Para gestionar parches en sucursales y en home office sin VPN hace falta un agente que se comunique con la nube y no con la red corporativa. NinjaOne usa un agente en la nube que parchea Windows, macOS, Linux y más de 6.000 aplicaciones de terceros sin VPN, sin dominio y sin infraestructura local, y permite acelerar las descargas en sedes con poco ancho de banda mediante un caché de parches.
Una empresa con sucursales no tiene un solo parque de equipos: tiene varios, cada uno con su propia conexión, su propio horario y, muchas veces, sin nadie de TI en el lugar. A eso se suman las laptops que viajan o trabajan desde casa y que casi nunca pasan por la oficina. Mantener todo eso actualizado con una rutina pensada para una red única es lo que hace que el parcheo se vuelva irregular, y que lo irregular se convierta en riesgo.
Esta guía propone una rutina de cinco pasos para parchear en sedes distribuidas, explica cómo priorizar con CVE y CVSS cuando no hay TI local, y detalla qué resuelve un agente en la nube frente a las limitaciones habituales de una sucursal.
Por qué el parche manual no alcanza
Un ejemplo ilustrativo, con números inventados solo para visualizar el problema: una sucursal de once equipos, un técnico en la casa central y una conexión de ancho de banda limitado. Si el parcheo es manual, hay tres caminos, y los tres fallan. El técnico viaja, con el costo y el tiempo que eso implica; el usuario instala por su cuenta, con criterios distintos en cada equipo; o se espera a que el equipo se conecte a la VPN, y se parchea cuando se acuerda alguien.
El parche manual no alcanza en sedes distribuidas por razones que se repiten:
- Dependencia de la conexión. Cuando la rutina exige estar dentro de la red corporativa, por VPN, dominio o servidor local, los equipos que casi nunca se conectan son los que menos parches reciben.
- Equipos apagados. Si la ventana de parcheo cae cuando el equipo está apagado, el parche simplemente no se instala.
- Ancho de banda. Cada equipo descarga por separado el mismo parche, y en una sede con poca conexión eso satura el enlace en horario de trabajo.
- Aplicaciones de terceros. Navegadores, lectores de PDF y herramientas de colaboración suelen quedar fuera de la rutina de actualizaciones del sistema.
- Sin evidencia. Cuando alguien pregunta qué sede está al día, la respuesta exige consultar equipo por equipo.
Para un MSP, el problema es el mismo, multiplicado por la cantidad de clientes y de sedes de cada uno. La solución no es parchear más rápido, sino sacar al parcheo de la dependencia de la red y de las personas.
La rutina en 5 pasos
La rutina que sigue se pensó para sedes distribuidas. Los cinco pasos son los mismos que en cualquier operación, pero cada uno tiene una particularidad cuando hay sucursales y home office:
| Paso | Qué definir | Qué cambia con sucursales y home office |
|---|---|---|
| 1. Inventario | Equipos, sistemas operativos y aplicaciones. | Relevar por sede y por tipo de equipo, e incluir los que casi nunca se conectan a la red corporativa. |
| 2. Política | Cuándo buscar parches, cuándo instalarlos y cómo reiniciar. | Una política por perfil (sucursal, home office, servidores), con reinicios pensados para el horario local de cada sede. |
| 3. Aprobación | Qué se aprueba solo y qué se revisa. | Sin TI local, conviene que la revisión sea centralizada y que lo de bajo riesgo se apruebe automáticamente. |
| 4. Ventana | El horario en que cada grupo recibe parches. | Ventanas por sede, con equipos que se despiertan para la ventana y caché local donde la conexión es limitada. |
| 5. Reporte | Qué se demuestra y a quién. | Un reporte por sede o por cliente, para saber de un vistazo cuál está al día. |
El primer paso, el inventario, es el que más se subestima en sedes distribuidas. Un equipo que no está relevado no recibe política, y un equipo sin política no recibe parches. El NinjaOne obtiene el inventario de software mediante su agente, de modo que el relevamiento se mantiene actualizado sin depender de planillas.
La política se construye una vez y se aplica por grupo: las configuraciones de agente definen las agendas de búsqueda e instalación, las automatizaciones previas y posteriores al parche, las opciones de reinicio y los ajustes de aprobación. La aprobación puede ser preventiva para lo de bajo riesgo, con la posibilidad de anularla caso por caso, y en las políticas de Windows el Patch Intelligence AI sinaliza las actualizaciones inestables para que el administrador decida si las aplica o las rechaza.
La ventana y el reporte cierran la rutina. Programar la implantación, despertar los equipos para la ventana y gestionar los reinicios con mensajes personalizados evita depender de que cada usuario deje el equipo encendido. Y el registro de actividad, los reportes de cumplimiento y el panel de estado muestran qué se aprobó, se implantó o se rechazó, y cuándo, sede por sede.
Parches de día cero y puntuación CVE/CVSS
Cuando una sucursal no tiene TI local, la priorización no puede depender de que alguien lea el boletín de seguridad a tiempo. Conviene que el criterio esté escrito y que la herramienta lo aplique. Tres conceptos ayudan a escribirlo: el CVE es el identificador público de una vulnerabilidad; el CVSS es una puntuación de gravedad de 0 a 10; y un día cero es una vulnerabilidad que se explota antes de que exista una corrección.
