Metricile utile leagă o măsurătoare definită de o decizie: latența de patching, acoperirea detecției, timpul mediu de detecție și răspuns, rezultatele testelor de controale, numărul de excepții și tendințele de expunere. Metricile slabe numără activitate — tichete închise, alerte procesate — fără a arăta dacă riscul s-a schimbat.
Puncte esențiale
Definiții preciseNumiți sursa de date, populația, fereastra de timp, proprietarul și decizia pe care numărul o informează.
Rezultate peste activitateMăsurați acoperirea, corectitudinea și promptitudinea, în locul volumului de muncă efectuată.
Limitare importantăMetricile sunt modele de securitate, nu dovezi ale acesteia. Legea lui Goodhart se aplică — odată ce un număr devine o țintă, echipele optimizează numărul în locul protecției pe care era menită să o reprezinte.