MTTD / MTTR Tiempo Medio de Detección / Recuperación.

Dos métricas, una sola línea temporal

El MTTD y el MTTR describen dos segmentos consecutivos de la misma línea temporal de un incidente. El MTTD cubre el periodo silencioso entre el momento en que un atacante actúa por primera vez y el momento en que su equipo se da cuenta de que algo va mal. El MTTR cubre todo lo posterior a ese punto, desde el triaje hasta la contención y la recuperación, hasta un retorno confirmado a la normalidad. Leerlos juntos es precisamente la cuestión: un MTTD bajo con un MTTR alto significa que detecta las amenazas con rapidez pero le cuesta actuar sobre ellas, mientras que un MTTD alto con un MTTR bajo significa que responde rápido, pero solo una vez que el daño ya está hecho. Ningún número resulta útil de forma aislada, y mejorar uno a expensas del otro rara vez ayuda.

En la práctica, estos son los números destacados que un SOC reporta a la dirección, porque traducen la actividad técnica a un lenguaje que el negocio entiende: cuánto tiempo estuvimos expuestos y cuánto tardamos en cerrar la puerta. También son las métricas en torno a las cuales giran los reguladores y los marcos de referencia, incluso cuando emplean palabras distintas. Un plazo de notificación de una brecha es esencialmente un tope legal sobre una parte de su MTTR, y la obligación de detectar incidentes a su debido tiempo es la obligación de mantener bajo el MTTD.

Qué mueve realmente estos números

El MTTD viene impulsado por la visibilidad y el ajuste. No puede detectar lo que no recopila, de modo que la cobertura de registros en los endpoints, la red, la identidad y la nube constituye la base. Por encima de eso, el contenido de detección debe ajustarse: demasiado laxo y los analistas se ahogan en falsos positivos y pierden la señal real, demasiado estricto y las intrusiones genuinas se cuelan. Por eso un SIEM, una buena ingeniería de detección y la inteligencia sobre amenazas alimentan directamente el MTTD.

El MTTR viene impulsado por el proceso y la autoridad: manuales documentados, la potestad de aislar un host o deshabilitar una cuenta sin esperar a un comité, copias de seguridad probadas y comunicación ensayada. La mejora clásica aquí es la automatización mediante un SOAR, que elimina los minutos perdidos en los traspasos manuales.

Cómo aparecen las métricas en las normas y los puntos de referencia

Los marcos de referencia no suelen imponer un objetivo concreto de MTTD o de MTTR, porque el número correcto depende de la organización y de la amenaza. Lo que exigen es la capacidad y la medición. La ISO/IEC 27035 establece el ciclo de vida de la gestión de incidentes que estas métricas cuantifican. Las directrices del NIST para el tratamiento de incidentes plantean la detección, el análisis, la contención, la erradicación y la recuperación como fases distintas, que es exactamente la estructura sobre la que se asientan el MTTD y el MTTR.

ENISA y agencias nacionales como ANSSI transmiten el mismo mensaje operativo: detectar pronto, responder rápido y poder demostrarlo. Los regímenes regulatorios añaden plazos externos estrictos, por ejemplo las ventanas de notificación de brechas previstas en el RGPD y las obligaciones de notificación de incidentes previstas en NIS2 y DORA, que convierten una parte de su tiempo de respuesta en un requisito de cumplimiento más que en un objetivo de rendimiento.

Los puntos de referencia para ambas métricas tienden a situarse incómodamente altos en todo el sector, a menudo del orden de días o semanas para la detección, mientras que los programas maduros apuntan a horas. Perseguir un punto de referencia publicado es, sin embargo, el instinto equivocado. El valor del MTTD y del MTTR reside en las líneas de tendencia que usted posee: mídalas de forma coherente, observe la dirección a lo largo de los trimestres y vincule el movimiento a inversiones concretas en visibilidad, ajuste y automatización. Un número definido con honestidad y que baja de forma constante vale mucho más que una cifra halagadora y puntual.