W raportowaniu bezpieczeństwa zdarzeniem może być intruzja, awaria kontroli lub inny szkodliwy stan. MTTD ma znaczenie tylko wtedy, gdy pomiar określa, co uruchamia zegar, co liczy się jako wykrycie i które przypadki są włączone.
Możliwe punkty startowe to pierwsze złośliwe działanie, pierwszy obserwowalny dowód lub początek skutku. Punktem końcowym może być pierwszy alert, walidacja analityka lub formalna deklaracja incydentu. Te wybory produkują różne liczby, więc porównania między zespołami lub organizacjami są zwykle nieważne, chyba że ich definicje, populacje i jakość danych się pokrywają.
Najważniejsze punkty
Zdefiniuj miaręUdokumentuj zdarzenia startowe i końcowe, źródło czasu, populację, wykluczenia, traktowanie pauz i postępowanie z incydentami odkrytymi retrospektywnie.
Raportuj rozkładParuj średnią z medianą, percentylami, wielkością próbki i segmentacją według typu lub wagi incydentu; kilka długich przypadków może zdominować średnią.
Interpretuj ostrożnieZmiany mogą odzwierciedlać lepszą telemetrię lub dochodzenie, ale też reklasyfikację, przesunięcia mieszanki przypadków, brakujące znaczniki czasu lub praktyki raportowe.
Istotne ograniczenieMTTD obejmuje tylko zdarzenia ostatecznie odkryte i rozpoznane. Niewykryte incydenty są nieobecne, tworząc błąd przeżywalności, a niedawno otwarte sprawy mogą nie mieć jeszcze kompletnych osi czasu.