Užitečné metriky propojují definované měření s rozhodnutím: latence patchování, pokrytí detekcemi, střední doba do detekce a reakce, výsledky testů kontrol, počty výjimek a trendy expozice. Slabé metriky počítají aktivitu — uzavřené tickety, zpracované výstrahy — aniž by ukazovaly, zda se riziko změnilo.
Klíčové body
Přesné definicePojmenujte zdroj dat, populaci, časové okno, vlastníka a rozhodnutí, které číslo informuje.
Výsledky před aktivitouMěřte pokrytí, správnost a včasnost, nikoli objem vykonané práce.
Důležité omezeníMetriky jsou modely zabezpečení, nikoli jeho důkaz. Platí Goodhartův zákon — jakmile se číslo stane cílem, týmy optimalizují číslo místo ochrany, kterou mělo reprezentovat.