O que o nome descreve
CTEM é a sigla de continuous threat exposure management, ou gestão contínua de exposição a ameaças. O Gartner cunhou o termo em 2022 para nomear um programa, não uma ferramenta: um ciclo de cinco fases que a organização roda de forma recorrente sobre a própria exposição.
A palavra que faz o trabalho ali é contínua. Auditoria anual, pentest semestral e revisão trimestral já existiam. O que o CTEM propõe é rodar as mesmas perguntas numa cadência que acompanha a velocidade com que a superfície muda.
As cinco fases
Delimitação de escopo. Decidir o que entra no ciclo, pelo recorte de negócio: quais sistemas, quais marcas, quais processos importam neste trimestre. Inventário técnico vem depois.
Descoberta. Levantar o que existe dentro daquele escopo, incluindo o que não está no inventário oficial. É onde entra a gestão da superfície de ataque.
Priorização. Ordenar por risco real ao negócio, e não por gravidade técnica isolada. Uma falha nota 9.8 sem exploit conhecido espera; uma de nota média em campanha ativa não espera.
Validação. Confirmar que a exposição priorizada é de fato alcançável e explorável naquele ativo. É a fase que separa fila de achados de fila de problemas.
Mobilização. Transformar o resultado em trabalho com dono, prazo e acompanhamento. Sem essa fase o ciclo produz relatório.
Onde os programas travam
Quase nunca na descoberta, que é a fase que as ferramentas resolvem bem.
Travam na mobilização. A organização passa a enxergar mais, valida melhor, e esbarra no fato de que corrigir exige um time que não responde à segurança. Achado validado sem dono e sem prazo tem o mesmo destino de achado bruto.
O segundo ponto de atrito é o escopo. Times técnicos tendem a definir escopo por infraestrutura, o que produz um ciclo grande demais para fechar. Escopo por processo de negócio é menor, fecha, e permite a segunda volta.
CTEM e as siglas vizinhas
O mercado adotou vários nomes para trabalho parecido, e a diferença entre eles é menor do que a comunicação sugere. Um texto separado trata do que cada nome quer dizer.
Vale reter uma distinção. Gestão de exposição é a disciplina; CTEM é o programa nomeado pelo Gartner, com as cinco fases acima. Uma organização pode fazer gestão de exposição madura sem nunca usar a sigla.
Sobre a previsão dos três anos
A frase mais citada do assunto é a projeção do Gartner de que organizações que priorizassem investimento com base em CTEM teriam três vezes menos probabilidade de sofrer uma violação até 2026.
Ela continua sem estudo independente que a meça com metodologia controlada. É honesto tratá-la como direcionalmente apoiada. O balanço do ano-marco está em um texto próprio.
O ciclo de cinco fases se defende sem essa estatística. Ele obriga a organização a olhar exposição de forma recorrente, e isso muda o resultado independentemente do número que aparece na capa da apresentação.
A CSURFACE sustenta as fases de descoberta, priorização e validação de um programa de CTEM a partir da superfície externa.