Użyteczne metryki łączą zdefiniowany pomiar z decyzją: opóźnienie łatania, pokrycie detekcji, średni czas wykrycia i reakcji, wyniki testów kontroli, liczby wyjątków i trendy ekspozycji. Słabe metryki liczą aktywność — zamknięte zgłoszenia, przetworzone alerty — bez pokazywania, czy ryzyko się zmieniło.
Najważniejsze punkty
Precyzyjne definicjeNazwij źródło danych, populację, okno czasowe, właściciela i decyzję, którą liczba informuje.
Wyniki ponad aktywnośćMierz pokrycie, poprawność i terminowość, a nie objętość wykonanej pracy.
Istotne ograniczenieMetryki to modele bezpieczeństwa, a nie jego dowód. Obowiązuje prawo Goodharta — gdy liczba staje się celem, zespoły optymalizują liczbę zamiast ochrony, którą miała reprezentować.