Il tempo di rilevamento-risposta è il tempo trascorso tra l'identificazione di un evento sospetto e l'esecuzione di un'azione difensiva come l'isolamento di un host, il blocco di un account o l'avvio di un flusso di lavoro per gli incidenti. Nelle operazioni di sicurezza, questo intervallo include la revisione dell'avviso, il triage, l'approvazione e le fasi di contenimento. Un tempo di rilevamento-risposta più breve riduce il dwell time dell'attaccante e può fermare il furto di credenziali, il movimento laterale o l'esfiltrazione dei dati prima che si diffondano.
È importante perché un rilevamento rapido da solo non ferma gli attacchi; anche il percorso di risposta deve essere altrettanto rapido. Gli strumenti automatizzati possono segnalare malware o accessi anomali, ma passaggi di consegne lenti, responsabilità poco chiare o approvazioni manuali possono annullare il vantaggio. I difensori misurano questa tempistica per individuare i colli di bottiglia, migliorare i playbook e ottimizzare i processi SIEM, SOAR e di risposta agli incidenti. Gli attaccanti traggono vantaggio ogni volta che questo divario è ampio, quindi ridurlo è un controllo difensivo fondamentale.