La inteligencia de amenazas: el ingrediente clave para una CTEM efectiva

La Gestión Continua de Exposición a Amenazas (CTEM) ha pasado de ser un término de moda a una necesidad operativa. Sin embargo, en 2026, los equipos de los SOC siguen enfrentándose al mismo dilema: más datos de exposición de los que pueden procesar y ninguna forma fiable de decidir qué es realmente importante. Según una encuesta de mercado encargada por Filigran, el 96% de los equipos de seguridad tienen dificultades para validar si sus riesgos de seguridad son explotables, y dos de cada tres afirman no tener una visión consolidada de su exposición al ciberriesgo.

Para beneficiarse realmente de CTEM, las organizaciones necesitan utilizar mejor su inteligencia de ciberamenazas. No se trata solo de mejorar la gestión de activos y vulnerabilidades o de contar con un único proveedor de CTI, sino de unificar las señales para construir una imagen completa del panorama de amenazas. Este artículo se centra en las dos fases de CTEM donde esa brecha es más costosa y más fácil de solucionar: priorización y validación.

El ciclo CTEM: cinco fases en un bucle continuo

CTEM es un proceso de cinco fases definido por Gartner para que las organizaciones evalúen de forma continua y consistente la accesibilidad, exposición y explotabilidad de sus activos digitales y físicos. Las fases son: Alcance, Descubrimiento, Priorización, Validación y Movilización. El ciclo no es lineal, sino un bucle continuo donde cada fase depende de la anterior. Sin inteligencia de amenazas estructurada, CTEM sigue siendo un concepto abstracto; con ella, se convierte en un programa genuino de reducción de riesgos.

La clave es que todas las cinco fases dependen, en diversos grados, de que la inteligencia de amenazas esté presente y estructurada. Sin ella, CTEM sigue siendo una palabra de moda para un 'escaneo de vulnerabilidades' glorificado.

Priorización: donde la inteligencia de amenazas gana su lugar

La priorización es donde CTEM aporta valor. La empresa promedio tiene decenas de miles de vulnerabilidades abiertas; en 2024 se divulgaron más de 40.000 nuevos CVE. Ningún equipo puede solucionarlas todas. La pregunta no es 'qué es vulnerable', sino 'qué puede realmente dañarnos, dado quién nos ataca ahora'. Esa pregunta solo se responde con inteligencia contextual de amenazas. Sin embargo, los datos muestran que la mayoría de los equipos no pueden hacerlo correctamente: en promedio, el 42% del tiempo de los equipos del SOC se dedica a investigar riesgos potenciales que luego resultan ser de baja prioridad o no explotables. Al mismo tiempo, el 96% de esos equipos cree que la priorización los hace más efectivos.

La priorización efectiva combina tres factores: criticidad del activo, explotabilidad y relevancia del adversario. Para obtenerlos, se necesita inteligencia estructurada y curada, no solo una puntuación CVSS. Una vulnerabilidad CVSS 9.8 que ningún actor de amenazas relevante está explotando es un problema muy diferente de un hallazgo CVSS 7 que aparece en tres campañas recientes dirigidas a su sector.

Requisitos de inteligencia prioritarios en OpenCTI

Una forma práctica de operacionalizar esto es a través de los Requisitos de Inteligencia Prioritarios (PIR): preguntas estructuradas que su organización necesita que la inteligencia de amenazas responda, basadas en sus riesgos comerciales reales y su panorama de amenazas. En OpenCTI, el equipo del SOC o de CTI puede definir estos requisitos formalmente y medir continuamente si la inteligencia entrante los está respondiendo. Por ejemplo, un PIR podría ser: '¿Qué grupos de ransomware atacan actualmente a organizaciones manufactureras en Europa y qué técnicas de acceso inicial están utilizando?' OpenCTI estructura la inteligencia entrante contra ese requisito, identifica los actores relevantes, mapea sus TTP a MITRE ATT&CK y permite pivotar desde el actor hasta el activo afectado.

Para los profesionales, esto significa que la priorización deja de ser un ejercicio semanal en una hoja de cálculo y se convierte en una vista continuamente actualizada de lo que más importa, fundamentada en evidencia. Para los CISOs y líderes de seguridad, significa que las decisiones de priorización pueden explicarse en términos de comportamiento de adversarios específicos.

Validación: demostrar que sus controles funcionan contra amenazas reales

La priorización dice en qué centrarse, pero la validación demuestra si los controles realmente detendrían a un atacante. Menos de 4 de cada 10 organizaciones han logrado una validación continua, automatizada e impulsada por inteligencia. El 14,5% utiliza la inteligencia de amenazas solo de forma selectiva u ocasional en sus flujos de trabajo de validación. Esto convierte a la validación en un cuello de botella entre saber que existe un riesgo y saber que importa. La solución es la misma que para la priorización: inteligencia de amenazas integrada adecuadamente en simulaciones de brechas y ataques.

Lo que realmente importa es si sus controles pueden detener las técnicas específicas que utilizan los adversarios que le atacan ahora. Esto requiere que el proceso de validación esté impulsado por la misma inteligencia que impulsó la priorización. La transferencia de la inteligencia de amenazas a la validación es crítica.

Validación basada en inteligencia con OpenCTI y OpenAEV

En el caso de Filigran, la integración entre OpenCTI y OpenAEV es clave. OpenCTI presenta el panorama de amenazas (actores activos, técnicas utilizadas, vulnerabilidades explotadas) y OpenAEV convierte esa inteligencia en simulaciones de ataque realistas alineadas con los adversarios. El flujo de trabajo es directo: un analista identifica un contexto de amenaza relevante en OpenCTI, lo mapea a técnicas ATT&CK y lo envía a OpenAEV para construir un escenario de simulación. OpenAEV ejecuta la secuencia de ataque de forma segura y mide si el EDR lo detectó, si el SIEM generó una alerta y si el firewall bloqueó el movimiento lateral. El resultado es basado en evidencia: 'Emulamos la técnica de acceso inicial utilizada por este actor de amenazas. Nuestro EDR no lo detectó. Aquí está la regla de detección específica que hay que ajustar. Lo retestamos tras la corrección y ahora bloquea y alerta en ocho minutos.'

Este tipo de resultado (desde un actor de amenazas con nombre hasta una brecha de control validada y una remediación confirmada) es lo que separa un programa CTEM maduro de un ejercicio caro de gestión de vulnerabilidades.

CTEM como base de la defensa informada por amenazas

Cuando se ejecuta bien, CTEM aprovecha la inteligencia proactiva de amenazas para identificar señales de alerta temprana de amenazas y vulnerabilidades emergentes, mejorando la capacidad de tomar decisiones estratégicas y reducir los riesgos generales. Cada decisión de priorización se basa en el comportamiento del adversario. Cada ejercicio de validación refleja técnicas de ataque del mundo real. Cada acción de remediación se secuencia según lo que más importa para las amenazas reales a las que se enfrenta su organización. La brecha entre 'sabemos de esta amenaza' y 'hemos demostrado que podemos detenerla' es donde la mayoría de los programas de seguridad fallan. Cerrar esa brecha de forma continua, con evidencia basada en amenazas, es lo que CTEM, bien hecho, realmente ofrece.