Puntos clave
- La visibilidad del cumplimiento de parches reduce la superficie de ataque al controlar KPI como el % de sistemas totalmente parcheados, las actualizaciones críticas pendientes y el MTTR.
- Combinar métricas de parches y de salud del sistema ofrece a los interlocutores no técnicos una visión clara del estado de los endpoints, lista para presentar al cliente.
- PowerShell, las claves del registro, CMD y las directivas de grupo permiten a los MSP y a los equipos de TI validar el cumplimiento de parches a gran escala en entornos Windows.
- Las plataformas RMM centralizadas convierten los datos brutos de parches en informes visuales, tendencias y mapas de calor fáciles de entender para los interlocutores no técnicos.
- La monitorización proactiva, la automatización y la visualización ayudan a evitar desviaciones en el cumplimiento, ya que detectan en tiempo real parches fallidos, dispositivos desconectados, reinicios pendientes y riesgos en software de terceros.
Mantener el cumplimiento de parches es fundamental para la estabilidad del sistema y para reducir la superficie de ataque. Sin embargo, algunos aspectos que reflejan la salud de tu infraestructura pueden resultar confusos para quienes no son de TI, así que visualizar bien los datos es clave.
Descubre qué métricas influyen más en el cumplimiento de parches, cómo optimizar el proceso y cómo visualizar tus datos con las mejores herramientas disponibles.
Si prefieres un desglose visual del tema Cómo visualizar el cumplimiento de parches y la salud del sistema en todos los clientes.
Monitoriza el cumplimiento de parches con métodos avanzados
Así puedes aprovechar las herramientas nativas de Windows para obtener datos agregados de todos tus endpoints.
Requisitos previos:
- Windows 11 (v24H2 o posterior)
- Windows 10 dejó de recibir soporte el 14 de octubre de 2025 y ahora necesita una suscripción activa a Extended Security Updates (ESU) para seguir recibiendo parches.
- Privilegios de administrador
- Acceso a una plataforma RMM centralizada (por ejemplo, NinjaOne)
- Acceso al endpoint para PowerShell, consultas al registro y extracción de logs
- Permisos de informes en Windows Update for Business, WSUS o Intune
- Microsoft Defender para monitorizar la salud del endpoint
- Power BI o Excel para la visualización (opcional)
Estrategias de despliegue recomendadas:
Haz clic para ir directamente a un paso | Mejor para usuarios individuales | Mejor para empresas |
| Paso 1: define las métricas clave de parches y salud | ✓ | ✓ |
| Paso 2: recopila datos de parches con PowerShell | ✓ | |
| Paso 3: verifica el estado de cumplimiento con el registro | ✓ | |
| Paso 4: valida los servicios de actualización y la salud del sistema con CMD | ✓ | ✓ |
| Paso 5: aplica políticas de parches mediante directivas de grupo | ✓ | |
| Paso 6: visualiza los datos en informes y paneles | ✓ | ✓ |
Paso 1: define las métricas clave de parches y salud
Esta es una lista completa de métricas relacionadas con el cumplimiento y de cómo miden la salud del sistema.
Nota: cada cliente da más valor a unos indicadores que a otros. Antes de revisar tus métricas, asegúrate de que tu informe solo incluya los datos relevantes.
Casos de uso: elaborar informes basados en datos, comparar tendencias y crear gráficos.
KPI de cumplimiento de parches
- % de sistemas totalmente parcheados: refleja cuántos sistemas están parcheados en relación con toda tu infraestructura.
- Número de actualizaciones críticas o de seguridad pendientes: pone de relieve las carencias en tus despliegues de parches.
- Dispositivos con instalaciones de parches fallidas: equipos que han sufrido errores al aplicar parches.
- Días desde la última actualización correcta: ayuda a identificar sistemas desatendidos.
- Tiempo medio de remediación (o MTTR): el tiempo medio de respuesta para aplicar un parche.
- Obtén información temporal más detallada con el tiempo de detección (MTTD), el tiempo de priorización (MTTP) y el tiempo de comunicación (MTTC).
KPI de salud del sistema
Comprueba que tu sistema rinde al máximo con estas métricas:
- Estado del antivirus y del firewall: bloquea el malware y navega por internet de forma segura en tu endpoint.
