MTTD, MTTR y sus trampas

MTTD es el tiempo medio de detección y MTTR suele traducirse como tiempo medio de respuesta, de contención, de recuperación o de resolución. No existe una definición única: cada organización elige cuál es su «punto final» (la contención, la recuperación, el cierre del caso). Por eso la definición va escrita junto a la cifra.

En Ladrillar el MTTR se mide hasta la contención, y el MTTD, desde que empezó el hecho hasta que alguien lo vio. Lee definiciones.txt.

Abre casos-primer-trimestre.csv. Para cada caso, el MTTD es detectado_en menos inicio_evento, en horas. Calcula la de los ocho y haz la media simple.

Una media se deja arrastrar por un solo valor extremo. Mira las ocho demoras de detección que acabas de sumar: una de ellas no se parece a las demás y explica casi toda la cifra.

La mediana es el valor central de la lista ordenada (con un número par de casos, la media de los dos centrales). No se deja arrastrar por un valor extremo, y por eso se publica junto a la media cuando hay casos atípicos.

Ordena las ocho demoras de detección de menor a mayor y calcula la mediana.

Con ocho casos, una media inflada por uno solo y una mediana muy distinta, ninguna cifra sola cuenta el trimestre. Además, el inicio_evento es una estimación hecha al final de la investigación: el MTTD hereda su incertidumbre. Y en severidad alta solo hay dos casos: cualquier tendencia por severidad sería ruido.