V bezpečnostnom reportovaní môže byť udalosťou prienik, zlyhanie kontroly alebo iný škodlivý stav. MTTD je zmysluplné len keď meranie uvádza, čo spúšťa hodiny, čo sa počíta ako detekcia a ktoré prípady sú zahrnuté.
Možné počiatočné body zahŕňajú prvú škodlivú akciu, prvý pozorovateľný dôkaz alebo nástup dopadu. Koncový bod môže byť prvé upozornenie, validácia analytikom alebo formálne vyhlásenie incidentu. Tieto voľby produkujú rôzne čísla, takže porovnania cez tímy alebo organizácie sú zvyčajne neplatné, pokiaľ sa ich definície, populácie a kvalita údajov nezhodujú.
Kľúčové body
Definovať mieruZdokumentovať počiatočné a koncové udalosti, zdroj času, populáciu, vylúčenia, spracovanie prestojov a zaobchádzanie s incidentmi objevenými retrospektívne.
Reportovať distribúciuSpoiť priemer s mediánom, percentilmi, veľkosťou vzorky a segmentáciou podľa typu alebo závažnosti incidentu; niekoľko dlhých prípadov môže dominovať priemeru.
Interpretovať opatrneZmeny môžu odrážať zlepšenú telemetriu alebo vyšetrovanie, no aj reklasifikáciu, posuny zmesi prípadov, chýbajúce časové pečiatky alebo reportovacie praktiky.
Dôležité obmedzenieMTTD zahŕňa len udalosti nakoniec objevené a rozpoznané. Nedetekované incidenty chýbajú, čím vzniká skreslenie preživších, zatiaľ čo nedávno otvorené prípady ešte nemusia mať úplné časové osi.