CTEM: de gestionar vulnerabilidades a reducir la exposición real al riesgo

Hasta ahora, la gestión tradicional de vulnerabilidades se ha basó en evaluaciones periódicas. Escaneos de entornos por parte de las empresas, identificación de vulnerabilidades, correcciones inmediatas dado el caso. El proceso se repetía semanas o meses después. Un enfoque todavía necesario, si bien se diseñó para un contexto en el que las infraestructuras evolucionaban más lentamente y los atacantes operaban a un ritmo muy diferente al actual.

La gestión continua de la exposición a amenazas (CTEM) representa una evolución mucho más amplia. En lugar de centrarse únicamente en las vulnerabilidades, CTEM busca comprender de forma continua la exposición al riesgo de una organización a través de endpoints, redes, identidades, entornos en la Nube, aplicaciones y usuarios.

La pregunta ya no es: “¿Qué vulnerabilidades tengo?”, sino: “¿Qué exposiciones representan un mayor riesgo para mi organización en este momento y cuáles debo priorizar?”, explica Iratxe Vázquez, directora sénior de Marketing de Producto de Ciberseguridad en WatchGuard Technologies. Según la especialista, CTEM no es simplemente una evolución de la gestión de vulnerabilidades. “Refleja un cambio más profundo hacia unas operaciones de seguridad continuas, donde la visibilidad, la priorización, la validación y la respuesta forman parte de un proceso permanente y no de un ejercicio puntual”, prosigue.

¿Dónde radica su originalidad? “CTEM aporta algo distinto en tres planos”, destaca Fernando Maldonado, analista principal de Foundry España. El primero, es el alcance, porque ya no se mira sólo el software vulnerable, también las configuraciones incorrectas, los riesgos de identidad, los permisos excesivos y las credenciales filtradas, que son las puertas que usan los atacantes. “El segundo es la validación, porque en vez de fiarse de una puntuación se comprueba si la exposición es realmente explotable y si los controles actuales la frenarían”. El tercero es la movilización, porque se asigna a alguien concreto la responsabilidad de arreglar cada cosa, que es donde tradicionalmente se atasca todo. “La métrica deja de ser cuántas vulnerabilidades he encontrado y pasa a ser cuántos caminos de ataque reales he cerrado”, concluye su explicación.

“Así que la pregunta correcta para un CISO no es en qué se diferencia CTEM, sino en qué se diferencia de su línea base actual, y cuánto de eso es capacidad nueva y cuánto es solo una etiqueta nueva”.

El escenario actual de amenazas deja claro que los escaneos puntuales han dejado de ser suficientes. Las infraestructuras actuales cambian de forma constante. Los entornos en la Nube, las aplicaciones distribuidas, las integraciones mediante API, los despliegues continuos y la automatización generan modificaciones permanentes en la superficie de exposición de las organizaciones.

“En ese contexto, una fotografía puntual puede aportar información útil, pero queda rápidamente desactualizada”, dice Luis Uribe, ingeniero de seguridad ofensiva en Factum. “La aparición de nuevos activos, cambios de configuración, servicios expuestos o modificaciones en permisos pueden alterar el nivel de riesgo en cuestión de horas o días”. Sin olvidar que los atacantes operan con ciclos cada vez más rápidos y aprovechan ventanas de oportunidad muy reducidas. “Por ello, las organizaciones necesitan una capacidad continua para identificar, contextualizar y priorizar las exposiciones que realmente podrían ser utilizadas en un ataque”.

Se debe tener en cuenta que el problema cambió en tres frentes a la vez, Maldonado. “El primero es la velocidad”. “Un pentest anual es una foto fija, pero la superficie de ataque cambia todos los días con despliegues, ajustes de configuración y servicios nuevos. Entre evaluaciones queda un largo periodo de incertidumbre, y los atacantes, apoyándose cada vez más en IA, tardan menos en explotar lo que aparece. Parchear y nada más se queda corto”. El segundo frente es el volumen. Cada año se publican decenas de miles de vulnerabilidades, lo que genera listas de pendientes inabarcables, donde lo importante queda enterrado bajo muchísimos hallazgos menores.

