MTTR（平均修復時間）とは
MTTR（平均修復時間）は、セキュリティ問題が確認されてから完全に修正し、その解決を検証するまでの平均時間を測定します。特定期間内に発生したすべての問題の修復に費やした総時間を合計し、個別の問題数で割ることで算出します。例えば、5件のインシデントにそれぞれ4、12、6、9、9時間かかった場合、合計40時間 ÷ 5件でMTTRは8時間となります。
.png)
MTTRがセキュリティ運用に重要な理由
時間は攻撃者に有利に働きます。脆弱性が公開されてから数時間以内にパブリックなエクスプロイトが登場することもありますが、多くの脆弱性ではエクスプロイトが数日から数週間後にリリースされるため、脅威への対応に費やす追加の1時間ごとにラテラルムーブメント、データ窃取、ランサムウェア発動のリスクが高まります。この指標を追跡することで、どの段階で時間が積み重なっているかが明らかになります。
対応効率を定期的に測定すると、ボトルネックが可視化されます。アラートがキューに滞留するのは担当が不明確なためであったり、アナリストが数千件の低価値通知に埋もれて手動検証が長引くことが原因です。この指標は経営層が理解できる共通言語となります。抽象的なリスクスコアではなく、プロセス変更によって平均対応時間が3時間短縮され、全体のリスク露出が減少したことを示せます。
MTTRはMTTDのような検知重視の指標を補完します。迅速に検知しても修復が遅ければ脆弱なままです。修復指標を検知・封じ込め指標と組み合わせることで、セキュリティプログラムがインサイトをどれだけ効率的にアクションへ変換できているかを総合的に把握できます。
最新のAIサイバーセキュリティソリューションによる修復加速
サイバーセキュリティにおいてMTTRは、単なるサービス復旧ではなくリスクの排除に焦点を当てます。時計は一時的な封じ込めで止まるのではなく、根本原因への対応、パッチ適用、脅威が消滅したことの監視確認まで進みます。これにより、MTTRは経営層が長期的に追跡できる技術的対応効率を示すKPIとなります。リアルタイム脅威検知機能を備えた高度なAIサイバーセキュリティソリューションは、脅威の自動特定と人手を介さない封じ込めにより、対応時間を劇的に短縮します。
対応時間の短縮は、攻撃者が足場を利用できる時間枠を狭めます。セキュリティオペレーションセンターは日々数千件のアラートを処理し、誤検知率も20～30%程度と高い場合があります（組織規模やSOCの成熟度により大きく異なります）。無駄な1時間ごとにリスク露出とアナリストの疲弊が増大します。修復速度の低下は侵害コスト増加や業務復旧の遅延に直結します。
MTTRとMTTDの違い
検知と修復は異なるフェーズであり、それぞれ異なる能力が求められます。
- MTTD（平均検知時間）は、攻撃開始からセキュリティツールが最初のアラートを生成するまでの脅威検知速度を測定します。
- MTTRはMTTDの終了地点から始まり、アラート確認から完全な解決・検証までの時間を追跡します。
迅速な検知も、修復が数時間・数日かかれば意味がありません。例えば、ランサムウェアを15分で検知しても、封じ込めや影響端末の隔離、パッチ適用、脅威排除の検証に18時間かかれば、実際のビジネス影響は後者で決まります。先進的な持続型脅威はこのギャップを突き、初期検知の速さを隠れ蓑にして遅い修復サイクル中に持続性を確立します。
MTTDは監視の有効性を示し、MTTRは対応プロセスの実行効率を明らかにします。両指標を個別に追跡することで、可視性のギャップか運用遅延か、ボトルネックの所在を特定できます。
MTTRの計算方法
MTTR（平均修復時間）の測定は、問題を最初に発見した時刻と完全修復を検証した時刻の2つのタイムスタンプを記録することから始まります。計算自体は単純ですが、正確性は厳格なデータ収集とノイズアラートの賢明なフィルタリングに依存します。
- 発見時刻を記録。アナリストが個別のセキュリティ問題を確認した正確な時刻を記録します。
- 完了時刻を記録。パッチ適用、設定修正、悪性プロセスの排除など、修復が検証された時刻を記録します。
- インシデントごとの所要時間を算出。各問題について発見時刻から完了時刻を引き、その解決ウィンドウを求めます。
- 合計して割る。すべてのインシデントの解決時間を合計し、インシデント総数で割ります。
- 誤検知を除外。計算前に非イベントを除外し、真の脅威のみが対応効率を反映するようにします。