La puntuación CVSS ordena, pero no alcanza sola. Una tabla de criterio orientativo, que cada organización debe adaptar, muestra cómo combinarla con otras señales:
| Señal | Qué indica | Acción sugerida |
|---|---|---|
| Figura en el catálogo KEV (vulnerabilidades explotadas) | Ya se está usando en ataques. | Tratar como urgente y parchear fuera del ciclo normal. |
| Gravedad crítica o alta, sin explotación confirmada | Riesgo alto, pero sin ataques conocidos todavía. | Acelerar hacia la próxima ventana disponible. |
| Gravedad media o baja | Riesgo menor. | Seguir el ciclo habitual. |
| Día cero sin parche disponible | No existe corrección todavía. | Mitigar: reducir exposición o restringir acceso, y vigilar el aviso del fabricante. |
NinjaOne correlaciona de forma continua el inventario de software de cada equipo con la información de CVE y KEV del momento, sin ventanas de escaneo, y vincula cada vulnerabilidad con el parche que la resuelve. Quien ya usa un escáner externo, como Tenable o Qualys, puede importar esos datos. Si un equipo está sin conexión cuando se publica una vulnerabilidad, NinjaOne la compara con el último estado de software conocido de ese equipo, de modo que la corrección puede avanzar apenas se reconecte.
Equipos fuera de la red: home office y sucursales
Este es el punto en el que la arquitectura marca la diferencia. NinjaOne usa un agente en la nube, de modo que alcanza a los equipos donde estén, sin necesidad de VPN, dominio ni infraestructura local. La tabla siguiente resume los problemas típicos de una sucursal y cómo se atiende cada uno:
| Problema típico | Qué ocurre sin una solución | Cómo se resuelve |
|---|---|---|
| Equipos fuera de la red corporativa | Solo se parchean cuando se conectan por VPN. | Agente en la nube que no exige VPN, dominio ni infraestructura local. |
| Poco ancho de banda en la sede | Cada equipo descarga el mismo parche por separado. | Caché de parches: las actualizaciones de Windows, de terceros y personalizadas se guardan en un servidor local y los demás equipos las toman de ahí. |
| Equipos apagados en la ventana | El parche no se instala. | Se pueden despertar automáticamente los equipos para la ventana de parcheo. |
| Reinicios que interrumpen al usuario | Se pierde trabajo o se posterga el reinicio indefinidamente. | Secuencias de reinicio automáticas y mensajes personalizados. |
| Equipo sin conexión al publicarse un CVE | La exposición queda sin registrar. | Se compara la vulnerabilidad con el último estado de software conocido del equipo. |
| Demostrar el estado de cada sede | Se arma a mano, equipo por equipo. | Registro de actividad de parches, reportes de cumplimiento y panel de estado. |
El caché de parches merece una aclaración: el servidor de caché puede ser cualquier equipo Windows con un sistema operativo compatible, y solo almacena y distribuye las actualizaciones. Las aprobaciones y la gestión de la implantación siguen centralizadas en NinjaOne. No hace falta, entonces, montar un servidor de actualizaciones en cada sucursal.
Lo que sigue requiriendo atención es lo básico: el equipo necesita conexión a internet en algún momento y los usuarios deben saber cómo y cuándo se reinicia su equipo. La diferencia es que la conexión que se necesita deja de ser la de la red corporativa.
Cómo lo hace NinjaOne y cómo lo implementa Aufiero
NinjaOne describe el funcionamiento en cuatro etapas. Primero, los administradores configuran las políticas del agente que habilitan la gestión de parches, con agendas, automatizaciones, opciones de reinicio y aprobaciones. Segundo, implantan el agente para inscribir los equipos. Tercero, NinjaOne busca los parches del sistema y de terceros según las agendas e instala los aprobados. Cuarto, los administradores monitorean el estado, identifican las instalaciones fallidas y verifican el cumplimiento mediante paneles, registros y reportes.
En alcance, NinjaOne actualiza Windows, macOS y Linux, además de más de 6.000 aplicaciones de terceros, incluidas las instaladas mediante WinGet.
Aufiero Informática distribuye NinjaOne en Latinoamérica y acompaña la implementación en español y portugués. Para empresas con sucursales, el diagnóstico de parches se organiza por sedes:
- Relevamiento por sede: equipos, sistemas, aplicaciones y qué se hace hoy a mano.
- Sucursal piloto: una sede acotada recibe la política primero, con seguimiento de lo que falla.
- Caché y ventanas: se define dónde conviene un caché local y qué ventana corresponde a cada sede, según su horario.
- Reporte por sede: al cierre, cada sede tiene su estado de cumplimiento, y el diagnóstico deja un plan para extender la rutina al resto.
Para un MSP, el mismo diagnóstico se repite por cliente, con la política adaptada a las sedes de cada uno.
Diagnóstico de parches con Aufiero →
Preguntas frecuentes sobre gestión de parches sin VPN
¿Puedo aprobar antes de instalar?
Sí, por política. La aprobación puede ser automática para lo de bajo riesgo y manual para lo que requiere revisión, y en las políticas de Windows el Patch Intelligence AI sinaliza las actualizaciones inestables para que el administrador decida si las aplica o las rechaza.
¿Funciona en home office?
Sí, el agente es en la nube. El equipo recibe políticas y parches por internet, sin necesidad de VPN ni de estar en la red de la empresa.
¿Actualiza Linux?
Sí. NinjaOne actualiza Windows, macOS y Linux, además de más de 6.000 aplicaciones de terceros.
Aufiero Informática distribuye NinjaOne en Latinoamérica.
