Un SOC senza metriche non sa se sta migliorando. Le due fondamentali:
- MTTD (Mean Time To Detect) – quanto tempo passa in media tra il momento della compromissione e il momento in cui te ne accorgi. È spesso spaventoso: il dwell time (permanenza non rilevata dell'attaccante) storicamente si misura in settimane o mesi, tempo in cui l'attaccante fa comodo quello che vuole
- MTTR (Mean Time To Respond) – quanto tempo dal rilevamento al contenimento e alla bonifica
Migliorare l'MTTD – la metrica più importante, perché il danno cresce col tempo di permanenza – significa migliore detection e threat hunting proattivo (non aspettare l'allarme, cercare), log di qualità, meno alert fatigue. Migliorare l'MTTR significa playbook e automazione (SOAR), procedure di incident response provate, ruoli chiari.
L'avvertenza da manuale: le metriche si possono gamare (chiudere in fretta i casi facili abbassa l'MTTR ma non ti rende più sicuro). Vanno lette insieme e con onestà – sono uno strumento di miglioramento, non una pagella da gonfiare. La domanda vera che misurano: se qualcuno entrasse ora, tra quanto lo saprei e quanto in fretta lo fermerei?