Durante todo el mes de octubre se celebra el Mes Europeo de la Ciberseguridad, una iniciativa que cada año pone el foco en la necesidad de mejorar la concienciación y las capacidades relacionadas con la seguridad digital en ciudadanos, profesionales y organizaciones.
Habitualmente, cuando hablamos de ciberseguridad pensamos en ataques, correos fraudulentos, contraseñas o vulnerabilidades. Sin embargo, una parte importante de la seguridad de cualquier organización se construye mucho antes de que aparezca una amenaza concreta y está relacionada con algo mucho más cotidiano: el mantenimiento de la tecnología que utilizamos.
Hay sistemas que llevan años funcionando correctamente. Cumplen su función, los usuarios están acostumbrados a ellos y, mientras no aparezca ningún problema visible, puede parecer que lo más prudente es no tocar nada.
Sin embargo, en tecnología, que algo siga funcionando no significa necesariamente que pueda seguir haciéndolo indefinidamente en las mismas condiciones.
El software evoluciona, aparecen nuevas versiones, cambian las dependencias, los fabricantes dejan de ofrecer soporte para determinadas tecnologías y se descubren vulnerabilidades que obligan a revisar componentes que hasta ese momento funcionaban con normalidad. Por eso, el mantenimiento de una plataforma no debería comenzar únicamente cuando aparece una incidencia.
Mantener también significa actualizar.
Un sistema puede funcionar y estar quedándose atrás
Muchas aplicaciones pueden continuar prestando servicio durante años sin mostrar síntomas evidentes de deterioro. A diferencia de un componente físico, el software no empieza a hacer ruido ni muestra desgaste exterior cuando se acerca al final de su ciclo de soporte.
Puede seguir funcionando exactamente igual que el día anterior.
El problema aparece cuando alguno de los componentes sobre los que se apoya deja de recibir actualizaciones, cuando una nueva versión de otra tecnología ya no resulta compatible o cuando una vulnerabilidad conocida afecta a una versión que continúa utilizándose en producción.
En ese momento, una plataforma que aparentemente funciona correctamente puede empezar a acumular riesgo técnico y, en determinados casos, también riesgo de seguridad.
Por eso resulta importante conocer no solo el estado actual de los sistemas, sino también el ciclo de vida de las tecnologías que los componen.
Actualizar no significa instalar siempre la última versión
Mantener una plataforma actualizada tampoco consiste en aplicar automáticamente cada nueva versión en cuanto aparece.
Una actualización puede afectar a diferentes componentes, introducir cambios de compatibilidad o exigir adaptar módulos, aplicaciones o integraciones que dependen de la tecnología que estamos modificando. Cuanto más complejo es un entorno, más importante resulta entender previamente esas relaciones.
Actualizar bien requiere planificación.
Antes de intervenir sobre un entorno de producción conviene conocer qué cambia, qué dependencias pueden verse afectadas y qué medidas serán necesarias si algo no funciona como esperamos. Cuando el proyecto lo permite, disponer de entornos de desarrollo o preproducción facilita comprobar esos cambios antes de aplicarlos sobre los servicios que utilizan diariamente los usuarios.
También resulta fundamental contar con copias adecuadas y con una estrategia que permita volver a una situación estable si la actualización provoca algún comportamiento inesperado.
Porque no actualizar genera riesgo, pero actualizar sin planificación también puede generarlo.
El mantenimiento preventivo da margen para decidir
Existe una diferencia importante entre realizar una actualización porque forma parte de una planificación tecnológica y tener que ejecutarla con urgencia porque una tecnología ha dejado de estar soportada o porque se ha publicado una vulnerabilidad crítica.
En ambos casos probablemente terminemos realizando el cambio.
La diferencia está en el margen que tenemos para hacerlo.
Cuando conocemos con antelación los ciclos de soporte, las dependencias y la evolución de nuestra plataforma, podemos decidir cuándo realizar las pruebas, preparar los cambios necesarios, coordinar una ventana de mantenimiento y minimizar el impacto sobre los usuarios.
Cuando esperamos hasta que el cambio resulta imprescindible, muchas de esas decisiones dejan de estar en nuestras manos.
Por eso, una parte importante del mantenimiento tecnológico consiste precisamente en evitar que lo importante termine convirtiéndose en urgente.
Seguridad, compatibilidad y evolución
Las actualizaciones suelen relacionarse inmediatamente con la seguridad, y es lógico. Mantener software soportado y disponer de correcciones frente a vulnerabilidades conocidas es una parte esencial de cualquier estrategia de protección.
Pero no es la única razón para actualizar.
Las nuevas versiones también mantienen la compatibilidad con otras tecnologías, permiten utilizar funcionalidades recientes, facilitan futuras integraciones y evitan que la plataforma vaya acumulando una deuda tecnológica cada vez más difícil de resolver.
Una aplicación puede necesitar actualizar su versión de lenguaje, su base de datos, el sistema operativo sobre el que se ejecuta o determinados módulos y librerías. Cada elemento tiene su propio ciclo de vida y todos forman parte de un mismo servicio.
Mantener ese equilibrio permite que una plataforma no solo continúe funcionando hoy, sino que siga estando preparada para evolucionar mañana.
Mantener es mirar más allá de la incidencia
El Mes Europeo de la Ciberseguridad también sirve para recordar que la seguridad no depende únicamente de reaccionar cuando ocurre algo. La concienciación y la preparación forman parte del mismo objetivo: reducir riesgos antes de que lleguen a convertirse en incidentes. La campaña europea se desarrolla durante todo octubre y busca precisamente extender esa cultura de ciberseguridad entre organizaciones y profesionales.
A menudo el mantenimiento se percibe desde fuera como la capacidad de resolver problemas cuando aparecen. Y, naturalmente, responder ante incidencias forma parte del trabajo.
Pero una parte igualmente importante ocurre cuando no existe ninguna incidencia.
Revisar versiones, comprobar compatibilidades, anticipar finales de soporte, aplicar actualizaciones, verificar copias de seguridad o realizar pruebas antes de un cambio son tareas que quizá nunca lleguen a ser visibles para los usuarios.
Precisamente porque su objetivo es conseguir que el servicio continúe funcionando con normalidad y hacerlo, además, sobre una base tecnológica mantenida y preparada para afrontar los riesgos que van apareciendo.
El mejor momento para revisar una tecnología no es necesariamente cuando deja de funcionar.
Es cuando todavía funciona y tenemos margen para decidir cómo queremos que siga haciéndolo.