Actualizaciones de software: el coste real de aplazar parches

El informe de Verizon sobre brechas de datos de 2026 deja tres indicadores que toda dirección debería conocer:

• 31% La parte de las brechas analizadas que empezó con la explotación de un fallo de software. Es ya la puerta de entrada más frecuente, por delante de las credenciales robadas.
• 26% La proporción de los fallos críticos del catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad estadounidense, que quedó totalmente corregida en 2025.
• 43 días La mediana para completar esas correcciones, frente a 32 el año anterior. Los atacantes no esperan tanto.

Cada corrección publicada por un fabricante es también un anuncio público de que el fallo existe. A partir de ahí, quien no ha actualizado es un objetivo identificado.

Para quien decide: el catálogo de CISA es, en la práctica, la lista de cerraduras que los ladrones ya saben abrir. La propia agencia recomienda a todas las organizaciones que lo sigan y corrijan primero lo que figura en él. Un equipo de la empresa en esa lista es asunto de esta semana, no del próximo trimestre.

Simulación: el precio de un día sin sistemas

Supuestos ilustrativos, no datos de clientes: 30 puestos parados durante un día laborable de 8 horas tras un ataque que entró por un fallo conocido, con un coste medio de 20 € por hora de trabajo. Solo en tiempo perdido son 30 × 8 × 20 = 4.800 €, sin contar la facturación interrumpida, la recuperación de datos, las horas técnicas y los clientes descontentos. Una ventana de mantenimiento mensual cuesta una fracción de eso.

La distinción que importa es entre correcciones de seguridad, que cierran fallos, y actualizaciones de funcionalidades, que cambian el comportamiento de los programas.

Pueden esperar, con criterio: las actualizaciones de funcionalidades del sistema hasta superar un grupo piloto, las nuevas versiones del software de gestión hasta que el proveedor confirme la compatibilidad, y los controladores o firmware sin componente de seguridad. Esperar no es olvidar: cada excepción lleva fecha y responsable.

La política cabe en una página y fija cuatro funciones:

1. Dirección: aprueba los plazos y la ventana de mantenimiento. Es una decisión de gestión del riesgo, no un detalle técnico.
2. Equipo de IT o partner gestionado: aplica las correcciones y registra qué, cuándo y con qué resultado.
3. Proveedores de software: validan la compatibilidad antes de los cambios de versión.
4. Usuarios: reinician cuando se les pide; un reinicio aplazado es una corrección que no ha entrado.

Es la lógica del mantenimiento preventivo frente al correctivo: programar siempre sale más barato que reaccionar.

Microsoft publica las correcciones de seguridad de Windows el segundo martes de cada mes y lanza correcciones extraordinarias cuando la situación lo exige. De ahí sale un ciclo previsible:

• Primera semana Aplicación a un grupo piloto de 3 a 5 ordenadores.
• Segunda semana Sin problemas en el piloto, aplicación al resto del parque, fuera de las horas de mayor actividad.
• Servidores Ventana fija mensual, siempre después de confirmar la copia de seguridad.
• Emergencias Los fallos explotados en el firewall o la VPN se resuelven el mismo día, sin esperar a la ventana.

También hay equipos que han dejado de recibir correcciones: Windows 10 perdió el soporte el 14 de octubre de 2025. Si todavía existe en la empresa, consulte cómo tratar los puestos con Windows 10. El punto de partida es un inventario fiable, como el de la checklist para auditar el parque informático.

Porque no se corrige lo que no se ve. Boost Portugal (12 marcas turísticas que operan en Lisboa, Oporto, el Duero y Madrid) tiene con DataRoad un contrato anual con cuota mensual y monitorización continua de todos sus sistemas de información: vigilancia remota, alertas e informes de disponibilidad. El mismo contrato cubre copias de seguridad, centralita telefónica, gestión de la VPN y redundancia de internet con conmutación automática a la segunda conexión.

Con todo monitorizado, la empresa sabe qué equipos tiene, en qué versión está cada uno y cuáles se han quedado atrás. La diferencia frente a esperar a la avería se explica en monitorización proactiva y soporte reactivo, cara a cara.

DataRoad - IT Services and Consulting analiza el firewall, el acceso remoto, los servidores y una muestra de los puestos, cruza el resultado con los fallos conocidos y le entrega la lista de prioridades. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.

La gestión de actualizaciones está incluida en los planes IT Unlimited: Essential (desde 395 €/mes + IVA) es soporte remoto y telefónico; Premium (desde 750 €/mes + IVA) añade asistencia presencial ilimitada, con desplazamientos incluidos. La vigilancia continua forma parte del servicio de NOC y monitorización.

Solicite una propuesta sin compromiso: +351 211 459 950 * · sales@dataroad.pt. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.

*Llamada a la red fija nacional portuguesa.

• Verizon: resumen ejecutivo del DBIR 2026
• CISA: catálogo de vulnerabilidades explotadas
• Microsoft Learn: calendario de actualizaciones de Windows
• Microsoft Learn: ciclo de vida de Windows 10