Directorio
Proveedores de CTEM, según las fases que cubren de verdad.
Todos los proveedores que siguen venden hoy un relato CTEM. Este directorio registra cuáles de las cinco fases cubre de verdad cada producto, según nuestra evaluación, para poder montar un programa en lugar de comprar un eslogan.
Cómo evaluamos la cobertura
- Evidencia. Todas las fichas se elaboran a partir de la documentación pública del proveedor: documentación de producto, notas de versión y precios publicados. Las puntuaciones son nuestra lectura de esa documentación.
- Escala. ■ completa: el producto es una herramienta principal creíble para esa fase. ◪ parcial: contribuye, pero habría que combinarlo con otra cosa. □ ninguna: no es una capacidad significativa hoy. Las definiciones por fase están más abajo, en Cómo puntuamos cada fase.
- Dinero. Ningún proveedor ha pagado por una ficha ni ha visto un resumen antes de su publicación. Los niveles de ficha reclamada y ficha patrocinada se describen en la página de colaboración.
- Cadencia. Cada ficha indica el mes de su revisión. Volvemos a revisar con cada versión importante y, como mínimo, cada seis meses.
- 01 Alcance: Acordar qué entra en juego
- 02 Descubrimiento: Encontrar cada exposición, no solo CVE
- 03 Priorización: Ordenar por ruta de ataque e impacto
- 04 Validación: Demostrar que es explotable
- 05 Movilización: Conseguir que se arregle, y demostrarlo
Ordenar
Filtrar Todas
■ completa · ◪ parcial · □ ninguna. Las columnas 01–05 son las fases de la franja superior.
| Producto | 01 Alcance | 02 Descubrir | 03 Priorizar | 04 Validar | 05 Movilizar | Nuestro resumen |
|---|---|---|---|---|---|---|
| Armis Centrix | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: ninguna | Movilización: completa | Plataforma de inteligencia de activos que evolucionó hacia la gestión de la exposición, más fuerte donde el parque incluye OT, dispositivos médicos e IoT no gestionado. La priorización y el flujo de remediación están maduros; la validación adversarial no es nativa. Plataforma de exposiciónInteligencia de activosSeguridad OT e IoT |
| CyCognito | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: completa | Movilización: parcial | Gestión de la superficie de ataque externa con pruebas activas reales en lugar de inferencias. El descubrimiento y la validación de activos expuestos a internet son sólidos; no hay ninguna cobertura interna, de identidad ni de endpoints. Gestión de la superficie de ataqueValidaciónSeguridad de aplicaciones |
| Cymulate | Alcance: ninguna | Descubrimiento: parcial | Priorización: parcial | Validación: completa | Movilización: parcial | Proveedor de simulación de brechas y ataques que se reposicionó como plataforma de gestión de la exposición en agosto de 2025. La validación es el núcleo y la fase más sólida; el descubrimiento es más ligero que en las plataformas centradas en el escáner. Simulación de brechas y ataquesValidaciónPlataforma de exposición |
| Detectify | Alcance: ninguna | Descubrimiento: parcial | Priorización: parcial | Validación: parcial | Movilización: parcial | Monitorización de la superficie de ataque externa para aplicaciones web, impulsada por investigación de seguridad colaborativa. Limitada por diseño, fuerte en aplicaciones expuestas a internet y uno de los pocos proveedores que publica al menos los precios de sus niveles de plataforma. Gestión de la superficie de ataqueSeguridad de aplicaciones |
| Falcon Exposure Management | Alcance: completa | Descubrimiento: completa | Priorización: completa | Validación: parcial | Movilización: completa | Gestión de la exposición dentro de la plataforma Falcon, más convincente si ya se ejecutan sensores Falcon, aunque desde junio de 2026 también se vende para entornos con endpoints de terceros. Cuatro fases están bien cubiertas; la validación adversarial es una oferta de servicios y no un producto. Plataforma de exposiciónGestión de la superficie de ataqueSeguridad de endpoints |
| Intruder | Alcance: ninguna | Descubrimiento: parcial | Priorización: parcial | Validación: parcial | Movilización: parcial | Escaneo externo e interno ligero para equipos pequeños y medianos, con precios publicados y un nivel gratuito. Un punto de entrada realista a la gestión de la exposición sin presupuesto de gran empresa. Gestión de la superficie de ataqueGestión de vulnerabilidades |
| IONIX | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: completa | Movilización: parcial | Gestión de la exposición externa que sigue la cadena de suministro digital hasta las dependencias gestionadas por proveedores y de terceros, con simulación segura de exploits para confirmar qué es realmente explotable. Gestión de la superficie de ataqueValidaciónRiesgo de terceros |
| Microsoft Security Exposure Management | Alcance: completa | Descubrimiento: completa | Priorización: completa | Validación: parcial | Movilización: parcial | Gestión de la exposición integrada en el portal de Defender, que se nutre de los productos de seguridad de Microsoft que ya se tengan licenciados. Alcance y rutas de ataque sólidos; sin validación adversarial nativa. Plataforma de exposiciónAnálisis de rutas de ataque |
| Nucleus Security | Alcance: parcial | Descubrimiento: parcial | Priorización: completa | Validación: ninguna | Movilización: completa | Capa de agregación y remediación sobre los escáneres que ya se ejecutan. La priorización y la movilización están entre las más sólidas de este directorio; no hace escaneo ni pruebas propias, y el descubrimiento se limita al inventario y a la detección guiada por inteligencia que deriva de las herramientas conectadas. Plataforma de exposiciónGestión de vulnerabilidadesOrquestación de la remediación |
