Blog
Las únicas métricas CTEM que la dirección leerá
La mayoría de los informes de exposición son un recuento. Hallazgos descubiertos, hallazgos corregidos, críticos abiertos, una línea de tendencia que sube cuando el escáner mejora y baja cuando alguien cambia el umbral de severidad. La dirección ha aprendido que estos números no significan nada, y tiene razón.
CTEM ofrece la oportunidad de informar de algo distinto, porque dos de sus cinco fases producen evidencia que la gestión de vulnerabilidades nunca produjo: la validación dice qué es explotable, y la movilización dice si se corrigió. Las cinco métricas siguientes se construyen sobre esas dos fases. Caben en una página.
Por qué fallan los recuentos de vulnerabilidades
Un recuento de vulnerabilidades abiertas crece con la cobertura del descubrimiento. Añada una fuente de postura cloud y el recuento se duplica. La organización no está ni más ni menos segura que el día anterior, pero el gráfico dice que las cosas empeoraron. También ocurre lo contrario: retire la integración de un escáner y el recuento cae.
Un recuento no distingue lo alcanzable de lo inalcanzable. Un CVSS 9.8 en un host sin ruta desde ninguna posición de atacante pesa lo mismo que uno en el concentrador VPN. Sea cual sea el total, el equipo directivo no puede saber qué implica.
Los recuentos también ocultan el fallo que importa. El Data Breach Investigations Report de Verizon de 2025 encontró que la explotación de vulnerabilidades intervino en aproximadamente una de cada cinco brechas, y que, de las vulnerabilidades en dispositivos perimetrales del catálogo CISA KEV de las que hizo seguimiento, solo el 54 % se remediaron por completo, con una mediana de 32 días para hacerlo (Verizon, 2025 DBIR). Un recuento de «críticos cerrados este mes» habría parecido saludable en esas organizaciones. Una métrica del tiempo de cierre de los que eran realmente explotables, no.
Las cinco métricas
| Métrica | Definición | Dirección deseada |
|---|---|---|
| Exposiciones validadas abiertas | Exposiciones cuya explotabilidad se ha demostrado en el entorno y cuyo cierre aún no se ha verificado | Hacia abajo, y pequeña |
| Tiempo mediano de cierre, por clase | Días desde la validación hasta el cierre verificado, desglosados por clase de exposición | Hacia abajo, por clase |
| Procesos críticos sin ruta de ataque validada | De los procesos de negocio calificados de críticos dentro del alcance, cuántos no tienen ninguna ruta demostrada hacia ellos | Hacia arriba, hasta la totalidad |
| Cobertura del alcance | Proporción de activos dentro del alcance vistos por al menos dos fuentes de descubrimiento y evaluados en este ciclo | Hacia arriba, hasta el 100 % |
| Tasa de validación | Proporción de exposiciones priorizadas que se probaron en lugar de darse por supuestas | Hacia arriba |
Exposiciones validadas abiertas
Es el número principal. Cuenta solo las exposiciones que superaron la validación: alguien o algo las explotó, de forma segura, en el entorno. Excluye la opinión del escáner.
Es pequeño por construcción, normalmente decenas y no miles, que es lo que lo hace legible. Cuando sube, o bien se amplió la cobertura de validación o bien llegó algo nuevo. Diga cuál de las dos.
La trampa es dejar que vuelva a convertirse en un recuento. Si la fase de validación se debilita, se cuelan hallazgos sin validar y el número deja de significar nada. Informe de la tasa de validación junto a él para que el lector pueda distinguirlo.
Tiempo mediano de cierre, por clase
Tiempo desde la validación hasta el cierre verificado, donde verificado significa vuelto a probar, no «ticket marcado como hecho». Se desglosa por clase porque las clases tienen responsables distintos y correcciones distintas: un servicio expuesto en el perímetro, una identidad con privilegios excesivos, un parche ausente en un servidor, una configuración errónea en la nube.
