A biztonsági jelentésekben az esemény lehet behatolás, kontrollhiba vagy más káros állapot. Az MTTD csak akkor értelmes, ha a mérés megnevezi, mi indítja az órát, mi számít észlelésnak és mely esetek kerülnek be.
A lehetséges kiindulópontok közé tartozik az első rosszindulatú művelet, az első megfigyelhető bizonyíték vagy a hatás kezdete. A végpont lehet az első riasztás, az elemzői validálás vagy a formális incidensdeklarálás. Ezek a választások különböző számokat adnak, ezért a csapatok vagy szervezetek közötti összehasonlítás általában érvénytelen, hacsak a definícióik, a mintáik és az adatminőségük nem egyezik.
Legfontosabb pontok
A mérték definiálásaDokumentálni kell a kezdő és vég eseményt, az időforrást, a mintát, a kizárásokat, a szünetek kezelését és a retrospektíven felfedezett incidensek kezelését.
Az eloszlás bemutatásaAz átlag mellé medián, percentilisek, mintaméret és incidenstípus vagy súlyosság szerinti bontás kell; néhány hosszú eset dominálhatja az átlagot.
Körültekintő értelmezésA változások tükrözhetik a javuló telemetriát vagy vizsgálatot, de az átminősítést, az esetösszetétel eltolódását, a hiányzó időbélyegeket vagy a jelentéstételi gyakorlatot is.
Fontos korlátAz MTTD csak a végül felfedezett és felismert eseményeket tartalmazza. A nem észlelt incidensek hiányoznak, ami túlélői torzítást okoz, a nemrég megnyitott ügyeknek pedig még nem feltétlenül teljes az idővonaluk.