CTEM: la gestione continua dell'esposizione affidata a un team offensivo.
Gestiamo il tuo programma CTEM come un ciclo che si ripete: definiamo ciò che conta per il business, individuiamo e ordiniamo le esposizioni, dimostriamo quali sono davvero sfruttabili e seguiamo ogni correzione fino al ciclo successivo.
Un ciclo, non una fotografia
Il continuous threat exposure management (CTEM) è il modello proposto da Gartner per andare oltre la gestione delle vulnerabilità a scadenza fissa, guidata dagli scanner. Al posto del test annuale e di un lungo elenco di CVE prevede un ciclo che stabilisce che cosa conta, trova ciò che è esposto, dimostra che cosa potrebbe sfruttare un attaccante e porta alla correzione, per poi ricominciare.
La validazione è spesso la fase più difficile da coprire: per dimostrare quali esposizioni formano un percorso d'attacco reale servono competenze offensive che gli strumenti da soli non offrono, ed è lì che un team offensivo serve di più. Copriamo ogni fase con le nostre linee di servizio, validiamo con penetration test, red teaming e breach and attack simulation, e usiamo BackBox AI per continuare le verifiche tra un intervento e l'altro.
Programma CTEM Gestione continua dell'esposizione alle minacce
- Perimetro di ogni ciclo definito sulle priorità di business
- Attack surface discovery e vulnerability assessment
- Priorità per sfruttabilità e impatto sul business
- Validazione con penetration test, red teaming e BAS
- Verifica pianificata dei percorsi d'attacco con BackBox AI
- Piano di remediation, retest e metriche di ciclo
Risultati
- Esposizione misurata nel tempo, ciclo dopo ciclo
- Correzioni concentrate sui percorsi d'attacco sfruttabili
- Controlli messi alla prova con tecniche d'attacco reali
- Evidenze per la gestione del rischio chiesta da NIS2 e DORA
Dal perimetro alla remediation, in cinque fasi.
Ogni ciclo attraversa le cinque fasi del CTEM e si chiude dove comincia il successivo, così l'esposizione si misura nel tempo.
Perimetro
Concordiamo il perimetro del ciclo in base a ciò che è critico per il business (la superficie esposta su internet, un'applicazione chiave, un ambiente cloud) e che cosa considerare un buon risultato.
Individuazione
Attack surface discovery e vulnerability assessment censiscono asset, vulnerabilità, configurazioni errate e debolezze delle identità all'interno del perimetro.
Priorità
Le esposizioni vengono ordinate per sfruttabilità e impatto sul business, con un punteggio CVSS adattato al tuo contesto e le prove di sfruttamento reale, come il catalogo KEV della CISA.
Validazione
Penetration test, red teaming e breach and attack simulation dimostrano quali esposizioni si concatenano in un percorso d'attacco reale e se i controlli lo rilevano. Tra un intervento e l'altro, BackBox AI ripete le verifiche.
Mobilitazione
Un piano di remediation concordato con i team che devono applicare le correzioni, retest che le confermano e metriche che passano al ciclo successivo.
Costruito sul modello CTEM.
Il programma segue le cinque fasi del modello CTEM descritto da Gartner. Per la validazione ci appoggiamo alla breach and attack simulation (BAS) e all'adversarial exposure validation (AEV), la categoria che Gartner ha definito in una market guide del 2025. I finding sono mappati su MITRE ATT&CK, valutati con CVSS e pesati con il catalogo Known Exploited Vulnerabilities della CISA; ogni ciclo documenta la gestione del rischio e i test che NIS2 e DORA si aspettano.
BackBox AI è il motore di validazione del programma: ripete a intervalli pianificati la verifica dei percorsi d'attacco man mano che l'ambiente cambia, mentre gli operatori convalidano ogni risultato e si concentrano sui percorsi che contano.
Framework e riferimenti
CTEM, le domande più frequenti.
Che cos'è il CTEM?
Un programma, non un prodotto: un ciclo ricorrente in cinque fasi (perimetro, individuazione, prioritizzazione, validazione e mobilitazione) che tiene sotto controllo l'esposizione agli attacchi e porta a correggere per primo ciò che un attaccante potrebbe davvero sfruttare.
In cosa il CTEM è diverso dalla gestione delle vulnerabilità?
La gestione delle vulnerabilità lavora sui risultati degli scanner, di solito in ordine di gravità. Il CTEM allarga lo sguardo a ogni tipo di esposizione, comprese configurazioni errate, identità e asset di terze parti, la ordina per impatto sul business e aggiunge la validazione: dimostrare quali esposizioni un attaccante può davvero sfruttare, prima di dedicare tempo al resto.
Che cosa sono BAS e AEV, e dove si collocano?
La breach and attack simulation (BAS) esegue tecniche d'attacco contro i controlli di sicurezza per verificare se le bloccano o le rilevano. L'adversarial exposure validation (AEV) è una categoria più ampia: Gartner la definisce come l'insieme delle tecnologie che forniscono prove coerenti, continue e automatizzate che un attacco è fattibile. Entrambe rientrano nella fase di validazione del CTEM, insieme ai penetration test manuali e al red teaming.
Ogni quanto si ripete un ciclo CTEM?
Dipende da quanto cambia l'ambiente. Spesso si comincia con cicli trimestrali sui perimetri più critici, con BackBox AI che verifica tra un ciclo e l'altro e un ciclo aggiuntivo dopo ogni modifica rilevante.
Con il CTEM servono ancora i penetration test?
Sì. Il penetration test è la forma di validazione più approfondita e resta parte del programma. Il CTEM aggiunge ciò che un singolo test non può dare: individuazione continua, priorità decise sull'impatto per il business e ogni correzione seguita da un ciclo all'altro, così ogni test parte da una base misurata.