El tercero es la cobertura. “Los escáneres ven software vulnerable, pero no la identidad, ni el SaaS, ni las malas configuraciones, ni los caminos de ataque, que es justo por donde se entra. Un escaneo dice qué es vulnerable, pero no qué es explotable ni qué le importa de verdad al negocio. Esa parte del argumento se sostiene sin necesidad de creer a ningún proveedor, porque son hechos estructurales del entorno”, reconoce al respecto.

Luis Uribe admite que la automatización y la inteligencia contextual son dos pilares esenciales dentro de un modelo CTEM. La primera permite mantener una visibilidad permanente sobre activos, configuraciones, vulnerabilidades y cambios en el entorno, facilitando la detección temprana de nuevas exposiciones.

“A eso se suma que los atacantes tampoco actúan de forma estática. Se mueven lateralmente, explotan identidades, buscan rutas alternativas y combinan fallos técnicos con configuraciones incorrectas o credenciales expuestas. Por eso, Elisabetta Villa, responsable de Marketing de Producto de Ciberseguridad para EMEA en ReeVo, defiende un enfoque continuo, capaz de identificar exposiciones en tiempo real, validarlas, medir su impacto y definir la remediación antes de que puedan convertirse en una vía de ataque efectiva”, también por correo electrónico.

Mientras, la segunda permite interpretar esa información desde una perspectiva de riesgo. “No todas las vulnerabilidades tienen la misma relevancia ni todos los activos el mismo valor para la organización. El contexto incorpora variables como criticidad del activo, exposición externa, accesibilidad, privilegios asociados, existencia de rutas de ataque o impacto operativo potencial”, por lo que “la combinación de ambas capacidades mejora de forma significativa la priorización. En lugar de gestionar miles de alertas aisladas, los equipos de seguridad pueden concentrar sus esfuerzos en las exposiciones con mayor probabilidad de explotación e impacto para el negocio”.

Y si bien Agustín Serralta, director de Servicios de SCC, determina que la automatización es clave, en su opinión no sustituye al criterio humano. “En entornos complejos es imposible gestionar grandes volúmenes de datos sin automatización. Sin embargo, delegar completamente la toma de decisiones en algoritmos puede ser un riesgo, especialmente si esos modelos no se revisan o quedan obsoletos”. Por lo que, a su juicio, la inteligencia contextual debe combinar contexto técnico (explotabilidad, exposición, medidas existentes) con contexto de negocio (qué sistemas soportan procesos críticos, obligaciones legales o compromisos contractuales). “Sin esa combinación no hay gestión real del riesgo, sólo una priorización basada en necesidades técnicas. De todas formas, Elisabetta aporta que la automatización por sí no basta: “necesita contexto”. “La inteligencia contextual permite interpretar cada hallazgo según la criticidad del activo afectado, la probabilidad de explotación, la existencia de rutas de ataque viables, la exposición de identidades, las configuraciones del entorno y el posible impacto en el negocio”.

Castillo dice que es importante destacar que CTEM como enfoque no pretende sustituir los ejercicios de pentesting o las actividades de Red Team, “ya que siguen siendo servicios fundamentales para identificar vulnerabilidades complejas, errores de diseño, fallos lógicos o técnicas de ataque avanzadas que difícilmente pueden detectarse mediante procesos automatizados”. La monitorización continua y las evaluaciones ofensivas deben entenderse como capacidades complementarias dentro de una estrategia de ciberseguridad madura.

Maldonado advierte: “Conviene una cautela con la frase que tanto circula, la de que sin inteligencia de amenazas CTEM es un escáner con otro nombre. Es verdad operativa, pero también funciona como un escudo retórico, porque permite descartar cualquier CTEM que fracasa diciendo que no era CTEM de verdad, y eso vuelve el concepto casi imposible de refutar. Mantener el principio, sí, pero sin usarlo para inmunizar la categoría frente a sus propios fracasos”.

