¿Qué es MTTD?

El tiempo promedio para detectar, o MTTD, es el tiempo promedio que tarda un equipo de DevOps en detectar un problema, como un error de software o una falla de hardware, dentro de una organización.

MTTD es uno de los indicadores clave de rendimiento de la gestión de incidentes. Obviamente, cuanto antes descubra un problema una organización, mejor. Los incidentes a menudo pueden provocar el tiempo de inactividad del sistema, que en promedio puede costar $5600 por minuto, según Gartner.

Aunque la MTTD no es la única métrica disponible para los equipos de DevOps, es una de las más fáciles de rastrear y medir, y es una métrica esencial para cualquier organización que desee evitar problemas como interrupciones del sistema.

Cómo calcular la MTTD: Paso a paso

Para calcular la MTTD:

1. Realice un seguimiento de todos los incidentes utilizando herramientas como registros, un servicio de asistencia o un sistema de detección de intrusos (más información sobre estas herramientas a continuación).
2. Determine el objetivo de su cálculo de MTTD y para qué desea calcularlo. Por lo general, la MTTD se calcula para una determinada instalación o sistema durante un período de tiempo específico, como durante la noche, semanalmente, mensualmente o anualmente. También se puede calcular para un técnico o equipo específico.
3. Use las herramientas mencionadas anteriormente para calcular la hora de inicio y la hora de detección de cada incidente dentro del plazo que eligió.
4. Divida el tiempo total de detección de incidentes por la cantidad de incidentes.

Por ejemplo, supongamos que el equipo de soporte de operaciones las 24 horas del día, los 7 días de la semana para un gran fabricante de piezas automotrices realiza un seguimiento semanal de la MTTD para toda la instalación. Durante la semana del 7 al 11 de febrero de 2022, hubo cuatro incidentes. Mediante el uso de registros de sistemas, el equipo determinó la hora de inicio y la hora de detección de cada incidente y los registró en una tabla de la siguiente manera:

El tiempo medio de detección se calcula de la siguiente manera:

(118 + 53 + 148 + 85)/4

MTTD = 101 minutos

El fabricante de autopartes podría usar este número para comparar la MTTD de esta semana en particular con otras semanas o con la misma semana del año anterior. Si hubieran calculado la MTTD para un determinado equipo, podrían usar este resultado para medir el rendimiento del equipo a lo largo del tiempo. Algunas empresas eligen eliminar los valores atípicos de la tabla, y muchas también nivelarán los incidentes por gravedad para ver si la MTTD varía según la gravedad del problema.

¿Qué herramientas necesita para monitorear la MTTD?

El monitoreo de la MTTD implica principalmente llevar un registro de cualquier cosa que califique como evento o problema, que puede variar en gran medida de una organización a otra.

Las herramientas principales que necesita para monitorear la MTTD incluyen:

Registros: Los registros se producen automáticamente y se registran los eventos relevantes para un sistema informático o una aplicación de software en particular. Por ejemplo, el registro de acceso de un servidor web enumera todos los archivos individuales que las personas solicitan de un sitio web, incluidos los archivos HTML y cualquier otro archivo asociado que se transmite. Otro ejemplo es un registro de base de datos, que registra toda la actividad en la base de datos, incluidos todos los cambios en los registros.

Mesas de ayuda: Los escritorios compartidos son centros de ayuda centralizados para usuarios de productos que necesitan ayuda con cualquier cosa relacionada con el producto, especialmente problemas de TI. Pueden ser centros de llamadas físicos o en línea, o sistemas de tickets que funcionan a través de aplicaciones SaaS. Las mesas de ayuda tienen una base de conocimientos que lleva registros de los problemas de los clientes, incluido cuál fue el problema, cuándo se identificó y cómo se resolvió.

Sistemas de detección de intrusos: Un sistema de detección de intrusos (IDS) es un sistema que monitorea el tráfico de red para detectar actividad sospechosa y produce alertas cuando se descubre dicha actividad. Las funciones principales de un IDS son la generación de informes y la detección de anomalías, pero algunos sistemas de detección de intrusos pueden tomar medidas cuando detectan actividad maliciosa, incluido el bloqueo del tráfico enviado desde direcciones IP sospechosas.

¿Qué es una MTTD buena?

Lo que constituye una MTTD “buena” variará en gran medida dependiendo de la empresa, su producto, la industria y la amenaza o intrusión particular que la empresa desea prevenir o interceptar. Obviamente, la mejor MTTD posible es cero, lo que significa que detecta al perpetrador antes de que incluso tenga la oportunidad de causar daños.

Una MTTD cero es, por supuesto, muy difícil de lograr. Según Ponemon Institute, que proporciona el punto de referencia estándar de la industria para MTTD, el tiempo promedio para identificar y contener una filtración de datos fue de 280 días en 2020 y 279 días en 2019.

Para averiguar qué es una MTTD buena para su empresa en particular, debe analizar no solo el promedio general de todas las empresas, sino también intentar obtener información sobre cómo otras empresas de su sector se desempeñan con la MTTD. Además, debe calcular cuál es el costo de la filtración de datos promedio para su empresa y cuánto puede permitirse perder por filtración sin causar dificultades financieras graves a la empresa.

Hay varios pasos que puede seguir para reducir la MTTD:

• Invierta en los mejores talentos y soluciones posibles de ciberseguridad.
• Asegúrese de que todos los equipos internos estén alineados y se comuniquen en torno a posibles amenazas cibernéticas.
• Registre los incidentes de manera precisa y consistente, y mantenga un registro de eventos confiable y exhaustivo.
• Para cada incidente, siempre examine qué lo causó y cómo prevenirlo o detectarlo más rápido en el futuro.

Otras cosas que pueden ayudar a las organizaciones a reducir su MTTD incluyen tecnologías de organización, automatización y respuesta (SOAR) de seguridad y planes de respuesta a incidentes.

¿Quién debe usar MTTD y cuándo?

Cualquier empresa con sistemas o redes que necesiten mantenerse en funcionamiento y seguros puede beneficiarse de medir regularmente la MTTD.

La MTTD siempre debe medirse en los momentos en que la ocurrencia del incidente causaría daños. Por ejemplo, para una planta de fabricación que solo funciona por la noche, solo debería verificar si hay incidentes por la noche. No tendría sentido incluir datos diurnos.

¿Cuál es la siguiente métrica después de la detección?

MTTD refleja la cantidad de tiempo que le lleva a su equipo descubrir un posible incidente de seguridad. Pero el siguiente paso después de la detección es la respuesta.

El tiempo medio para responder, o MTTR, es el tiempo que lleva controlar, remediar o erradicar una amenaza una vez que se ha descubierto.

Obtenga más información sobre MTTR .