La gestión continua de la exposición a amenazas, o CTEM, es una disciplina de ciberseguridad que hace hincapié en la evaluación continua y en tiempo real de la exposición a las ciberamenazas y en la priorización de estas.
Gartner introdujo el concepto de CTEM a principios de la década de 2020, describiendo un proceso de cinco pasos para agilizar la gestión de riesgos y hacerla más exhaustiva: alcance, descubrimiento, priorización, validación y movilización.
La CTEM es una forma evolucionada de gestión de vulnerabilidades, la práctica básica de identificar, puntuar y priorizar amenazas. Aumenta la gestión tradicional de vulnerabilidades con sofisticadas capacidades de priorización y validación que permiten a las organizaciones identificar con precisión qué amenazas son las más peligrosas en cualquier momento. La CTEM monitorea continuamente el ecosistema de TI, priorizando la corrección de una manera que esté estrechamente alineada con las prioridades del negocio.
El objetivo de la CTEM es habilitar la seguridad proactiva al enfocar los recursos de una organización en los riesgos cibernéticos que representan las amenazas más legítimas e inmediatas para el medio ambiente. De esta forma, la CTEM puede reducir la fatiga alerta y el tiempo medio de corrección (MTTR).
Los avances recientes en informática hacen que un enfoque proactivo hacia la seguridad sea aún más crucial que antes. Los analistas de Gartner escribieron en mayo de 20261 que Claude Mythos Preview y Project Glasswing de Anthropic “requieren” una CTEM efectiva. De manera similar, un informe de IDC2 de marzo de 2026 afirma que los procesos de CTEM en curso serán cruciales para prepararse para la criptografía postcuántica.
Manténgase al día sobre las tendencias más importantes e intrigantes de la industria sobre IA, automatización, datos y más con el boletín Think. Consulte la Declaración de privacidad de IBM.
El marco de la CTEM tiene cinco pasos clave: determinación del alcance, descubrimiento, priorización, validación y movilización.
El alcance es el proceso de decidir qué elementos de la infraestructura de TI se incluirán en la CTEM.
Un programa de CTEM puede incluir entornos en la nube, almacenamiento de datos on premises, componentes de terceros o cualquier combinación de estos elementos. Determinar qué elementos se incluyen en el proceso de gestión y qué se gestionará en particular es posiblemente el paso más crucial para garantizar que la CTEM impulse los resultados empresariales.
Los equipos de seguridad comienzan por hacer un inventario de los activos y definir cuáles son las llamadas “joyas de la corona” que son cruciales para el funcionamiento del negocio. Luego, mapean de manera integral la superficie de ataque: cómo las amenazas en evolución podrían entrar a través de activos orientados a Internet y en la nube, conexiones internas donde se pueden propagar estas amenazas, puntos de conexión de terceros que podrían ser vulnerables y oportunidades de phishing o ingeniería social.
El resultado del proceso de alcance es una lista de activos críticos para el negocio y los mapas correspondientes de sus superficies de ataque. Esta información guía el resto del ciclo de CTEM.
Por lo general, el alcance se vuelve a evaluar cuando se realizan cambios significativos, como migración a la nube o nuevas incorporaciones de proveedores al entorno, o cuando cambia el contexto del negocio.
El descubrimiento es el proceso de recopilación de inteligencia sobre las amenazas al entorno de TI. En el contexto de la CTEM, la característica más significativa de este paso es que es continuo. Los equipos de seguridad utilizan herramientas automatizadas de escaneo de vulnerabilidades para evaluar constantemente el entorno de CTEM en busca de vulnerabilidades existentes y posibles rutas de ataque.
Los equipos de CTEM utilizan diversas herramientas para escanear exhaustivamente cada activo dentro del alcance. Entre las herramientas más comunes se incluyen las pruebas dinámicas de seguridad de aplicaciones (DAST), el análisis de composición de software (SCA), la gestión de la superficie de ataque (ASM), la detección y respuesta ante amenazas de identidad (ITDR) y muchos otros programas de seguridad automatizados.
Los hallazgos del proceso de descubrimiento a menudo retroalimentan el alcance, ya que el escaneo continuo de vulnerabilidades revela qué partes de la superficie de ataque son más vulnerables y la CTEM debe priorizarlas.
Una vez definida y escaneada la superficie de ataque, los equipos de CTEM deciden qué amenazas abordar y en qué orden.
La CTEM adopta un enfoque más detallado para la priorización que muchas prácticas tradicionales de puntuación de riesgos de seguridad, centrándose solo en aquellos objetivos que están en mayor riesgo y son relevantes para los resultados del negocio.
Los criterios comunes de priorización de la CTEM incluyen:
El objetivo de la priorización es producir una lista jerárquica de vulnerabilidades que contenga todos los elementos dentro del alcance del proyecto CTEM.
La validación es un paso crucial que diferencia a la CTEM de la gestión tradicional de vulnerabilidades. Implica establecer que las vulnerabilidades identificadas son realmente explotables en la práctica.
Al validar las vulnerabilidades, los equipos de seguridad pueden determinar si una exposición es accesible, si se puede explotar dadas las condiciones de la red, si las medidas de seguridad existentes son suficientes para protegerla y qué daño podría derivarse de su explotación.
Para validar las vulnerabilidades, los equipos de seguridad suelen simular ciberataques reales. Las simulaciones se realizan manualmente con un equipo rojo, con herramientas automatizadas de pruebas de penetración o una combinación de ambas.
La movilización es la etapa en la que la organización actúa sobre la base de los insights obtenidos de los pasos anteriores de la CTEM.
