Sistemas heredados, lo que no se puede parchear

Un sistema heredado no es solo uno viejo. Es uno que sigue en servicio y cuyo fabricante ya no publica correcciones: el hallazgo que aparezca mañana no tendrá parche. La diferencia importa porque cambia la pregunta. En un sistema con soporte se pregunta «¿cuándo lo aplicamos?»; en uno sin soporte se pregunta «¿cómo reducimos la exposición mientras se retira?».

Abre leeme.txt y mira las tres definiciones de la oficina de seguridad.

La regla es mecánica: un sistema está fuera de soporte cuando su fecha de fin de soporte es anterior al corte, el 7 de octubre de 2026. Los que acaban más adelante siguen con parches por ahora, aunque ya estén en la cuenta atrás. Abre inventario-heredado.csv y compara la columna fin_soporte con el corte.

Combinar tres datos dice más que cada uno por separado: fuera de soporte, expuesto a internet y sin ningún control compensatorio. Un heredado aislado tras una segmentación es un riesgo gestionado; uno expuesto y sin nada alrededor es una puerta abierta que además no se puede cerrar con un parche. Hay otro sistema expuesto y sin control, pero todavía con soporte: no es el mismo caso.

Aceptar el riesgo de un heredado es una decisión legítima, pero tiene fecha. El acta del comité exige un responsable, un control comprobado, una caducidad y una fecha de retiro. Una aceptación vencida deja de cubrir el sistema: vuelve a ser un riesgo sin dueño. Cruza excepcion_hasta con el corte y con el acta.

Entre las aceptaciones vigentes, no todas caducan a la vez. El analista avisa al responsable antes de que venza, no después. Mira las fechas de las excepciones que siguen vigentes y fíjate cuál es la próxima en caducar.