- Salud del disco, umbrales de CPU y memoria: controla los tiempos de respuesta, los problemas de cola y el estado de los componentes.
- Hora del último reinicio: una métrica crucial que determina cuándo un parche se aplica por completo en un equipo.
- Disponibilidad de los servicios (por ejemplo, Defender o Windows Update): indica si servicios críticos como Windows Update o los servicios de SQL Server están listos.
Aprovecha las métricas clave del sistema para crear informes completos de cumplimiento de parches.
Paso 2: recopila datos de parches con PowerShell
Despliega scripts potentes para una monitorización continua.
Casos de uso: obtener información detallada del cumplimiento de cada cliente para crear y exportar logs legibles.
- Pulsa Win + R, escribe Powershell y pulsa Ctrl + Mayús + Intro.
- Para listar los parches instalados recientemente, ejecuta lo siguiente:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
- Para generar y guardar en el escritorio un archivo .txt legible con el log de Windows Update, ejecuta lo siguiente:
Get-WindowsUpdateLog
- Para listar las actualizaciones pendientes, fallidas y correctas de un endpoint a lo largo del tiempo, ejecuta lo siguiente:
Get-WUHistory
Importante: el cmdlet Get-WUHistory anterior no viene incluido en PowerShell. Para usarlo, instala el módulo PSWindowsUpdate ejecutando Install-Module -Name PSWindowsUpdate.
- Para guardar los datos de hotfix en un CSV y usarlos en informes, ejecuta lo siguiente:
Get-HotFix | Select-Object Description, HotFixID, InstalledBy,
InstalledOn | Export-Csv «<FilePath>» -NoTypeInformation
Sustituye <FilePath> por la ruta completa donde quieras guardar el archivo .csv (por ejemplo, C:\User\Reports\Desktop).
Nota: esto exporta solo los hotfixes, no todos los tipos de actualización.
Ejecutar scripts con plataformas de gestión remota simplifica el proceso para los clientes y aporta escalabilidad.
Paso 3: verifica el estado de cumplimiento con el Editor del Registro
Advertencia: editar el registro puede provocar problemas en el sistema. Crea una copia de seguridad antes de continuar.
Casos de uso: confirmar el cumplimiento de parches mediante la presencia de determinadas claves del registro.
- Pulsa Win + R, escribe regedit y pulsa Ctrl + Mayús + Intro.
- Ve a:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install
- La clave LastSuccessTime almacena la marca de tiempo de la última actualización correcta e indica que tu endpoint ha estado recibiendo hotfixes recientes.
Nota: la ausencia de la clave LastSuccessTime no significa necesariamente que tu sistema no cumpla. Puede faltar por el uso de herramientas de parcheo de terceros (es decir, no WSUS), por falta de actualizaciones recientes o por limpiezas del registro.
También puedes detectar sistemas que no han recibido actualizaciones así:
- Revisa los logs del historial de instalación en el Visor de eventos de Windows.
- Compara las versiones del SO con la última versión publicada por el fabricante.
- Usa paneles RMM como el de NinjaOne para filtrar dispositivos con bajo cumplimiento.
- Identifica los sistemas que no se han conectado recientemente mediante la marca de tiempo LastCheckIn.
- Como alternativa, ve a:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update
- La clave RebootRequired es un indicador de parche pendiente. Suele confirmar que hay una actualización pendiente, aunque no todas las actualizaciones requieren reinicio. Estas son otras formas de comprobar si tu sistema necesita un reinicio por una actualización pendiente:
- Desde la interfaz de Windows Update: Configuración > Actualización y seguridad > Windows Update
- Con PowerShell:
Get-WindowsUpdateLog
Get-WUHistory | Where-Object {$_.ResultCode -eq 2}
- Desde el Editor del Registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager (hace falta un reinicio si existe la clave PendingFileRenameOperations).
Nota: si falta la clave Auto Update, puede indicar que:
- Tu sistema usa herramientas de parcheo de terceros en lugar de WSUS.
- Windows Update está desactivado.
- No ha habido actualizaciones recientes.
- Una limpieza del registro ha eliminado la clave.
También puedes comprobar el estado de las actualizaciones desde:
- La interfaz de Windows Update: Configuración > Windows Update.
