W operacjach bezpieczeństwa zegar może zaczynać się na wygenerowaniu alertu, walidacji lub deklaracji incydentu. Może kończyć się na potwierdzeniu, pierwszym działaniu obronnym, ograniczeniu lub innym jawnie nazwanym rezultacie.
Akronim MTTR jest z natury niejednoznaczny. W raportowaniu bezpieczeństwa, technologii i niezawodności może też oznaczać mean time to repair, recover, remediate lub resolve. Te miary odpowiadają na różne pytania. Pulpity i raporty powinny więc rozpisywać termin, definiować oba znaczniki czasu i unikać porównywania wartości używających różnych punktów końcowych.
Najważniejsze punkty
Zdefiniuj miaręZapisz zdarzenie startowe, punkt końcowy reakcji, kwalifikowalne przypadki, źródło zegara, wykluczenia, pauzy i traktowanie ponownie otwartych incydentów.
Używaj statystyk wspierającychPokazuj medianę, percentyle, wielkość próbki i rozbicia według wagi lub klasy incydentu, bo średnia może ukrywać zarówno szybkie reakcje, jak i skrajne opóźnienia.
Chroń celŁącz szybkość z miarami wyników, takimi jak jakość ograniczania, nawroty, wpływ na usługę i bezpieczne odtwarzanie, zamiast optymalizować sam timer.
Istotne ograniczenieNiższe MTTR nie jest automatycznie bezpieczniejsze. Zachęty związane z szybkością mogą zachęcać do przedwczesnego zamykania, ryzykownego ograniczania lub wybierania łatwo osiągalnego punktu końcowego, który nie redukuje szkody.