Actualizaciones: ¿Por qué el “más tarde lo hago” es caro?

7 min de lectura · DataRoad

Las actualizaciones informáticas Las demoras son hoy en día una de las formas más baratas para que un atacante penetre en una empresa. La respuesta directa: las correcciones de seguridad de la firewall, el acceso remoto, el sistema operativo y el navegador deben aplicarse en días, no en meses. El resto puede —y debe— seguir un calendario con pruebas. Lo que no puede es depender de que alguien “tenga tiempo”.

El botón “recordarme más tarde” parece inocuo. Multiplicado por 40 computadoras, tres servidores y una firewall que nadie actualiza desde la instalación, es una puerta abierta con fecha marcada.

¿Por qué el “más tarde lo hago” es caro?

El informe sobre violaciones de datos de Verizon de 2026 aporta tres números que cualquier administrador debería conocer:

• 31% Las violaciones analizadas comenzaron con la explotación de una falla de software —pasó a ser la vía de entrada más común, por delante del uso de credenciales robadas.
• Solo 26% Las deficiencias críticas de la lista de vulnerabilidades exploradas por la CISA (la agencia de ciberseguridad de los Estados Unidos) fueron totalmente corregidas en 2025.
• El tiempo medio para corregirlas completamente aumentó a 43 días (eran 32 el año anterior).

Cuando un fabricante publica una corrección, también está anunciando al mundo que esa falla existe. A partir de ese momento, quien no haya actualizado se convierte en un objetivo conocido.

Ejemplo: ¿Cuánto cuesta un día parado?

Ejemplo (presupuestos ilustrativos, no datos de un cliente): una empresa con 30 puestos de trabajo queda sin sistemas durante un día laborable de 8 horas debido a un ataque que entró por una falla que había que arreglar. Si el coste medio de cada hora de trabajo es de 20 euros, solo el tiempo perdido cuesta 30 × 8 × 20 = 4.800 euros — antes de contar con facturación parada, recuperación de datos, horas de técnicos y clientes insatisfechos. La ventana de mantenimiento mensual que habría evitado el problema cuesta una fracción de eso.

Qué actualizar ya — y qué puede esperar

No todas las actualizaciones son iguales. La regla práctica es separar Correcciones de seguridad (corrigem errores) de Actualizaciones de funcionalidades (traen novedades y cambios).

¿Qué puede esperar (con criterio)?

• Actualizaciones de funcionalidades del sistema operativo, hasta que sean probadas en un grupo piloto.
• Nuevas versiones del software de gestión, hasta que el proveedor confirme su compatibilidad.
• Controlladores y firmware sin correcciones de seguridad.

“Esperar” no es “olvidar”: cada excepción tiene una fecha y un responsable.

Quién decide — y quién ejecuta

Una política de actualizaciones cabría en una página y respondería a cuatro preguntas:

1. La administración aprueba Los plazos y la ventana de mantenimiento. Es una decisión de riesgo, no técnica.
2. El IT ejecuta y registra: qué fue actualizado, cuándo y con qué resultado.
3. Los proveedores de software confirman la compatibilidad antes de las versiones grandes.
4. Los usuarios Se reinician cuando se solicita. Una reinicialización pospuesta es una corrección que se aplica.

Esta política forma parte de una lógica de mantenimiento preventivo: es mucho más barato programar que reaccionar.

La ventana de mantenimiento, concretamente

Microsoft publica las correcciones de seguridad mensuales de Windows el segundo martes de cada mes, y lanza correcciones extraordinarias cuando sea necesario. Esto permite un calendario simple:

• Semana 1 Tras la publicación — se aplicaron correcciones a un grupo piloto de 3 a 5 computadoras.
• Semana 2 — si nada salió mal, aplicación a todo el resto de la empresa, fuera del horario de trabajo más intenso.
• Servidores — en una ventana fija mensual, siempre con un respaldo verificado previamente.
• Urgencias — Los fallos explotados en la firewall o la VPN no esperan a la ventana: se solucionan el mismo día.

Y hay equipos que ya no tienen correcciones. Windows 10 dejará de tener soporte el 14 de octubre de 2025: si aún lo tiene en la empresa, lea ¿Qué hacer con el fin del soporte de Windows 10?. Un inventario actualizado — como el nuestro lista de verificación de auditoría del parque informático — es el punto de partida.

Un caso real: monitorear para no tener que adivinar

A Boost Portugal, empresa de turismo con 12 marcas y operaciones en Lisboa, Oporto, Douro y Madrid, tiene con DataRoad un contrato anual de avenencia mensual que incluye la monitorización continua de todos sus sistemas de información, con monitorización remota, alarmas y informes de disponibilidad. El contrato también cubre copias de seguridad, la central telefónica, la gestión de VPN y la redundancia de internet con paso automático a la segunda conexión.

La lección para el tema de las actualizaciones es sencilla: no actualices lo que no se ve. Con los sistemas monitoreados se sabe que existen equipos, en qué versión se encuentran y cuáles quedaron atrás. La diferencia entre esta metodología y esperar que algo se averíe se explica en Monitorización proactiva vs soporte reactivo.

Preguntas frecuentes

¿Las actualizaciones automáticas no llegan?

Para el navegador y las aplicaciones de oficina, casi siempre llegan. Para la firewall, VPN y servidores, no: necesitan a alguien que supervise los avisos de los fabricantes, planifique la intervención y confirme que todo ha vuelto a funcionar.

¿Y si una actualización arruina algo?

Es para eso sirven el grupo de pilotos y el respaldo antes de actualizar los servidores. Si algo falla, falla en pocos computadores y hay forma de volver atrás. El riesgo de no actualizar es, en general, mucho mayor.

¿Por qué la firewall y la VPN tienen prioridad máxima?

Porque están orientadas hacia Internet. Cualquier persona en el mundo puede intentar conectarse a ellas, y las fallas en estos equipos se detectan automáticamente poco después de que se publiquen.

¿Qué hago con los ordenadores que ya no reciben actualizaciones?

Desconecte los dispositivos de la red principal hasta que no sean reemplazados y planifique la sustitución por orden de riesgo: primero los que accedan a datos de clientes, a la facturación o a Internet sin restricciones.

Informe de actualizaciones atrasadas en 5 días hábiles

Hemos verificado la firewall, el acceso remoto, los servidores y una muestra de los puestos de trabajo, hemos cruzado con las fallas conocidas y hemos entregado la lista de lo que debemos corregir primero. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico. La gestión de actualizaciones forma parte de los planes. IT Unlimited — En el plan Essential, el servicio es remoto y telefónico y los desplazamientos al lugar se presupuestan por separado; en el plan Premium, la asistencia in situ está incluida. La vigilancia permanente está incluida en nuestro servicio de Monitorización y NOC.

Fuentes

• Verizon — Informe de Investigación de Brechas de Seguridad de Datos 2026, Resumen Ejecutivo
• CISA — Catálogo de vulnerabilidades explotadas conocidas
• Microsoft Learn — Ciclo de lanzamiento de actualizaciones de Windows
• Microsoft Learn — Ciclo de vida de Windows 10 (fin de soporte el 14 de octubre de 2025)