¿Qué es la gestión continua de la exposición a amenazas (CTEM)?

Gartner introdujo el concepto de CTEM a principios de la década de 2020, describiendo un proceso de cinco pasos para agilizar la gestión de riesgos y hacerla más exhaustiva: alcance, descubrimiento, priorización, validación y movilización.

La CTEM es una forma evolucionada de gestión de vulnerabilidades, la práctica básica de identificar, puntuar y priorizar amenazas. Aumenta la gestión tradicional de vulnerabilidades con sofisticadas capacidades de priorización y validación que permiten a las organizaciones identificar con precisión qué amenazas son las más peligrosas en cualquier momento. El CTEM monitoriza continuamente el ecosistema de TI y prioriza la corrección de una manera que se ajusta estrechamente a las prioridades empresariales. 

El objetivo de CTEM es permitir una seguridad proactiva centrando los recursos de una organización en los riesgos cibernéticos que plantean las amenazas más legítimas e inmediatas para el medio ambiente. De esta manera, el CTEM puede ayudar a reducir la fatiga por alertas y el tiempo medio de reparación (MTTR).

Los avances recientes en informática hacen que un enfoque proactivo hacia la seguridad sea aún más crucial que antes. Los analistas de Gartner escribieron en mayo de 2026¹ que Claude Mythos Preview y Project Glasswing de Anthropic "requieren" un CTEM efectivo. De manera similar, un informe de IDC ² de marzo de 2026 afirma que los procesos CTEM en curso serán cruciales para prepararse para la criptografía poscuántica .

El marco CTEM consta de cinco pasos clave: determinación del alcance, descubrimiento, priorización, validación y movilización.

El alcance es el proceso de decidir qué elementos de la infraestructura de TI se incluirán en el CTEM.

Un programa CTEM puede incluir entornos de nube, almacenamiento de datos en las instalaciones de datos, componentes de terceros o cualquier combinación de estos elementos. Determinar qué elementos se incluyen en el proceso de gestión y qué se gestionará específicamente es posiblemente el paso más crucial para garantizar que CTEM impulse los resultados empresariales.

Los equipos de seguridad comienzan por hacer un inventario de los activos y definir cuáles son las llamadas "joyas de la corona", que son cruciales para el funcionamiento del negocio. Luego, mapean exhaustivamente la superficie de ataque: cómo las amenazas en evolución pueden entrar a través de los activos orientados a Internet y en la nube, las conexiones internas por las que se pueden propagar estas amenazas, los puntos de conexión de terceros que pueden ser vulnerables y las oportunidades de suplantación de identidad o ingeniería social.

El resultado del proceso de alcanzamiento es una lista de activos críticos para el negocio y mapas correspondientes de sus superficies de ataque. Esta información guía el resto del ciclo de CTEM.

El alcance se revisa normalmente cuando se realizan cambios significativos como migración a la nube o nuevas incorporaciones de proveedores al entorno, o cuando cambia el contexto empresarial.

El descubrimiento es el proceso de recopilación de inteligencia sobre las amenazas al entorno de TI. En el contexto del CTEM, la característica más importante de este paso es que es continuo. Los equipos de seguridad utilizan herramientas automatizadas de análisis de vulnerabilidades para evaluar constantemente el entorno de CTEM para detectar las vulnerabilidades existentes y las posibles rutas de ataque.

Los equipos de CTEM utilizan varias herramientas para analizar exhaustivamente todos los activos incluidos. Las herramientas más comunes incluyen las pruebas dinámicas de seguridad de aplicaciones (DAST), el análisis de la composición del software (SCA), la gestión de la superficie de ataque (ASM), la detección y respuesta a amenazas de identidad (ITDR) y muchos otros programas de seguridad automatizados.

Las conclusiones del proceso de descubrimiento suelen repercutir en el alcance, ya que el análisis continuo de vulnerabilidades revela qué partes de la superficie de ataque son las más vulnerables y el CTEM debe priorizarlas.

Una vez definida y escaneada la superficie de ataque, los equipos de CTEM deciden qué amenazas abordar y en qué dirección. 

CTEM adopta un enfoque más detallado de priorización que muchas prácticas tradicionales de puntuación de riesgos de seguridad, centrándose únicamente en aquellos objetivos que están más en riesgo y son relevantes para los resultados empresariales. 

Los criterios comunes de priorización de CTEM incluyen: 

• La explotabilidad, o la facilidad con la que los atacantes se benefician de una vulnerabilidad. 
  
  
• La criticidad o la importancia de los elementos vulnerables para las funciones empresariales. 
  
  
• El contexto o la forma en que se conectan los activos con otros elementos del entorno. La priorización por contexto suele incluir un análisis formal de la ruta de ataque, que traza cómo podría formarse una cadena a partir de vulnerabilidades a activos críticos.  
  
  
• Inteligencia, o conocimiento sobre qué vulnerabilidades son conocidas por los hackers y cuáles tienen más probabilidades de ser explotadas en la práctica. 

El objetivo de la priorización es producir una lista jerárquica de vulnerabilidades que contenga todos los elementos dentro del alcance del proyecto CTEM. 

La validación es un paso crucial que diferencia a la CTEM de la gestión tradicional de vulnerabilidades. Implica establecer que las vulnerabilidades identificadas son realmente explotables en la práctica.

