เมตริกเป็นเครื่องมือที่ออกแบบมาเพื่อสนับสนุนการตัดสินใจ และฟื้นฟูประสิทธิภาพและความรับผิดชอบ ระหว่างการรวบรวม (Collection) การวิเคราะห์ (Analysis) และการจัดทำเอกสาร (Documenting) ข้อมูลที่เกี่ยวข้องกับประสิทธิภาพ จุดของการวัดประสิทธิภาพคือการสังเกตสถานะของกิจกรรมที่พิจารณา และอำนวยความสะดวกการปรับปรุงในกิจกรรมเหล่านั้น โดยใช้การดำเนินการแก้ไข (Counteractive Actions) ตามมิติที่สังเกตเห็น
แม้ว่าจะสามารถเป็นกรณีสำหรับการใช้หลายศัพท์สำหรับรายการที่ครอบคลุมมากขึ้นและรวมศูนย์กลางมากขึ้น เช่น เมตริกและมาตรวัด (Measures) เอกสารนี้ทำให้ศัพท์เหล่านี้สอดคล้องกัน
เหมือนกับกระบวนการ IT อื่นๆ ความปลอดภัยสามารถปฏิบัติตามโมเดลวงจรชีวิต (Lifecycle Model) โมเดลที่นำเสนอนี้ปฏิบัติตามขั้นตอนพื้นฐานของ IDENTIFY-ASSESS-PROTECT-MONITOR วงจรชีวิตนี้ให้ฐานที่ดีสำหรับปัญหาความปลอดภัยทุกประการ การใช้โมเดลวงจรชีวิตนี้ให้เราได้รับคำแนะนำ เพื่อให้แน่ใจว่าความปลอดภัยกำลังปรับปรุงอย่างต่อเนื่อง โปรแกรมความปลอดภัยไม่ใช่การประเมินค่าคงที่ (Static Assessment) หรือผลิตภัณฑ์ที่เสร็จสมบูรณ์ แต่เป็นการที่ต้องการความสนใจคงที่และการปรับปรุงอย่างต่อเนื่อง
นโยบายและมาตรฐานความปลอดภัย (Security Policy and Standards) เป็นรากฐานของทุกองค์ประกอบของแผนความปลอดภัย เหล่านี้มีความสำคัญอย่างยิ่งในทั้งกระบวนการประเมินค่า (Assessment) และการปกป้อง (Protection) ของวงจรชีวิต กระบวนการประเมินค่าจะใช่มาตรฐานและนโยบายเป็นแก่นของการดำเนินการประเมินค่า ทรัพยากรจะถูกวัดเทียบกับนโยบายความปลอดภัย ในกระบวนการปกป้อง ทรัพยากรจะถูกตั้งค่าให้ตรงตามนโยบายและมาตรฐาน ตอนนี้ มาดูแต่ละขั้นตอนของวงจรชีวิต และดูว่ามีอะไรบ้าง
ระบุ (Identify)
ขั้นตอนแรกในโปรแกรมความปลอดภัยใดๆ คือการเข้าใจว่ากำลังพยายามปกป้องอะไร กระบวนการระบุ (Identification Process) ต้องเริ่มที่ระดับสูง (High Level) และเจาะลึก (Drill Down)
ประเมิน (Assess)
กระบวนการประเมินค่าของวงจรชีวิตความปลอดภัย (Security Lifecycle) สร้างขึ้นบนกระบวนการระบุ เนื่องจากสินทรัพย์ได้รับการระบุแล้ว ขั้นตอนต่อไปคือการดำเนินการประเมินค่าความปลอดภัยอย่างละเอียด (Thorough Security Assessment) กระบวนการประเมินค่าสามารถครอบคลุมหลายมิติ ตั้งแต่การทบทวนกระบวนการและขั้นตอน ไปจนถึงการสแกนช่องโหว่ (Vulnerability Scanning)
เป้าหมายของกระบวนการประเมินค่าคือการทดสอบทรัพยากรที่ทุกระดับ (เซิร์ฟเวอร์, เราเตอร์, ไฟร์วอลล์, แอปพลิเคชัน ฯล฿) ไม่เพียงเพื่อค้นหาช่องโหว่ แต่เพื่อรวบรวมข้อมูลเพิ่มเติมเกี่ยวกับแต่ละทรัพยากร มุมมองระดับสูงของทรัพยากรที่สร้างขึ้นในกระบวนการระบุ จะถูกปรับปรุงให้ละเอียดขึ้นด้วยรายละเอียดเพิ่มเติม
ปกป้อง (Protect)
เนื่องจากได้แผนที่เครือข่ายและระบบ และระบุช่องโหว่บางอย่างแล้ว จำเป็นต้องนำระบบเข้าสู่สอดคล้องกับนโยบายและมาตรฐานความปลอดภัยขององค์กร จุดมุ่งหมายของกระบวนการนี้คือการกำหนดค่า (Configure) และอัปเกรด (Upgrade) ระบบและองค์ประกอบเครือข่ายแต่ละตัว ดังนั้นความปลอดภัยของมันจึงถูกเสริมสร้างและสอดคลองกับนโยบายองค์กร
ตรวจสอบ (Monitor)
ขั้นตอนสุดท้ายของวงจรชีวิตความปลอดภัยคือการตรวจสอบความปลอดภัยที่สร้างขึ้น เนื่องจากได้เสริมสร้างความปลอดภัยของเซิร์ฟเวอร์ ไฟร์วอลล์ และเราเตอร์แล้ว จำเป็นต้องให้แน่ใจว่าการเปลี่ยนแปลงเหล่านั้นยังคงอยู่ นอกจากนี้ จำเป็นต้องตรวจสอบการปฏิบัติตาม (Compliance) ของระบบใหม่ที่นำเข้าสู่องค์กร
