Puntos clave
- Sigue el flujo de priorización: define un modelo de niveles de riesgo de proveedores, inventaría el software instalado, asocia las aplicaciones a fuentes de puntuación de riesgo, etiqueta los dispositivos por prioridad, programa ventanas de parcheo y bloquea o retrasa las actualizaciones de bajo riesgo mediante GPO.
- Atención a los errores habituales: los scripts de PowerShell sin filtrar, las GPO mal configuradas y los comandos de inventario obsoletos pueden generar datos incompletos o bloquear actualizaciones.
- Consideraciones clave: mantén inventarios precisos, protege los dispositivos BYOD y remotos, verifica los parches antes de desplegarlos, supervisa los avisos de los proveedores y alinea el parcheo con tus objetivos de cumplimiento.
- Usa la IA para afinar la priorización: la IA añade contexto en tiempo real a la puntuación de riesgo de proveedores, reduce el tiempo de análisis manual y señala los parches inestables antes del despliegue.
Una gestión de parches de terceros bien hecha prioriza las actualizaciones de aplicaciones según la puntuación de riesgo del proveedor. Esa puntuación estima en qué medida un proveedor puede afectar a la seguridad, el cumplimiento y las operaciones del cliente. Acelerar las actualizaciones de aplicaciones de alto riesgo reduce la exposición de tu empresa y te ayuda a centrar los recursos donde más importan.
En este artículo te explicamos pasos concretos de gestión de parches y evaluación de riesgos que cumplen con los estándares internacionales de ciberseguros, como NIST CSF 2.0 e ISO/IEC 27001:2022.
¿Prefieres una guía visual? Mira nuestro videotutorial «Cómo priorizar parches de terceros según la puntuación de riesgo del proveedor» para conocer más detalles.
Centraliza el parcheo de software de terceros para una gestión sin riesgos.
¿Qué es la priorización de parches basada en el riesgo del proveedor?
La priorización de parches basada en el riesgo del proveedor clasifica las actualizaciones de software de terceros según el riesgo operativo y de seguridad que conllevan los productos de cada proveedor (usando la gravedad CVSS, los datos de explotabilidad de EPSS y el estado en el catálogo KEV de CISA) y, a partir de ahí, programa las ventanas de parcheo, en lugar de tratar todas las actualizaciones como si tuvieran la misma prioridad.
Gestiona tu política de vulnerabilidades y parches
Sigue estos pasos para evaluar los servicios de terceros según la puntuación de riesgo del proveedor y ordenarlos por urgencia.
📌 Requisitos previos:
- Windows 11 (cualquier edición) o Windows 10 solo si está inscrito en Extended Security Updates (el soporte para dispositivos Windows 10 no inscritos finalizó el 14 de octubre de 2025; la cobertura ESU para consumidores se extiende ahora hasta el 12 de octubre de 2027)
- Permisos de administrador
- Inventario de activos con las aplicaciones de terceros instaladas
- Acceso a fuentes de vulnerabilidades o bases de datos de puntuaciones de proveedores (p. ej., CVSS, CISA KEV, VulnDB)
- Herramienta RMM o plataforma de gestión de parches (p. ej., NinjaOne)
- Niveles de puntuación de riesgo definidos (p. ej., crítico, alto, medio, bajo)
📌 Estrategias de despliegue recomendadas:
| Haz clic para elegir un paso | 💻 Ideal para usuarios individuales | 💻💻💻 Ideal para empresas |
| Define un modelo de niveles de riesgo de proveedores | ✓ | ✓ |
| Haz inventario del software instalado | ✓ | ✓ |
| Asocia las aplicaciones instaladas a fuentes de puntuación de riesgo | ✓ | ✓ |
| Etiqueta los dispositivos por prioridad de riesgo de parcheo | ✓ | ✓ |
| Programa ventanas de parcheo según la prioridad | ✓ | ✓ |
| Bloquea o retrasa el parcheo del software de bajo riesgo mediante GPO | ✓ |
Paso 1: define un modelo de niveles de riesgo de proveedores
Empieza con una lista de criterios específicos de tu organización para adaptar la gestión de vulnerabilidades y parches a tus necesidades.
📌 Casos de uso: definir y priorizar las amenazas del software.
| Nivel | Criterios | Ejemplos |
| 1 | Explotado con frecuencia, puntuación CVSS (Common Vulnerability Scoring System) grave, mal historial de seguridad | Adobe Flash (EOL), Java (Oracle) |
| 2 | Explotado de forma habitual, puntuación CVSS moderada, proveedor con capacidad de respuesta constante | Chrome (Google), Zoom |
| 3 | Explotado en raras ocasiones, puntuación CVSS casi nula. Solo uso sin conexión. | WinSCP, Notepad++, VLC |
Sigue esta estructura básica para destacar la capacidad de respuesta del proveedor. Para mayor claridad, amplía el modelo con información de CVE (Common Vulnerabilities and Exposures) y alertas de CISA.
