Definition MTTA | Mean Time To Acknowledge Was ist Mean Time To Acknowledge (MTTA)?

Mean Time To Acknowledge ist eine wichtige Metrik des Response-Managements. Sie benennt die mittlere Zeit von der Alarmierung bis zur Bestätigung eines Ereignisses (Incident) als Vorfall (zum Beispiel Cyberangriff). Erst durch diese Bestätigung können entsprechende Gegenmaßnahmen eingeleitet und begonnen werden. Die Mean Time To Acknowledge ist ein Maß für die Reaktionsfähigkeit eines Incident-Teams oder die Effektivität eines Warnsystems.

MTTA ist das Akronym für Mean Time To Acknowledge. Die deutsche Übersetzung lautet "mittlere Bestätigungszeit". Bei der MTTA handelt es sich um eine wichtige Kennzahl aus dem Bereich des Incident- und Response-Management. Sie benennt die durchschnittliche Zeit, die von der Alarmierung eines Ereignisses bis zur Bestätigung als Vorfall verstreicht. Es ist somit die Zeit gemeint, die zum Beispiel ein Response-Team benötigt, um zu bestätigen, dass ein bestimmtes Ereignis wie eine Alarmmeldung tatsächlich ein Vorfall ist und Gegenmaßnahmen erfordert. Erst nach dieser Bestätigung kann mit der Einleitung entsprechender Gegen- oder Abwehrmaßnahmen begonnen werden. Eine Bestätigung kann beispielsweise das Erstellen und Zuteilen eines Tickets für ein Betriebsteam sein. Ereignisse, für die die MTTA ermittelt wird, sind zum Beispiel Störungen oder Cyberangriffe. Die Mean Time To Acknowledge ist ein Maß für die Reaktionsfähigkeit eines Incident-Teams oder die Effektivität eines Warnsystems. Sie kann Bestandteil eines Service Level Agreements (SLA) sein und sollte eine möglichst kurze Zeit sein.

Berechnung der Mean Time To Acknowledge

Die Mean Time To Acknowledge wird für einen zuvor festzulegenden Betrachtungszeitraum berechnet. Anschließend werden für alle in diesem Zeitraum aufgetretenen Vorfälle die Bestätigungszeiten vom Eingehen der Meldung bis zur Bestätigung als Vorfalls addiert. Teilt man die Summe aller Bestätigungszeiten durch die Anzahl der aufgetretenen Vorfälle, erhält man die durchschnittliche Bestätigungszeit (Mean Time To Acknowledge).

Die Formel zur Berechnung der MTTA lautet:

Als Betrachtungszeiträume werden üblicherweise ein Jahr, ein Quartal, ein Monat oder eine Woche gewählt. Die Mean Time To Acknowledge selbst wird je nach Umgebung oder den betrachteten Vorfällen in Sekunden, Minuten, Stunden oder Tagen angegeben. Durch die Ermittlung der MTTA über mehrere aufeinander folgende Betrachtungszeiträume hinweg ergibt sich ein Trend, aus dem sich ablesen lässt, ob sich die mittlere Bestätigungszeit verbessert oder verschlechtert.

Ein Berechnungsbeispiel: In einem Monat sind insgesamt fünf bestätigte Störfälle aufgetreten. Die Summe aller Bestätigungszeiten von der jeweiligen Warnmeldung bis zur Bestätigung beträgt zehn Stunden. Die MTTA berechnet sich folgendermaßen:

MTTA = 10 Stunden / 5 Störfälle = 2 Stunden

Abgrenzung der Kennzahlen MTTA, MTTD, MTTR und MTTC

Neben der Mean Time To Acknowledge gibt es im Incident- und Response-Management weitere wichtige Kennzahlen. Eine dieser Kennzahlen ist die MTTD (Mean Time To Detect). Bei der MTTD handelt es sich um die mittlere Erkennungszeit. Es ist die durchschnittliche Zeit zwischen dem Auftreten eines Vorfalls bis zu dessen Erkennung. Manchmal wird sie auch als Mean Time To Discover bezeichnet. Sie gibt Auskunft darüber, wie lange ein Vorfall unbemerkt bestehen kann, bevor er erkannt wird. Durch langes unbemerktes Wirken eines Vorfalls oder Problems erhöht sich die Wahrscheinlichkeit für schwerwiegende Folgen.

Bei der MTTR (Mean Time To Resolve, Mean Time To Recovery oder Mean Time To Repair) handelt es sich um die mittlere Reparatur- oder Wiederherstellungszeit für ein durch einen Vorfall ausgefallenes oder beeinträchtigtes System.

Die Mean Time To Contain (MTTC) ist die mittlere Eindämmungszeit. Sie verbindet mehrere Metriken (MTTD, MTTA und MTTR) miteinander und führt zu einer holistischen Betrachtungsweise. Es handelt sich um die durchschnittliche Zeit zur Erkennung, Bestätigung und Eindämmung eines Vorfalls. Sie enthält auch die Zeit, um Angriffsvektoren auszuschalten oder Sicherheitslücken zu schließen und damit die Eintrittswahrscheinlichkeit für ähnliche Vorfälle zu minimieren.

(ID:49862609)