Blog
Un modelo de madurez CTEM que se puede usar de verdad
Los modelos de madurez tienen mala reputación, en su mayor parte merecida. El típico es una cuadrícula de cinco columnas donde cada celda dice «ad hoc», «repetible» u «optimizado» y nadie puede saber en qué columna está. Este está construido al revés: cada nivel se define por evidencia que se podría mostrar a un auditor, no por adjetivos.
Usa los mismos cinco niveles que nuestra autoevaluación: Inicial, En desarrollo, Definido, Gestionado y Optimizado. La evaluación puntúa sobre 100 y sitúa en una banda. Este artículo es la versión extensa de lo que significan esas bandas.
Los cinco niveles
| Nivel | En una frase | Evidencia que se puede señalar |
|---|---|---|
| 1. Inicial | Se escanea; el trabajo de exposición es reactivo y lo dirige el escáner. | Informes de escaneo. Sin documento de alcance. Sin responsables de corrección fuera de seguridad. |
| 2. En desarrollo | Las piezas existen pero no conectan. | Un borrador de alcance, un inventario parcial, una lista ordenada que sigue siendo mayoritariamente CVSS. |
| 3. Definido | Un ciclo repetible se ejecuta según calendario con un alcance definido. | Declaración de alcance firmada por un responsable de negocio. Calendario de ciclos. Tickets con responsables. |
| 4. Gestionado | Las prioridades se validan y la remediación se mide. | Resultados de validación que cambiaron prioridades. Tiempo mediano de cierre por clase. |
| 5. Optimizado | El ciclo es continuo, se mide y se amplía. | Cobertura del alcance con tendencia por trimestres. Rutas rutinarias automatizadas. Tiempo de ciclo a la baja. |
Los umbrales de las bandas en la evaluación son de 0 a 20, de 21 a 40, de 41 a 60, de 61 a 80 y de 81 a 100. Son deliberadamente gruesos. Lo que importa es la columna de evidencia, y un programa puede estar en Gestionado en una fase y seguir en Inicial en otra. Esa desigualdad es normal, y es lo más útil que muestra el modelo.
Alcance, nivel a nivel
En Inicial, el alcance es lo que alcanza el escáner. Pregunte «¿qué está dentro del alcance de la gestión de la exposición?» y la respuesta honesta es «los hosts con agente».
En desarrollo tiene un alcance escrito, normalmente redactado por seguridad sin aportación del negocio. Enumera sistemas, no procesos.
Definido es el primer paso real: una declaración de alcance de una página que nombra sistemas, entornos y procesos de negocio, aprobada por un responsable de negocio y revisada según calendario. La superficie de ataque externa, el SaaS, la identidad y el acceso de terceros están cada uno explícitamente dentro o fuera, con una razón para cada exclusión.
Gestionado añade un ranking de negocio de los procesos críticos que dirige la priorización, y los cambios de alcance se desencadenan por eventos (una nueva integración, una adquisición, un sistema retirado) y no solo por la revisión trimestral.
Optimizado significa que el alcance se expresa como escenarios de ataque o proyectos de negocio, que es lo que pide la propia descripción de CTEM de Gartner (Gartner, octubre de 2023), y cada ciclo amplía el alcance en un incremento planificado.
Descubrimiento, nivel a nivel
El descubrimiento Inicial es un escáner y su cobertura. Los activos desconocidos siguen siendo desconocidos.
En desarrollo tiene dos o más fuentes (escáner, proveedor de nube, EDR, CMDB), pero no están conciliadas. El mismo activo aparece tres veces con tres nombres, y los activos vistos por una sola fuente no se señalan.
Definido concilia las fuentes mensualmente y hace seguimiento del recuento de activos vistos por una fuente pero no por otra. El descubrimiento cubre configuraciones erróneas y debilidades de identidad, no solo CVE. Los activos expuestos a internet se enumeran de forma continua.
Gestionado incluye credenciales expuestas, rutas de acceso de terceros e integraciones SaaS, con un responsable registrado para cada uno. La diferencia de conciliación tiende a la baja y se informa de ella.
Optimizado trata la cobertura del descubrimiento como una métrica: la proporción de activos dentro del alcance vistos por al menos dos fuentes, y el tiempo entre que un activo aparece y se clasifica. Las nuevas fuentes de descubrimiento se incorporan sin contratar servicios profesionales.
Priorización, nivel a nivel
Inicial ordena por CVSS. La lista de remediación es la pestaña de críticos del escáner.
