En este artículo
Las correcciones de software sin aplicar se han convertido en la entrada preferida de los atacantes, y cerrarlas cuesta mucho menos que un día de empresa parada. La regla que aplicamos en los parques que gestionamos es sencilla: firewall, acceso remoto, sistema operativo y navegador se corrigen en días; todo lo demás sigue un calendario mensual, con prueba previa. Lo que no puede ocurrir es que la decisión quede a la espera de que alguien «tenga tiempo».
Pulsar «recordar más tarde» parece inofensivo en un ordenador. Sumado en 40 puestos, tres servidores y un firewall que nadie toca desde que se instaló, se convierte en una vulnerabilidad con fecha.
¿Cuánto cuesta aplazar, en cifras?
El informe de Verizon sobre brechas de datos de 2026 deja tres indicadores que toda dirección debería conocer:
- 31% La parte de las brechas analizadas que empezó con la explotación de un fallo de software. Es ya la puerta de entrada más frecuente, por delante de las credenciales robadas.
- 26% La proporción de los fallos críticos del catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad estadounidense, que quedó totalmente corregida en 2025.
- 43 días La mediana para completar esas correcciones, frente a 32 el año anterior. Los atacantes no esperan tanto.
Cada corrección publicada por un fabricante es también un anuncio público de que el fallo existe. A partir de ahí, quien no ha actualizado es un objetivo identificado.
Para quien decide: el catálogo de CISA es, en la práctica, la lista de cerraduras que los ladrones ya saben abrir. La propia agencia recomienda a todas las organizaciones que lo sigan y corrijan primero lo que figura en él. Un equipo de la empresa en esa lista es asunto de esta semana, no del próximo trimestre.
Simulación: el precio de un día sin sistemas
Supuestos ilustrativos, no datos de clientes: 30 puestos parados durante un día laborable de 8 horas tras un ataque que entró por un fallo conocido, con un coste medio de 20 € por hora de trabajo. Solo en tiempo perdido son 30 × 8 × 20 = 4.800 €, sin contar la facturación interrumpida, la recuperación de datos, las horas técnicas y los clientes descontentos. Una ventana de mantenimiento mensual cuesta una fracción de eso.
¿Qué plazo dar a cada tipo de actualización?
La distinción que importa es entre correcciones de seguridad, que cierran fallos, y actualizaciones de funcionalidades, que cambian el comportamiento de los programas.
| Componente | Ejemplos | Plazo recomendado | Razón |
|---|---|---|---|
| Firewall y VPN | Firmware, portal de acceso remoto | Días; horas, si el fallo ya se está explotando | Visibles desde internet; son los primeros atacados |
| Sistema operativo | Correcciones mensuales de Windows y macOS | Hasta dos semanas tras la publicación | El fallo se hace público el día de la corrección |
| Navegador | Chrome, Edge, Safari | Automático, con reinicio obligatorio | Concentra el trabajo diario y la mayor parte del phishing |
| Aplicaciones de oficina | Microsoft 365, lectores de PDF | Automático | Objetivo preferido de los adjuntos maliciosos |
| Servidores | Archivos, software de gestión | Ventana mensual, con copia previa | Críticos para la operación; se tocan con un plan |
| Cambios de versión | Nuevo Windows, nueva versión del ERP | Planificados, después de probarlos | Pueden alterar procesos y exigir validación |
Pueden esperar, con criterio: las actualizaciones de funcionalidades del sistema hasta superar un grupo piloto, las nuevas versiones del software de gestión hasta que el proveedor confirme la compatibilidad, y los controladores o firmware sin componente de seguridad. Esperar no es olvidar: cada excepción lleva fecha y responsable.
¿Quién aprueba y quién ejecuta?
La política cabe en una página y fija cuatro funciones:
- Dirección — aprueba los plazos y la ventana de mantenimiento. Es una decisión de gestión del riesgo, no un detalle técnico.
- Equipo de IT o partner gestionado — aplica las correcciones y registra qué, cuándo y con qué resultado.
- Proveedores de software — validan la compatibilidad antes de los cambios de versión.
- Usuarios — reinician cuando se les pide; un reinicio aplazado es una corrección que no ha entrado.
Es la lógica del mantenimiento preventivo frente al correctivo: programar siempre sale más barato que reaccionar.
¿Cómo queda el calendario mensual?
Microsoft publica las correcciones de seguridad de Windows el segundo martes de cada mes y lanza correcciones extraordinarias cuando la situación lo exige. De ahí sale un ciclo previsible:
- Primera semana Aplicación a un grupo piloto de 3 a 5 ordenadores.
- Segunda semana Sin problemas en el piloto, aplicación al resto del parque, fuera de las horas de mayor actividad.
- Servidores Ventana fija mensual, siempre después de confirmar la copia de seguridad.
- Emergencias Los fallos explotados en el firewall o la VPN se resuelven el mismo día, sin esperar a la ventana.
También hay equipos que han dejado de recibir correcciones: Windows 10 perdió el soporte el 14 de octubre de 2025. Si todavía existe en la empresa, consulte cómo tratar los puestos con Windows 10. El punto de partida es un inventario fiable, como el de la checklist para auditar el parque informático.
¿Por qué la monitorización va antes que la actualización?
Porque no se corrige lo que no se ve. Boost Portugal —12 marcas turísticas que operan en Lisboa, Oporto, el Duero y Madrid— tiene con DataRoad un contrato anual con cuota mensual y monitorización continua de todos sus sistemas de información: vigilancia remota, alertas e informes de disponibilidad. El mismo contrato cubre copias de seguridad, centralita telefónica, gestión de la VPN y redundancia de internet con conmutación automática a la segunda conexión.
Con todo monitorizado, la empresa sabe qué equipos tiene, en qué versión está cada uno y cuáles se han quedado atrás. La diferencia frente a esperar a la avería se explica en monitorización proactiva y soporte reactivo, cara a cara.
Preguntas frecuentes
¿Basta con activar las actualizaciones automáticas?
No, para el firewall, la VPN y los servidores. En el navegador y las aplicaciones de oficina, lo automático casi siempre lo resuelve; en los equipos críticos hace falta alguien que siga los avisos de los fabricantes, planifique la intervención y confirme la vuelta a la normalidad.
¿Y si una actualización estropea algo?
Para eso existen el grupo piloto y la copia previa: el fallo queda limitado a pocos puestos y hay forma de revertirlo. El riesgo de no actualizar es, casi siempre, bastante mayor.
¿Por qué el firewall y la VPN van primero?
Porque están expuestos a internet. Cualquiera puede intentar conectarse a ellos, y los fallos de estos equipos se buscan de forma automatizada poco después de divulgarse.
¿Qué hacer con los ordenadores que ya no reciben correcciones?
Separarlos de la red principal hasta sustituirlos y cambiar primero los de mayor riesgo: los que tocan datos de clientes, la facturación o internet sin restricciones.
Siguiente paso: informe de correcciones pendientes en 5 días laborables
DataRoad - IT Services and Consulting analiza el firewall, el acceso remoto, los servidores y una muestra de los puestos, cruza el resultado con los fallos conocidos y le entrega la lista de prioridades. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.
La gestión de actualizaciones está incluida en los planes IT Unlimited: Essential (desde 395 €/mes + IVA) es soporte remoto y telefónico; Premium (desde 750 €/mes + IVA) añade asistencia presencial ilimitada, con desplazamientos incluidos. La vigilancia continua forma parte del servicio de NOC y monitorización.
Solicite una propuesta sin compromiso: +351 211 459 950* · sales@dataroad.pt. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
*Llamada a la red fija nacional portuguesa.