- 重大度ごとに追跡。クリティカル、高、中、低インシデントごとにMTTRを個別算出し、自動化の効果が最も大きい領域を特定します。
アラートを自動で相関付けるツールは、重複カウントを防ぎ、計算ノイズを減らします。エンドポイントアラート、SIEMルール、ネットワークセンサーが同じランサムウェア実行で発火した場合、それらを1インシデントとして扱います。
MTTRを改善する方法
修復時間の短縮には、インシデントが停滞する各段階での的確な介入が必要です。
- 現在の対応ワークフローをマッピングすることから開始し、アラート確認から最終検証までのどこで時間が積み重なっているかを特定します。多くの遅延は、アナリストのトリアージ滞留、手動調査工程、修復アクションの承認プロセスの3領域に集中します。
- 高信頼度検知に対する自動封じ込めを実装します。既知のマルウェアシグネチャや確立された攻撃手法に一致する挙動パターンなどは自律的に対応し、検知から隔離までの待機時間を数時間から数秒に短縮します。定型的なインシデントには標準化されたプレイブックを用意し、アナリストが即興対応せず一貫した手順を踏めるようにします。
- セキュリティプラットフォームを統合し、コンテキストスイッチを排除します。エンドポイント、ネットワーク、アイデンティティデータが1つのコンソールに集約されていれば、アナリストは分断されたツールのログを突き合わせるのに何時間も費やすことなく、数分で攻撃タイムラインを再構築できます。資産の重要度や脅威の深刻度に基づく自動スコアリングでインシデントを優先順位付けし、プリンター設定アラートよりもドメインコントローラー侵害を優先的に対応します。
MTTR短縮に有効な戦略は後述のベストプラクティスと重なりますが、改善はまず異なるインシデント種別ごとの現状パフォーマンスを正確に測定することから始まります。
MTTR関連指標
セキュリティチームは、インシデントライフサイクルの各フェーズを捉える複数の補完的なタイミング指標を活用します。それぞれの時計がいつ始まり、いつ止まるかを理解することで、どの段階が最も時間を消費しているかが明らかになります。
| Metric | What it measures | Clock starts | Clock stops | Why it matters |
| MTTD – Mean Time to Detect | 脅威が潜伏している時間 | 侵害またはコンプロマイズ開始 | セキュリティシステムが最初のアラートを発報 | 迅速な検知は攻撃者の滞留時間を短縮 |
| MTTA – Mean Time to Acknowledge | トリアージ対応速度 | アラート発報 | アナリストが調査開始 | MTTA短縮はバックログの蓄積を防止 |
| MTTC – Mean Time to Contain | 隔離までの速度 | 問題確認 | 脅威隔離または影響システムの隔離完了 | 迅速な封じ込めはラテラルスプレッドを阻止 |
| MTTR – Mean Time to Remediate | 完全修復までの所要時間 | 問題確認 | 完全な解決および検証完了 | MTTRは総露出時間とコストに直結 |
| MTBF – Mean Time Between Failures | 防御の安定性 | 1件の完全修復インシデント終了 | 次のインシデント開始 | MTBFの上昇はプロセス・技術改善の定着を示す |
これらの指標により、「速くなる」という漠然とした目標が、具体的な改善領域へと変換されます。
MTTR短縮によるセキュリティチームのメリット
- 修復時間の短縮は、ビジネスリスク低減と運用効率向上に直結します。MTTRを1時間短縮するごとに、攻撃者がデータを窃取したり、ランサムウェアを展開したり、持続的なバックドアを確立するための時間枠が縮小します。MTTRが2時間未満の組織は、攻撃者がラテラルムーブメントを完了する前に侵害を封じ込め、規制報告や顧客通知が必要となる大規模インシデントへの発展を防ぎます。
- 迅速な対応サイクルは、膨大なバックログによるアナリストの燃え尽き症候群を防ぎます。自動化が定型的な封じ込めや調査タスクを処理することで、アナリストは反復的なアラートトリアージに追われることなく、複雑な脅威ハンティングや戦略的なセキュリティ改善に集中できます。この変化は職務満足度を高め、経験豊富なアナリストの離職による生産性損失（1人あたり6か月分）を抑制します。
