Parches y ventanas en planta

En planta un parche cambia equipos que mueven un proceso. Antes de aplicarlo hacen falta tres cosas: que el fabricante lo valide para esa versión, que se pruebe en una copia del equipo (un gemelo, un banco de pruebas) y que exista una ventana aprobada lo bastante larga para aplicarlo, reiniciar y volver. Lo que no puede parchearse a tiempo se compensa con otros controles. La guía NIST SP 800-82 Rev. 3 trata la gestión de parches de OT como un proceso con pruebas y con aprobación de operaciones.

Cuando el fabricante deja de dar soporte, ya no habrá parche. Un aviso pendiente sobre un equipo con soporte terminado no se resuelve esperando: se compensa con otros controles y se planea el reemplazo. Conviene separar esa lista de la de avisos normales, que sí tienen solución.

Consulta los avisos pendientes de equipos sin soporte.

La pantalla de la pasteurización necesita 90 minutos y un reinicio, según la tabla de requisitos. No sirve cualquier ventana de la línea: la duración aprobada debe cubrir lo que el parche necesita. Entre las que alcanzan, se toma la más próxima, porque cada semana de espera es una semana expuesta. La tabla de avisos muestra además que el fabricante aún no ha validado este parche para la pantalla: la ventana se reserva, pero el parche solo se aplica si la validación llega antes, pues la prueba previa en la copia ya figura como hecha.

Consulta las ventanas de la pasteurización que alcanzan.

Las ventanas están en hora local de Colombia, que es UTC-05:00 todo el año porque allí no hay horario de verano. Los registros de los sistemas y los tickets de los proveedores van en UTC, así que, para que el equipo de seguridad compare la ventana con la actividad de red que vea esa noche, hay que convertir la hora de inicio.

Convierte la hora de inicio de la ventana que elegiste.

La pantalla del secador no tendrá parche. La tabla de controles muestra uno aplicado, la lista de orígenes permitidos, y uno pendiente, el plan de reemplazo. Un control compensatorio reduce el riesgo, pero no lo elimina: sin plan de reemplazo con fecha y presupuesto, el equipo seguirá ahí hasta que falle.