Ventanas de mantenimiento y pruebas antes de tocar producción

Una ventana de mantenimiento es un intervalo acordado en el que se puede interrumpir un sistema. No hay una sola porque los activos toleran cosas distintas: un equipo de oficina se reinicia de noche cualquier semana, un servidor de producción se toca cada quince días con aviso previo, y una línea de planta solo se detiene cuando la producción lo coordina. A cada clase le corresponde también un aprobador distinto, la persona que responde si algo sale mal.

El analista no fija esas ventanas, pero debe conocerlas: son las que convierten una fecha límite en una fecha de despliegue posible. Abre la tabla ventanas.

Cada ventana lleva en la tabla un aprobador, y en planta no es el mismo que en oficina. Eso importa cuando un hallazgo vence y hace falta mover una fecha: a quien hay que pedírselo depende de la clase del activo, y pedírselo a quien no corresponde pierde días de plazo.

Consulta las ventanas y localiza la que corresponde a los equipos de planta.

Antes de producción, el parche se prueba en un entorno que se parezca a él. La prueba mínima comprueba tres cosas: que el servicio arranca, que su función principal sigue haciendo lo que hacía y que el tiempo de respuesta no se degrada. Si una de esas pruebas falla, el parche no pasa al anillo siguiente: se devuelve al proveedor o a quien lo empaqueta, y el hallazgo sigue abierto con su plazo corriendo.

Que un parche fallido «solo falló en una prueba» no lo hace menos grave: esa prueba existe para que el fallo ocurra en preproducción y no un martes por la tarde con los clientes dentro. Abre la tabla pruebas.

Los anillos escalonan el riesgo: primero un piloto pequeño de equipos de TI, después el resto de la oficina, luego los servidores de producción y, por último, la planta. Cada anillo espera un número de días desde el anterior y exige que el anterior haya salido bien. Si el piloto revela un problema, solo lo sufren seis equipos de TI y no toda la empresa.

Esos días de espera ponen un suelo a la fecha de despliegue, que no se puede acortar cuando se tiene prisa. Lee la tabla anillos: la columna dias_desde_el_anillo_anterior cuenta desde el despliegue del anillo previo.

A veces un hallazgo crítico con explotación activa no puede esperar a la ventana quincenal. Para eso existe la ventana de emergencia, que se pide al comité de cambios y se acuerda en el momento. Lo que cambia respecto a una ventana normal es el aviso previo, no las garantías: la tabla ventanas exige que el retroceso esté listo y que se haya superado la prueba mínima.

Una emergencia comprime los plazos, no elimina la prueba ni el plan de vuelta atrás. Un parche aplicado a ciegas con prisa es la manera más habitual de convertir un problema de seguridad en uno de disponibilidad.