Temps moyen de confinement

Définition

Le temps moyen de confinement, ou MTTC (Mean Time To Contain), est un indicateur qui mesure la durée moyenne nécessaire pour isoler et neutraliser la propagation d'une menace au sein du système d'information, à compter du moment où sa détection a été confirmée. Le confinement consiste à couper les capacités d'action de l'attaquant : isolation réseau des machines compromises via l'EDR, révocation des identifiants compromis, blocage des indicateurs de compromission au niveau du pare-feu ou du proxy, désactivation de comptes de service détournés. Cet indicateur est particulièrement critique face aux rançongiciels, où chaque minute supplémentaire de propagation augmente le nombre de systèmes chiffrés et l'ampleur de l'impact opérationnel, ainsi que face au mouvement latéral (tactique MITRE ATT&CK TA0008), qui permet à un attaquant d'étendre son emprise sur le réseau. Le MTTC se distingue du temps moyen de réponse, qui couvre le délai avant le déclenchement des premières actions, en mesurant spécifiquement l'aboutissement effectif du confinement. Sa réduction repose sur l'automatisation via des plateformes SOAR, des playbooks de confinement préétablis pour les scénarios les plus fréquents, et une segmentation réseau efficace limitant nativement la surface de propagation. Les organisations matures suivent le MTTC dans leurs tableaux de bord de sécurité, en complément du temps moyen de détection et de résolution, comme indicateur direct de la robustesse de leur capacité de réponse aux incidents cyber.