Il tempo medio di risposta (MTTR) è il tempo medio tra il rilevamento di un incidente di sicurezza e l'adozione di un'azione di contenimento o di rimedio. Misura quanto rapidamente un team può isolare un endpoint, disabilitare un account compromesso, bloccare traffico malevolo o avviare il ripristino dopo che un avviso è stato confermato.
Il MTTR è importante perché una rilevazione rapida da sola non impedisce i danni. Negli attacchi reali, i ritardi spesso derivano dal triage, dai passaggi di consegne, dalle approvazioni e dall'incertezza sull'ambito. Un MTTR basso di solito riflette playbook chiari, decisori preassegnati e strumenti ben testati. Un MTTR elevato può significare più tempo a disposizione per gli attaccanti per muoversi lateralmente, esfiltrare dati o interrompere le operazioni. I difensori monitorano il MTTR per individuare i colli di bottiglia e migliorare la rapidità di risposta, ma la metrica è più utile se affiancata a un contesto come la gravità dell'incidente, l'impatto sul business e il fatto che la risposta sia stata di contenimento o di rimedio completo.