¿Por qué mantener los sistemas actualizados es una medida de seguridad?

El mensaje que pide reiniciar el equipo e instalar actualizaciones suele posponerse una y otra vez. Parece una tarea de mantenimiento, sin relación directa con la seguridad. Pero buena parte de las actualizaciones existe precisamente para corregir fallos que permiten a un atacante entrar en el sistema. Posponer la instalación significa mantener abierta una vulnerabilidad que ya es pública.

Qué corrige una actualización de seguridad

Todo software tiene errores. Algunos son solo molestos; otros permiten que alguien ejecute código en el equipo, acceda a datos o se haga con el control de una cuenta. Cuando un fabricante descubre un fallo de este tipo, o se le comunica, desarrolla una corrección y la distribuye en forma de actualización.

El punto delicado es que, desde la publicación de la corrección, el fallo deja de ser un secreto. Los atacantes analizan las actualizaciones para entender qué se ha corregido y empiezan a buscar sistemas que todavía no se han actualizado. El intervalo entre la publicación y la instalación es el periodo de mayor exposición.

Qué exige Cyber Essentials

Este esquema británico trata la gestión de actualizaciones como uno de sus cinco controles técnicos y establece criterios claros:

• Plazo de 14 días: las actualizaciones clasificadas como críticas o de alto riesgo deben aplicarse en un plazo máximo de 14 días desde su publicación. La referencia es una puntuación CVSS v3 igual o superior a 7 o la clasificación del propio fabricante como crítica o alta.
• Software con soporte: los sistemas y aplicaciones deben contar con licencia y con soporte del fabricante.
• Software sin soporte: debe eliminarse o aislarse, de modo que no sea accesible desde internet ni desde la red principal.

Estos criterios se aplican a sistemas operativos, navegadores, aplicaciones ofimáticas, firmware de routers y firewalls, teléfonos móviles usados para trabajar y cualquier otro software que se conecte a internet.

El problema del software sin soporte

Cuando un fabricante pone fin al soporte de una versión, deja de publicar correcciones. A partir de ese momento, cualquier fallo que se descubra permanece abierto indefinidamente. Es habitual encontrar en pequeñas empresas equipos con versiones antiguas del sistema operativo, que se mantienen porque ejecutan un programa específico que nunca se migró.

En estos casos, hay varias salidas:

1. Actualizar a una versión con soporte, si el sistema lo permite.
2. Sustituir el equipo o el software.
3. Aislar el dispositivo, retirándole el acceso a internet y separándolo de la red donde están los demás equipos.

Mantener el equipo tal como está, conectado con normalidad, es la opción que concentra más riesgo.

Cómo organizar las actualizaciones en una pyme

No hace falta una herramienta sofisticada para empezar. Algunas prácticas resuelven la mayor parte del problema:

• Inventario: saber qué dispositivos y programas existen es la base. No se puede actualizar lo que no se conoce.
• Actualizaciones automáticas: activarlas en equipos, teléfonos móviles y navegadores.
• Ventana de mantenimiento: fijar un momento regular, por ejemplo semanal, para reinicios y comprobaciones, reduciendo el impacto en el trabajo.
• Atención a lo que queda olvidado: routers, impresoras en red, cámaras y servidores suelen pasar años sin actualizarse.
• Seguimiento con el proveedor de TI: si la informática está externalizada, conviene pedir un informe periódico de los equipos con actualizaciones pendientes.

En algunos casos, una actualización puede causar incompatibilidades con un sistema interno. Eso justifica probarla antes en un equipo, pero no justifica posponerla indefinidamente. El plazo de 14 días es una buena referencia de equilibrio entre cautela y exposición.

La actualización como parte de un conjunto

Mantener los sistemas actualizados no impide todos los ataques. Las estafas basadas en ingeniería social, las contraseñas filtradas y las configuraciones inadecuadas siguen siendo posibles. Por eso las actualizaciones funcionan mejor junto con los demás controles, como se describe en los cinco controles básicos de ciberseguridad, y con un buen plan de copias de seguridad (backup), tema tratado en copias de seguridad contra el ransomware.

Lista de comprobación

• Actualizaciones automáticas activas en equipos, teléfonos móviles y navegadores.
• Actualizaciones críticas y de alto riesgo aplicadas en un máximo de 14 días.
• Ningún software sin soporte en uso normal, o aislado cuando sea inevitable.
• Firmware de routers, firewalls y otros dispositivos de red revisado periódicamente.
• Un responsable designado para hacer seguimiento de las actualizaciones pendientes.