- 経営層も、セキュリティ投資が測定可能な成果を生んでいることを定量的に把握できます。平均修復時間が40%短縮された場合、新ツールやプロセス変更による明確なROIを示せるため、予算承認も容易です。コンプライアンス監査でも、迅速な対応指標は有効なリスク管理の証拠として認められ、規制審査が円滑になります。
これらの運用的・戦略的メリットにより、MTTR短縮は専用リソースを割く価値のある優先課題となりますが、その実現には自組織の対応時間を増大させている要因の把握が不可欠です。
課題：MTTRを増加させる要因
修復時間を引き延ばす要因は、「人」「プロセス」「テクノロジー」の3つです。
- 人員の制約による対応遅延。平均11,000件のアラートを毎日処理するSOCでは、アナリストがノイズのトリアージに多くの時間を費やし、実際の脅威対応が遅れます。この継続的なプレッシャーは燃え尽き症候群を招きます。2023年のDevo調査によると、セキュリティ専門職の42%がSOC関連職を離れる主因として燃え尽き症候群を挙げています。貴重な専門知識の喪失は、新任者が戦力化するまでインシデントの滞留を長引かせます。
- プロセスのボトルネックによる停滞。分断されたチーム間でチケットが行き来し、変更管理委員会や法務レビューの承認待ちで本番システムへの対応が遅れます。ドキュメント重視のワークフローは単純な修正も遅らせ、優先順位の不統一で低リスクのプリンターアラートが高リスクのドメインコントローラー侵害より先に処理されることもあります。
- テクノロジーのギャップによる遅延増大。アナリストが重要な情報を見極められず、誤検知率の高さ（業界調査では25%以上とされることも多い）が大きな要因です。一般的な企業は10～40の分断されたセキュリティプラットフォームを運用しており、複数のコンソールを行き来してコンテキストをつなぎ合わせる必要があります。自動化が限定的なため、定型作業も手作業で行われています。
MTTR短縮のベストプラクティス
5つの戦略で、正確性や徹底性を損なうことなく対応時間を短縮できます。特にサイバーセキュリティにおける誤検知削減と、セキュリティツール統合による運用効率化に重点を置いています。
- 高信頼度脅威の自動封じ込め。ビヘイビアAIが既知のランサムウェアパターンを検知した場合、自律的な対応で影響エンドポイントを数秒以内に隔離できます。曖昧なケースのみアナリストの判断に委ねます。
- リスクベースの優先順位付けを実装。アラートを重要度や資産価値でセグメント化します。これにより、攻撃を受けているドメインコントローラーや認証情報の窃取など、影響の大きいインシデントが即時対応され、低重要度イベントは後回しになります。
- 定型シナリオ用プレイブックの導入。 フィッシングキャンペーンやブルートフォース攻撃など、よくある攻撃パターンに対して調査・修復手順を標準化します。プレイブックは判断のばらつきを排除し、トレーニング時間を短縮し、シフト間で品質を均一化します。
- セキュリティツールの統合。分断されたポイントソリューションを、エンドポイント・アイデンティティ・ネットワークのテレメトリを1つのコンソールで相関できる統合プラットフォームに置き換えます。ツール統合により、アナリストはコンテキストスイッチに費やす時間を減らし、チケットクローズに集中できます。
- 重大度ごとの詳細なMTTR追跡。クリティカル、高、中、低の各インシデントで対応時間を個別に測定します。これにより、自動化の効果が最も大きい領域や、手動ワークフローが依然としてボトルネックとなっている部分が明らかになります。
調査中の記録を省略すると、次回同じ問題が再発した際に根本原因の再調査が必要となり、かえって遅延を招きます。記録作業が数秒で済む軽量テンプレートを用意しましょう。
根本原因の確認をせずにサービス復旧を急ぐのも同様にコストがかかります。場当たり的な修正は再発を招き、1件のインシデントが複数回発生し、長期的な平均値を押し上げます。
これら5つの戦略は、インシデントレスポンスの各段階で遅延を排除するために連携しますが、効果測定には変更前の明確なベースライン設定が不可欠です。
MTTRのベンチマークと実例
先進的なセキュリティチームは、自律的な対応とインテリジェントな優先順位付けにより、2時間未満の対応時間を実現しています。この目標は現時点でのゴールドスタンダードであり、高度な自動化とリスクベースのアラート処理を徹底したチームのみが一貫して達成しています。