En desarrollo añade inteligencia sobre exploits como el catálogo CISA KEV o EPSS, aplicada a mano o mediante un filtro.
Definido ordena por explotabilidad en contexto más impacto en el negocio. Cada hallazgo lleva dos campos adicionales: alcanzable desde una posición de atacante, y activo crítico en la ruta. La inteligencia de amenazas alimenta el ranking automáticamente. Los controles compensatorios se registran antes de escalar un hallazgo.
Gestionado usa análisis de rutas de ataque, o un método manual equivalente para los elementos principales, de modo que la lista ordenada refleja cadenas y no hallazgos aislados. La lista es explicable: para cualquier elemento de los diez primeros, alguien puede dibujar la ruta.
Optimizado reordena de forma continua a medida que llegan cambios de descubrimiento, validación y controles. El número de hallazgos que cambiaron de prioridad por nueva evidencia es a su vez objeto de seguimiento.
Validación, nivel a nivel
La validación Inicial es la prueba de penetración anual, que valida lo que el pentester tuvo ocasión de mirar.
En desarrollo ejecuta pruebas dirigidas ocasionales sobre hallazgos que preocupaban a alguien, sin un desencadenante definido.
Definido valida las cinco o diez exposiciones principales de cada ciclo con una prueba segura, y registra si los controles de detección se dispararon. Los hallazgos no explotables se rebajan y la rebaja se documenta.
Gestionado usa herramientas, simulación de brechas y ataques o pruebas de penetración automatizadas, de modo que la validación se ejecuta con una cadencia y no según la disponibilidad de un pentester. Gartner agrupa estas herramientas como validación adversarial de la exposición en su guía de mercado de marzo de 2025, y su estimación de cuán pocas organizaciones tendrán una iniciativa formal de validación en 2027 está en el artículo sobre métricas. En este nivel, los resultados de validación cambian de forma demostrable la cola de remediación, y las carencias en controles encontradas durante la validación reciben seguimiento como una clase propia de exposición.
Optimizado valida de forma continua contra la parte alta actual de la lista, y valida tanto la corrección como el hallazgo: un ticket cerrado se vuelve a probar antes de contar como cerrado.
Movilización, nivel a nivel
La movilización Inicial es una hoja de cálculo enviada por correo a TI. El cierre se da por supuesto.
En desarrollo abre tickets, pero carecen de responsable fuera de seguridad o de fecha objetivo, y se hace seguimiento por recuento.
Definido se niega a abrir un ticket sin un responsable designado y una fecha. Los hallazgos llegan a los equipos de remediación a través de su propia herramienta de flujo de trabajo. De los hallazgos sin responsable se informa semanalmente.
Gestionado mide el tiempo mediano de cierre por clase de exposición y lo publica mensualmente. Los informes a dirección están en términos de negocio, como procesos críticos sin ruta de ataque validada, y no en recuentos de vulnerabilidades. El artículo sobre métricas CTEM describe qué aspecto tiene ese informe.
Optimizado automatiza lo rutinario: una exposición validada de una clase conocida en un activo con responsable conocido crea y encamina su propio ticket, y el esfuerzo del programa se dedica a las excepciones. El tiempo de cierre tiende a la baja y la tendencia se presenta junto con las razones.
Cómo usar esto sin engañarse
Puntúe cada fase por separado y tome la más baja como titular. Un programa que está en Gestionado en descubrimiento y en Inicial en validación es un programa Inicial muy bueno encontrando cosas que no demuestra. La evaluación hace esta aritmética y resalta la fase más débil.
Insista en la columna de evidencia. «Hacemos análisis de rutas de ataque» es una afirmación; una lista de los diez primeros donde cada elemento tiene una ruta dibujada es evidencia. «Validamos» es una afirmación; un registro de las rebajas del último ciclo es evidencia.
Espere avanzar un nivel cada dos o tres ciclos, no cada trimestre. El salto de En desarrollo a Definido es sobre todo dejar las cosas por escrito y conseguir una firma. El salto de Definido a Gestionado es el caro, porque necesita herramientas de validación y un proceso de remediación que se mida a sí mismo. No lo omita; es la diferencia entre CTEM y gestión de vulnerabilidades con otro nombre.
Siguiente
Haga la comprobación rápida para encontrar su fase más débil en dos minutos, o la evaluación completa para obtener una puntuación por fase y un cuadro de resultados guardado. Si cae en Inicial o En desarrollo, Cómo iniciar un programa CTEM en 90 días es el camino práctico hacia Definido.