เมตริกความปลอดภัยข้อมูล (Information Security Metrics) คือการวัดที่สามารถติดตามและประเมินสภาพของกระบวนการความปลอดภัยข้อมูลเฉพาะเจาะจง เมตริก (Metric) กำหนดระบบการวัดที่ขึ้นอยู่กับขั้นตอนที่วัดได้ (Quantifiable Procedures)
เมตริกที่ดีคือเมตริกที่สง่างาม (Elegant) คือ เฉพาะเจาะจง (Specific), วัดได้ (Quantifiable), บรรลุได้ (Attainable), ทำซ้ำได้ (Repeatable), และขึ้นอยู่กับเวลา (Time-dependent) มิติ (Dimensions) ให้มุมมองจุดเดี่ยวในเวลา (Single-point-in-time Views) ขององค์ประกอบเฉพาะ แบบแยกส่วน (Discrete Elements) ในขณะที่เมตริกได้มาจากการวิเคราะห์ (Derived by Analysing) กับเกณฑ์มาตรฐานที่กำหนดไว้ล่วงหน้า (Predetermined Baseline) หลายมิติที่วัดได้ตลอดเวลา มิติถูกสร้างโดยการนับ (Counting) และเมตริกถูกสร้างจากการวิเคราะห์ (Analysis)
ทางเลือกอื่น มิติคือข้อมูลดิบเชิงวัตถุ (Objective Raw Data) และเมตริกคือการอธิบายของมนุษย์ที่เป็นวัตถุหรือ subjektif (Objective or Subjective Human Interpretation) ของข้อมูลเหล่านั้น วิธีการวัดที่ใช้งานต้องสามารถทำซ้ำได้ (Reproducible) และควรได้ผลลัพธ์เดียวกันเมื่อดำเนินการแยกกันโดยผู้ประเมินที่มีความสามารถต่างกัน (Different Competent Evaluators)
เมตริกซอฟต์แวร์ (Software Metrics) เป็นเครื่องมือที่ออกแบบมาเพื่อสนับสนุนการตัดสินใจ และฟื้นฟูประสิทธิภาพและความรับผิดชอบ ระหว่างการตั้งค่า การวิเคราะห์ และการจัดทำรายงานข้อมูลที่เกี่ยวข้องกับประสิทธิภาพ
จุดของการวัดประสิทธิภาพคือการพิจารณาสถานะของกิจกรรมที่พิจารณา และอำนวยความสะดวกในการปรับปรุงกิจกรรมเหล่านั้น โดยใช้การดำเนินการแก้ไข (Counteractive Actions) ตามมิติที่สังเกตเห็น แม้ว่าจะสามารถเป็นกรณีสำหรับการใช้หลายศัพท์สำหรับองค์ประกอบที่กว้างขึ้นและรวมศูนย์กลางมากขึ้น เช่น 'metrics' และ 'measures' เอกสารนี้เข้าถึงวิธีเหล่านี้สลับกัน
การวัด (Measurements) ให้มุมมองจุดเดี่ยวในเวลาของปัจจัยเฉพาะ แบบแยกส่วน ในขณะที่เมตริกถูกเปลี่ยนแปลงโดยการเปรียบเทียบกับเกณฑ์มาตรฐานคงที่ (Constant Baseline) สองหรือมากกว่ามิติที่วัดได้ตลอดเวลา การวัดถูกสร้างโดยการนับ เมตริกถูกสร้างจากการวิเคราะห์ ทางเลือกอื่น การวัดคือข้อมูลดิบเชิงวัตถุ และเมตริกคือการอธิบายของมนุษย์ที่เป็นวัตถุหรือมีอคติ (Biased) ของข้อมูลเหล่านั้น
สำหรับความปลอดภัยระบบสารสนเทศ กระบวนการเกี่ยวข้องกับองค์ประกอบของระบบที่มีส่วนช่วยให้ความปลอดภัย นั่นคือ เมตริกความปลอดภัย (Security Metrics) อนุญาตให้ใช้วิธีการวัดกับเอนทิตี้หลายแห่งของระบบที่มีคุณสมบัติความปลอดภัยที่วัดได้ (Quantifiable Security Property) เพื่อรับค่าที่วัดได้
เมตริกสร้างผลลัพธ์ที่สะสมอยู่ในฐานข้อมูลเมตริกที่กำหนด (Defined Metric Database) ซึ่งสามารถใช้งานได้ผ่านอินเทอร์เฟซ SQL และ JDBC มาตรฐาน เพื่อสนับสนุนฟังก์ชันต่อไปนี้:
- การจัดการความเสี่ยง (Risk Management) — เมตริกที่คำนวณความน่าจะเป็นของภัยคุกคาม (Threat Probability) ความเปราะบาง (Vulnerability) การครอบคลุมมาตรการต่อต้าน (Countermeasure Coverage) และมูลค่าสินทรัพย์ (Asset Value) ให้ผลลัพธ์ที่สามารถใช้สร้างแบบจำลองความเสี่ยง
- การจัดการงบประมาณ (Budget Management) — เมตริกที่กำหนดระดับความพยายาม (Level of Effort) ผลกระทบ (Impact) และทรัพยากรที่พร้อมใช้งาน (Available) สามารถแปลงเป็นต้นทุนดอลลาร์ เพื่อวัตถุประสงค์การกำหนดงบประมาณและคำนวณผลตอบแทนจากการลงทุน (ROI)
- การตรวจสอบและประเมินการปฏิบัติตาม (Audit & Compliance Assessment - ภายในหรือภายนอก) — เมตริกที่คำนวณการปฏิบัติตามนโยบาย (Policy Compliance) สำหรับรายบุคคลและกลุ่มของนิยาม (Definitions) ให้ผลลัพธ์ที่สามารถปรับปรุงรายงานที่สร้างโดยเครื่องมือการปฏิบัติตาม (Compliance Tools)
- การดำเนินงานความปลอดภัย (Security Operations) — เมตริกที่รวบรวมข้อมูลตลอดเวลา สามารถใช้ระบุแนวโน้ม (Trends) ที่บ่งชี้การดำเนินการเฉพาะที่จะถูกดำเนินการโดยพนักงานฟังก์ชันศูนย์ข้อมูล (Data Center Functions Staff)