Paso 2: haz inventario del software instalado con PowerShell
Genera una lista de las aplicaciones instaladas con scripts especializados o comandos básicos y después organízalas según tu modelo de niveles.
📌 Casos de uso: enumerar de forma programática todo el software instalado, con columnas adicionales para el nombre de la aplicación, la versión, el editor y la fecha de instalación.
- Pulsa Win + R, escribe PowerShell y pulsa Ctrl + Mayús + Intro.
- Ejecuta este comando:
Get-ItemProperty HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* |
Select-Object DisplayName, DisplayVersion, Publisher, InstallDate
⚠️ Nota: este comando solo consulta la rama del registro de 32 bits. En sistemas de 64 bits, ejecuta el mismo comando sobre HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* para incluir las aplicaciones de 64 bits y sobre HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* para incluir las instalaciones por usuario. Si omites alguna de estas rutas, el inventario quedará incompleto.
Paso 3: asocia las aplicaciones instaladas a fuentes de vulnerabilidades y puntuaciones de riesgo
Añade la información de vulnerabilidades más reciente a tu inventario de software para hacer comparaciones basadas en datos.
📌 Casos de uso: asociar el software de alto riesgo al nivel de puntuación de riesgo del proveedor que le corresponde.
Puntuaciones CVSS de la NVD
Creada en 1999, la National Vulnerability Database (NVD) es uno de los registros más amplios de vulnerabilidades digitales conocidas. La base de datos contiene la matriz oficial de puntuaciones CVSS (actualmente CVSS v4.0, publicada junto con las puntuaciones heredadas de la v3.1 para CVE más antiguos), los niveles de gravedad y el software afectado.
Exploit Prediction Scoring System (EPSS)
El EPSS estima la probabilidad de que una vulnerabilidad se explote en los próximos 30 días a partir de datos reales de amenazas. Combinar el EPSS con el CVSS ofrece una señal de priorización más precisa que la gravedad por sí sola, ya que una vulnerabilidad con CVSS alto pero con poca probabilidad real de explotación puede no requerir atención el mismo día.
Catálogo KEV de CISA
El catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA recoge los CVE con pruebas confirmadas de explotación activa. Las agencias federales deben remediar las vulnerabilidades incluidas en el KEV dentro de los plazos exigidos por CISA en la Binding Operational Directive 22-01, y muchos equipos del sector privado adoptan esos mismos plazos como referencia de SLA de facto para el parcheo del nivel 1.
Ten en cuenta, sin embargo, que desde junio de 2026 el propio marco federal de remediación ha cambiado: la BOD 26-04 de CISA sustituye a las anteriores BOD 22-01 y BOD 19-02 y reemplaza los plazos fijos basados en el KEV por un modelo de riesgo de cuatro factores (exposición del activo, estado en el KEV, automatización del exploit e impacto posterior a la explotación) que puede reducir las ventanas de remediación a tan solo tres días en las combinaciones de mayor riesgo. Los equipos del sector privado que comparen sus propios SLA con los plazos federales deberían modelar este enfoque por niveles en lugar de un único plazo fijo.
Microsoft Security Update Guide
El centro de actualizaciones de Microsoft ofrece informes de exploits específicos por producto, detalla su impacto y te avisa de los próximos parches. También admite acceso por API y módulos de PowerShell para flujos de trabajo desatendidos.
Escáneres externos para la gestión de parches de terceros
Valora añadir estas plataformas de supervisión de vulnerabilidades a las herramientas de tu departamento:
- Qualys
- Tenable
- VulnDB
⚠️ Importante: descarga aplicaciones únicamente de fuentes legítimas y de confianza.
💡 Nota: estas aplicaciones suelen integrarse con SIEM y RMM (p. ej., NinjaOne) para un mayor control.
Paso 4: etiqueta los dispositivos por prioridad de riesgo de parcheo con el registro o el RMM
Despliega de forma centralizada scripts dirigidos al registro que etiqueten tus endpoints.
📌 Casos de uso: aplicar manualmente niveles de prioridad de parcheo a todos los endpoints.
📌 Requisitos previos: NinjaOne; los endpoints están conectados y accesibles.
- Pulsa Win + R, escribe PowerShell y pulsa Ctrl + Mayús + Intro.
