V bezpečnostním reportování může být událostí vniknutí, selhání kontroly nebo jiný škodlivý stav. MTTD je smysluplná pouze tehdy, když měření uvádí, co spouští hodiny, co se počítá jako detekce a které případy jsou zahrnuty.
Možné počáteční body zahrnují první škodlivou akci, první pozorovatelný důkaz nebo nástup dopadu. Koncový bod může být první výstraha, validace analytikem nebo formální vyhlášení incidentu. Tyto volby produkují různá čísla, takže porovnání napříč týmy či organizacemi jsou obvykle neplatná, pokud se jejich definice, populace a kvalita dat neshodují.
Klíčové body
Definujte měřeníDokumentujte počáteční a koncové události, zdroj času, populaci, vyloučení, zpracování pauz a nakládání s incidenty objevenými retrospektivně.
Reportujte distribuciSpárujte průměr s mediánem, percentily, velikostí vzorku a segmentací podle typu či závažnosti incidentu; několik dlouhých případů může průměr dominovat.
Interpretujte opatrněZměny mohou odrážet vylepšenou telemetrii či vyšetřování, ale také reklasifikaci, posuny skladby případů, chybějící časová razítka či praktiky reportování.
Důležité omezeníMTTD zahrnuje pouze události nakonec objevené a rozpoznané. Nedetekované incidenty chybí, což vytváří survivorship bias, zatímco nedávno otevřené případy nemusí ještě mít úplné časové osy.