Temps moyen de détection

Définition

Le temps moyen de détection, ou MTTD (Mean Time To Detect), est un indicateur de performance qui mesure la durée moyenne écoulée entre le début effectif d'une intrusion ou d'un incident de sécurité et le moment où celui-ci est identifié par les équipes de sécurité, typiquement le SOC (Security Operations Center). Cet indicateur reflète directement l'efficacité des capacités de détection d'une organisation : outils SIEM, EDR, XDR, règles de corrélation et threat hunting. Un MTTD élevé signifie qu'un attaquant dispose d'une fenêtre d'action prolongée pour progresser dans le réseau, technique de mouvement latéral référencée MITRE ATT&CK sous la tactique TA0008, exfiltrer des données ou déployer un rançongiciel avant toute réaction défensive. Le MTTD se calcule en agrégeant l'écart temporel constaté sur un ensemble d'incidents réels ou simulés, souvent via des exercices de red team ou de purple team. Il se distingue du temps moyen de réponse, qui mesure la durée entre la détection et la remédiation effective. Les organisations matures visent une réduction continue du MTTD grâce à l'automatisation de la détection, l'enrichissement par renseignement sur la menace (threat intelligence) et l'amélioration de la couverture de détection sur l'ensemble du périmètre. Cet indicateur figure fréquemment dans les tableaux de bord de sécurité présentés à la direction, aux côtés du temps moyen de confinement et de résolution, pour évaluer la maturité opérationnelle du dispositif de cybersécurité.