Medir el programa, tiempo de remediación, edad y cobertura

El tiempo medio de remediación (MTTR) es el promedio de días que tarda un hallazgo en cerrarse. Hay tres decisiones que lo cambian sin que nadie mienta. El reloj arranca en la detección, no cuando se abre el ticket, porque el ticket puede abrirse días después. Termina en el cierre verificado, no en el del ticket, porque un cierre sin verificar puede ser falso. Y se calcula por severidad, porque mezclar críticas con medias da un número que no describe a ninguna de las dos.

Cuando alguien reporte un MTTR sin decir desde cuándo, hasta cuándo y de qué severidad, hay que preguntar las tres cosas antes de comparar.

Abre cerradas_criticas de Estribor: cinco críticas cerradas y verificadas en el trimestre, con los días de cada una. El promedio es la suma de los días entre el número de hallazgos. Es el número que iría a un tablero.

Ese promedio solo incluye lo que ya se cerró. Las críticas que siguen abiertas, y que son las más lentas, no tienen fecha de cierre y por eso no entran. Es un sesgo conocido: cuanto más tiempo se queda una crítica abierta, menos pesa en el promedio. Un equipo puede mejorar su MTTR de cerradas abandonando las difíciles. Por eso el promedio de cerradas se publica siempre junto a la edad de lo abierto.

Consulta abiertas_criticas y compáralo con el promedio de la tarea anterior.

La edad de lo abierto (aging) es el reparto de los hallazgos abiertos por tramos de días desde su detección. Responde algo que el MTTR no puede: no cuánto tardaron los que se cerraron, sino cuánto llevan esperando los que no. Se lee por severidad: veinte medias viejas importan menos que dos críticas viejas. Las altas que superan los sesenta días suelen marcar el punto en que un acuerdo de remediación de treinta días ya se ha incumplido dos veces.

La cobertura dice qué fracción del inventario se está mirando, y no todo «escaneado» ve lo mismo. Un activo escaneado sin credenciales se ve desde fuera y no revela sus parches locales. Para métricas de remediación, que dependen de ver parches, la cobertura honesta cuenta solo los activos con escaneo autenticado, y se publica junto a la cifra de cuántos no se ven de ningún modo.