Métricas Clave de Desempeño (MTTD, MTTR, Cobertura)

MTTD (tiempo medio de detección) y MTTR (tiempo medio de respuesta) son las métricas más citadas para evaluar un SOC, pero usarlas mal es tan común como usarlas bien. Medir solo el promedio de estos indicadores puede ocultar problemas serios, como un puñado de incidentes que tardaron semanas en detectarse mientras la mayoría de alertas triviales se resolvieron en minutos, distorsionando el promedio hacia un número que parece saludable. Por eso conviene complementarlos con métricas de cobertura, que muestran qué porcentaje de las técnicas relevantes de un marco como MITRE ATT&CK realmente tiene detección activa, y con métricas de calidad como la tasa de falsos positivos por analista. En la práctica, estas métricas solo generan valor cuando se usan para priorizar mejoras concretas, por ejemplo identificar qué fuente de datos con mala cobertura está detrás de los tiempos de detección más altos, en lugar de convertirse en un número aislado que se reporta a la dirección sin ninguna acción asociada.