Al validar vulnerabilidades, los equipos de seguridad pueden determinar si una exposición es accesible, si puede ser explotada dadas las condiciones de la red, si las medidas de seguridad existentes son suficientes para protegerla y qué daño podría derivar de su explotación.

Para validar vulnerabilidades, los equipos de seguridad suelen simular ciberataques reales. Las simulaciones se realizan de forma manual con un equipo rojo, con herramientas automatizadas de pruebas de penetración o una combinación de ambas.

La movilización es la etapa en la que la organización actúa sobre las perspectivas obtenidas en los pasos anteriores de CTEM.

Los equipos de seguridad recomiendan correcciones específicas para cada vulnerabilidad, incluidos nuevos controles, versiones de parches específicas, cambios de configuración e instrucciones para cualquier dependencia que pueda verse afectada. Algunas vulnerabilidades bien definidas y de bajo riesgo, como las credenciales expuestas, los puertos abiertos y los simples errores de configuración, se pueden solucionar mediante simples automatizaciones.

Los equipos de seguridad también explican por qué se han priorizado estas vulnerabilidades para su remediación y ayudan a integrar las correcciones en los flujos de trabajo de los equipos asignados a cada vulnerabilidad. Esta parte del proceso requiere colaboración y comunicación en toda la empresa, lo que convierte al CTEM tanto en un proceso de gestión del cambio como en un problema de ciberseguridad. 

CTEM es un programa integral que incorpora muchos elementos de gestión de vulnerabilidades, pero amplía significativamente su alcance, mejora su frecuencia y agudiza su enfoque.

El flujo de trabajo tradicional de gestión de vulnerabilidades es ligeramente diferente del flujo de trabajo principal de CTEM. Las etapas de la gestión de las vulnerabilidades incluyen:

1. Descubrimiento: Una evaluación de vulnerabilidades identifica, evalúa e informa sobre las debilidades de seguridad y sus posibles impactos.
   
   
2. Categorización y priorización: Las herramientas de gestión de vulnerabilidades se basan en fuentes de inteligencia de amenazas, como la lista de Vulnerabilidades y Exposiciones Comunes (CVE), para puntuar la criticidad de vulnerabilidad.
   
   
3. Solución: El equipo de seguridad corrige, mitiga o deja los problemas sin abordar, según la gravedad de la vulnerabilidad.
   
   
4. Revaloración: Una nueva comprobación del sistema para asegurar que la resolución funcionaba como se esperaba.
   
   
5. Informes: Donde el estado de la red, tal como se estableció durante la gestión de la vulnerabilidad, se comparte con las partes interesadas pertinentes.

CTEM toma los mismos principios y procesos básicos, los aumenta con herramientas avanzadas y vincula estrechamente el descubrimiento, la evaluación y la corrección de vulnerabilidades con el impacto empresarial.

En última instancia, CTEM puede considerarse como una evolución de la gestión de vulnerabilidades más centrada, refinada y alineada con el negocio.

Algunas de las herramientas más comunes utilizadas para CTEM incluyen:

Los beneficios de implementar CTEM incluyen una respuesta más rápida a las vulnerabilidades, la alineación entre la seguridad y los resultados empresariales y una visión más sólida de la superficie de ataque de la organización.

Con su enfoque integral de priorización, el CTEM ayuda a eliminar los falsos positivos y dirige a los equipos de seguridad hacia las vulnerabilidades que son explotables en lugar de teóricas. Los equipos pueden responder rápida y de forma decisiva gracias a los flujos de trabajo definidos en el paso de movilización de CTEM. 

Las decisiones de priorización de CTEM tienen en cuenta la reducción del riesgo empresarial junto con la vulnerabilidad técnica, lo que ayuda a crear una alineación entre los esfuerzos de seguridad de una organización y sus objetivos empresariales. Esta alineación facilita la comunicación del riesgo al equipo directivo y la justificación de las inversiones en seguridad necesarias.

A través de la monitorización continua, el alcance centrado y la validación exhaustiva, CTEM proporciona a los equipos de seguridad una visión en tiempo real de la posición de seguridad de una organización, en lugar de una serie de instantáneas estáticas. Como resultado, el equipo de seguridad puede comprender mejor no solo las vulnerabilidades de forma aislada, sino también cómo están conectados los puntos vulnerables de su infraestructura de TI.

Los desafíos de implementar CTEM incluyen unificar los flujos de trabajo organizacionales, los gastos potencialmente altos y eliminar los cuellos de botella para la corrección.

El alcance de CTEM es vasto, no solo para cubrir toda la superficie de ataque, sino para unir TI, negocio, seguridad y DevOps en flujos de trabajo compartidos de descubrimiento, priorización y corrección. Y definir el alcance del proyecto en sí puede ser un obstáculo importante, ya que requiere un inventario exhaustivo de los objetivos y activos empresariales.

Los flujos de trabajo de CTEM se ejecutan de forma continua, lo que puede requerir importantes inversiones generales en herramientas de seguridad y herramientas de monitorización, servicios y personal. Los costes pueden ser prohibitivos, especialmente para empresas medianas.

Si bien la fase de movilización tiene como objetivo poner en práctica las perspectivas obtenidas a través del CTEM, la corrección de los riesgos en toda la organización suele requerir la colaboración entre equipos y la aplicación de prácticas de gestión del cambio. Estos requisitos a menudo van más allá del alcance del propio proceso CTEM.