Про Time-to-Attack я уже писал писали на Хабре. Обычно, когда только компании подступаются к этому вопросу, они идут по пути наименьшего сопротивления, выбирая некое усредненное… Подробнее »Как рассчитывать время реагирования на инциденты?