MTTD / MTTR Mean Time to Detect / Recover.

Deux indicateurs, une seule chronologie

Le MTTD et le MTTR décrivent deux segments consécutifs de la même chronologie d'incident. Le MTTD couvre la période silencieuse entre le moment où un attaquant agit pour la première fois et le moment où votre équipe se rend compte que quelque chose ne va pas. Le MTTR couvre tout ce qui suit ce point, du tri au confinement et à la remédiation, jusqu'à un retour confirmé à la normale. Les lire ensemble est tout l'intérêt : un MTTD faible avec un MTTR élevé signifie que vous repérez les menaces rapidement mais peinez à y répondre, tandis qu'un MTTD élevé avec un MTTR faible signifie que vous réagissez vite, mais seulement une fois que les dégâts sont déjà faits. Aucun de ces chiffres n'est utile isolément, et améliorer l'un au détriment de l'autre n'aide que rarement.

En pratique, ce sont les chiffres phares qu'un SOC remonte à la direction, car ils traduisent une activité technique dans un langage que l'entreprise comprend : combien de temps avons-nous été exposés, et combien de temps nous a-t-il fallu pour refermer la porte. Ce sont aussi les indicateurs autour desquels gravitent les régulateurs et les référentiels, même lorsqu'ils emploient des mots différents. Un délai de notification de violation est essentiellement un plafond légal sur une partie de votre MTTR, et une obligation de détecter les incidents en temps utile est une obligation de maintenir un MTTD faible.

Ce qui fait réellement bouger ces chiffres

Le MTTD est porté par la visibilité et le réglage. Vous ne pouvez pas détecter ce que vous ne collectez pas, c'est pourquoi la couverture des journaux sur les terminaux, le réseau, l'identité et le cloud constitue le socle. Par-dessus cela, le contenu de détection doit être réglé : trop large et les analystes se noient dans les faux positifs et manquent le vrai signal, trop strict et de véritables intrusions passent au travers.

C'est pourquoi un SIEM, une bonne ingénierie de détection et le renseignement sur les menaces alimentent directement le MTTD. Le MTTR est porté par le processus et l'autorité : des procédures documentées, le pouvoir d'isoler un hôte ou de désactiver un compte sans attendre un comité, des sauvegardes testées et une communication répétée. L'amélioration classique ici est l'automatisation via un SOAR, qui supprime les minutes perdues dans les transferts manuels.

Comment ces indicateurs apparaissent dans les normes et les référentiels

Les référentiels n'imposent généralement pas une cible précise de MTTD ou de MTTR, car le bon chiffre dépend de l'organisation et de la menace. Ce qu'ils exigent, c'est la capacité et la mesure. L'ISO/IEC 27035 définit le cycle de vie de la gestion des incidents que ces indicateurs quantifient. Les recommandations du NIST sur le traitement des incidents structurent la détection, l'analyse, le confinement, l'éradication et le rétablissement comme des phases distinctes, ce qui est exactement la structure sur laquelle reposent le MTTD et le MTTR.

L'ENISA et les agences nationales telles que l'ANSSI portent le même message opérationnel : détecter tôt, répondre vite, et être en mesure de le prouver. Les régimes réglementaires ajoutent des délais externes stricts, par exemple les fenêtres de notification de violation au titre du RGPD et les obligations de signalement d'incident au titre de NIS2 et de DORA, qui transforment une partie de votre temps de réponse en une exigence de conformité plutôt qu'en un objectif de performance.

Les références chiffrées pour ces deux indicateurs ont tendance à rester inconfortablement élevées dans l'ensemble du secteur, souvent de l'ordre de jours ou de semaines pour la détection, tandis que les programmes matures visent des heures. Courir après une référence publiée est pourtant le mauvais réflexe. La valeur du MTTD et du MTTR réside dans les courbes de tendance que vous possédez : mesurez-les de manière cohérente, observez la direction au fil des trimestres, et reliez le mouvement à des investissements précis dans la visibilité, le réglage et l'automatisation. Un chiffre défini honnêtement et qui baisse régulièrement vaut bien plus qu'un chiffre flatteur et ponctuel.