- PowerShell: Get-HotFix o Get-WindowsUpdateLog.
- El Visor de eventos: Registros de aplicaciones y servicios > Microsoft > Windows > WindowsUpdateClient.
- Ve a:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate
La clave SusClientIdValidation forma parte de la configuración del cliente WSUS. Confirma si tu dispositivo se valida correctamente durante la sincronización.
Nota: si tu organización no usa WSUS (por ejemplo, porque la gestión se hace con NinjaOne RMM o con herramientas de terceros), la clave SusClientIdValidation no estará presente.
Como alternativa, valida el cumplimiento de parches del endpoint mediante:
- PowerShell: ejecuta Get-HotFix para listar los hotfixes recientes.
- Windows Update: ve a Configuración > Windows Update > Historial de actualizaciones.
- Visor de eventos: ve a Registros de aplicaciones y servicios > Microsoft > Windows > WindowsUpdateClient.
Paso 4: valida los servicios de actualización y la salud del sistema con CMD
Casos de uso: scripts que automatizan comprobaciones de salud de los dispositivos; informes de datos forenses.
- Pulsa Win + R, escribe cmd y pulsa Ctrl + Mayús + Intro.
- Para comprobar si el servicio Windows Update funciona correctamente, ejecuta lo siguiente:
sc query wuauserv
Esto ayuda a resolver errores del motor de actualizaciones.
- Para consultar la última hora de arranque conocida del sistema, ejecuta lo siguiente:
systeminfo | find «System Boot Time»
Esto ayuda a saber cuándo se implementó por completo el último parche.
Importante: desactiva el Inicio rápido para obtener resultados más precisos.
- Para listar los fallos de instalación de Windows Update, ejecuta lo siguiente:
wevtutil qe System «/q:*[System[(EventID=20)]]» /c:5 /f:text
Los logs de eventos anteriores con el Id. de evento 20 permiten localizar fallos de parcheo.
Consejo: modifica «c:5» para mostrar más o menos entradas del log.
Paso 5: aplica políticas de parches mediante directivas de grupo
Casos de uso: reducir el tiempo de inactividad en servicios de actualización necesarios (por ejemplo, Windows Update o el Registro de eventos).
Requisitos previos: Windows 11 Pro, Education o Enterprise.
- Pulsa Win + R, escribe gpedit.msc y pulsa Ctrl + Mayús + Intro.
- Ve a:
Configuración del equipo > Plantillas administrativas > Componentes de Windows > Windows Update
- Haz doble clic en Configurar Actualizaciones automáticas.
- Ponlo en Habilitado.
- Elige la configuración que prefieras (por ejemplo, descargar automáticamente y programar la instalación).
- Así los administradores tienen un control detallado sobre cómo se aplican las actualizaciones en tu sistema.
- Haz doble clic en Especificar la ubicación del servicio de actualización de Microsoft en la intranet (para WSUS).
- Ponlo en Habilitado.
- Introduce la URL de tu servidor WSUS (por ejemplo, https://www.wsusworkserver:1234).
- Esto redirige al cliente desde Microsoft Update a un servidor WSUS con tus configuraciones y tus datos estadísticos.
- Haz doble clic en No reiniciar automáticamente si hay usuarios con sesión iniciada en instalaciones programadas de actualizaciones automáticas.
- Ponlo en Habilitado.
- Esta función evita los reinicios automáticos cuando un usuario tiene la sesión iniciada. Solo funciona si «Configurar Actualizaciones automáticas» está habilitado.
- Ponlo en Habilitado.
- Ve a:
Configuración del equipo > Configuración de Windows > Configuración de seguridad > Servicios del sistema
Nota: la clave Servicios del sistema solo existe en la GPMC de sistemas unidos a un dominio. No se verá en equipos independientes ni en PC con Windows Home Edition.
En su lugar, abre manualmente services.msc > haz clic derecho en el servicio de actualización (por ejemplo, Windows Update) > selecciona Propiedades > cambia el tipo de inicio a «Automático» para que los tiempos de instalación sean constantes > haz clic en Aplicar y luego en Aceptar.
- Habilita los siguientes servicios del sistema para modificar el comportamiento de inicio en las actualizaciones esenciales.
