica una vulnerabilidad crítica, empieza una carrera. De un lado, equipos de sistemas planificando una ventana de mantenimiento. Del otro, escáneres automáticos buscando quién todavía no la aplicó.

Esa ventana se viene achicando año tras año. Lo que antes daba semanas, hoy puede ser cuestión de días.

El problema no es técnico: parchear se sabe hacer. El problema es que no hay proceso, y entonces cada actualización es un proyecto que se negocia de cero, se posterga por miedo a romper algo y termina haciéndose cuando hay tiempo. Es decir, nunca.

Un proceso que funciona:

• Inventario. No podés parchear lo que no sabés que tenés.
• Clasificación por exposición: lo que mira a internet primero, siempre.
• Ventanas de mantenimiento fijas y conocidas por todos. Que el mantenimiento sea previsible baja muchísimo la resistencia.
• Un camino de excepción para lo crítico, que no espere a la ventana mensual.
• Ambiente de prueba para lo que puede romper, y backup verificado antes de tocar.
• Registro de qué versión corre cada equipo, para poder responder rápido cuando salga la próxima.

Y para lo que no se puede parchear —sistemas viejos que sostienen algo crítico— aislarlo y compensar con controles alrededor. Eso también es una decisión válida, siempre que sea consciente y esté documentada.