เมตริกความปลอดภัยข้อมูล (Information Security Metrics) คือการวัดที่สามารถติดตามและตรวจสอบสภาพของกระบวนการความปลอดภัยข้อมูลเฉพาะเจาะจง เมตริก (Metric) กำหนดระบบการวัดที่ขึ้นอยู่กับขั้นตอนที่วัดได้ (Quantifiable Procedures)
เมตริกที่ดีคือเมตริกที่สง่างาม (Elegant) เช่น เฉพาะเจาะจง (Specific), วัดได้ (Quantifiable), บรรลุได้ (Attainable), ทำซ้ำได้ (Repeatable), และขึ้นอยู่กับเวลา (Time-dependent) มิติ (Dimensions) ให้มุมมองจุดเดี่ยวในเวลา (Single-point-in-time Views) ขององค์ประกอบเฉพาะ แบบแยกส่วน (Discrete Elements) ในขณะที่เมตริกได้มาจากการเปรียบเทียบ (Derived by Comparing) กับการควบคุมที่กำหนดไว้ล่วงหน้า (Prearranged Control) หลายมิติที่วัดได้ตลอดเวลา
มิติถูกพัฒนาโดยการนับ (Counting) เมตริกถูกพัฒนาจากการวิเคราะห์ (Analysis) ทางเลือกอื่น มิติคือข้อมูลดิบเชิงวัตถุ (Objective Raw Data) และเมตริกเป็นการอธิบายของมนุษย์ที่เป็นวัตถุหรือ subjektif (Objective or Subjective Human Interpretation) ของข้อมูลเหล่านั้น วิธีการวัดที่ใช้งานต้องสามารถทำซ้ำได้ (Reproducible) และควรได้ผลลัพธ์เดียวกันเมื่อดำเนินการแยกกันโดยผู้ประเมินที่มีความสามารถต่างกัน (Different Competent Evaluators)
นอกจากนี้ ผลลัพธ์ต้องทำซ้ำได้ (Repeatable) ดังนั้น การวัดครั้งที่สองโดยชุดผู้ประเมินเริ่มต้น สร้างผลลัพธ์เดียวกัน วิธีการวัดที่ใช้เพื่อค้นพบหน่วยของปริมาณ สามารถเป็นเครื่องมือวัด วัสดุอ้างอิง หรือระบบวัด
การวัดระบบสารสนเทศเพื่อความปลอดภัย เกี่ยวข้องกับการใช้วิธีการวัดกับส่วนหลายส่วนของระบบ ที่มีคุณสมบัติความปลอดภัยที่วัดได้ (Measurable Security Property) เพื่อรับค่าที่วัดได้ของมิติควรเป็นอย่างทันเวลา (Timely) และเข้าถึงได้สำหรับองค์กร
เมตริกเป็นเครื่องมือที่ออกแบบมาเพื่อให้การตัดสินใจ และฟื้นฟูการนำไปใช้และความรับผิดชอบ ระหว่างการรวบรวม การวิเคราะห์ และการจัดทำเอกสารข้อมูลที่เกี่ยวข้องกับประสิทธิภาพ
จุดของการวัดประสิทธิภาพคือการตรวจจับสถานะของกิจกรรมที่พิจารณา และอำนวยความสะดวกการปรับปรุงในกิจกรรมเหล่านั้น โดยใช้การดำเนินการแก้ไข (Counteractive Actions) ขึ้นอยู่กับมิติที่สังเกตเห็น
การวัด (Measurements) ให้มุมมองจุดเดี่ยวในเวลาของปัจจัยเฉพาะ แบบแยกส่วน ในขณะที่เมตริกถูกเปลี่ยนแปลงโดยการเปรียบเทียบกับเกณฑ์มาตรฐานคงที่ (Constant Baseline) สองหรือมากกว่ามิติที่วัดได้ตลอดเวลา การวัดถูกสร้างโดยการนับ เมตริกถูกสร้างจากการวิเคราะห์ ทางเลือกอื่น การวัดคือข้อมูลดิบเชิงวัตถุ และเมตริกเป็นการอธิบายของมนุษย์ที่เป็นวัตถุหรือมีอคติ (Biased) ของข้อมูลเหล่านั้น
สำหรับความปลอดภัยระบบสารสนเทศ กระบวนการเกี่ยวข้องกับองค์ประกอบของระบบที่มีส่วนช่วยให้ความปลอดภัย นั่นคือ เมตริกความปลอดภัย (Security Metrics) ใช้การประยุกต์ใช้วิธีการวัดกับเอนทิตี้หลายแห่งของระบบ ที่มีคุณสมบัติความปลอดภัยที่วัดได้ (Quantifiable Security Property) เพื่อรับค่าที่วัดได้
เมตริกสามารถเป็นอุปกรณ์ที่มีประสิทธิภาพสำหรับผู้บริหารความปลอดภัย เพื่อให้เข้าใจประสิทธิภาพขององค์ประกอบต่างๆ ของโปรแกรมการปกป้องของพวกเขา ความปลอดภัยของระบบ ผลิตภัณฑ์ หรือกระบวนการเฉพาะ และความสามารถของพนักงานหรือแผนกภายในองค์กรในการจัดการพื้นที่ความปลอดภัยที่พวกเขาต้องรับผิดชอบ เมตริกยังสามารถช่วยระบุระดับความเสี่ยงในการไม่ดำเนินการที่กำหนด และในทางนั้น ให้คำแนะนำในการคำนวณการดำเนินการแก้ไข
