Guía
¿Qué es la gestión continua de la exposición a amenazas?
CTEM es un programa, no un producto. Es un ciclo que se repite para encontrar las exposiciones que un atacante podría usar de verdad contra la organización, demostrar cuáles importan y conseguir que se corrijan.
- 01 Alcance: Acordar qué entra en juego
- 02 Descubrimiento: Encontrar cada exposición, no solo CVE
- 03 Priorización: Ordenar por ruta de ataque e impacto
- 04 Validación: Demostrar que es explotable
- 05 Movilización: Conseguir que se arregle, y demostrarlo
De dónde viene el término
Gartner introdujo la gestión continua de la exposición a amenazas (CTEM) en 20221 como respuesta a un problema conocido: los escáneres de vulnerabilidades producen decenas de miles de hallazgos, los equipos de remediación pueden atender unos cientos y nadie sabe decir con seguridad cuáles son esos cientos que importan. CTEM replantea la tarea: de «parchear todo lo que tenga un CVSS alto» a «reducir las exposiciones que llevan a un impacto en el negocio».
Desde entonces Gartner la ha incluido entre las principales tendencias tecnológicas estratégicas2 y predice que las organizaciones que prioricen la inversión en un programa CTEM tendrán muchas menos probabilidades de sufrir una brecha. Se confíe o no en la predicción, el efecto presupuestario es real: CTEM es ya una partida en muchos programas de seguridad, y todos los proveedores de exposición se han reposicionado en torno a ella.
Las cinco fases
1. Alcance
Decidir qué cubre el ciclo. No «todo», sino una porción con sentido para el negocio: la superficie de ataque externa, el parque SaaS, los sistemas que sostienen un proceso de ingresos concreto. El alcance es donde el equipo de seguridad y el negocio acuerdan qué significa «crítico».
2. Descubrimiento
Enumerar los activos y las exposiciones dentro del alcance. Es más amplio que las vulnerabilidades: configuraciones incorrectas, credenciales expuestas, identidades débiles, shadow IT, accesos de terceros. La mayoría de las organizaciones descubren que tienen más activos de los que figuran en su inventario.
3. Priorización
Clasificar las exposiciones por probabilidad de explotación e impacto en el negocio, no por la puntuación de severidad en bruto. Una buena priorización usa el análisis de rutas de ataque, inteligencia de amenazas sobre explotación activa como el catálogo de vulnerabilidades explotadas conocidas de CISA (KEV)3 y los controles compensatorios ya existentes.
4. Validación
Demostrar que las exposiciones priorizadas son realmente explotables en el entorno propio y si los controles las detectarían o no. Aquí se sitúan la simulación de brechas y ataques, las pruebas de penetración automatizadas y los ejercicios de red team. Esta fase es donde CTEM más se diferencia de la gestión de vulnerabilidades tradicional.
5. Movilización
Convertir los hallazgos en correcciones. Encaminar el trabajo a los equipos propietarios de los sistemas, seguirlo hasta el cierre e informar del progreso en términos que el negocio entienda. La movilización fracasa cuando seguridad entrega una hoja de cálculo y cruza los dedos.
CTEM frente a la gestión de vulnerabilidades
| Pregunta | Gestión de vulnerabilidades | CTEM |
|---|---|---|
| ¿Qué se mide? | CVE conocidas en los hosts escaneados | Cualquier exposición que un atacante pueda usar, incluidas identidad y configuración |
| ¿Cómo se clasifica? | Severidad CVSS | Explotabilidad en contexto más impacto en el negocio |
| ¿Se demuestra? | Rara vez | Validada mediante simulación o pruebas |
| ¿Quién es responsable de la corrección? | Normalmente operaciones de TI, vía ticket | Propietarios de sistema designados, con resultados en seguimiento |
| Cadencia | Escaneos periódicos | Ciclo continuo con alcance definido |
Lo que CTEM no es
- No es una única herramienta. Ningún producto cubre bien las cinco fases. La mayoría cubre dos o tres y se apoya en socios para el resto. Consulte el directorio para ver quién cubre qué.
- No sustituye al parcheo. Decide qué parchear primero.
- No es solo externo. La gestión de la superficie de ataque externa es una entrada más; las exposiciones internas de identidad y configuración suelen ser el mayor riesgo.
Cómo empezar
- Elegir un alcance reducido con un responsable de negocio evidente. La superficie de ataque externa suele ser la primera opción porque está acotada y es visible.
- Ejecutar el descubrimiento con lo que ya se tiene: el escáner, las herramientas de postura del proveedor de nube, un escaneo de la superficie de ataque externa.
- Priorizar a mano en el primer ciclo. Así se aprende qué datos faltan.
- Validar las diez exposiciones principales con una prueba dirigida.
- Corregirlas, medir el tiempo de cierre e informar de ello. Después, ampliar el alcance.
Siguiente
- Comprobación rápida: cinco preguntas para encontrar la fase más débil.
- Autoevaluación completa: veinte afirmaciones, un nivel de madurez, un cuadro de resultados guardado.
- Directorio de proveedores: qué plataformas cubren qué fases.
Fuentes
- Gartner, «Implement a Continuous Threat Exposure Management (CTEM) Program», 2022 (suscripción a Gartner). El modelo de cinco fases se resume en los materiales públicos de Gartner. ↩
- Gartner, «Gartner Identifies the Top 10 Strategic Technology Trends for 2024», nota de prensa, 16 de octubre de 2023, que incluye la gestión continua de la exposición a amenazas. ↩
- CISA, Known Exploited Vulnerabilities Catalog. ↩