Mean Time to Remediate (MTTR)

Définition

Le Mean Time to Remediate (MTTR) est une métrique clé de la performance sécurité DevSecOps qui mesure le temps moyen écoulé entre la découverte d'une vulnérabilité et sa correction déployée en production. Cette métrique est un indicateur central de la maturité d'un programme de gestion des vulnérabilités et de la capacité d'une équipe à répondre aux risques de sécurité. Le MTTR ne doit pas être confondu avec le MTTR de disponibilité (Mean Time to Recovery/Repair), bien que le terme soit partagé. En sécurité, le MTTR couvre l'ensemble du cycle : détection de la vulnérabilité (via SAST, DAST, SCA, bug bounty ou CVE publiée), triage et qualification (faux positif ? exploitable ? criticité ?), assignation à une équipe, développement du correctif, revue de code, tests, déploiement en production. Les benchmarks industrie varient selon la criticité des vulnérabilités. Pour les vulnérabilités critiques (CVSS ≥9.0), un MTTR de moins de 24h à 7 jours est recommandé par les frameworks comme PCI-DSS et les SLA de nombreuses organisations. Pour les hautes (7.0-8.9), 30 jours. Pour les moyennes (4.0-6.9), 90 jours. Ces SLA varient selon le secteur d'activité et l'exposition des systèmes concernés. L'amélioration du MTTR nécessite d'agir sur plusieurs leviers. L'automatisation de la détection (SAST/DAST dans CI, SCA avec alerting) réduit le délai de découverte. L'automatisation du triage (enrichissement des CVE avec contexte d'exploitabilité via VEX) réduit le temps de qualification. Des pipelines de déploiement rapides (CI/CD mature) réduisent le délai de déploiement. La formation des développeurs réduit le temps de correction. Le MTTR doit être corrélé avec d'autres métriques pour être pleinement interprétable : Deployment Frequency (un MTTR court n'est vertueux que si les déploiements sont fréquents), taux de vulnérabilités réouvertes (régressions), et couverture de scan (un MTTR excellent sur un périmètre partiel donne une fausse image de maturité).