Patch management sin equipo IT: supervivencia para oficinas de 20 PCs
Windows Update solo no basta cuando tiene QuickBooks, Adobe y VPN client.custom. Cadencia realista de parches para PYMES en PR.
CISA KEV catalog lista vulnerabilidades explotadas activamente — parche tardío no es "deuda técnica", es apuesta. PYMES en Puerto Rico con MSP externo a veces asumen "ellos parchean"; sin SLA documentado, nadie parchea Java legacy en máquina de contabilidad.
Modelo práctico: inventario de endpoints y software crítico,
Modelo práctico: inventario de endpoints y software crítico, ventana mensual de mantenimiento comunicada, parches OS automáticos + revisión manual mensual de apps línea de negocio, excepciones documentadas con fecha de expiración. Critical CVE en KEV = fuera de ciclo en 72 horas.
Use WSUS, Intune, o RMM del MSP con reporting visible al due
Use WSUS, Intune, o RMM del MSP con reporting visible al dueño — no solo ticket cerrado. Pruebe parches en par de máquinas piloto antes de fleet-wide si apps legacy lo exigen; no use piloto como excusa permanente de tres años.
Servers: snapshot antes de patch, orden database → app → web, verificación post-reboot. Cloud VMs siguen reglas — AMIs desactualizadas en AWS son endpoints olvidados.
Patching es higiene, no proyecto sexy. Pero Krebs documenta suficientes incidentes por CVE conocido parcheado hace meses como para dejar de posponer "hasta después de Three Kings."
Operaciones y ejecución — conecta estrategia con lo que el equipo entrega cada semana.
