Blog
Gestión de la exposición frente a gestión de la superficie de ataque
Tres términos, una palabra compartida y un mercado que cambió de etiquetas dos veces en cuatro años. La gestión de la superficie de ataque era la categoría a comprar en 2021. En 2024 la mayoría de esos mismos proveedores vendían gestión de la exposición, y en 2025 Gartner señalaba que las etiquetas antiguas serían absorbidas por plataformas más amplias. Las capacidades subyacentes cambiaron mucho menos que los nombres, así que merece la pena ser preciso sobre qué cubre cada término y dónde se detiene.
Tres definiciones
La gestión de la superficie de ataque externa, EASM, es descubrimiento desde fuera hacia dentro. Una herramienta EASM observa la organización desde internet sin credenciales y enumera lo que encontraría el reconocimiento de un atacante: dominios y subdominios, certificados, IP y servicios expuestos, almacenamiento en la nube, repositorios de código, credenciales filtradas, páginas de terceros que llevan la marca. Su pregunta definitoria es «¿qué tenemos en internet que no sabíamos que teníamos?».
La gestión de la superficie de ataque de ciberactivos, CAASM, es inventario desde dentro hacia fuera. Una herramienta CAASM se conecta por API a los sistemas ya en uso (escáner, EDR, cuentas cloud, proveedor de identidad, CMDB, MDM) y los concilia en una única vista de cada activo, haciendo visibles las lagunas entre fuentes. Su pregunta definitoria es «¿qué poseemos, y está cada cosa cubierta por los controles que creemos?».
La gestión de la exposición es el programa que CTEM describe, y la categoría de herramientas que Gartner llama ahora plataformas de evaluación de la exposición. Toma el descubrimiento de donde venga, EASM y CAASM incluidos, ordena las exposiciones por explotabilidad e impacto en el negocio, valida las principales e impulsa la remediación. Su pregunta definitoria es «¿qué exposiciones usaría un atacante, y están corregidas?».
Las dos primeras son técnicas de descubrimiento. La tercera es un ciclo de cinco fases, de las que el descubrimiento es una. Esa asimetría es toda la distinción.
Dónde termina cada una
EASM termina en el perímetro y en el descubrimiento. Ve el subdominio olvidado y el panel de administración expuesto, y puede indicar la versión del servicio y si existe un exploit conocido. No ve la cuenta de servicio con privilegios excesivos detrás del panel, no sabe qué proceso de negocio sostiene el host y no prueba si el exploit funciona contra la configuración concreta. Algunos productos EASM ofrecen una priorización ligera, normalmente la severidad del servicio expuesto más si el activo era desconocido antes. Ninguno valida ni moviliza más allá de alertas.
CAASM termina en el inventario y la cobertura de controles. Es muy bueno en «estos 340 servidores no tienen agente EDR» y «estas cuentas cloud no se escanean». Es un resultado de descubrimiento y uno útil, porque las exposiciones que más daño hacen suelen estar en activos que nadie escaneaba. Pero CAASM no busca exposiciones por sí mismo; agrega lo que otras herramientas encontraron. No tiene visión de rutas de ataque, no valida, y su movilización es un ticket que dice «instalar el agente».
La gestión de la exposición termina donde termina la capacidad de remediación. Cubre las cinco fases en principio, aunque en la práctica la categoría de plataformas es fuerte en descubrimiento y priorización y escasa en validación, razón por la que Gartner sigue la validación adversarial de la exposición como categoría aparte (Gartner, marzo de 2025). Nuestra guía de herramientas lo recorre fase por fase.
| Pregunta | EASM | CAASM | Gestión de la exposición |
|---|---|---|---|
| Punto de vista | De fuera hacia dentro, sin autenticación | De dentro hacia fuera, vía API a las propias herramientas | Ambos, más contexto de negocio |
| Qué encuentra | Activos expuestos a internet desconocidos y servicios expuestos | Todos los activos propios, y lagunas de cobertura | Exposiciones ordenadas por explotabilidad e impacto |
| Fases CTEM | Descubrimiento (externo) | Descubrimiento (inventario) | Las cinco, con la validación a menudo vía socio |
| Termina en | El perímetro | El inventario | La capacidad de remediación y el alcance |
| Responsable habitual | Operaciones de seguridad | Gestión de activos de TI o ingeniería de seguridad | Programa de gestión de vulnerabilidades o de la exposición |
Qué hizo Gartner con las etiquetas
El Hype Cycle for Security Operations de Gartner de 2024 (Gartner, julio de 2024, investigación para suscriptores) situó EASM en el abismo de la desilusión, citando empresas que no estaban preparadas para consumir y operativizar el resultado, según resume IONIX. En la edición de 2025 (Gartner), Gartner marcó tanto CAASM como EASM como obsoletas antes de la meseta, según resume Axonius, lo que en el vocabulario de Gartner significa que se espera que la capacidad sea absorbida por plataformas más amplias antes de alcanzar la adopción generalizada como producto independiente.
Es la visión de un analista sobre el mercado, no un juicio sobre si las capacidades son útiles. El descubrimiento desde fuera y el inventario conciliado siguen siendo necesarios; la cuestión es que se están convirtiendo en funciones de las plataformas de exposición y no en productos que se compran por separado. El efecto práctico es que la mayoría de los proveedores de EASM y CAASM se describen ahora como gestión de la exposición, y los compradores tienen que mirar más allá de la etiqueta para averiguar qué fases cubre un producto. El directorio existe exactamente por esa razón.
Cuál se necesita realmente
Si no se puede enumerar con confianza los activos expuestos a internet, se necesita EASM, o el módulo EASM de la plataforma que se tenga. Es la victoria de descubrimiento más barata disponible y el primer alcance habitual de un programa de 90 días.
Si el escáner, el EDR y la CMDB no coinciden en cuántos servidores hay, se necesita CAASM o una conciliación equivalente. Puede que no haga falta un producto; dos exportaciones y un cruce sacan adelante un primer ciclo. Lo que se necesita es la disciplina de hacer seguimiento de la diferencia.
Si se tienen ambos y todavía no se puede decir qué diez exposiciones importan más este mes, ni si alguna de ellas se probó, se necesita el resto del ciclo: priorización por ruta de ataque, validación y movilización con responsables designados. Eso es la gestión de la exposición, y es sobre todo proceso con herramientas por debajo.
El error habitual es comprar en el orden equivocado: una plataforma de exposición antes de que el descubrimiento sea fiable, de modo que la priorización se ejecuta sobre un inventario incompleto. El segundo error habitual es detenerse tras el descubrimiento, de modo que el programa produce una lista muy completa que nadie valida ni corrige. Ambos parecen actividad. Ninguno reduce la exposición.
Una prueba para las herramientas actuales
Tome lo que llame su herramienta de superficie de ataque o de exposición y hágale tres preguntas. ¿Puede mostrar un activo expuesto a internet que no se conocía el mes pasado? ¿Puede mostrar un activo que sí se conoce y que ningún escáner cubre? ¿Puede mostrar una exposición cuya explotabilidad demostró, y el ticket que la cerró?
Un sí a la primera es EASM. Un sí a la segunda es CAASM. Un sí a la tercera es gestión de la exposición. La mayoría de las herramientas responden sí a una, y eso está bien siempre que se sepa a cuál y se tenga un plan para las otras.
Siguiente
Lea Qué es CTEM para ver las cinco fases al completo, y use el directorio de proveedores para ver qué fases cubre un producto dado, se llame como se llame.