เมตริก (Metric) กำหนดระบบการวัดที่ขึ้นอยู่กับขั้นตอนที่วัดได้ (Quantifiable Procedures) เมตริกที่มีประโยชน์ชี้ให้เห็นระดับที่วัตถุประสงค์การปกป้อง เช่น ความลับของข้อมูล (Data Confidentiality) ถูกบรรลุ และพวกเขาขับเคลื่อนมาตรการที่ใช้เพื่อค้นหาโปรแกรมความปลอดภัยโดยรวมขององค์กร ความเป็นส่วนตัว (Privacy) สามารถอธิบายได้ว่าเป็นการควบคุมการเข้าถึงผู้อื่นต่อขนาดส่วนตัวของเรา เช่น ความเป็นส่วนตัวของข้อมูล
เมตริกสามารถเป็นอุปกรณ์ที่มีประสิทธิภาพสำหรับผู้บริหารความปลอดภัย เพื่อให้เข้าใจประสิทธิภาพขององค์ประกอบต่างๆ ของโปรแกรมการปกป้องของพวกเขา ความปลอดภัยของระบบ ผลิตภัณฑ์ หรือกระบวนการเฉพาะ และความสามารถของพนักงานหรือแผนกภายในองค์กรในการจัดการพื้นที่ความปลอดภัยที่พวกเขาต้องรับผิดชอบ
เมตริกยังสามารถช่วยระบุระดับความเสี่ยงในการไม่ดำเนินการที่กำหนด และในทางนั้น ให้คำแนะนำในการจัดลำดับความสำคัญของการดำเนินการแก้ไข (Counteractive Actions) นอกจากนี้ พวกเขาสามารถใช้เพื่อเพิ่มระดับความตระหนักรู้ด้านความปลอดภัยภายในองค์กร
ด้านต่างๆ ของการวัดความปลอดภัย
-
ความถูกต้องและความมีประสิทธิภาพ (Correctness and Effectiveness) — ความถูกต้อง (Correctness) หมายถึงการรับรองว่าวิธีการบังคับใช้ความปลอดภัย (Security-enforcing Mechanisms) ถูกดำเนินการอย่างถูกต้อง (คือ ทำอย่างถูกต้องสิ่งที่พวกเขาตั้งใจจะทำ เช่น การดำเนินการคำนวณบางอย่าง) ความมีประสิทธิภาพ (Effectiveness) หมายถึงการรับรองว่าวิธีการบังคับใช้ความปลอดภัยของระบบ ตอบสนองเป้าหมายความปลอดภัยที่ประกาศ (คือ ไม่ทำอะไรนอกจากสิ่งที่แนะนำให้พวกเขาทำ ขณะที่ตอบสนองความคาดหวังสำหรับความยืดหยุ่น)
-
ตัวชี้วัดนำหน้าเทียบกับตัวชี้วัดตามหลัง (Leading versus Lagging Indicators) — ตัวชี้วัดนำหน้า (Leading) และตัวชี้วัดปิดท้าย (Lagging Indicators) สร้างสภาพความปลอดภัยที่มีอยู่ ตามลำดับ ก่อนหรือหลังการเปลี่ยนแปลงด้านความปลอดภัย เมตริกความปลอดภัยที่ปิดท้าย (Lagging Security Metric) ที่มีกระบวนการหน่วงเวลา (Latency Process) หรือ เวลาล่าช้า (Lag Time) สั้น ถูกให้ความสำคัญมากกว่าตัวที่มีกระบวนการหน่วงเวลายาว บางเมตริกความปลอดภัยสามารถพิจารณาได้ว่าเป็นตัวชี้วัดตามหลัง
-
วัตถุประสงค์ความปลอดภัยขององค์กร (Organizational Security Objectives) — องค์กรประกอบด้วยหลายเหตุผล ถือครองสินทรัพย์หลายอย่าง มีการเปิดเผยต่อสาธารณะที่แตกต่างกัน เผชิญภัยคุกคามที่แตกต่างกัน และมีความทนทานต่อความเสี่ยงที่แตกต่างกัน เนื่องจากความแตกต่างหลายอย่าง วัตถุประสงค์ความปลอดภัยของพวกเขาจึงอาจแตกต่างกันอย่างมาก เมตริกความปลอดภัยโดยทั่วไปถูกใช้เพื่อพิจารณาว่าองค์กรบรรลุวัตถุประสงค์ความปลอดภัยของมันได้ดีแค่ไหน
-
คุณสมบัติเชิงคุณภาพและเชิงปริมาณ (Qualitative and Quantitative Properties) — การมอบหมายเชิงคุณภาพ (Qualitative Assignments) สามารถสร้างขึ้นเพื่อเป็นตัวแทนของกระบวนการวัดเชิงปริมาณของคุณสมบัติความปลอดภัย (เช่น ต่ำ หมายถึงไม่พบช่องโหว่; ปานกลาง ระหว่าง 1 ถึง 5 ช่องโหว่; และ สูง มากกว่า 5 ช่องโหว่) การประเมินค่าเชิงปริมาณของคุณสมบัติความปลอดภัยหลายอย่าง ยังสามารถถ่วงน้ำหนัก (Weighted) และรวม (Combined) เพื่อเปลี่ยนค่าผสม (Composite Value)
-
การวัดขนาดใหญ่เทียบกับขนาดเล็ก (Measurements of the Large Versus the Small) — การวัดความปลอดภัยได้พิสูจน์แล้วว่ามีความสำเร็จมากกว่าเมื่อจุดมุ่งหมายของการคำนวณเป็นขนาดเล็กและเรียบง่าย แทนที่จะเป็นขนาดใหญ่และซับซ้อน เนื่องจากจำนวนองค์ประกอบในระบบเพิ่มขึ้น จำนวนการปฏิสัมพันธ์ที่เป็นไปได้จะเพิ่มขึ้นด้วยกำลังสองของจำนวนองค์ประกอบ
