Los tres números que explican la categoría
El DBIR 2026 de Verizon muestra la explotación de vulnerabilidades adelantando al robo de credenciales como forma más común de entrada. En el mismo informe, el tiempo mediano de corrección subió de 32 a 43 días. Y solo el 26% de los fallos del catálogo de explotación conocida de CISA estaban corregidos por completo.
Los tres se leen juntos. La puerta más usada hoy es el fallo expuesto, la cola de corrección se volvió más lenta que el año pasado, y tres cuartas partes de lo que se sabe bajo ataque sigue abierto. Nada de eso mejora con más escaneo.
Las tres etapas
Identificar todo lo que responde desde fuera, incluido lo que nadie registró. El activo olvidado es la puerta que nadie cierra, y no aparece en un inventario mantenido a mano.
Validar si aquello es realmente explotable. Exposición detectada y exposición usable no son lo mismo, y la distancia entre ambas suele ser la mayor fuente de trabajo inútil en un programa de seguridad.
Actuar antes de que se abra la ventana, lo que en la práctica significa retirar, aislar o corregir mientras todavía no hay incidente.
El orden importa. Saltarse la validación produce una cola enorme de cosas que nadie puede explotar, y así es como los equipos pierden el año entero.
Qué añade la palabra "preemptivo"
La gestión de exposición ya decía continua. Preemptivo aprieta el compromiso: el trabajo ocurre antes de que exista una alerta, no después. La detección y la respuesta operan sobre lo que ya entró. La capa preemptiva opera sobre lo que sigue fuera, y se mide por el incidente que no llegó a pasar.
Gartner situó la ciberseguridad preemptiva entre sus diez tendencias estratégicas de tecnología para 2026, en el anuncio del 20 de octubre de 2025, con la previsión de que estas soluciones alcancen la mitad del presupuesto de seguridad en 2030. Es una apuesta grande sobre una categoría que casi nadie sabe nombrar todavía.
Dónde la palabra se queda en etiqueta
Un escáner que se ejecuta cada lunes sigue siendo reactivo. Su granularidad es de siete días, y ningún adversario trabaja en ventana semanal. Cambiar el nombre del informe no cambia el intervalo.
La prueba que separa una cosa de la otra es fácil de hacer e incómoda de responder: cuánto tiempo pasa entre que un activo nuevo aparece en internet y alguien dentro de la empresa se entera de que existe. Si la respuesta se mide en días, el programa es periódico con nombre nuevo.
Una segunda prueba, más dura: de todo lo que detectó el trimestre pasado, cuánto pasó por alguna verificación de que era explotable de verdad. Un programa periódico normalmente no responde a esa.
PEM, CTEM y gestión de vulnerabilidades
Tres nombres que aparecen juntos y no significan lo mismo.
La gestión de vulnerabilidades trata el fallo en el activo que ya está en el inventario. Es el paso más antiguo y sigue siendo necesario.
CTEM es el ciclo de cinco fases que organiza el trabajo: alcance, descubrimiento, priorización, validación y movilización. Es método, no cadencia.
PEM es el compromiso sobre cuándo actúa ese ciclo. Se puede ejecutar CTEM en cadencia trimestral, y entonces el ciclo existe sin nada de preemptivo dentro. La disciplina más amplia que ambos instrumentan es el threat exposure management.
Preemptivo, proactivo y la pelea de nombres
En español, quien busca hoy escribe proactiva. Preemptiva es calco del inglés y todavía apenas aparece en las búsquedas. Las dos apuntan a la misma idea de actuar antes, y la segunda tiende a ganar porque es la que eligieron los analistas de mercado.
Hay una distinción que suele perderse. Proactivo describe postura. Preemptivo describe el momento de la acción respecto al ataque. Una empresa puede tener postura proactiva y aun así moverse después que todos.
Qué no resuelve PEM
Nada de esto cubre lo que ya entró. La detección y la respuesta siguen siendo necesarias, porque la capa preemptiva reduce la probabilidad sin llevarla a cero.
Y lo que solo se ve desde dentro sigue siendo trabajo de otra herramienta. Permisos excesivos en cuentas de nube, estaciones sin actualizar, uso indebido de una credencial válida: nada de eso responde en un puerto de internet, así que ninguna plataforma externa lo va a encontrar.
Cualquier proveedor que prometa las dos mitades en un mismo producto está vendiendo el nombre de la categoría, no la categoría.
Qué exige de quien lo opera
Un inventario que se actualiza solo, porque el activo olvidado es la puerta que nadie cierra. Un dueño asignado por activo, porque sin responsable nada se corrige ni se apaga. Validación de lo que es realmente explotable. Y ordenación por lo que está bajo ataque ahora, en lugar de por la nota teórica de gravedad.
Ese último punto es donde se equivocan la mayoría de los programas. El CVSS mide daño potencial en condiciones ideales para el atacante, y no dice nada sobre la probabilidad de que alguien lo intente. Hay fallos 9.8 publicados hace años sin un solo exploit conocido, y fallos de nota media en campaña activa ahora mismo.