Use la mediana. Las medias las arrastra el único elemento atascado un año en una congelación de cambios. Muestre la clase más lenta por separado y nombre por qué es lenta. A menudo la razón es que al equipo responsable nunca se le dijo que era el responsable.
Procesos críticos sin ruta de ataque validada
Es la métrica que hace levantar la vista al responsable de negocio. El alcance produjo una lista ordenada de procesos críticos. El análisis de rutas de ataque y la validación produjeron evidencia sobre cuáles de ellos podría alcanzar un atacante. La métrica es el recuento de procesos para los que no existe actualmente ninguna ruta validada, sobre el total.
«Tres de siete» es una frase que un consejero entiende, y «tres de siete, frente a uno de siete el trimestre pasado» es una frase que justifica presupuesto. También mantiene al programa honesto respecto al alcance: un proceso que no se ha evaluado no cuenta como protegido.
Cobertura del alcance
El porcentaje de activos dentro del alcance que fueron vistos por al menos dos fuentes de descubrimiento y evaluados en el ciclo actual. Es la métrica que impide que la ignorancia favorezca a las otras cuatro.
Infórmela junto a la diferencia de conciliación: activos vistos por una fuente pero no por otra. Un programa que muestra un 98 % de cobertura con una diferencia inexplicada de cuatrocientos hosts está informando sobre el parque que ve, no sobre el que tiene.
Tasa de validación
De las exposiciones priorizadas en este ciclo, qué proporción se validó mediante prueba en lugar de aceptarse por su severidad. La guía de mercado sobre validación adversarial de la exposición de Gartner de marzo de 2025 estima que el 40 % de las organizaciones tendrán iniciativas formales de validación en 2027, que es una forma educada de decir que la mayoría aún no las tiene. La tasa de validación es la forma de mostrar de qué lado de esa línea se está.
Los programas incipientes validan los diez primeros y nada más, así que la tasa es baja. No pasa nada. Lo que importa es la tendencia, y el número permite explicar por qué la métrica principal es pequeña.
Cómo presentarlas
Una página. Cinco números, cada uno con este trimestre, el trimestre anterior y una frase sobre qué se movió y por qué. Sin capturas de paneles, sin gráfico circular de severidad, sin lista de CVE.
Empiece por los procesos críticos sin ruta de ataque validada, porque está expresada en los propios términos del negocio. Siga con las exposiciones validadas abiertas y el tiempo mediano de cierre, porque muestran al programa trabajando. Cierre con la cobertura y la tasa de validación, porque muestran que las tres primeras son fiables.
Indique el alcance al principio de la página. «Estos números cubren la superficie de ataque externa y la plataforma de pagos» es lo que da significado a «tres de siete» e impide que el lector suponga que cubre todo.
Lleve una historia. La exposición que la validación demostró no explotable y se rebajó, ahorrando un fin de semana de parcheo. La que resultó peor de lo que decía el escáner. La clase que se aceleró porque por fin se nombró un responsable en un equipo. Una historia, de un párrafo, junto al número que explica.
Qué no añadir
Resista la petición de una puntuación de riesgo única. Un número de 0 a 1000 que sube y baja es un recuento con pasos adicionales, y nadie puede decir qué se consiguió con una caída de cuarenta puntos. Si una plataforma produce una, puede vivir en el panel operativo.
Resista el tiempo medio de detección y de respuesta. Son métricas de incidentes y pertenecen a otro informe. La excepción es el resultado de detección de la validación: la proporción de exposiciones validadas en las que nada se disparó. Eso sí pertenece aquí, como nota al pie de la tasa de validación, porque es el argumento más sólido que tendrá para pedir presupuesto de ingeniería de detección.
Resista añadir una sexta métrica cada trimestre. La página es una página porque la dirección leerá una página.
Siguiente
Si su programa aún no puede producir estos números, el plan de 90 días termina con una primera versión de exactamente este informe. El modelo de madurez muestra en qué nivel se vuelve disponible cada métrica, y la evaluación le dirá dónde está ahora.