Los equipos de seguridad recomiendan correcciones específicas para cada vulnerabilidad, incluidos nuevos controles, versiones de parches específicas, cambios de configuración e instrucciones para cualquier dependencia que pueda verse afectada. Algunas vulnerabilidades bien definidas y de menor riesgo, como credenciales expuestas, puertos abiertos y configuraciones erróneas simples, se pueden corregir mediante automatizaciones simples.
Los equipos de seguridad también explican por qué estas vulnerabilidades han sido priorizadas para la corrección y ayudan a integrar las correcciones en los flujos de trabajo de los equipos asignados a cada vulnerabilidad. Esta parte del proceso requiere colaboración y comunicación en todo el negocio, lo que hace que la CTEM sea tanto un proceso de gestión de cambios como una preocupación de ciberseguridad.
La CTEM es un programa integral que incorpora muchos elementos de gestión de vulnerabilidades, pero amplía significativamente su alcance, mejora su frecuencia y agudiza su enfoque.
El flujo de trabajo tradicional de gestión de vulnerabilidades es ligeramente diferente del flujo de trabajo principal de la CTEM. Las etapas de gestión de vulnerabilidades incluyen:
La CTEM toma los mismos principios y procesos básicos, los aumenta con herramientas avanzadas y vincula estrechamente el descubrimiento, la evaluación y la corrección de vulnerabilidades con el impacto en el negocio.
En última instancia, la CTEM puede considerarse como una evolución de la gestión de vulnerabilidades más enfocada, refinada y alineada con el negocio.
Algunas de las herramientas más comunes utilizadas para la CTEM incluyen:
Las plataformas de gestión de vulnerabilidades suelen proporcionar paneles para informar sobre métricas como el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR). Muchas también incluyen bases de datos de vulnerabilidades identificadas y herramientas de corrección como la gestión automatizada de parches y funciones de gestión de configuración.
La gestión de superficies de ataque proporciona visibilidad continua y en tiempo real de vulnerabilidades y vectores de ataque a medida que emergen. Las herramientas ASM suelen analizar la red empresarial desde la perspectiva de un hacker, identificando objetivos y evaluando riesgos en función de las oportunidades que presentan a un atacante malicioso.
Las plataformas SIEM ayudan a detectar anomalías en el comportamiento de los usuarios y usan inteligencia artificial (IA) para automatizar muchos de los procesos manuales asociados con la detección de amenazas y la respuesta a incidentes.
Las soluciones de simulación de brechas y ataques simulan automática y continuamente ciberataques para probar los controles de seguridad y proporcionar insights aplicables en la práctica.
Los beneficios de implementar la CTEM incluyen una respuesta más rápida a las vulnerabilidades, la alineación entre la seguridad y los resultados empresariales y una visión más sólida de la superficie de ataque de la organización.
Con su enfoque integral de priorización, la CTEM ayuda a eliminar los falsos positivos mientras dirige a los equipos de seguridad hacia vulnerabilidades que son explotables en lugar de teóricas. Los equipos pueden responder de forma rápida y decisiva gracias a los flujos de trabajo definidos en el paso de movilización de la CTEM.
Las decisiones de priorización de la CTEM tienen en cuenta la reducción del riesgo empresarial junto con la vulnerabilidad técnica, lo que ayuda a crear una alineación entre los esfuerzos de seguridad de una organización y sus objetivos empresariales. Esta alineación facilita la comunicación de los riesgos a los altos ejecutivos y la justificación de las inversiones necesarias en seguridad.
A través del monitoreo continuo, el alcance enfocado y la validación exhaustiva, la CTEM proporciona a los equipos de seguridad una visión en tiempo real de la postura de seguridad de una organización, en lugar de una serie de instantáneas estáticas. Como resultado, el equipo de seguridad puede comprender mejor no solo las vulnerabilidades de forma aislada, sino también cómo están conectados los puntos vulnerables de su infraestructura de TI.
Los desafíos de implementar la CTEM incluyen unir los flujos de trabajo organizacionales y los gastos potencialmente altos, y eliminar los cuellos de botella para la corrección.
El alcance de la CTEM es amplio, no solo para cubrir toda la superficie de ataque de la empresa, sino también para unir las áreas de TI, negocios, seguridad y DevOps en flujos de trabajo compartidos de descubrimiento, priorización y corrección. Y definir el alcance del proyecto en sí puede ser un obstáculo importante, ya que requiere un inventario exhaustivo de los objetivos y activos del negocio.
Los flujos de trabajo de la CTEM se ejecutan continuamente, lo que puede requerir importantes inversiones generales en herramientas, servicios y personal de seguridad y monitoreo. Los costos pueden ser prohibitivos, especialmente para las empresas medianas.
Aunque la fase de movilización está pensada para poner en práctica los insights obtenidos a través de la CTEM, corregir las exposiciones en toda la organización suele requerir colaboración entre equipos y prácticas de gestión de cambios. Estos requisitos a menudo van más allá del alcance del propio proceso de CTEM.
Aproveche el poder de la IA y la automatización para resolver problemas de manera proactiva en toda la pila de aplicaciones.
Utilice el software y las herramientas de DevOps para crear, desplegar y gestionar aplicaciones nativas de la nube en múltiples dispositivos y entornos.
Acelere la agilidad y el crecimiento empresarial: modernice continuamente sus aplicaciones en cualquier plataforma con nuestros servicios de consultoría en la nube.
1. “First Take: Claude Mythos and Project Glasswing Will Push Security Providers to Adopt Autonomous Cyber Immune Systems,” Gartner, 27 de mayo de 2026.
2. “The First Wave of Industrialized Post-Quantum Cryptography Is Here,”IDC, 1 de marzo de 2026.