- 業界ベンチマークは業種によって大きく異なります。 金融や医療など規制の厳しい業界は、未解決露出の1分ごとにコンプライアンス違反や患者安全リスクが増大するため、最も厳しい内部目標を設定します。規制の緩い業界でも、攻撃速度の増加に伴い、対応目標が「日単位」から「時間単位」へとシフトしています。
- クリティカルなランサムウェア封じ込めと低リスクのポリシー違反を分けてベンチマークしましょう。 業界平均はインシデント種別や重大度による大きなばらつきを隠してしまうため、この詳細な視点で外れ値を特定し、新たなプレイブックや自動化強化の効果が最も早く現れる領域を明確にできます。
- 次のような事例があります： あるグローバル小売業者は、年初時点で平均対応時間が19時間でした。 資産の重要度をマッピングし、高信頼度のマルウェアアラートの自動封じ込め、月次テーブルトップ演習を実施した結果、6か月で90分まで短縮し、92%の改善を達成。アナリストは火消し対応から脅威ハンティングへとシフトできました。
- プラットフォーム選択がこれらの成果に直結します。 高度なセキュリティプラットフォームは関連イベントを自動相関し、ノイズを抑制することで、業界評価でアラート量を最大88%削減し、SOCの調査時間を大幅に短縮します。日々数千件のアラートに直面する場合、この削減だけでも各対応サイクルの所要時間を数時間短縮できます。
まず自組織のベースラインを確立し、すべての変更を測定しましょう。最も意味のあるベンチマークは、他社との比較ではなく、自社がどれだけ速くなったかを示すものです。
SentinelOneによるMTTR短縮
長い修復時間の主因は、分断されたセキュリティ運用にあります。アナリストは複数のコンソールを切り替え、誤検知を追いかけ、不完全なフォレンジックデータを手作業でつなぎ合わせることに多くの時間を浪費します。各ツールがインシデントレスポンスワークフローに摩擦を生み、手動プロセスが脅威の持続を許す遅延を生み出します。
SentinelOneのSingularity Platformは、自律的な対応、統合テレメトリ、AIによる調査機能により、MTTRを数時間から数秒に短縮し、修復時間を増大させる手作業を排除します。
Purple AIは、アラートのコンテキスト要約、次の推奨アクション、自動調査機能を提供します。Purple AIは「このホストからのラテラルムーブメントをすべて表示して」といった自然言語の質問を、EDR・アイデンティティ・ネットワークログ全体への高度なクエリに変換し、複数コンソールからデータをつなぎ合わせる数時間の作業を不要にします。2024年MITRE ATT&CK Enterprise Evaluationsによると、Purple AIはアラートノイズを88%削減し、アナリストが誤検知に埋もれることなく真の脅威に集中できるようにします。Purple AIは重大なセキュリティインシデント発生確率を最大60%低減できます。3年間で最大338%の投資収益率が得られます。
Singularity Endpointは、感染したエンドポイントを自動隔離し、悪性プロセスを検知から数秒で停止します。ビヘイビアAIと静的AIモデルがランサムウェア攻撃をリアルタイムで人手を介さず特定します。ランサムウェアによるファイル暗号化時も、ワンクリックロールバックで即座にシステムを健全な状態に復元し、長時間の再イメージ作業や身代金支払い・生産性損失の選択を不要にします。
Singularity Identityは、Active DirectoryやEntra ID上で進行中のアイデンティティ攻撃に対し、自律的なアクションを実行します。チケットキューや承認遅延なしに数秒で対応し、従来ツールでは数時間放置されがちな認証情報窃取や権限昇格攻撃の修復時間を短縮します。
統合Singularityコンソールは、Storylineテクノロジーにより、エンドポイント・クラウドワークロード・アイデンティティシステム全体のインシデントタイムラインと根本原因分析を自動で再構築し、攻撃の全体像を即座に可視化します。分断ツールのログを手作業で相関させる必要がなく、フォレンジックデータもアーカイブ遅延なしで調査可能です。
SentinelOneの特許取得済みStorylineテクノロジーは、複数ソースのデータを自動相関し、攻撃チェーン全体の包括的なストーリーやビジュアルタイムラインを作成できます。これにより、分断されたツールやソースのログを手作業でつなぎ合わせる時間を排除し、アナリストがインシデントの全容と根本原因を数分で把握できるようになります。
