Užitočné metriky spájajú definované meranie s rozhodnutím: latencia záplat, pokrytie detekcie, priemerný čas do detekcie a reakcie, výsledky testov kontrol, počty výnimiek a trendy expozície. Slabé metriky počítajú aktivitu — uzavreté tikety, spracované upozornenia — bez ukázania, či sa riziko zmenilo.
Kľúčové body
Presné definíciePomenovať zdroj údajov, populáciu, časové okno, vlastníka a rozhodnutie, ktoré číslo informuje.
Výsledky pred aktivitouMerať pokrytie, správnosť a včasnosť namiesto objemu vykonanej práce.
Dôležité obmedzenieMetriky sú modely bezpečnosti, nie jej dôkaz. Platí Goodhartov zákon — keď sa číslo stane cieľom, tímy optimalizujú číslo namiesto ochrany, ktorú malo reprezentovať.