- Windows Update (wuauserv)
- Background Intelligent Transfer Service (BITS)
- Registro de eventos de Windows
- Windows Installer
- Servicios de cifrado
- Instrumental de administración de Windows (WMI)
Para más detalles, consulta la documentación oficial de Microsoft sobre cómo configurar las actualizaciones con directivas de grupo.
Paso 6: visualiza los datos en informes y paneles
Estos son los servicios más utilizados para visualizar datos y cómo ayudan a presentar el cumplimiento de las políticas:
NinjaOne
El panel simplificado de NinjaOne muestra datos en gráficos a partir de información en tiempo real (por inquilino, sistema operativo o grupo de dispositivos), lo que resulta muy cómodo para que los MSP y el personal de TI tengan todo a la vista.
Con secciones visuales para la gestión de parches en entornos mixtos (Pendiente, Aprobado, Rechazado, etc.), la interfaz de NinjaOne simplifica tu informe de cumplimiento de políticas.
Microsoft Power BI
La plataforma de visualización de datos de Microsoft ofrece paneles interactivos que favorecen la modularidad, informes CSV portables y datos de API procedentes de otro software de gestión de endpoints.
Los mapas de calor interactivos, los gráficos circulares, las segmentaciones personalizables y mucho más se pueden adaptar a las preferencias de tu cliente, tanto para reuniones con responsables como para departamentos de seguridad de TI.
Excel
Puedes analizar e ilustrar los datos de cumplimiento de parches con dos herramientas específicas de Excel: las tablas dinámicas y el formato condicional.
Las tablas dinámicas son una función de Excel que extrae los datos relevantes de hojas de cálculo muy grandes para crear informes condensados que luego puedes reformatear y representar gráficamente con las funciones de visualización de Excel.
Usa el formato condicional para mejorar aún más tus informes de Excel. Estas reglas con códigos de color (habituales como indicadores visuales de riesgo) permiten distinguir a simple vista los dispositivos que cumplen de los que no, priorizar la remediación y hacer que los informes para el cliente resulten más intuitivos.
Consejo: los responsables, clientes o directivos suelen esperar que los datos se presenten con:
- Mapas de calor
- Gráficos circulares
- Gráficos de líneas
- Datos segmentados (es decir, desglosados por sitio web, urgencia, sistema operativo, etc.)
Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Soluciones |
| Errores en los scripts o falta de permisos de administrador | Datos incompletos o imprecisos | Valida la sintaxis y ejecuta los programas con los privilegios correctos. |
| GPO mal configuradas | Incumplimiento en varios sistemas de clientes | Revisa las GPO en la consola de gestión, fuerza una actualización y comprueba si hay replicación de AD. |
| Datos mal representados y gráficos deficientes | Respuestas tardías y desviaciones de cumplimiento que pasan desapercibidas | Automatiza la actualización de datos; usa paneles con información en tiempo real. |
Otras consideraciones para monitorizar la salud del sistema
Ten presentes estas ideas para optimizar tu proceso, evitar errores habituales y entender los posibles obstáculos.
Políticas de reinicio
Las actualizaciones necesitan un reinicio para completar su instalación. Aplicar políticas de reinicio en los endpoints con herramientas como NinjaOne, Autopatch o Intune hace que el proceso sea fluido.
Actualizaciones fuera de ciclo
Las nuevas amenazas de ciberseguridad pueden obligar a publicar parches no programados para proteger la seguridad y el funcionamiento de tu sistema. Para agilizarlo, plantéate aplicar excepciones que permitan a las actualizaciones urgentes saltarse las políticas de aplazamiento.
Parcheo de terceros
El software que no es de Microsoft también requiere monitorización constante para mantener una postura de seguridad sólida. Muchas vulnerabilidades proceden de aplicaciones de terceros, así que usa plataformas RMM como NinjaOne para una supervisión eficaz después del parcheo.
Dispositivos desconectados
Los dispositivos de cliente desconectados pueden perderse actualizaciones, lo que compromete la seguridad de endpoints y distorsiona los informes de cumplimiento de políticas. Para tenerlos en cuenta, puedes usar herramientas de parcheo offline como WSUS.