SentinelOneのManaged Detection and Response（MDR）サービスは、専任エキスパートによる24時間365日の監視、脅威ハンティング、インシデントレスポンスを提供します。迅速な対応時間が保証され、内部リソースを圧迫せずにMTTRを改善できます。
デモをリクエストし、Singularityが自律的な対応と統合運用によりMTTRを数時間から数秒に短縮する様子をご確認ください。
まとめ
MTTRは、検知から完全修復までに確定したセキュリティリスクをどれだけ迅速に排除できるかを測定します。この指標は、対応プロセスがどこで停滞しているか（アナリストの過負荷、手動ワークフロー、分断ツール）を可視化します。高信頼度脅威の自動化、プレイブックの標準化、ノイズの積極的なフィルタリング、重大度ごとのパフォーマンス追跡で対応時間を短縮しましょう。
先進的なチームは、自律的な対応と統合運用によりMTTRを2時間未満に抑えています。ベースラインを確立し、すべての改善を測定し、根本原因の徹底修復を犠牲にせずスピードを追求しましょう。1時間の短縮ごとに攻撃者の滞留時間と侵害コストが直接減少します。
よくある質問
MTTRはサイバーセキュリティ分野でMean Time to Remediate（平均修復時間）を指します。この略語はIT運用ではMean Time to RepairやMean Time to Resolveを意味する場合もありますが、セキュリティチームは特に、検知から確認済みの解決まで、脅威を完全に排除するまでにかかる時間を測定するために使用します。
MTTR（Mean Time to Remediate）は、セキュリティ問題を確認してから完全に解決するまでの平均所要時間を測定します。MTTRは、一定期間に発生したすべてのインシデントの修復に要した総時間を合計し、インシデント数で割ることで算出します。
特定期間に発生したすべてのセキュリティインシデントの修復に要した総時間を合計し、個別インシデント数で割ることでMTTRを算出します。例えば、5件のインシデントにそれぞれ4、12、6、9、9時間かかった場合、合計40時間を5件で割るとMTTRは8時間となります。計算には誤検知を除外し、重大インシデントと低重要度アラートは別々に追跡することで、チームが修復に費やしている時間の実態を把握できます。
MTTRは、攻撃者が検知後に自社環境内で活動できる時間を直接測定します。遅延するごとに、脅威が横展開したり、データを窃取したり、ランサムウェアを展開する時間を与えてしまいます。
金融サービスや医療分野のチームは、重大インシデントで2時間未満を目標とすることが多く、規制の少ない環境では8時間以内が競争力のある水準です。目標値は業界要件、攻撃の速度、オートメーションの成熟度によって異なります。
組織は、高い信頼性の脅威に対する自動隔離の実施、セキュリティツールの統合プラットフォームへの集約、一般的な攻撃シナリオに対応する標準化されたプレイブックの導入によって、MTTRを短縮します。資産の重要度と脅威の深刻度に基づいてインシデントの優先順位を付け、アナリストが低リスクのポリシー違反よりもドメインコントローラーの侵害に先に対応できるようにします。誤検知を積極的にフィルタリングし、チームが本物の脅威に集中できるようにし、MTTRを深刻度ごとに個別に追跡して、自動化による最大の時間短縮効果が得られる領域を特定します。
MTTDは脅威を発見するまでの速さを測定し、MTTRは完全に修復するまでの速さを測定します。迅速な検知だけで修復が遅ければ、継続的な攻撃に依然として脆弱なままです。
繰り返し作業を自動化し、プレイブックを標準化し、ノイズを積極的にフィルタリングしながら高インパクトなアラートを優先することで、アナリストが根本原因の調査に集中できるようにします。手作業の雑務を排除し、熟練アナリストが重要な複雑調査に時間を割けるようにすることで、品質も向上します。
すべてのイベントにタイムスタンプを付与し、関連アラートを重複排除し、ダッシュボードやチケッティングシステムに生データをエクスポートできるSIEMやXDRプラットフォームを探してください。最適なプラットフォームはイベントを自動的に相関付け、重複カウントを防ぎ、正確なインシデントタイムラインを提供します。
はい。MTTRは技術的な活動を、経営層が理解できるリスクエクスポージャーの言語に変換し、セキュリティ投資のROIを明確にします。MTTRの推移を追跡することで、プロセス改善や新ツール導入が実際に組織の攻撃リスクを低減しているかどうかを示せます。
