El parche que pospones es la puerta que dejas abierta. Y a diferencia de una puerta real, esta la conocen miles de desconocidos antes que tú.
Cuando se publica una vulnerabilidad, se publica para todos a la vez: para los que defienden y para los que atacan. A partir de ese momento, cada día que tu sistema sigue sin actualizar es un día en que la brecha es pública, conocida y esperando. No hace falta un genio para aprovecharla; el trabajo duro, encontrarla, ya lo hizo otro. Solo hace falta alguien que revise qué sistemas siguen sin parchear. Y esa revisión está automatizada.
Sé por qué se pospone, porque yo también lo he pospuesto. Un parche no aporta ninguna funcionalidad nueva. Nadie lo pide. Puede romper algo que ahora funciona. Y siempre hay algo que parece más urgente. Así que se queda en la cola, semana tras semana, con un « ya me ocuparé » que nunca llega.
Pero actualizar es aburrido exactamente de la misma manera en que sufrir una brecha es emocionante. La disciplina consiste en elegir el aburrimiento a propósito: un calendario de parches, una forma de saber qué versiones corres, y la voluntad de aplicar la actualización antes de que la actualización se aplique a ti, por las malas.
No hace falta ser rápido con todo. Hace falta no ser el último. El atacante rara vez busca el objetivo mejor protegido; busca el que dejó la puerta conocida abierta más tiempo. No seas ese. Parchea lo aburrido, y duerme tranquilo.
– Serguey Shinder
