In Security Operations kann die Uhr bei Alarmerzeugung, Validierung oder Vorfalldeklaration starten. Sie kann bei Kenntnisnahme, der ersten defensiven Aktion, Eindämmung oder einem anderen explizit benannten Ergebnis enden.
Das Kürzel MTTR ist von Natur aus mehrdeutig. In Sicherheits-, Technologie- und Zuverlässigkeitsberichten kann es auch Mean Time to Repair, Recover, Remediate oder Resolve bedeuten. Diese Maße beantworten unterschiedliche Fragen. Dashboards und Berichte sollten den Begriff daher ausschreiben, beide Zeitstempel definieren und Vergleiche von Werten mit unterschiedlichen Endpunkten vermeiden.
Wichtigste Punkte
Messung definierenStartereignis, Reaktionsendpunkt, einbezogene Fälle, Zeitquelle, Ausschlüsse, Pausen und den Umgang mit wiedereröffneten Vorfällen festhalten.
Begleitstatistiken nutzenMedian, Perzentile, Stichprobengröße und Aufschlüsselungen nach Schwere oder Vorfallklasse zeigen, weil ein Durchschnitt sowohl schnelle Reaktionen als auch extreme Verzögerungen verbergen kann.
Das Ziel schützenGeschwindigkeit mit Ergebnismaßen wie Eindämmungsqualität, Wiederholung, Dienstauswirkung und sicherer Wiederherstellung kombinieren, statt einen Timer allein zu optimieren.
Wichtige EinschränkungEin niedrigerer MTTR ist nicht automatisch sicherer. Auf Geschwindigkeit ausgelegte Anreize können vorzeitige Schließung, riskante Eindämmung oder die Wahl eines leicht erreichbaren Endpunkts fördern, der den Schaden nicht verringert.