La aplicación de parches es un método fundamental para aislar los riesgos y garantizar que los flujos de trabajo no se interrumpan debido a que el software deja de tener versiones compatibles.

El riesgo de seguridad resultante de vulnerabilidades sin parchear es sustancial: investigaciones de violación de datos de Verizon en 2022 reporte encontró que alrededor del 70% de los ciberataques exitosos explotaron vulnerabilidades conocidas con parches disponibles.

Sin embargo, con demasiada frecuencia, los equipos de TI deben elegir qué elementos urgentes llaman su atención, lo que crea un escenario en el que las tareas urgentes se interponen en el camino de las tareas importantes. Al subcontratar la administración de parches, también conocida como aplicación de parches como servicio, las organizaciones pueden transferir la carga de garantizar que el proceso de parches se complete de manera consistente a un tercero.

Se debe mantener el control y la transparencia

La subcontratación de parches puede ahorrar tiempo y dinero a una organización. También puede conducir a una mayor seguridad. El modelo de externalización proporciona a los líderes de seguridad un acuerdo de nivel de servicio (SLA) verificable para garantizar que la inversión protege a la organización.

“Hay algunos desafíos que vienen con la subcontratación de parches”, advierte Darryl MacLeod, vCISO en Lares Consulting, una firma de seguridad de la información. “Por ejemplo, una organización puede perder algo de control sobre la administración de parches, y el proceso de administración de parches puede no ser tan transparente como lo sería si la administración de parches se hiciera internamente”.

Agrega que la aplicación de parches como servicio es probablemente más efectiva para las organizaciones pequeñas y medianas que no tienen los recursos para aplicar parches internamente, pero también puede ser beneficiosa para las organizaciones con necesidades complejas de administración de parches.

La empresa de gestión y análisis de datos Aunalytics agregó recientemente una plataforma cogestionada de parches como servicio a su conjunto de soluciones de seguridad. El vicepresidente de la compañía, Steven Burdick, señala que los desafíos de seguridad para cada organización evolucionan todos los días.

“Los malos actores están llamando a cualquier puerta que puedan encontrar con la esperanza de que no haya parcheado una estación de trabajo o una aplicación clave de terceros como Acrobat Reader”, dice. “Sin embargo, a pesar de sus esfuerzos por proteger su entorno al cerrar las escotillas, continúan apareciendo nuevos exploits aún no descubiertos”.

Él argumenta que la subcontratación de parches de seguridad y plataformas de protección antivirus/malware permite a las organizaciones invertir el tiempo de los miembros de su equipo en las áreas donde la empresa puede obtener el mejor valor.

“Asignar un FTE o parte de un FTE a alguien para administrar plataformas de seguridad y parches requiere inversiones adicionales en tiempo, viajes y capacitación que hacen poco más que preparar a su personal de TI para su próximo rol en otra empresa”, dice.

Pagar a un tercero para que asuma la responsabilidad

Mike Parkin, ingeniero técnico sénior de Vulcan Cyber, un proveedor de SaaS para la corrección de riesgos cibernéticos empresariales, explica que la subcontratación de parches a un proveedor de parches como servicio es un subconjunto de la subcontratación de operaciones de TI, en el sentido de que una organización está transfiriendo la responsabilidad a un tercero

“Hay muchas razones por las que las organizaciones subcontratan estas tareas, aunque el ahorro de costos y el hecho de no tener que administrar un departamento de TI interno son dos razones comunes”, dice.

Al igual que MacLeod, señala que también hay desafíos. Por un lado, la organización debe confiar en la eficiencia y la integridad del proveedor para abordar problemas de misión crítica sin la supervisión que conllevan los activos internos.

Parkin dice que un programa exitoso requerirá herramientas de administración de activos precisas y sólidas, para que el proveedor sepa lo que está vivo en el entorno del cliente.

“Necesitarán una función de gestión de parches incluida o compatible”, añade. “Idealmente, tendrán aportes de escáneres de vulnerabilidades y una plataforma de gestión de riesgos para ayudarlos a priorizar los parches más importantes”.

Los servicios de parches confían en la automatización

MacLeod predice que a medida que la administración de parches se vuelve más compleja, los proveedores de parches como servicio probablemente ofrecerán soluciones más integrales que incluyen software de administración de parches, repositorios de parches, herramientas de implementación de parches y otros servicios.

El software de gestión de parches automatiza el proceso de aplicación de parches; un depósito de parches almacena y administra parches; y las herramientas de implementación de parches se utilizan para implementar parches en los sistemas.

“Es probable que los proveedores de servicios continúen ampliando su base de clientes al ofrecer servicios de parches a más tipos de organizaciones”, agrega.

Señala que el mercado de parches como servicio ha estado creciendo en los últimos años a medida que más organizaciones subcontratan la administración de parches.

“Se espera que este crecimiento continúe a medida que la aplicación de parches se convierte en una tarea cada vez más compleja y lenta”, dice MacLeod.

La subcontratación compensa la escasez de recursos humanos

Burdick dice que Aunalytics está viendo mucho interés en la industria de la salud, las firmas de servicios profesionales y gobierno, donde el talento de TI es difícil de atraer y retener.

Agrega que los fabricantes suelen ser los primeros en adoptar este tipo de solución porque reconocen que deben evolucionar constantemente para competir.

El pago de estos servicios en un modelo "como servicio" evita que las organizaciones tengan que pagar la capacitación y los costos de viaje de los miembros del equipo de seguridad de TI, dice Burdick, así como el costo de reemplazar y volver a capacitar al personal cuando el recurso interno de la empresa abandonar.

“Las empresas de hoy no tienen problemas para comprar tecnología; son las personas que utilizan la tecnología y la mantienen funcionando de manera eficiente las que son muy difíciles de conseguir en esta economía”, dice Burdick.