În raportarea de securitate, evenimentul poate fi o intruziune, un eșec de control sau altă condiție dăunătoare. MTTD are sens doar când măsurătoarea precizează ce pornește cronometrul, ce contează ca detecție și ce cazuri sunt incluse.
Puncte de pornire posibile includ prima acțiune malițioasă, prima dovadă observabilă sau debutul impactului. Capătul poate fi prima alertă, validarea de către analist sau declararea formală de incident. Acele alegeri produc numere diferite, așa că comparațiile între echipe sau organizații sunt de obicei invalide dacă nu se potrivesc definițiile, populațiile și calitatea datelor.
Puncte esențiale
Definiți măsuraDocumentați evenimentele de start și final, sursa de timp, populația, excluziunile, tratarea pauzelor și tratarea incidentelor descoperite retrospectiv.
Raportați distribuțiaPerecheți media cu mediana, percentilele, dimensiunea eșantionului și segmentarea pe tip sau severitate de incident; câteva cazuri lungi pot domina o medie.
Interpretați cu atențieModificările pot reflecta telemetrie sau investigare îmbunătățită, dar și reclasificare, schimbări de mix de cazuri, marcaje temporale lipsă sau practici de raportare.
Limitare importantăMTTD include doar evenimente descoperite și recunoscute în cele din urmă. Incidentele nedetectate lipsesc, creând un bias de supraviețuire, în timp ce cazurile recent deschise pot să nu aibă încă cronologii complete.