Tendencia. a Gestión

Gestión Continua de la Exposición al Riesgo (CTEM)

Se ha dejado de lado el modelo tradicional de análisis de vulnerabilidades y se ha dado un paso hacia el constante sondeo de los sistemas para encontrar vulnerabilidades aprovechables por los atacantes.

Este enfoque se estructura en un ciclo iterativo de cinco fases fundamentales:

Scoping (Delimitación): Define el alcance de la exposición en función de los procesos de negocio críticos, integrando no solo la infraestructura de TI tradicional, sino también entornos en la nube, código fuente, identidades digitales y la cadena de suministro.

Discovery (Descubrimiento): Se abandonan los escaneos estáticos programados. Los sistemas son sondeados de forma constante para identificar fallas, errores de configuración, credenciales expuestas y activos de la "Shadow IT" (tecnología oculta o no autorizada).

Prioritization (Priorización): A diferencia del modelo tradicional que priorizaba por la gravedad teórica de la vulnerabilidad, la CTEM prioriza según la contextualización del riesgo empresarial: ¿El activo es accesible desde internet?, ¿existe código de explotación activo en la dark web?, ¿el sistema cuenta con controles compensatorios?

Validation (Validación): Es uno de los pasos más disruptivos. En lugar de asumir que una vulnerabilidad es explotable, se utilizan herramientas de simulación de brechas y ataques (BAS) o pruebas automatizadas para comprobar si las defensas reales detienen al atacante.

Mobilization (Movilización): Alinea a los equipos de seguridad, desarrollo e infraestructura para automatizar los flujos de trabajo de corrección, pasando de simplemente "entregar reportes de fallas" a ejecutar soluciones colaborativas y medibles.

Bibliografía:

Shashanka, M., Shen, M.-Y., & Wang, J. (2016). User and entity behavior analytics for enterprise security. 2016 IEEE International Conference on Big Data (Big Data), 1867–1874. https://www.shashanka.net/stuff/shashanka_BigData2016.pdf

Enrique R. (2024). ¿Qué es la gestión continua de la exposición a amenazas (CTEM)?. https://www.relucio.es/blog/que-es-la-gestion-continua-de-la-exposicion-a-amenazas-ctem/