Buena parte de los ataques que llegan a los titulares no explotan una vulnerabilidad desconocida: explotan una que ya tenía parche disponible, a veces desde hacía meses. La ventana entre que un fabricante publica una actualización y que alguien la explota masivamente se ha ido acortando, mientras que muchas organizaciones tardan semanas o meses en aplicarla.
¿Por qué se retrasan las actualizaciones si el riesgo es conocido? Casi siempre por las mismas razones: miedo a que una actualización rompa algo que funciona, falta de un inventario claro de qué sistemas existen y qué versión corren, o simplemente porque nadie tiene asignada esa responsabilidad de forma explícita.
Una gestión de parches razonable no exige actualizar todo el mismo día que sale un parche. Exige: saber qué se tiene, clasificar qué es crítico (expuesto a internet, maneja datos sensibles) y probar en un entorno de pruebas antes de aplicar a producción, con un calendario definido en vez de «cuando haya tiempo».
No es la medida más vistosa, pero sigue siendo la de mejor relación entre esfuerzo y reducción de riesgo.