Cuando no se puede parchear

Mientras llega la ventana, el aviso se atiende con tres palancas. Segmentar es reducir quién llega al equipo: una regla de cortafuegos que deje pasar solo a la estación de ingeniería hacia el puerto de gestión. Compensar es quitar o cambiar lo que el aviso necesita: desactivar un servicio que no se usa. Vigilar es dejar una alerta pasiva que avise si alguien lo intenta. Ninguna sustituye al parche cuando existe: lo cubren mientras llega, y el parche sigue en el plan con su fecha.

Lo que no se hace es lo contrario: cerrar el hallazgo porque no hay parche, o cortar todo el tráfico hacia el equipo y dejar sin datos a quien lo opera.

No todos los controles cuestan lo mismo. Una regla de cortafuegos suele aplicarse sin parar nada. Cambiar la configuración de un puente entre un bus serie y Ethernet, en cambio, puede interrumpir lo que atraviesa. Al planificar controles hay que preguntarse de cada uno si requiere parada, porque ese dato lo mueve de «esta semana» a «en la próxima ventana».

Vigilar no exige poner nada en línea: basta leer una copia del tráfico. En la tabla hay una semana de conexiones al puerto de gestión de los controladores. Lo normal es que sean sesiones de la estación de ingeniería, que es quien debe hablarles. Lo que no encaja es lo que merece una fila en el informe, sin tocar ningún equipo y sin intentar averiguar nada más sobre el origen desde la planta.

Una alerta útil nace de la línea base: quién habla normalmente con ese puerto. Si el aviso necesita acceso al puerto de gestión y solo la estación de ingeniería debe llegar, la alerta es «cualquier otro origen que hable con ese puerto». Es corta, rara de disparar y siempre significativa. Una alerta por cada conexión, en cambio, se silencia a la semana.

Las compensaciones tienen fecha de caducidad: son un puente hasta el parche, no un destino. Por eso cada hallazgo abierto lleva su próxima ventana, y esa fecha se escribe en la ficha. Cuando una compensación se queda sin fecha de revisión, termina siendo la forma permanente de atender el aviso.