- Ejecuta este comando:
New-Item -Path "HKLM:\SOFTWARE\Org\PatchPriority" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchPriority" -Name "PatchTier" -Value "<VendorRiskTierLabel>"
Sustituye <VendorRiskTierLabel> por el nivel de riesgo de ese endpoint (p. ej., Tier1)
- Cierra el Editor del Registro.
- Pulsa Win + R, escribe cmd y pulsa Ctrl + Mayús + Intro.
- Para comprobar que la etiqueta se aplicó correctamente, ejecuta lo siguiente:
reg query HKLM\SOFTWARE\Org\PatchPriority
- Usa NinjaOne para buscar los valores de registro PatchPriority y agrupar los endpoints fácilmente, logrando una gestión de parches de terceros más eficiente.
Paso 5: programa ventanas de parcheo según el nivel de prioridad
Planifica actualizaciones oportunas para resolver cuanto antes las vulnerabilidades críticas minimizando las interrupciones. Esta es una guía preventiva de ventanas de parcheo alineada con los ciclos de lanzamiento de Microsoft.
| Nivel | Ventana de parcheo | Sistemas afectados |
| 1 | 24-48 horas | Servidores de correo, plataformas de comercio electrónico que almacenan datos de tarjetas de crédito |
| 2 | En un plazo de 7 días | Servidores de bases de datos, unidades compartidas |
| 3 | Mensual o según el ciclo de lanzamiento del proveedor | Sistemas de RR. HH., sistemas de señalización digital, impresoras |
| 4 | Mitigación de accesos | Sistemas heredados que no se pueden parchear y deberían aislarse (p. ej., dispositivos con Windows XP) |
Paso 6: bloquea o retrasa el parcheo del software de bajo riesgo mediante GPO
Evita problemas de ancho de banda posponiendo las actualizaciones de aplicaciones de bajo riesgo.
📌 Casos de uso: concentrar los recursos en las actualizaciones de sistema prioritarias.
📌 Requisitos previos: Windows 10/11 Enterprise o Education, con AppLocker y el servicio Identidad de la aplicación.
- Pulsa Win + R, escribe gpedit.msc y pulsa Ctrl + Mayús + Intro.
- Ve a:
Configuración del equipo > Plantillas administrativas > Componentes de Windows > Windows Update
- Gestiona las siguientes directivas para controlar cuándo se instalan las actualizaciones:
- Configurar Actualizaciones automáticas
- Especificar plazos para las actualizaciones y los reinicios automáticos
- Quitar el acceso al uso de todas las características de Windows Update
- Ve a:
Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de control de aplicaciones > AppLocker
- Crea reglas para bloquear aplicaciones sin parchear, impedir la instalación de archivos .msi de baja prioridad y permitir que solo se ejecuten versiones concretas de las aplicaciones.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Ejecutar un script de PowerShell con privilegios elevados sin filtrar | Sobrecarga de registros, problemas de rendimiento y seguridad debilitada | Usa filtros como Where-Object para centrarte en determinadas partes de tu parque de dispositivos |
| Una GPO mal configurada impide cualquier actualización | Los parches de día cero se retrasan y aumenta la exposición | Modifica la GPO para permitir actualizaciones de software y ejecuta gpupdate /force |
| Un comando de CMD obsoleto genera una lista incompleta o errónea | Datos de inventario engañosos, riesgos de seguridad que pasan desapercibidos | Cambia a scripts de PowerShell de Software Inventory Logging (p. ej., Get-CimInstance o Get-Package) |
Consideraciones importantes
Estas son algunas ideas útiles para agilizar la gestión de parches de terceros y evitar errores habituales.
Dispositivos BYOD o remotos
Las actualizaciones de software no nativo son especialmente importantes en los endpoints BYOD (bring your own device), que funcionan fuera del firewall de tu organización. Vigila de cerca estos dispositivos, ya que cualquier vulnerabilidad sin parchear puede ampliar tu superficie de ataque.
Verificación de parches
Confirma que tus parches son seguros y eficaces. Los sistemas remotos o sin conexión suelen saltarse estos pasos, pero probar las correcciones en una muestra pequeña, preparar estrategias de reversión y supervisar el estado posterior al parcheo son prácticas esenciales para una gestión de parches de terceros eficaz.
Supervisión de proveedores
Mantente al día de todos los avisos de vulnerabilidades de los servicios para poder actualizar los calendarios de parcheo y la clasificación por niveles cuando sea necesario. Una actualización que se te pase puede abrir brechas de seguridad y de cumplimiento, así que mantén los canales abiertos.
