La mayor parte de las organizaciones no es atacada por lo que protege mal. Es atacada por lo que no sabe que tiene.

El tamaño del punto ciego

Las estimaciones del mercado indican que las organizaciones conocen cerca del 62% de su propia superficie de ataque externa. El 38% restante se esconde en filiales olvidadas, TI paralela y dependencias de la cadena digital: subdominios de campañas antiguas, entornos de homologación que nunca se dieron de baja, API publicadas por un equipo y heredadas por nadie.

External Attack Surface Management es la disciplina de mirar la propia organización de fuera hacia dentro, con los mismos ojos de quien busca una puerta abierta.

Cuatro principios que sostienen la práctica

• Descubrimiento continuo. Un inventario hecho una vez por trimestre ya nace vencido. La superficie cambia con cada despliegue.

• Inventario abarcador. Sitios, servicios en la nube, API y activos alojados por terceros entran en la misma cuenta.

• Priorización por riesgo, no por volumen. Una lista de diez mil hallazgos sin orden es ruido. Lo que ordena es la alcanzabilidad, la criticidad del activo y la inteligencia sobre lo que se está explotando ahora.

• Ciclo completo. Cada exposición necesita dueño, estado y verificación de cierre. Un hallazgo sin responsable no se convierte en corrección.

Por dónde empezar

Antes de comprar una plataforma, haz el ejercicio manual: lista los dominios de la organización, resuelve los subdominios, mira qué responde en el puerto 443 y compáralo con lo que el equipo cree tener. La diferencia entre ambas listas es tu punto de partida y, casi siempre, la mayor sorpresa del trimestre.