| Orca Security | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: parcial | Movilización: completa | Plataforma de seguridad en la nube sin agentes con un sólido análisis de rutas de ataque y remediación agéntica. Solo nube, y comercializa la gestión de la exposición de forma menos explícita que sus competidores. Seguridad en la nubePlataforma de exposiciónAnálisis de rutas de ataque |
| Pentera | Alcance: ninguna | Descubrimiento: parcial | Priorización: completa | Validación: completa | Movilización: completa | Pruebas de penetración automatizadas y seguras por diseño sobre la exposición interna, externa y de credenciales. Una de las validaciones más profundas de este directorio, y ahora también con un flujo de remediación real. Pruebas de penetración automatizadasValidaciónOrquestación de la remediación |
| Picus Security | Alcance: ninguna | Descubrimiento: parcial | Priorización: parcial | Validación: completa | Movilización: parcial | Plataforma de validación de seguridad que prueba los controles frente a técnicas de ataque actuales y traslada los resultados a la exposición. Una de las opciones más sólidas para demostrar si la detección y la prevención funcionan de verdad. Simulación de brechas y ataquesValidaciónIngeniería de detección |
| Qualys Enterprise TruRisk | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: completa | Movilización: completa | Plataforma de escaneo veterana que añadió validación nativa de exploits en 2026, lo que la convierte en uno de los pocos proveedores que tocan las cinco fases sin un segundo producto, aunque el alcance solo es parcial. Plataforma de exposiciónGestión de vulnerabilidadesValidación |
| Rapid7 Exposure Command | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: parcial | Movilización: completa | Combina gestión de vulnerabilidades, superficie de ataque externa y postura en la nube en una única vista híbrida de la exposición. Cobertura amplia para parques mixtos; la validación es un servicio gestionado y no una función del producto. Plataforma de exposiciónGestión de vulnerabilidadesSeguridad en la nube |
| Tenable One | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: parcial | Movilización: completa | Una de las huellas de descubrimiento más amplias del directorio, construida sobre la herencia de escaneo de Tenable y ampliada con la adquisición de Vulcan Cyber. La validación se limita al estado de los controles de seguridad, no a pruebas adversariales. Plataforma de exposiciónGestión de vulnerabilidadesAnálisis de rutas de ataque |
| Wiz | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: completa | Movilización: completa | Plataforma de seguridad en la nube que se extendió de forma convincente a la gestión de la exposición, con un módulo de superficie de ataque de fuera hacia dentro y un agente autónomo de pruebas de penetración. Nube primero, ahora parte de Google Cloud. Seguridad en la nubePlataforma de exposiciónValidación |
| XM Cyber | Alcance: parcial | Descubrimiento: completa | Priorización: completa | Validación: parcial | Movilización: completa | Uno de los productos de análisis de rutas de ataque más consolidados: un gemelo digital del entorno que clasifica los puntos de estrangulamiento según cuántas rutas hacia activos críticos cortan. CrowdStrike acordó comprar su propiedad intelectual en julio de 2026. Análisis de rutas de ataquePlataforma de exposiciónValidación |
Las fichas patrocinadas son espacios de pago que se muestran en un bloque aparte y etiquetado encima de la tabla. El pago nunca modifica el orden de la tabla, las puntuaciones ni nuestros resúmenes.
Cómo puntuamos cada fase
| Fase | ■ 2 completa | ◪ 1 parcial | □ 0 ninguna |
|---|---|---|---|
| 01 Alcance | Ayuda a acordar qué entra en el alcance y su criticidad para el negocio, con un modelo de criticidad en el producto. | Aporta contexto de alcance o de activos, pero acordar el alcance y la criticidad queda en manos del usuario o de otra herramienta. | Sin capacidad de alcance: «lo configura usted mismo» y ningún modelo de criticidad. |
| 02 Descubrimiento | Recopila de forma nativa varias fuentes, más allá de los CVE (errores de configuración, credenciales, identidad, activos expuestos a internet). | Alcance limitado (por ejemplo, solo externo) o fuentes importadas sobre todo de otros productos mediante integraciones. | Sin capacidad de descubrimiento. |
| 03 Priorización | Ordena por ruta de ataque, alcanzabilidad e impacto en el negocio. | Añade contexto, como inteligencia sobre explotación o criticidad del activo, pero sin razonamiento de rutas de ataque. | Solo puntuación de gravedad (CVSS) y recuento de activos. |
| 04 Validación | Pruebas activas nativas que intentan el exploit o el ataque y registran la prueba del resultado. | Modelada, inferida o bajo demanda: la explotabilidad se deduce de un feed o de un modelo, o la prueba solo se ejecuta cuando se solicita. | Sin capacidad de validación. |
| 05 Movilización | Asigna un responsable de la corrección y una fecha, y vuelve a probar antes de cerrar el ticket. | Tickets, responsables o flujo de trabajo, pero «cerrado» solo significa que cambió el estado del ticket; no hay nueva prueba. | Sin capacidad de movilización. |
Cómo leer el directorio
- Plataforma de exposición: orientada al descubrimiento y la priorización a partir de múltiples fuentes. Suele ser el sistema de referencia.
- Análisis de rutas de ataque: modela cómo se encadenan las exposiciones hasta los activos críticos. Especialistas en priorización.
- Simulación de brechas y ataques, pentest automatizado: validación. Demuestran que la exposición es real y que los controles no la detectan.
- Gestión de la superficie de ataque: descubrimiento externo. Rápida de desplegar, limitada por diseño.
Comparativas directas
¿Falta algo o hay un error? Proveedores y usuarios pueden enviar correcciones. Publicamos correcciones, no notas de prensa.
Incluir un productoReclamar una fichaDirectorio en JSONMatriz de cobertura por fase como datos abiertos