Gestión de parches

La gestión de parches (o política de gestión de parches o proceso de gestión de parches ) se refiere a la identificación, ^{[ 1 ]} adquisición, distribución, prueba e instalación de parches en los sistemas . ^{[ 2 ] [ 3 ] [ 4 ]} Una gestión de parches adecuada puede suponer un aumento neto de la productividad para una organización. Los parches pueden utilizarse para defenderse y eliminar posibles vulnerabilidades de un sistema, de modo que ninguna amenaza pueda explotarlas . Pueden surgir problemas durante la gestión de parches, incluidos parches defectuosos que no solucionan su problema o introducen nuevos problemas. Las herramientas de gestión de parches ayudan a orquestar todos los procedimientos involucrados en la gestión de parches.

La gestión de parches se define como una subpráctica de diversas disciplinas, incluyendo la gestión de vulnerabilidades (parte de la gestión de seguridad ), la gestión del ciclo de vida (con una posible subclasificación en gestión del ciclo de vida de las aplicaciones y gestión de versiones ), la gestión de cambios y la gestión de sistemas . Esta práctica se centra en la identificación, adquisición, distribución e instalación de parches en los sistemas . Algunas definiciones de gestión de parches la consideran una práctica a nivel de software, ^{[ 5 ]} mientras que otras la definen como un proceso a nivel de sistema: software , controladores y firmware . ^{[ 4 ] [ 6 ] [ 7 ]}

Si bien reservar tiempo para la aplicación de parches consume recursos empresariales, existen factores compensatorios que pueden convertir una gestión adecuada de parches en un aumento neto de la productividad para una organización. Los sistemas actualizados suelen funcionar de manera más eficiente, son menos costosos, presentan menos errores, menores riesgos de seguridad y un mejor flujo de trabajo para el usuario . Además, es más probable que se cumpla con las normativas locales y federales cambiantes. ^{[ 4 ] [ 5 ] [ 6 ] [ 7 ]}

La corrección de vulnerabilidades de seguridad ha sido una de las muchas prioridades contrapuestas para las organizaciones, lo que ha provocado que algunas tarden más en aplicar los parches. ^{[ 2 ]} Equifax tardó demasiado en implementar su plan de gestión de parches de 2015 para poder mitigar o prevenir la filtración de datos de Equifax de 2017 , lo que generó un escrutinio por parte de los reguladores. ^{[ 8 ]}

Los parches pueden utilizarse para protegerse y eliminar posibles vulnerabilidades de un sistema, impidiendo así que las amenazas las exploten ; por lo tanto, la gestión de parches puede considerarse una subdisciplina de la gestión de vulnerabilidades. Cada dispositivo que se puede parchear en un sistema presenta una superficie de ataque que debe protegerse. ^{[ 7 ]}

Existen multitud de problemas que pueden surgir durante la gestión de parches. Un problema común son los parches defectuosos, que no solucionan el problema o introducen otros nuevos. Otro problema es la sincronización de la implementación, ya que los distintos subsistemas pueden recibir instrucciones de actualización en momentos diferentes. Asimismo, la dificultad de gestionar parches en muchos dispositivos puede aumentar de forma descontrolada según el tamaño de la organización. ^{[ 4 ]}

Una demostración destacada de los desafíos que plantea la gestión adecuada de parches fue el parche defectuoso de Falcon Sensor de CrowdStrike , que causó una de las peores interrupciones de TI de todos los tiempos. ^{[ 16 ]}

Una herramienta de gestión de parches (también conocida como gestor de parches , sistema de gestión de parches , software de gestión de parches o gestión centralizada de parches ) ayuda a coordinar todos los procedimientos relacionados con la gestión de parches. Estas herramientas pueden ser internas (aplicadas localmente por administradores locales) o externas, como en el caso de los proveedores de servicios gestionados (aplicadas externamente por un proveedor).

La corrección oportuna de las vulnerabilidades del software es un requisito de múltiples marcos regulatorios en los Estados Unidos.

La Regla de Seguridad de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) exige que las entidades cubiertas protejan la información de salud protegida electrónicamente mediante la implementación de medidas de seguridad suficientes para reducir los riesgos a un nivel razonable y apropiado, lo que la guía de la industria ha interpretado durante mucho tiempo que incluye la gestión oportuna de parches. ^{[ 18 ]} Una nueva propuesta de Regla de Seguridad de HIPAA haría explícitos los requisitos de gestión de parches, exigiendo que las entidades cubiertas y los socios comerciales implementen parches y actualizaciones de seguridad dentro de un cronograma definido basado en el riesgo y mantengan procedimientos escritos para priorizar, probar y aplicar parches a los sistemas que almacenan, procesan o transmiten ePHI. ^{[ 19 ]} La propuesta de 2025 continúa recibiendo resistencia de la industria a diciembre de 2025. ^{[ 20 ]} HIPAA se actualizó por última vez en 2013. ^{[ 20 ]}

El estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) exige que las organizaciones protejan los componentes del sistema de las vulnerabilidades conocidas mediante la instalación de los parches de seguridad aplicables dentro del plazo de un mes desde su publicación para los parches críticos. ^{[ 21 ]}

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) mantiene un catálogo de Vulnerabilidades Explotadas Conocidas (KEV) que obliga a las agencias federales de EE. UU. a remediar las vulnerabilidades enumeradas dentro de plazos específicos. ^{[ 22 ]} Por lo general, las agencias deben aplicar los parches en un plazo de 3 semanas, aunque algunas vulnerabilidades deben corregirse en 24 horas. ^{[ 23 ]}