MTTR
MTTR is de gemiddelde tijd die een team nodig heeft om een beveiligingsincident op te lossen nadat het is opgemerkt. Het gaat om reageren en het probleem helemaal verhelpen. Een lagere MTTR betekent dat problemen sneller weg zijn en minder schade veroorzaken.
Wat is MTTR?
MTTR staat voor Mean Time To Respond: de gemiddelde tijd om op een beveiligingsincident te reageren en het volledig te verhelpen. De "R" verschilt per organisatie. Sommige teams lezen hem als Respond, andere als Remediate, Repair of Recover. Spreek daarom af welke betekenis je hanteert voordat je gaat meten.
MTTR is een prestatiemetric binnen een Security Operations Center (SOC), het team dat je omgeving bewaakt en incidenten afhandelt. De metric laat zien hoe snel je van een alarm naar een opgeloste situatie beweegt.
Hoe wordt MTTR berekend?
Je berekent MTTR door de totale hersteltijd van alle incidenten te delen door het aantal incidenten. Vijf incidenten met samen tien uur hersteltijd geven een MTTR van twee uur.
De hersteltijd loopt door vaste fasen:
- Detectie van het incident.
- Reactie van het securityteam.
- Indamming (containment) van de dreiging, zodat die zich niet verder verspreidt.
- Herstel van de systemen naar een veilige, normale staat.
MTTR begint pas na de detectie. De tijd tot detectie heet MTTD (Mean Time to Detect), de gemiddelde tijd om een dreiging op te merken. Samen tonen MTTD en MTTR hoe snel je een aanval ontdekt én oplost.
Waarom is MTTR belangrijk voor een SOC?
Een lagere MTTR beperkt de schade van een aanval. Hoe sneller je indamt en herstelt, hoe korter de dwell time: de periode dat een aanvaller onopgemerkt in je netwerk zit. Kortere dwell time verkleint de kans op datadiefstal en uitval.
Daarom is MTTR een belangrijke KPI om de effectiviteit van je SOC te meten. De metric maakt zichtbaar of je mensen, processen, tooling en detectieregels snel genoeg werken.
Continue bewaking helpt om die responstijd laag te houden. Een 24/7 SOC volgt incidenten dag en nacht, waardoor je de MTTR kort houdt.