El primer paso es adoptar una visión integral de la superficie de ataque, incluyendo todos los activos de la organización: infraestructuras tradicionales, entornos en la Nube, aplicaciones, identidades digitales, dispositivos conectados y servicios expuestos a terceros, expone Javier Castillo, director de Operaciones de Secure&IT, a CSO ESPAÑA. Según ese especialista, “no se puede proteger aquello que no se conoce, y muchas organizaciones todavía carecen de una visión completa de todos los elementos que forman parte de su ecosistema”.

Castillo detecta que, a partir de ahí, es necesario evolucionar desde modelos basados exclusivamente en la detección de vulnerabilidades hacia procesos continuos de identificación, validación, priorización y remediación de riesgos. “Eso implica incorporar capacidades de monitorización continua y soluciones que permitan automatizar la recopilación y correlación de información, establecer métricas orientadas al riesgo y crear mecanismos de colaboración entre los distintos equipos técnicos y de negocio”. Porque, como defiende, “la ciberseguridad no puede entenderse como una actividad puntual, si no como un proceso dinámico y permanente”.

Serralta dice que el primer reto suele ser disminuir la fragmentación, “ya que se dispone de muchas herramientas, consolas, informes y datos que es materialmente imposible atender”. A nivel organizativo, los silos siguen siendo una barrera importante. “Cuando no está claro quién decide o quién es responsable, la seguridad se diluye. A nivel cultural, confluyen varias resistencias naturales, la falta de tiempo, el foco exclusivo en ‘cumplimiento’ o un exceso de confianza en herramientas”.

En ese punto Maldonado dice que “lo cultural es lo más duro”. “Implica cambiar la mentalidad de encontrar y reportar por la de validar y reducir riesgo de negocio, resistir el impulso de seguir cazando vulnerabilidades una a una, y asumir que CTEM no es una capacidad que entrega un proveedor, sino un modelo operativo que la organización tiene que diseñar y hacer suyo. Ese es el punto que hunde a más programas, porque se compra la herramienta esperando que traiga consigo la cultura, y eso nunca funciona así”.

Desde el punto de vista regulatorio, Serralta estima que CTEM encaja bien con el principio de gestión del riesgo exigido por las normativas locales y europeas, “pero sólo si se implanta con gobierno, trazabilidad y control humano, en línea con las políticas corporativas de Seguridad, Uso aceptable de la tecnología, Datos o IA que se deben tener definidas y distribuidas a todo el personal en las organizaciones”. Y dice, “en general, la seguridad no son solo herramientas, procesos y personas, es la necesidad de proteger el negocio que hoy se sustenta en la tecnología”.

Iratxe apunta que, en última instancia, CTEM no trata de gestionar vulnerabilidades. “Trata de gestionar continuamente la exposición, reducir el riesgo y mejorar la postura de seguridad en un entorno donde tanto los negocios como las amenazas evolucionan constantemente”. “Por eso cada vez más organizaciones —continúa— avanzan hacia modelos de operaciones de seguridad continuas, apoyados en visibilidad, automatización, inteligencia contextual e inteligencia artificial”.

Según Vázquez, el objetivo es claro: “Comprender continuamente la exposición, priorizar riesgos, reducir la superficie de ataque, detectar amenazas, responder más rápido y mejorar la postura de seguridad de forma constante”. Para lograrlo considera que son necesarias tres capacidades fundamentales: visibilidad continua, priorización y acción continuas. “Aquí es donde las plataformas de seguridad integradas adquieren una relevancia creciente. Al combinar protección de endpoints, seguridad de identidades, seguridad de red, reducción de superficie de ataque, detección y respuesta, las organizaciones obtienen la visibilidad y el contexto necesarios para gestionar la exposición de forma más eficaz”, explica para dar por concluido este reportaje.