Temps moyen de résolution

Définition

Le temps moyen de résolution, ou MTTR (Mean Time To Resolve), est un indicateur qui mesure la durée moyenne totale nécessaire pour clôturer complètement un incident de sécurité, depuis sa détection initiale jusqu'au retour à un état opérationnel normal et sécurisé, incluant l'éradication de la menace, la restauration des systèmes affectés et la vérification de l'absence de persistance résiduelle de l'attaquant. Cet indicateur se distingue du temps moyen de confinement, qui mesure uniquement l'isolation de la menace, et du temps moyen de réponse, centré sur le déclenchement des premières actions : la résolution couvre l'intégralité du cycle de vie de l'incident, y compris la remédiation des vulnérabilités exploitées et la documentation post-incident. La résolution complète peut nécessiter la reconstruction de systèmes compromis, la rotation de l'ensemble des identifiants exposés, et la vérification que des techniques de persistance, référencées MITRE ATT&CK sous la tactique TA0003, ont bien été éliminées. Un temps moyen de résolution élevé traduit souvent une complexité organisationnelle, un manque d'automatisation ou une infrastructure insuffisamment documentée. Cet indicateur constitue un élément central du reporting présenté à la direction et aux auditeurs, notamment dans le cadre de la norme ISO 27001, contrôle relatif à la gestion des incidents, et figure généralement dans les tableaux de bord de sécurité aux côtés du MTTD et du MTTC, pour évaluer la maturité globale du processus de gestion des incidents.