¿Qué es CTEM y por qué surge?
La gestión de vulnerabilidades clásica escanea los activos conocidos, ordena los hallazgos por CVSS y entrega una lista de miles de elementos que rara vez se llega a cerrar. CTEM nace para corregir tres problemas de ese modelo: mira solo CVEs, no comprueba si algo es explotable de verdad y funciona por fotos periódicas.
En CTEM, una exposición es cualquier cosa que un atacante pueda alcanzar y aprovechar: una vulnerabilidad, una configuración errónea, una credencial filtrada, una identidad con permisos excesivos, un servicio publicado por error, un dominio que suplanta tu marca o el acceso de un proveedor. IBM lo resume como una evolución de la gestión de vulnerabilidades más centrada y alineada con el negocio.
¿Cuáles son las 5 fases de CTEM?
| Fase | Pregunta que responde | Ejemplo |
|---|---|---|
| 1. Alcance (scoping) | ¿Qué superficie y qué riesgo de negocio revisamos en este ciclo? | Todo lo que se ve desde internet del área de pagos |
| 2. Descubrimiento (discovery) | ¿Qué activos y exposiciones hay dentro de ese alcance? | Subdominios olvidados, un escritorio remoto expuesto, credenciales en logs de infostealers |
| 3. Priorización (prioritization) | ¿Qué arreglamos primero? | Una VPN expuesta con una vulnerabilidad explotada activamente va antes que un CVSS 9,8 en un servidor interno aislado |
| 4. Validación (validation) | ¿Es explotable de verdad? ¿Funcionarían nuestros controles? | Pentest dirigido, simulación de ataques o ejercicio de red team |
| 5. Movilización (mobilization) | ¿Quién lo arregla, cómo y cuándo? | Ticket con dueño, fecha y excepción documentada si no se corrige |
Dos fases marcan la diferencia. La priorización usa señales de amenaza real: el catálogo KEV de CISA reúne las vulnerabilidades con explotación confirmada, y EPSS estima la probabilidad de que un CVE se explote en los próximos 30 días. La movilización reconoce que la mayoría de las exposiciones las corrigen equipos fuera de seguridad (sistemas, desarrollo, proveedores), así que exige acordar dueños, plazos y excepciones.
La validación suele hacerse con pentest, red team o simulación de ataques (BAS). Gartner agrupa estas tecnologías en la categoría adversarial exposure validation (AEV) y llama plataformas de evaluación de la exposición (EAP) a las herramientas que apoyan el descubrimiento y la priorización.
¿En qué se diferencia CTEM de la gestión de vulnerabilidades?
| Aspecto | Gestión de vulnerabilidades tradicional | CTEM |
|---|---|---|
| Qué mira | CVEs en activos conocidos | Cualquier exposición: CVEs, configuración, identidades, credenciales, SaaS, terceros |
| Ritmo | Escaneos periódicos | Ciclos continuos con un alcance definido |
| Priorización | Sobre todo CVSS | Explotabilidad, amenaza activa e impacto en el negocio |
| Validación | Rara vez | Fase explícita del ciclo |
| Resultado | Informe con miles de hallazgos | Lista corta de acciones con dueño y fecha |
¿Qué diferencia hay entre CTEM y EASM?
EASM (gestión de la superficie de ataque externa) es una categoría de herramientas que localiza de forma continua los activos expuestos a internet, incluidos los que no sabías que tenías. CTEM es el programa que decide qué hacer con eso. EASM alimenta las fases de descubrimiento y priorización, pero no valida ni moviliza.
| Enfoque | Qué hace | Fase de CTEM a la que aporta |
|---|---|---|
| EASM | Inventario continuo de lo expuesto a internet: dominios, IPs, servicios, certificados | Descubrimiento y priorización |
| Vigilancia de amenazas externas | Busca credenciales filtradas, menciones de marca y accesos en venta en foros y dark web | Descubrimiento de exposiciones que no son activos |
| Escáner de vulnerabilidades | Detecta CVEs y configuraciones en activos conocidos | Descubrimiento |
| Pentest, BAS y red team | Comprueban si una exposición se puede explotar | Validación |
| Ticketing y automatización | Asignan, siguen y cierran la remediación | Movilización |
Ninguna herramienta cubre las cinco fases por sí sola: el alcance y la movilización son decisiones de organización.
¿Cómo empezar un programa CTEM en tu empresa?
- Elige un alcance pequeño ligado a un riesgo que la dirección entienda. La superficie externa suele ser un buen primer ciclo: es lo que ve cualquier atacante.
- Haz inventario desde fuera: dominios, subdominios, rangos de IP, certificados, servicios SaaS y cuentas de directivos.
- Añade exposiciones que no son activos: credenciales filtradas, logs de infostealers y dominios que suplantan tu marca.
- Escribe los criterios de prioridad: explotación activa, exposición a internet, valor del activo y controles compensatorios.
- Valida lo más alto de la lista antes de movilizar a otros equipos, con una prueba controlada o un pentest dirigido.
- Acuerda dueños, plazos y excepciones con sistemas y negocio, y mide.
- Cierra el ciclo y amplía el alcance en el siguiente.
¿Qué métricas sirven para medir un programa CTEM?
- Tiempo desde que se encuentra una exposición crítica hasta que se corrige o se mitiga.
- Número de exposiciones críticas abiertas en la superficie externa, y su evolución.
- Porcentaje de activos expuestos con dueño identificado.
- Tiempo de reacción ante una credencial filtrada: cambio de contraseña y revocación de sesiones.
- Porcentaje de hallazgos priorizados que la validación confirma como explotables. Si es bajo, revisa los criterios de priorización.
- Exposiciones que reaparecen después de cerrarse.
Cómo encaja Ciberia CTM en un programa CTEM
Ciberia CTM vigila de forma continua la exposición externa de tu empresa: credenciales filtradas, infraestructura expuesta y menciones de tu marca y tus directivos. Cada alerta llega con contexto y con la acción recomendada. Dentro de un programa CTEM, aporta sobre todo al descubrimiento y la priorización de la exposición externa, y facilita la movilización con esa acción recomendada. El alcance, la validación y la coordinación de la remediación con tus equipos siguen siendo parte de tu programa.
