セキュリティチームは、対応の開始と終了のタイミングについて合意に達しない限り、対応速度を向上させることはできません。マンディアント社の2026年の分析によると、最初のアクセスから二次的な攻撃者への引き継ぎまでの時間の中央値は、2022年の8時間以上から2025年には22秒へと短縮されたことが明らかになりました。 この数値はSOCの対応時間ではなく、攻撃者間の引き継ぎ時間を測定したものであるが、平均対応時間（MTTR）は、単にチケットがどれほど早くクローズされたかではなく、高信頼度の検知から検証済みの封じ込めに至るまでの意思決定の遅延を追跡すべきである理由を示している。
「平均対応時間（Mean Time to Respond、通称MTTR）」とは、セキュリティチームが、脅威の検出（確定または高い確信度）から、関連するリスクの封じ込めが確認されるまでに要する時間を測定する指標です。この指標は、チケットが未解決のまま残っている時間ではなく、攻撃者が依然として行動できる時間を反映している場合に、最も有用となります。
MTTRを適切に活用すれば、意思決定の遅れを明らかにすることができます。一方、不適切に活用すると、脅威が依然として存在しているにもかかわらず、チケットを迅速にクローズすることだけが重視されてしまいます。
チームごとに開始・終了の基準が異なるため、MTTRを算出する普遍的な公式は存在しません。有用な定義とは、一貫性があり、検証可能であり、かつリスク低減と結びついたものであるべきです。
ほとんどのSOCレポート作成において、対応を要する信頼度の高いセキュリティイベントが、有資格のアナリストまたは検知ワークフローによって特定された時点で計測を開始します。侵害されたIDの無効化、ホストの隔離、悪意のあるセッションの遮断、または漏洩した認証情報の無効化など、直近の攻撃経路が封じ込められたことをチームが確認した時点で計測を停止します。
検証済みの封じ込めが確実に達成されたことを示す場合を除き、チケットの最終クローズを終了イベントとして使用しないでください。クローズには、文書化、復旧作業、教訓の抽出、または別途測定すべきその他のタスクが含まれる場合があります。
特定の報告期間については：
MTTR = 選択した開始事象から封じ込めが確認されるまでの合計時間 ÷ 対象となったインシデントの数
たとえば、対象となった20件のインシデントについて、適切な検知から確認済みの封じ込めまでにかかった合計時間が100時間だった場合、MTTRは5時間となります。計算自体は単純です。重要なのは、毎回同じイベントの定義、対象選定ルール、およびデータソースを使用することです。
平均値だけを報告してはいけません。ごく少数の複雑な事案によって平均値が急上昇する一方で、一見健全に見える平均値の背後には、処理が遅れている危険な事案群が隠れている可能性があります。実用的なダッシュボードには、以下の要素が含まれます：
このアプローチにより、単一の主要指標が、ワークフローのどの部分に注力すべきかを示す根拠へと変換されます。各チームは、MTTRをより広範なサイバーセキュリティ指標の一環として位置づけ、対応速度を、検知、調査、是正、復旧といった要素と併せて評価すべきです。
MTTRは、しばしば一貫性なく使用されることがあります。各指標に明確なイベントの境界を設定することで、経営陣が「早期発見」と「早期封じ込め」を混同しないようにします。
この区分は、NISTのインシデント対応ガイダンスにおけるライフサイクル、およびNISTサイバーセキュリティ・フレームワーク2.0の「検知（Detect）」「対応（Respond）」「復旧（Recover）」の各機能を反映したものです。また、これにより真の問題を特定することが可能になります。対応時間が長引く原因は、調査の遅れ、承認権限の不明確さ、あるいは信頼性の低い封じ込めプロセスにある可能性があります。
より広範なワークフローについては、「インシデント対応」を参照してください。証拠収集フェーズの詳細については、「インシデント調査」を参照してください。
MTTRが2時間だからといって、8時間のMTTRよりも必ずしも優れているとは限りません。確認済みの重大なID侵害に対処するチームは、既知の悪意あるドメインをブロックするチームよりも、より多くの検証や調整を必要とする場合があります。インシデントの深刻度の構成、テレメトリのカバー範囲、変更管理の要件、ビジネスに不可欠なシステム、およびインシデントの定義はすべて、結果に影響を与えます。
同じ測定設計の範囲内で、経時的なMTTRを比較してください。チームや環境を比較する前に、データをセグメント分けしてください。その後、分布の末尾に注目してください。P90の領域では、権限の不足、エスカレーション手順の不明確さ、あるいは手作業による引き継ぎといった問題が顕在化することがよくあります。
また、検知についても別途測定する必要があります。マンディアント社の報告によると、2025年には世界全体の平均滞留期間が11日から14日に増加した一方、調査対象となった組織の52％で、組織側が内部で最初に証拠を検知したとの結果が出ており、これは2024年の43％から増加しています。これらの数値は対応のベンチマークではありませんが、迅速な封じ込めワークフローだけでは検知の遅れを補うことができない理由を示しています。
目標は、的確な判断力を維持しつつ、攻撃者が行動できる時間を短縮することです。まずは、どの段階で時間がかかっているかを特定することから始めましょう。
測定モデルが導入された後の実装に関するガイダンスについては、「インシデント対応の自動化」をご覧ください。ドメイン横断的な優先順位付けや対応ワークフローの改善が必要なチームは、VectraAIの脅威検知および対応のユースケースもご参照ください。
対応担当者が、どのシグナルがアクティブな攻撃を示しているか、それがどこに拡散しているか、そしてどのような対応が適切かを迅速に把握できれば、MTTRは改善されます。Vectra AIは、セキュリティチームがネットワーク、ID、クラウド環境にわたる脅威の検出、調査、対応を連携させることを支援し、より的確な情報に基づいた対応ワークフローを実現します。この指標は、依然としてチームのガバナンスツールとしての役割を果たします。つまり、その範囲を定義し、外れ値を検証し、単に解決を早めるだけでなく、意思決定の改善に活用するのです。
MTTRとは通常、「平均対応時間」を意味します。このガイドでは、信頼度の高い検知から封じ込めが確認されるまでの平均時間を指します。組織によってこの頭字語の用法が異なるため、報告する際は必ず正式名称と対象範囲を明記してください。
いいえ。「対応」は顕在化したリスクの抑制に重点を置くのに対し、「是正措置」は根本原因の特定と持続的な是正措置を目的としています。これらを別々に追跡することで、長期にわたる是正措置プロジェクトによって、封じ込めの成果が見えにくくなるのを防ぐことができます。
3つすべてを活用してください。平均値は傾向の把握に役立ち、中央値は典型的な事例を示し、P90はワークロードの中で最も処理に時間がかかる部分を明らかにします。結果を重大度とインシデントの種類ごとに分類してください。
対応が必要な、文書化済みで信頼性の高い検知結果から開始してください。最初の生のアラートから始めると、チームの対応能力ではなく、アラートのノイズやツールの挙動が評価の対象となってしまうことがよくあります。
はい、反復的な作業を排除し、定められたガイドラインに従うのであれば可能です。まずは証拠の収集や範囲が限定された作業を自動化し、その結果や例外事項を確認した上で、自動化の範囲を拡大していくべきです。
