Qué cuenta
El MTTR es el tiempo medio entre que un problema entra en la cola y sale corregido. En seguridad suele medir vulnerabilidades: de la apertura del ticket a su cierre.
La métrica es útil porque describe capacidad de ejecución. Un equipo que cierra en cinco días lo que otro cierra en cuarenta tiene mejor proceso, y eso se ve.
Desde cuándo empieza a contar
Aquí está la limitación que casi nadie enuncia.
El reloj del MTTR arranca cuando el problema se conoce. Todo lo anterior queda fuera de la cuenta: el tiempo que el activo estuvo expuesto sin que nadie lo supiera, el tiempo entre la publicación del fallo y el barrido, el tiempo entre el barrido y la apertura del ticket.
Una organización puede tener un MTTR de tres días y una exposición real de siete semanas, si el hallazgo tardó seis semanas en aparecer. El indicador queda bonito y el riesgo sigue donde estaba. Por eso funciona mejor junto a la ventana de exposición, que cuenta desde que el problema pasó a existir.
Por qué la media engaña
El MTTR es una media, y una media sobre distribución asimétrica esconde justo lo que importa.
Una cola con noventa elementos cerrados en un día y diez arrastrados noventa días devuelve un MTTR de diez días. El número parece razonable, y los diez olvidados son exactamente los que nadie consiguió resolver, casi siempre sistemas heredados sin responsable claro.
Seguir el percentil 90 junto a la media muestra la cola. Si el P90 sale muy por encima del MTTR, el problema no es la velocidad: es un subconjunto atascado que la media disuelve.
Cómo se manipula sin mala intención
Tres movimientos mejoran el MTTR sin mejorar la seguridad.
Cerrar el ticket como riesgo aceptado. La cola avanza, el activo sigue igual.
Elevar el umbral de severidad que genera ticket. Entran menos elementos, los que entran son los más fáciles de justificar, y el tiempo medio baja.
Reabrir como ticket nuevo. El reloj se pone a cero y el elemento antiguo figura como resuelto.
Ninguno suele ser deliberado. Aparecen cuando la métrica se vuelve meta, y es el motivo de que el MTTR aislado sea mal indicador contractual.
Dónde encaja
El MTTR mide la fase de movilización de un programa de gestión de exposición. No dice nada sobre la calidad del descubrimiento ni sobre si la cola está en el orden correcto.
Un MTTR excelente sobre una cola ordenada por gravedad teórica significa que la empresa corrige rápido lo equivocado. Por eso solo tiene sentido leído junto a la tasa de validación de explotabilidad y a la ventana.