Cómo resolver los errores más habituales de cumplimiento de parches
Así puedes diagnosticar y resolver los fallos de actualización que encuentran los MSP y el personal de TI.
Parches fallidos
Si una actualización no se instala o no se aplica correctamente, revisa los logs de eventos y usa software de monitorización de endpoints (por ejemplo, NinjaOne o Intune) para solucionar el problema.
Datos ausentes
Desactivar los servicios de telemetría puede generar huecos en los datos de tu panel de gestión. Para solucionarlo, vuelve a habilitar la recopilación de datos de diagnóstico en Intune.
Claves del registro ausentes
La falta de determinados elementos del registro (sobre todo los que reflejan el progreso de las actualizaciones) puede impedir el registro de dispositivos e incluso generar lecturas falsas. Para evitarlo, comprueba la integridad de tu registro y revisa su historial de actualizaciones.
Errores de visualización
Los problemas de sincronización y las reglas de formato de datos pueden dificultar la visualización. Evita una supervisión deficiente y carencias sin resolver con Diagnósticos de rendimiento y otro software de monitorización.
Controla el cumplimiento de parches con informes completos
El cumplimiento de parches se puede monitorizar y auditar con herramientas avanzadas o mediante plataformas de gestión remota con generación de informes integrada. En cualquier caso, conviene crear siempre copias de seguridad de las configuraciones importantes del sistema para cumplir las políticas de integridad de datos y facilitar recopilaciones futuras.
NinjaOne Patch Management funciona en la misma plataforma RMM que usas para monitorizar endpoints, así que los datos de parches se integran en los mismos informes que todo lo demás. Consolida los informes de salud del sistema y de cumplimiento de parches así:
- Extrae datos del registro y de los logs de eventos con scripts propios de PowerShell
- Resume el estado de cumplimiento por cliente, por región o en entornos multiinquilino para generar informes rápidos
- Controla el progreso de la instalación de parches en toda tu infraestructura
- Avisa al equipo de TI sobre actualizaciones incompletas o fallidas, avisos de reinicio y estado de los dispositivos
- Señala en tiempo real los dispositivos con desviaciones de cumplimiento
Descubre los informes de cumplimiento de parches integrados con los datos de tu RMM actual. Empieza una prueba gratuita de NinjaOne Patch Management.
Temas relacionados:
- ¿Qué es el cumplimiento de parches?
- 10 métricas esenciales para el éxito de la gestión de parches
- Parche vs. actualización: las diferencias clave
- Ver un sistema en buen estado
- Cómo ejecutar un informe de diagnóstico del PC en Windows
Guía de inicio rápido
NinjaOne sí ofrece una visualización completa del cumplimiento de parches y de la salud del sistema en todos los clientes. Estos son los detalles clave:
Visualización del cumplimiento de parches y de la salud del sistema
Funciones del panel de gestión de parches:
- Ofrece una visión global del estado del parcheo en todos los dispositivos
- Muestra el cumplimiento de parches con varios widgets, entre ellos:
- Cumplimiento de parcheo: muestra los dispositivos con parcheo habilitado que están totalmente parcheados
- Parches instalados: porcentaje de parches disponibles que se han instalado
- Desglose detallado de los estados de los parches (instalados, aprobados, fallidos, pendientes)
- Número de dispositivos por versión de SO
Aspectos destacados del panel de salud del sistema:
- Visión general completa del estado de los dispositivos en todas las organizaciones
- Desglosa los problemas de salud en categorías como:
- Servidores caídos
- Dispositivos con amenazas activas, bloqueadas o en cuarentena
- Dispositivos con parches de SO o de software fallidos y pendientes
- Dispositivos con condiciones activadas
- Reinicios pendientes
- Dispositivos con ventanas de modo de mantenimiento
Otras herramientas de visualización:
- Widgets en los que puedes hacer clic para profundizar en los detalles de cada dispositivo
- Posibilidad de filtrar por tipo de SO, tipo de dispositivo y categoría de parche
- Opciones de exportación a CSV para analizar los datos con más detalle
- Función Patch Intelligence con IA que ofrece análisis de sentimiento sobre los parches
Los paneles están disponibles a nivel de sistema, de organización y de dispositivo, lo que permite tener vistas detalladas o globales del cumplimiento de parches y de la salud del sistema.
