O que ele conta
MTTR é o tempo médio entre o momento em que um problema entra na fila e o momento em que ele sai corrigido. Em segurança, costuma medir vulnerabilidades: da abertura do ticket ao fechamento.
A métrica é útil porque descreve capacidade de execução. Um time que fecha em cinco dias o que outro fecha em quarenta tem um processo melhor, e isso aparece.
De quando ele começa a contar
Aqui está a limitação que quase ninguém enuncia.
O relógio do MTTR começa quando o problema é conhecido. Tudo que aconteceu antes disso fica fora da conta: o tempo em que o ativo esteve exposto sem ninguém saber, o tempo entre a falha ser publicada e o scanner rodar, o tempo entre o scanner rodar e alguém abrir o ticket.
Uma organização pode ter MTTR de três dias e uma exposição real de sete semanas, se o achado levou seis semanas para aparecer. O indicador fica bonito e o risco continua onde estava. É por isso que ele funciona melhor ao lado da janela de exposição, que conta desde que o problema passou a existir.
Por que a média engana
MTTR é média, e média sobre distribuição assimétrica esconde justamente o que importa.
Uma fila com noventa itens fechados em um dia e dez arrastados por noventa dias devolve um MTTR de dez dias. O número parece razoável, e os dez itens esquecidos são exatamente os que ninguém conseguiu resolver, que costumam ser os de sistema legado sem dono claro.
Acompanhar o percentil 90 ao lado da média mostra a cauda. Se o P90 vem muito acima do MTTR, o problema não é velocidade: é um subconjunto travado que a média dissolve.
Como ele é manipulado sem má intenção
Três movimentos melhoram o MTTR sem melhorar a segurança.
Fechar ticket como risco aceito. A fila anda, o ativo continua igual.
Elevar o limiar de severidade que gera ticket. Menos itens entram, os que entram são os mais fáceis de justificar, e o tempo médio cai.
Reabrir como ticket novo. O relógio zera e o item antigo aparece como resolvido.
Nenhum desses movimentos costuma ser deliberado. Eles aparecem quando a métrica vira meta, e é o motivo de MTTR isolado ser um mau indicador de contrato.
Onde ele se encaixa
MTTR mede a fase de mobilização de um programa de gestão de exposição. Ele não diz nada sobre a qualidade da descoberta nem sobre a fila estar na ordem certa.
Um MTTR excelente sobre uma fila ordenada por gravidade teórica significa que a empresa está corrigindo depressa a coisa errada. Por isso ele só faz sentido lido junto com a taxa de validação de exploitabilidade e com a janela.