DefiniciónMTTD (Mean Time to Detect) es el tiempo medio entre el inicio de una actividad maliciosa y su detección. MTTR (Mean Time to Respond) es el tiempo medio entre la detección y la contención o resolución. Juntos, miden cuánto actúa el atacante en el entorno.
Cómo funcionan
Las dos métricas dividen la línea de tiempo de un incidente en etapas:
- MTTD: desde la primera señal de la actividad maliciosa hasta el momento en que se identifica como incidente. Refleja la calidad de la telemetría, de las reglas de detección y del monitoreo 24×7.
- MTTR: desde la detección hasta la contención o la resolución. Refleja procesos, playbooks, automatización y autonomía para actuar.
Sumados, indican la ventana de exposición: el tiempo que tuvo el adversario para moverse, escalar privilegios y extraer datos.
Cuidados al medir
La "R" de MTTR cambia de significado según la fuente: respond, recover, remediate o resolve. Antes de comparar cifras de proveedores o de periodos distintos, confirme dónde empieza y dónde termina cada conteo. Lo mismo vale para el MTTD: el inicio real del ataque muchas veces solo se conoce después de la investigación.
Los promedios también ocultan extremos. Un incidente grave que tardó semanas en detectarse puede perderse entre cientos de alertas resueltas en minutos. Conviene seguir la mediana y los peores casos, separados por severidad.
MTTD y MTTR vs RTO y RPO
MTTD y MTTR miden el desempeño real de la operación de seguridad frente a incidentes. RTO y RPO son metas de continuidad del negocio: cuánto tiempo puede estar detenido un sistema y cuántos datos es aceptable perder. Un MTTR bajo ayuda a cumplir el RTO, pero las métricas responden a preguntas distintas.
Network Secure opera un SOC 24×7 certificado ISO/IEC 27001:2022.
Preguntas frecuentes
¿Qué significa la R en MTTR?
Depende del contexto. En operaciones de seguridad suele ser Mean Time to Respond, pero también aparece como recover, remediate o resolve. Lo importante es que el contrato o el informe defina dónde empieza y termina el conteo.
¿Cuál es la diferencia entre MTTR y RTO?
MTTR mide el tiempo medio que el equipo tardó en responder a incidentes reales. RTO es la meta, definida por el negocio, de cuánto tiempo puede estar indisponible un sistema.