{"id":194956,"date":"2026-06-23T12:17:35","date_gmt":"2026-06-23T15:17:35","guid":{"rendered":"https:\/\/www.itsitio.com\/mx\/?p=194956"},"modified":"2026-06-23T12:17:35","modified_gmt":"2026-06-23T15:17:35","slug":"gestion-de-parches-riesgo-para-la-junta-directiva-que-aun-se-trata-como-problema-de-ti","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/mx\/columna-de-opinion\/gestion-de-parches-riesgo-para-la-junta-directiva-que-aun-se-trata-como-problema-de-ti\/","title":{"rendered":"Gesti\u00f3n de parches: Riesgo para la junta directiva que a\u00fan se trata como problema de TI"},"content":{"rendered":"
Por: Max Mayorga, vicepresidente para Am\u00e9rica Latina de Ivanti<\/i><\/strong><\/div>\n
<\/div>\n
Hace cinco a\u00f1os, la gesti\u00f3n de parches reca\u00eda casi por completo en el \u00e1rea de TI. Programar, desplegar, verificar y reportar. Un trabajo t\u00e9cnico importante que rara vez llamaba la atenci\u00f3n fuera del equipo responsable de ejecutarlo. Eso ha cambiado.<\/div>\n
<\/div>\n
Este cambio est\u00e1 impulsado por tres fuerzas convergentes. Los modelos de IA de vanguardia, como el Project Glasswing de Anthropic,<\/strong> est\u00e1n acelerando el descubrimiento de vulnerabilidades a una escala sin precedentes.<\/div>\n
<\/div>\n
Los atacantes est\u00e1n utilizando la misma IA para realizar ingenier\u00eda inversa de los parches en apenas 72 horas. Adem\u00e1s, las divulgaciones p\u00fablicas ya no siguen calendarios predecibles: aparecen cuando surgen y en vol\u00famenes que superan la capacidad de procesamiento para la que fueron dise\u00f1ados los programas tradicionales.<\/div>\n
<\/div>\n
El resultado es una brecha creciente en la comunicaci\u00f3n de riesgos. Muchos profesionales de la seguridad consideran que los l\u00edderes del \u00e1rea no comunican eficazmente la exposici\u00f3n al riesgo a la alta direcci\u00f3n de la empresa; de hecho, seg\u00fan un estudio de Ivanti, el 59 % afirma que dicha comunicaci\u00f3n es, en el mejor de los casos, solo moderadamente eficaz. Cuando el riesgo operativo trasciende al \u00e1mbito estrat\u00e9gico, esta brecha deja a la junta directiva sin los datos necesarios para tomar decisiones fundamentadas sobre financiaci\u00f3n, tolerancia al riesgo y prioridades.<\/div>\n
<\/div>\n

Revelar el verdadero riesgo<\/b><\/span><\/h2>\n
\u00a0<\/b><\/div>\n
La gesti\u00f3n de la exposici\u00f3n al riesgo traduce un escenario operativo complejo en algo que la junta directiva puede evaluar y sobre lo que puede actuar. En lugar de tratar cada vulnerabilidad detectada con el mismo nivel de urgencia, un enfoque de gesti\u00f3n de la exposici\u00f3n prioriza en funci\u00f3n del impacto real en el negocio: qu\u00e9 activos son cr\u00edticos, qu\u00e9 exposiciones son realmente explotables y d\u00f3nde es posible reducir el riesgo con la menor fricci\u00f3n operativa.<\/div>\n
<\/div>\n
El 83 % de las organizaciones ya cuenta con un marco documentado para definir su tolerancia al riesgo. El 79 % afirma cuantificar el riesgo de ciberseguridad en su proceso de toma de decisiones. Esto significa que ya existe la infraestructura necesaria para tomar decisiones informadas. El problema radica en que los datos no llegan a la junta directiva en un formato que esta pueda utilizar.<\/div>\n
<\/div>\n

Lo que el CIO debe hacer ahora<\/b><\/span><\/h2>\n
\u00a0<\/b><\/div>\n
La tarea inmediata es sencilla en cuanto a concepto, pero compleja en su ejecuci\u00f3n: verificar si el marco de gesti\u00f3n de riesgos documentado sobre el papel coincide con el programa de gesti\u00f3n de parches que se est\u00e1 ejecutando en la pr\u00e1ctica. Si ambos se han desalineado \u2014y en la mayor\u00eda de las organizaciones as\u00ed ha ocurrido\u2014, el Apocalipsis de los Parches ampliar\u00e1 r\u00e1pidamente esa brecha.<\/div>\n
<\/div>\n
Estas son tres preguntas que todo CIO debe ser capaz de responder cuando la pr\u00f3xima divulgaci\u00f3n de una vulnerabilidad cr\u00edtica llegue al conocimiento de la junta directiva:<\/div>\n
<\/div>\n
    \n
  1. \n
    \u00bfCu\u00e1l es el tiempo promedio transcurrido desde la divulgaci\u00f3n p\u00fablica de una CVE hasta la remediaci\u00f3n del \u00faltimo endpoint afectado dentro de nuestro entorno?<\/div>\n<\/li>\n
  2. \n
    \u00bfQu\u00e9 porcentaje de nuestras exposiciones susceptibles de explotaci\u00f3n se corrigen dentro del plazo de 72 horas?<\/div>\n<\/li>\n
  3. \n
    \u00bfCu\u00e1l es nuestra tasa de resoluci\u00f3n de exposiciones de alta prioridad?<\/div>\n<\/li>\n<\/ol>\n
    Si no tiene respuestas a estas preguntas, ese es el hallazgo m\u00e1s importante: la brecha existe. Si tiene respuestas, pero los indicadores muestran una tendencia negativa, es una se\u00f1al clara de que el programa debe discutirse a nivel de junta directiva.<\/div>\n
    <\/div>\n
    La gesti\u00f3n de parches es ahora un imperativo estrat\u00e9gico, no un asunto meramente operativo. Esto significa que requiere la atenci\u00f3n de la junta directiva, no solo del \u00e1rea de TI; exige nuevas m\u00e9tricas y conlleva implicaciones diferentes si falla. La responsabilidad del CIO es comunicar claramente este cambio, antes de que la pr\u00f3xima divulgaci\u00f3n de una vulnerabilidad lo obligue a hacerlo.<\/div>\n
    <\/div>\n

    Lee m\u00e1s:\u00a0<\/span><\/h3>\n