El modelo de Gartner desplaza el foco de la cantidad de vulnerabilidades detectadas a la cantidad de vectores de ataque realmente cerrados, con validación de explotabilidad y asignación de responsables.
El modelo tradicional de gestión de vulnerabilidades — escaneos periódicos, identificación de fallas, aplicación de parches — está llegando a su límite operativo. Decenas de miles de vulnerabilidades se publican cada año, generando backlogs inmanejables donde los hallazgos críticos quedan sepultados bajo montañas de issues menores. Mientras tanto, los atacantes operan con ventanas de oportunidad cada vez más estrechas, apoyándose en IA para acelerar la explotación. En ese contexto, organizaciones de seguridad en Europa y América Latina están evaluando la adopción de CTEM (Continuous Threat Exposure Management), el marco de Gartner que propone un cambio estructural: pasar de la detección puntual a la comprensión continua de la exposición real al riesgo.
Tres diferencias que separan CTEM del modelo anterior
Fernando Maldonado, principal analyst en Foundry Spain, identifica tres áreas donde CTEM marca una ruptura con el enfoque tradicional. La primera es el alcance: además de software vulnerable, CTEM incorpora misconfigurations, identity risks, excessive permissions y leaked credentials — vectores que los atacantes están explotando con frecuencia creciente y que los scanners convencionales no detectan. La segunda es la validación: en lugar de confiar en un score de severidad, CTEM verifica si la exposición es realmente explotable y si los controles actuales la prevendrían. La tercera es la movilización: el marco asigna responsabilidad específica a una persona por cada issue a remediar, eliminando el punto donde tradicionalmente se estancan los procesos de remediación.
El cambio de métrica es central. Maldonado lo resume así: el objetivo deja de ser cuántas vulnerabilidades se encontraron y pasa a ser cuántos vectores de ataque reales se cerraron. Esa distinción no es semántica — es operativa. Luis Uribe, offensive security engineer en Factum, señala que las infraestructuras modernas cambian constantemente: cloud environments, distributed applications, API integrations, continuous deployments y automation alteran el attack surface en cuestión de horas o días. Un snapshot único puede ser útil, pero queda obsoleto rápido. Nuevos assets, cambios de configuración, servicios expuestos o modificaciones de permisos pueden alterar el nivel de riesgo antes de que llegue el próximo escaneo programado.
Por qué los escaneos únicos ya no alcanzan en entornos de cambio constante
Entre un assessment y el siguiente, existe un período prolongado de incertidumbre. Maldonado advierte que los atacantes, cada vez más apoyados en IA, están reduciendo el tiempo necesario para explotar vulnerabilidades nuevas. Simplemente parchear y no hacer nada más ya no es suficiente. El volumen agrava el problema: con decenas de miles de CVEs publicados anualmente, los equipos de seguridad enfrentan backlogs donde los hallazgos importantes quedan enterrados. Y la cobertura es otro punto ciego: los scanners detectan software vulnerable, pero no ven identidades, SaaS, misconfigurations ni vectores de ataque — precisamente los puntos de entrada que los atacantes están usando.
Agustín Serralta, director de services y CISO en SCC España, plantea que la automatización es clave para manejar grandes volúmenes de datos en entornos complejos, pero delegar completamente la toma de decisiones a algoritmos es riesgoso, especialmente si esos modelos no se revisan o quedan obsoletos. La inteligencia contextual tiene que combinar contexto técnico (explotabilidad, exposición, medidas existentes) con contexto de negocio (qué sistemas soportan procesos críticos, obligaciones legales, compromisos contractuales). Sin esa combinación, no hay gestión de riesgo real — solo priorización basada en necesidades técnicas.
Cómo se implementa CTEM sin reemplazar las pruebas ofensivas
Uribe destaca que la automatización y la inteligencia contextual son los dos pilares del modelo CTEM. La primera permite visibilidad continua sobre assets, configuraciones, vulnerabilidades y cambios en el entorno, facilitando la detección temprana de nuevas exposiciones. La segunda asegura que las decisiones de priorización no se basen únicamente en scores técnicos, sino en el impacto real sobre el negocio. Esto no significa que CTEM reemplace penetration testing o actividades de red team — esas prácticas siguen siendo fundamentales para identificar vulnerabilidades complejas, errores de diseño, fallas lógicas o técnicas de ataque avanzadas que difícilmente se detectan mediante procesos automatizados. El monitoreo continuo y las evaluaciones ofensivas deben entenderse como capacidades complementarias dentro de una estrategia de ciberseguridad madura.
El primer paso para implementar CTEM es lograr una vista integral del attack surface: todos los assets de la organización, incluyendo infraestructuras tradicionales, cloud environments, aplicaciones, identidades digitales, dispositivos conectados y servicios expuestos a terceros. No se puede proteger lo que no se conoce, y muchas organizaciones descubren assets no inventariados recién cuando un incidente los expone. Una vez establecida esa visibilidad, el marco de Gartner propone cinco fases — scoping, discovery, prioritization, validation y mobilization — que la automatización permite ejecutar de manera ágil y eficiente. El humano pasa a ser un analista que supervisa el correcto funcionamiento del modelo y valida los datos que produce, garantizando una implementación efectiva y confiable.
Impacto en organizaciones latinoamericanas con infraestructura híbrida
Para organizaciones en América Latina, la adopción de CTEM enfrenta desafíos específicos. Muchas empresas en la región operan infraestructuras híbridas donde coexisten sistemas legacy on-premise con cloud environments de múltiples proveedores, aumentando la complejidad del attack surface. En sectores como banca, energía y telecomunicaciones en México, Brasil y Colombia, la dependencia de integraciones API y servicios expuestos a terceros multiplica los vectores de ataque que los escaneos tradicionales no cubren. La escasez de talento especializado en seguridad en la región hace que la automatización del modelo CTEM sea particularmente relevante: permite que equipos reducidos mantengan visibilidad continua sin depender exclusivamente de assessments manuales periódicos. Sin embargo, la implementación requiere madurez previa en gestión de activos — un punto donde muchas organizaciones latinoamericanas todavía tienen gaps significativos.
Nuestro análisis
CTEM no es una herramienta nueva — es un cambio de paradigma en cómo las organizaciones entienden y gestionan su exposición al riesgo. El modelo de Gartner responde a una realidad estructural: los entornos modernos cambian más rápido de lo que los ciclos de assessment tradicionales pueden seguir, y los atacantes están explotando esa brecha temporal con creciente eficiencia. La propuesta de validar explotabilidad real en lugar de confiar en scores de severidad, y de asignar responsables específicos por cada issue, ataca dos puntos de fricción históricos en la gestión de vulnerabilidades: la priorización desconectada del contexto de negocio y la falta de accountability en la remediación. Lo que todavía no está claro es qué tan escalable resulta este modelo en organizaciones con madurez heterogénea en gestión de activos — especialmente en regiones como América Latina, donde la visibilidad completa del attack surface sigue siendo un objetivo en construcción para muchas empresas.
Si CTEM logra tracción en los próximos dos años, el cambio de métrica que propone Maldonado — de vulnerabilidades encontradas a vectores de ataque cerrados — podría redefinir cómo se mide la efectividad de los equipos de seguridad. Pero eso depende de que las organizaciones resuelvan primero el problema más básico: ¿realmente saben qué assets tienen expuestos?