El riesgo no espera a la próxima auditoría
Un pentest anual retrata un solo día del año. Los otros trescientos sesenta y cuatro quedan sin observar, y ahí es exactamente donde CTEM cambia las reglas.
Lo esencial
- 01Gartner estandarizó CTEM en 2022: un marco de cinco fases para gestionar el riesgo de forma continua, no una vez al año.
- 02Anticipatory Intelligence cubre cuatro fases completas y acompaña la quinta: el despliegue final depende del equipo interno de cada organización.
- 03Un senior de kritero interviene en las fases que requieren criterio de negocio; una IA cubre la vigilancia continua que ningún equipo humano puede sostener a diario.
En este artículo
Un pentest anual describe con precisión un día del año. Los otros trescientos sesenta y cuatro quedan fuera de observación. Durante ese tiempo, la superficie expuesta de una organización cambia: se publican nuevos subdominios, se abren puertos, aparecen credenciales filtradas, se despliegan versiones sin revisar. Nada de eso lo recoge una fotografía puntual.
En 2022, Gartner acuñó un marco para resolver justo ese problema: Continuous Threat Exposure Management, o CTEM. Un programa de cinco fases pensado para evaluar de forma continua la exposición real de una organización, en lugar de retratarla una vez al año. No es una idea nueva desde cero: es la misma tesis que sostiene nuestro servicio de Anticipatory Intelligence. Aquí explicamos cómo lo cubrimos, fase por fase.
El cambio de fondo que plantea CTEM no es solo de frecuencia. Es de lenguaje. El pentest tradicional entregaba un informe técnico pensado para quienes ejecutan la seguridad. CTEM, operado correctamente, entrega un programa de riesgo continuo pensado para quienes toman decisiones. Esa diferencia cambia todo: qué se mide, cómo se comunica y qué acciones genera.
No inventamos la categoría. La operamos de principio a fin con un mismo equipo y un mismo criterio. Eso es lo que marca la diferencia frente a un proveedor que cubre solo una parte del ciclo.
Víctor González Milán, Director de Operaciones y Estrategia, kritero
Qué proteger
Todo programa de exposición empieza por delimitar qué activos entran en el alcance. En kritero ese paso lo decide la organización, no una plantilla genérica: el activo designado puede ser un dominio completo, una aplicación crítica o el perímetro de una filial concreta. Sin checklist estándar, sin alcance heredado de otro cliente.
Qué hay expuesto
Aquí es donde la cadencia importa más de lo que parece. Lo que suele preocupar a un comité de dirección no es el punto exacto en el que se hizo el último análisis, sino el área bajo la curva: el riesgo acumulado durante todo el tiempo que ha pasado sin observación.
Con un modelo tradicional de un análisis al año, el riesgo sube y se queda ahí, acumulándose, hasta que llega la siguiente revisión. Con una cadencia trimestral, la exposición nunca llega a superar un nivel medio, porque se resetea antes de volverse crítica. La diferencia no es cuántas veces se mira, sino cuánto tiempo permanece un fallo explotable sin que nadie lo sepa.
Por eso esta fase se apoya en monitorización diaria de la superficie publicada, subdominios, puertos, certificados, credenciales filtradas, combinada con escaneo dinámico automatizado sobre los activos designados.
En los comités en los que participo, la pregunta casi nunca es cuántas veces se ha revisado la seguridad este año. Es cuál es nuestro nivel de exposición y qué riesgo estamos asumiendo. Esa es la pregunta que de verdad importa.
Víctor González Milán, Director de Operaciones y Estrategia, kritero
Qué importa primero
Un hallazgo técnico no vale lo mismo en todas las organizaciones. Una misma vulnerabilidad puede ser irrelevante en un entorno aislado y crítica en un sistema que procesa datos sensibles. Priorizar solo por severidad técnica, por CVSS, ignora esa diferencia.
El pentest tradicional entregaba una lista ordenada por puntuación técnica. El problema es que esa puntuación no sabe nada del negocio: no sabe qué sistemas son críticos para la operación, qué controles ya están aplicados ni qué impacto tendría un incidente en cada área.
La metodología Vanguard traduce cada hallazgo a riesgo residual: probabilidad real de explotación, impacto sobre confidencialidad, integridad y disponibilidad, y el efecto de los controles ya implantados. El resultado es una cifra que un comité puede comparar con cualquier otra decisión de inversión, no una puntuación técnica que solo tiene sentido para quien la generó.
Qué es real
Detectar no es lo mismo que confirmar. Un escáner puede señalar cientos de hallazgos teóricos; la mayoría nunca llegarían a explotarse en condiciones reales. Por eso esta fase se apoya en explotación controlada con evidencia reproducible: si no hay prueba de concepto, el hallazgo no se reporta. Es la diferencia entre una lista de posibles problemas y la certeza de cuáles son reales.
En un entorno donde modelos como Mythos, de Anthropic, pueden encadenar vulnerabilidades de bajo impacto en exploits funcionales en cuestión de horas, reportar hallazgos no validados no es solo ruido: distrae a los equipos de lo que realmente puede explotarse hoy.
Qué se corrige y en qué orden
Esta es la fase que casi ningún proveedor comunica con honestidad, porque la mayoría termina su trabajo en el momento de entregar el informe.
En kritero cubrimos esta fase de forma parcial y deliberada: indicamos qué corregir, en qué orden y con qué urgencia, con retest incluido para confirmar que la corrección aplicada ha eliminado la exposición. Lo que queda fuera de nuestro alcance es el despliegue técnico en sí, que depende de los equipos internos o del proveedor de sistemas de cada organización.
Es una zona gris que reconocemos: el ciclo no cierra del todo sin la ejecución del deploy. Por eso lo nombramos, para que la organización sepa exactamente dónde empieza su responsabilidad y dónde termina la nuestra.
Un informe que nadie vuelve a abrir no cierra nada. Nosotros no consideramos terminado el trabajo hasta que confirmamos que la corrección funciona. El deploy es el paso siguiente, y acompañamos su priorización para que los equipos internos sepan por dónde empezar.
Víctor González Milán, Director de Operaciones y Estrategia, kritero
Un ciclo, no una foto
La mayoría de proveedores cubre una o dos de estas cinco fases: quien vende un escáner cubre bien la detección, quien hace un pentest anual cubre la validación en un único momento del año. Pocos cierran el ciclo completo, y menos aún lo hacen con un mismo equipo, un mismo criterio y una sola plataforma de seguimiento.
El cambio real no está en hacer más pentests. Está en pasar de un lenguaje técnico de vulnerabilidades a un programa de riesgo continuo que habla el idioma de quien tiene que decidir.
Anticipatory Intelligence cubre cuatro fases completas y acompaña la quinta. Es la forma más honesta de describirlo.
Fuente: Gartner, marco Continuous Threat Exposure Management (CTEM), 2022.
¿Sabe tu comité en qué fase del ciclo CTEM está hoy vuestra organización?
Analizamos sin compromiso y sin coste la superficie externa de vuestro dominio y os entregamos el informe de exposición. Sin instalar nada, sin tocar vuestros sistemas.
Un ciclo completo de gestión de exposición, con un senior en las fases que requieren criterio.