Los tiempos del incidente — de dónde a dónde se mide

Un incidente deja cinco horas en el caso: cuándo empezó, cuándo saltó la alerta, cuándo alguien la tomó, cuándo se contuvo y cuándo se cerró. De ahí salen cuatro tiempos. En Pampa se definen así, y conviene escribirlo en el procedimiento del SOC: el tiempo de detección (MTTD) va del inicio a la alerta; el tiempo de acuse (MTTA), de la alerta al momento en que un analista toma el caso; el tiempo de contención (MTTC), de la alerta al corte del acceso o al aislamiento; y el tiempo de cierre (MTTR), de la alerta al cierre del caso.

La sigla MTTR se lee distinto según quién la use: recuperación, respuesta o resolución, y no siempre contada desde el mismo punto. No hay una definición universal que adoptar; lo que sí hay es una regla de oficio: la definición va escrita junto a la cifra, porque dos equipos que comparan sus MTTR sin comprobar esto están comparando cosas diferentes.

Abre los incidentes de septiembre. Cada fila trae las cinco horas, en hora de Bogotá y con mes y día. Para uno de ellos la detección tardó más de un día, y hay que saber cuánto exactamente: no es lo mismo «tardó mucho» que «tardó un día y una hora».

La tabla de tiempos ya trae cada incidente en minutos, sin cálculo de promedios. El acuse es el primer tiempo que el cliente interno nota: cuánto esperó una alerta antes de que un humano la mirara. Se resume con la media aritmética: la suma de los ocho tiempos dividida entre ocho.

La contención es el tiempo que importa de verdad al negocio: mientras no se corta el acceso, el daño sigue creciendo. Mismo cálculo, otra columna. Fíjate en que la contención contiene al acuse: el analista tomó el caso dentro de esos minutos, no después.

Los tres tiempos que van desde la alerta se pueden leer en cuanto ocurren. El de detección no. Mira de dónde sale la hora de «inicio» de la tabla: no la escribió ningún sistema en el momento en que ocurrió.