De onde o nome vem
PTEM começou como nome que um fornecedor deu ao próprio método. A descrição junta visibilidade da exposição com leitura do que o atacante está fazendo agora.
Registrar a origem não é implicância. Muda como você lê o termo. CTEM é framework de analista, publicado pelo Gartner e usado por dezenas de fornecedores com o mesmo significado. PTEM ainda é vocabulário de uma casa só. Os dois podem ser úteis, mas só o primeiro serve de critério comum quando você compara propostas.
O que a palavra "ameaça" acrescenta
A ideia por trás do T é distinguir duas perguntas. Uma é o que dá para explorar em tese, respondida por simulação e por inteligência de exploit. A outra é o que está sendo explorado agora, respondida por observação de campanha ativa.
A segunda pergunta é a que reordena a fila de verdade. Uma falha de nota média em uso ativo hoje importa mais que uma falha 9.8 sem exploit conhecido há três anos, e nenhuma ordenação por CVSS chega a essa conclusão sozinha.
O detalhe é que isso já estava dentro do preemptive exposure management bem feito. A palavra extra enfatiza uma etapa, e não acrescenta uma.
PTEM, PEM e CTEM lado a lado
CTEM é o ciclo de cinco fases: escopo, descoberta, priorização, validação e mobilização. É método.
PEM é o compromisso de agir antes de existir incidente. É cadência.
PTEM é PEM com ênfase declarada em telemetria de atacante. É recorte comercial.
Nenhum dos três substitui gestão de vulnerabilidades, que continua sendo a etapa que trata a falha no ativo conhecido.
Como usar isso numa comparação
Pergunte de onde vem o dado de ameaça e com que frequência ele chega. Catálogo KEV da CISA, EPSS e exploit público são fontes que qualquer fornecedor consegue citar. Observação própria de infraestrutura de atacante é outra coisa, e quem tem costuma explicar como obtém.
A sigla no material de marketing não responde nenhuma dessas perguntas.