Alineación con las QBR en la gestión de parches de terceros
Adapta los informes de software externo a los objetivos trimestrales del negocio para dar respuesta a las partes interesadas o a los responsables de departamento. Puedes hacerlo destacando métricas como:
- Tasas de reducción del riesgo
- Cumplimiento de los SLA
- Tendencias de incidentes antes y después del despliegue de parches
- Tiempo medio de detección (MTTD)
Resolución de problemas en la gestión de parches de terceros
Sigue estos pasos clave para resolver los problemas más comunes relacionados con la gestión de vulnerabilidades y parches.
Los parches no se aplican
Si tus despliegues no surten efecto, puede que te estés enfrentando a lo siguiente:
- Versiones incompatibles: comprueba la compatibilidad con el SO y estandariza las versiones de tus dispositivos con herramientas RMM (p. ej., NinjaOne).
- Problemas de red: resuelve los problemas de conectividad y confirma que tu firewall no bloquea las URL de los parches.
- Software en conflicto: desactiva las aplicaciones conflictivas, como el antivirus, revisa los registros de eventos o desinstala temporalmente lo que esté bloqueando el proceso.
Etiqueta de nivel incorrecta
Clasificar mal varios dispositivos compromete la priorización de parches y pone en riesgo la infraestructura crítica para el negocio. Si tus endpoints están mal etiquetados, tendrás que corregir manualmente sus etiquetas en el registro o agilizar el proceso con herramientas de gestión de endpoints.
Sincronizaciones de parches con retraso
Si tu parque de dispositivos no se sincroniza bien, lo más probable es que se deba a límites de ancho de banda, dispositivos desconectados o clientes de software desactivados. Automatizar los calendarios de sincronización con plataformas de gestión nativas del cloud suele evitar estas situaciones.
Software de bajo riesgo mal identificado
Confundir aplicaciones de baja prioridad con otras de alto riesgo (o al contrario) puede desviar recursos del sistema de donde realmente se necesitan y aumentar la exposición. Al clasificar tu software según la puntuación de riesgo del proveedor, ten en cuenta ante todo las puntuaciones CVSS y los datos de explotación.
Así mejora la IA el parcheo de software de terceros
La gestión de parches ha avanzado mucho en la era de la inteligencia artificial, lo que hace que las operaciones de parcheo de terceros sean más óptimas y eficaces. Una de las funciones más útiles de la IA en la gestión de parches es mejorar la priorización. La IA complementa la puntuación de riesgo tradicional de proveedores añadiendo análisis e información en tiempo real a la gestión de vulnerabilidades.
Con la gestión de parches con IA, los equipos de TI pueden:
- Mejorar la toma de decisiones en la gestión de parches incorporando análisis en tiempo real
- Priorizar los parches con mayor precisión según el contexto real
- Reducir el análisis repetitivo de parches mediante el resumen y la evaluación automatizados de las actualizaciones
- Detectar posibles problemas en los parches antes de desplegarlos
- Disponer de documentación fiable de las decisiones de parcheo
- Permitir que los equipos se centren primero en los parches estables y retrasen los más arriesgados
Automatiza las actualizaciones rutinarias para que tus equipos se centren en tareas de más valor.
Así simplifica NinjaOne la gestión de parches de terceros
🥷🏽 NinjaOne simplifica la evaluación de riesgos en la gestión de parches de la siguiente manera:
| Función | Para qué sirve | Cómo mejora el parcheo de software de terceros |
| Etiquetas de dispositivo | Etiqueta los endpoints por nivel para priorizar más rápido | Asigna fácilmente etiquetas de riesgo por nivel para un parcheo selectivo |
| Integración con CVE y CVSS | Automatiza las aprobaciones de parches por CVE, puntuación CVSS o proveedor | Te permite usar puntuaciones de gravedad y versiones de software para la aprobación automática |
| Automatización con scripts | Comprueba las versiones instaladas y las actualizaciones que faltan | Verifica las versiones del software y localiza las aplicaciones sin parchear |
| Supervisión y analytics automatizados de parches | Envía alertas en tiempo real de parches fallidos y ayuda en el diagnóstico | Avisa al administrador de sistemas cuando los riesgos de nivel 1 siguen sin parchear |
La gestión autónoma de parches es solo una de las capacidades principales de la plataforma unificada de operaciones de TI de NinjaOne, que también incluye gestión de endpoints, copia de seguridad, acceso remoto y service desk.
Prioriza las aplicaciones de riesgo para una gestión de parches de terceros eficiente
Priorizar las aplicaciones de terceros según la puntuación de riesgo del proveedor permite a los equipos de TI y a los MSP destinar los recursos del cliente a donde más se necesitan, manteniendo los calendarios de parcheo optimizados y tu entorno de TI lo más seguro posible.
Temas relacionados:
