El equipo que todavía enciende, pero ya no recibe corrección

El 14 de octubre de 2025, Microsoft dejó de publicar actualizaciones de seguridad para Windows 10. La propia empresa es directa sobre lo que eso significa: la computadora sigue encendiendo y funcionando con normalidad, pero queda "en mayor riesgo de virus y malware" a partir de esa fecha, porque ninguna falla nueva descubierta después será corregida jamás.

Diez meses después, el parque instalado no siguió el calendario. Según Statcounter, que mide la participación de cada versión de Windows en uso en el mundo, Windows 10 todavía representaba el 30,14% de las computadoras con Windows en agosto de 2026 — casi 1 de cada 3. No es un puñado de rezagados: es una fracción enorme del parque mundial funcionando con un sistema que ya no recibe ninguna corrección.

Y Windows 10 es solo el ejemplo más visible. Lo mismo ocurre con versiones de servidor, routers, firewalls y otro equipo de red: llega una fecha en la que el fabricante deja de corregir, el equipo sigue funcionando exactamente igual que antes, y la diferencia queda invisible hasta que alguien explota la falla que nunca será corregida. Para quien decide el presupuesto de TI, esa es la pregunta que importa: ¿cuánto de lo que la empresa usa hoy ya está en esa situación, sin que nadie lo haya notado?

Lo que cambia el "fin de soporte" en la práctica

Todo sistema operativo, servidor y equipo de red tiene una fecha de vencimiento definida por el fabricante. Hasta esa fecha, toda falla de seguridad encontrada se convierte en una corrección. Después de ella, el fabricante simplemente deja de buscar y de corregir — el equipo no pierde ninguna función, solo pierde esa red de protección.

Esto importa todavía más para el equipo de red que para una computadora de escritorio. La agencia de ciberseguridad de Estados Unidos, la CISA, publicó en 2026 una directiva que obliga a las agencias del gobierno federal estadounidense a inventariar y reemplazar routers, firewalls y otros dispositivos de borde fuera de soporte, porque este tipo de equipo tiene "un alcance extenso dentro de la red de la organización" y porque la propia agencia declara estar al tanto de "campañas de explotación generalizadas" contra este tipo de aparato.

La amenaza inminente de explotación a los sistemas que ejecutan dispositivos de borde fuera de soporte es sustancial y constante.

La directiva de la CISA rige solo para agencias federales estadounidenses — no para empresas latinoamericanas. Pero su diseño es instructivo: antes de reemplazar nada, el primer plazo que exige, apenas tres meses, es para que las agencias inventaríen y reporten todo lo que está fuera de soporte. Reemplazar viene después. Levantar el inventario viene primero.

Un router o un servidor comprado hace ocho años rara vez se recuerda como un riesgo. Está funcionando, nadie se queja, y reemplazarlo cuesta dinero y trabajo. El problema es que "está funcionando" y "está seguro" dejaron de significar lo mismo el día en que el fabricante dejó de vigilarlo.

Para quien todavía depende de Windows 10 y no puede reemplazar todas las computadoras de una vez, la propia Microsoft vende una salida de transición: un programa pago de actualización de seguridad extendida, que mantiene llegando correcciones por un tiempo más allá de la fecha oficial de fin de soporte. Es un puente para organizar el reemplazo, no una solución definitiva — el programa tiene un plazo final y no devuelve el soporte técnico completo, solo la corrección de seguridad.

Por qué solo actualizar no resuelve

La forma más común en que una empresa pequeña o mediana maneja esto es reactiva: el equipo se queda encendido hasta que finalmente falla, o hasta que alguien nota, en una auditoría o después de un incidente, que ese servidor no recibe corrección hace años. Nadie decidió dejarlo así — tampoco nadie decidió lo contrario.

El motivo, en la mayoría de los casos, no es descuido. Es falta de lista. Nadie sabe, de memoria, todo el hardware y todo el sistema en uso en la empresa — qué existe, qué versión corre, desde cuándo está ahí y quién depende de él. Sin esa lista, "mantener todo actualizado" es una frase de efecto, no una tarea que alguien pueda ejecutar.

No es raro que Skills IT llegue por primera vez a una empresa y encuentre un switch o un servidor comprado hace más de diez años, todavía en producción, sin que nadie sepa con certeza si el fabricante todavía le da soporte. Nadie ahí fue negligente — el equipo simplemente nunca entró en una lista que alguien revisara.

Comprar otro producto de seguridad encima de eso no resuelve nada si nadie sabe en qué máquina instalarlo. El punto de partida no es una herramienta nueva: es saber, con precisión, qué existe ya.

Lo que tiene que existir en la práctica

Un control de seguridad ampliamente adoptado en el mercado internacional coloca justamente ese punto como el primer ítem de la lista, antes que cualquier otro: inventariar todo el equipo que tiene la empresa, identificando lo que está autorizado, lo que está fuera de control y lo que necesita atención. Es la base sobre la que se apoya cualquier otra decisión de seguridad.

Inventario completo de lo que tiene la empresa. Cada computadora, servidor y equipo de red, con fabricante, modelo, versión del sistema y fecha de fin de soporte registrados en un único lugar — no en la memoria de quien lleva más tiempo en la casa.

Un plan de reemplazo por prioridad de riesgo. Lo que está más expuesto — porque da a internet, o porque guarda datos sensibles — se reemplaza primero. Lo que está aislado y de bajo riesgo puede esperar al próximo ciclo de presupuesto.

Aislamiento de lo que no se puede reemplazar ahora. Cuando el reemplazo inmediato no es viable, el equipo antiguo queda segmentado en una parte separada de la red, con acceso más restringido y monitoreo más cercano, en vez de suelto junto a todo lo demás.

Actualización de seguridad al día en todo lo que todavía la recibe — el inventario solo funciona acompañado de esa rutina, y no la reemplaza.

Un único responsable siguiendo el ciclo de vida de cada sistema y equipo, en vez de varios proveedores decidiendo cada uno por su cuenta cuándo se reemplaza algo.

Así trabaja Skills IT: levanta el inventario completo del cliente, cuida la actualización de seguridad de lo que todavía la recibe y ayuda a planificar el reemplazo de lo que está al final de su vida útil, con una estimación de costo antes de cualquier compra.

La ganancia para la empresa

La ganancia de hacer este levantamiento no es abstracta. Es presupuesto: en vez de una compra de emergencia el día en que el servidor ya no enciende, el reemplazo se vuelve planificado, con tiempo para comparar precios y negociar plazos. La compra de urgencia cuesta más y elige peor.

Es también continuidad: un equipo fuera de soporte que falla en medio de la jornada no avisa antes — y, sin inventario, nadie sabe si existe un plan B para ese sistema específico hasta que se necesita. Saber qué existe es la diferencia entre una falla prevista y una que sorprende a todos.

Y es decisión con información real: cuando el director pregunta "cuánto va a costar modernizar nuestra TI este año", la respuesta deja de ser una suposición y pasa a ser una lista con prioridad y valor estimado — lo opuesto a descubrir el problema cuando ya se convirtió en un incidente.

Hay todavía una ganancia menos comentada: el equipo de TI deja de gastar energía apagando incendios en equipo viejo y pasa a discutir prioridades con quien decide el presupuesto. Eso cambia la conversación de "por qué gastamos tanto en soporte" a "cuánto cuesta no haber reemplazado a tiempo" — y esa es, al final, la pregunta que le importa a quien aprueba la inversión.

Una hoja de ruta para empezar

Antes de decidir qué reemplazar, vale la pena recorrer esta hoja de ruta con quien maneja la TI en la empresa:

1. Liste todo el equipo y sistema en uso, con fabricante, versión y responsable — incluido lo que está olvidado en una sala, encendido desde antes de que alguien del equipo actual llegara.

2. Marque la fecha de fin de soporte de cada ítem consultando el sitio del propio fabricante. Es información pública; el trabajo es reunirla, no descubrirla.

3. Separe lo que ya está fuera de soporte de lo que todavía recibe corrección, y priorice según el riesgo de cada uno — lo que queda expuesto a internet primero, lo aislado al final.

4. Aísle lo que no se puede reemplazar en este presupuesto, restringiendo el acceso y reforzando el monitoreo hasta que ocurra el reemplazo.

5. Ponga el reemplazo en el plan del próximo ciclo de presupuesto, con una estimación de costo, en vez de dejarlo en la lista informal de "cuando finalmente falle".